एक Azure VM को टनल चाहिए: गेस्ट क्लाइंट या VPN गेटवे?

एक Azure VM में एक वर्कलोड को टनल के ज़रिए निजी नेटवर्क तक पहुँचना है। डिज़ाइन तय करने वाला सवाल यह नहीं है कि कौन-सा VPN उत्पाद बेहतर है; सवाल यह है कि क्या किसी और मशीन को कभी उस रास्ते की ज़रूरत पड़ेगी। पहले इसका जवाब दें और बाकी आर्किटेक्चर आमतौर पर खुद चुन जाती है। गलत किया तो आपको ऐसी VM विरासत में मिलती है जो चुपचाप ऐसा राउटर बन गई जिसे किसी ने दस्तावेज़ नहीं किया।

दो काम जो एक जैसे दिखते हैं

एक VM एंडपॉइंट या ट्रांज़िट पॉइंट हो सकती है, और फ़र्क़ वह सॉफ़्टवेयर नहीं है जो आप इंस्टॉल करते हैं, बल्कि यह है कि टनल का उपभोग कौन करता है। एंडपॉइंट के तौर पर गेस्ट अपनी प्रक्रियाओं के लिए क्लाइंट चलाता है। ट्रांज़िट पॉइंट के तौर पर वह दूसरे वर्कलोड के पैकेट आगे भेजता है, जिससे वह आपकी नेटवर्क टोपोलॉजी का हिस्सा बन जाता है।

एक VM के ज़्यादातर अनुरोध दूसरे काम की भाषा पहने पहला काम होते हैं। कोई कहता है “VM हमारा VPN है”, जबकि मतलब यह होता है कि उस पर एक एप्लिकेशन को दूसरी तरफ़ के डेटाबेस तक पहुँचना है।

शर्त एक: क्या किसी और को दूर वाला पक्ष चाहिए?

अगर जवाब नहीं है, तो गेस्ट में क्लाइंट इंस्टॉल करें और डिज़ाइन करना बंद कर दें। इस चुनाव में कुछ भी प्रबंधित गेटवे की मांग नहीं करता, और इससे कुछ भी VM को उसके पड़ोसियों के लिए गेटवे नहीं बनाता। आप एक ऑपरेटिंग सिस्टम के अंदर रूट जोड़ रहे हैं।

अगर जवाब हाँ है, या साल भर में शायद हाँ होगा, तो अब इसे नेटवर्क डिज़ाइन मानें। दूसरी VM ट्रांज़िट VM तक तभी पहुँचती हैं जब सबनेट रूट टेबल उन्हें वहाँ भेजता है और NIC फ़ॉरवर्ड किया गया ट्रैफ़िक स्वीकार करता है, इसलिए काम है रूट टेबल और फ़ॉरवर्डिंग अनुमतियाँ, कोई और क्लाइंट इंस्टॉल नहीं।

शर्त दो: क्या आप प्रशासन का रास्ता बचा सकते हैं?

जो VPN क्लाइंट चौड़ा रूट इंस्टॉल करता है वह उस रास्ते को पकड़ सकता है जिससे आप VM का प्रशासन करते हैं। अगर टनल की गंतव्य सूची प्रबंधन नेटवर्क से ओवरलैप होती है, तो क्लाइंट के जुड़ते ही आपका SSH या RDP सत्र टूट जाता है, और सुधार सीरियल कंसोल या पुनर्निर्माण से करना पड़ता है।

पहले और बाद में जाँचें। Linux में ip route get <management-ip> बताता है कि कर्नेल अभी कौन-सा इंटरफ़ेस और स्रोत इस्तेमाल करता; टनल चालू रहते हुए इसकी तुलना जवाब से करें। स्पष्ट गंतव्य सूची वाली स्प्लिट टनल डिफ़ॉल्ट रूट से बचाव में आसान है, और आमतौर पर वर्कलोड को असल में यही चाहिए।

शर्त तीन: आधी रात को इसे कौन पैच करता है?

गेस्ट क्लाइंट का मतलब है आपका ऑपरेटिंग सिस्टम, आपका क्लाइंट संस्करण और आपके प्रमाणपत्र। यह ठीक है जब आप पहले से VM और उसका पैच चक्र चला रहे हों। यह खराब सौदा है जब VM सिर्फ़ टनल रखने के लिए हो। गेस्ट क्लाइंट को सस्ता कहने से पहले पैच के घंटे गिनें। जिस क्लाइंट अपग्रेड में रीबूट चाहिए, वह उस मशीन के लिए आपका तय किया व्यवधान है जो टनल चालू रखने के लिए ही है।

प्रबंधित गेटवे वह रखरखाव प्लेटफ़ॉर्म पर ले जाता है। पहचान, अधिकृति और उसके पीछे के नेटवर्क रास्ते आज भी आपके हैं, लेकिन क्लाइंट अपडेट लागू करने के लिए आप मशीन रीबूट नहीं करते।

प्रबंधित गेटवे क्या नहीं करता

Azure VPN Gateway एक VNet कनेक्टिविटी सेवा है जिसकी अपनी साइट-टू-साइट और पॉइंट-टू-साइट व्यवस्थाएँ हैं। यह गेस्ट VPN सॉफ़्टवेयर को मना करने वाला नियम नहीं है, और यह एक एप्लिकेशन को ज़रूरी क्लाइंट का सीधा विकल्प नहीं है।

यह नेटवर्क परत पर कनेक्शन देता है, जहाँ राउटिंग के ज़रिए कई वर्कलोड पहुँच सकते हैं। यह ऐसी टनल नहीं देता जिसका उपयोग एक VM पर सिर्फ़ एक प्रक्रिया करे और जो उस प्रक्रिया की पहचान तक सीमित हो। यह सीमा माफ़ी मांगने लायक कमी नहीं है; यही गेस्ट-क्लाइंट डिज़ाइन का मक़सद है। एक एप्लिकेशन, एक रूट, एक क्रेडेंशियल सेट, सबनेट की बाकी VM पर कोई असर नहीं।

इसलिए तुलना प्रबंधित बनाम सॉफ़्टवेयर की नहीं है। यह नेटवर्क-दायरे की कनेक्टिविटी बनाम प्रक्रिया-दायरे की कनेक्टिविटी है, और दूसरी तब जायज़ है जब सिर्फ़ एक प्रक्रिया को उसकी ज़रूरत हो।

बढ़ोतरी का रास्ता ज़रूरत से पहले तय करें

अगर ज़रूरत एक VM से सबनेट तक बढ़े, तो क्लाइंट के मंज़ूर प्रीफ़िक्स बढ़ाने के बजाय डिज़ाइन फिर से बनाएँ। सुविधाजनक सत्र को बिना दस्तावेज़ वाले राउटर की तरह दोबारा इस्तेमाल करना हर उपभोक्ता को उस VM की उम्र, उसके क्रेडेंशियल और उसकी पैच विंडो से बाँध देता है।

सही शुरुआती बिंदु, जब कनेक्शन वर्कलोड-दायरे का नहीं बल्कि नेटवर्क-दायरे का हो जाए, है Azure VPN Gateway का अवलोकन।

चुनने से पहले तीन पंक्तियाँ लिखें: दूर वाले पक्ष को क्या चाहिए, VM का प्रशासन कौन करता है, और टनल को कौन पैच करता है। अगर तीनों जवाब एक वर्कलोड की ओर इशारा करें, तो गेस्ट क्लाइंट ईमानदार डिज़ाइन है। अगर इनमें से कोई सबनेट की ओर इशारा करे, तो अब नेटवर्क परत डिज़ाइन करें।