Ien Azure VM hat de tunnel nedich: gastkliïnt of VPN-gateway?
Trije betingsten beslisse oft ien Azure VM syn eigen VPN-kliïnt draaie moat, of dat de ferbining earder by de netwurklaach heart.
Ien wurklast yn ien Azure VM moat in privee netwurk berikke fia in tunnel. De fraach dy't it ûntwerp beslacht is net hokker VPN-produkt better is, mar oft ea in oare masine dat paad nedich hat. Beäntwurdzje dat earst en de rest fan de arsjitektuer kiest himsels meastentiids. Dochst it ferkeard, dan ervest in VM dy't stil in router wurden is dy't nimmen dokumintearre hat.
Twa taken dy't opinoar lykje
In VM kin in einpunt of in trochgongspunt wêze, en it ferskil is net de software dy'tsto ynstallearrest, mar wa't de tunnel brûkt. As einpunt draait de gast in kliïnt foar syn eigen prosessen. As trochgongspunt stjoert er pakketten fan oare wurklasten troch, wat him diel fan dyn netwurktopology makket.
| Taak | Wat de VM docht | Wa't it routing hat |
|---|---|---|
| Einpunt fan wurklast | Draait in stipe kliïnt foar syn eigen prosessen | Gastrûtes kieze de goedkarde bestimmings |
| Trochgongapparaat | Stjoert oare wurklasten yn de sideferbining | Subnetroutetabellen, NIC-trochstjoering, gastbelied en weromrûtes |
De measte oanfragen foar ien VM binne de earste taak yn 'e taal fan 'e twadde. Immen seit “de VM is ús VPN” wylst er bedoelt dat ien applikaasje derop in databank oan 'e oare kant berikke moat.
Betingst ien: hat eat oars de fiere kant nedich?
Is it antwurd nee, ynstallearje de kliïnt yn 'e gast en stopje mei ûntwerpen. Neat oan dy kar freget de behearde gateway, en neat derfan makket de VM in gateway foar syn buorlju. Do foegest in rûte ta binnen ien bestjoeringssysteem.
Is it antwurd ja, of wierskynlik ja binnen in jier, behannelje it dan no as in netwurkûntwerp. Oare VM's berikke in trochgong-VM allinnich as de subnetroutetabel se dêrhinne stjoert en de NIC trochstjoerde ferkear akseptearret, dus it wurk is routetabellen en trochstjoeringsrjochten, net noch in kliïntynstallaasje.
Betingst twa: kinst it behearpaad hâlde?
In VPN-kliïnt dy't in brede rûte ynstallearret, kin it paad pakke datsto brûkst om de VM te behearen. As de bestimmingslist fan 'e tunnel oerlaapet mei it behearnetwurk, falt dyn SSH- of RDP-sesje op it momint dat de kliïnt ferbynt, en de reparaasje moat fia de searje-konsole of in weropbou dien wurde.
Kontrolearje foar en nei. Op Linux lit ip route get <management-ip> sjen hokker ynterface en boarne de kernel no brûke soe; fergelykje dat mei it antwurd wylst de tunnel oan is. In splitste tunnel mei in eksplisite bestimmingslist is better te ferdigenjen as in standertrûte, en it is meastentiids wat de wurklast echt nedich hat.
Betingst trije: wa't patcht him om middernacht?
In gastkliïnt is dyn bestjoeringssysteem, dyn kliïntferzje en dyn sertifikaten. Dat is goed as do de VM en syn patchsyklus al draaist. It is in minne ruil as de VM allinnich bestiet om de tunnel te hâlden. Tel de patch-oeren foardatsto de gastkliïnt goedkeaper neamst. In kliïntfernijing dy't in werstart freget, is in ûnderbrekking dy'tsto sels keazen hast foar in masine dy't bestiet om de tunnel oan te hâlden.
De behearde gateway ferpleatst dat ûnderhâld nei it platfoarm. Do bist noch hieltyd eigner fan identiteit, autorisaasje en de netwurkpaden der efter, mar do werstartst gjin masine om in kliïntfernijing ta te passen.
Wat de behearde gateway net docht
Azure VPN Gateway is in VNet-ferbiningsstsjinst mei syn eigen side-oan-side- en punt-oan-punt-regelingen. It is gjin regel dy't VPN-software yn 'e gast ferbiedt, en it is gjin direkte ferfanging foar in kliïnt dy't ien applikaasje nedich hat.
Wat it jout is in ferbining op 'e netwurklaach, berikber foar in protte wurklasten fia routing. Wat it net jout is in tunnel dy't mar ien proses op ien VM brûkt en beheind is ta de identiteit fan dat proses. Dy beheining is gjin tekoart om foar te ferontskuldigjen; it is krekt it punt fan it gastkliïntûntwerp. Ien applikaasje, ien rûte, ien set oanmeldgegevens, gjin effekt op 'e oare VM's yn it subnet.
De fergeliking is dus net beheard tsjin software. It is ferbining op netwurkskaal tsjin ferbining op prosesskaal, en de twadde is legit as mar ien proses him nedich hat.
Plan it groeipaad foardatsto it nedich hast
As de eask fan ien VM nei in subnet groeit, bou it ûntwerp dan op 'e nij ynstee fan 'e tastiene prefiksen fan 'e kliïnt te ferbreedzjen. It werbrûken fan in handige sesje as ûndokumintearre router bynt elke brûker oan 'e libbensdoer fan dy VM, syn oanmeldgegevens en syn patchfinster.
It goede begjinpunt, as de ferbining op netwurkskaal is ynstee fan wurklastskaal, is it oersjoch fan Azure VPN Gateway.
Skriuw foardatsto kiest trije rigels: wat hat de fiere kant nedich, wa't beheart de VM, en wa't patcht de tunnel. As alle trije antwurden op ien wurklast wize, is in gastkliïnt it earnstige ûntwerp. As ien fan har op in subnet wiist, ûntwerp dan no de netwurklaach.