Egy Azure VM-nek alagút kell: vendégkliens vagy VPN-átjáró?

Egy Azure VM-ben futó számítási feladatnak alagúton keresztül el kell érnie egy privát hálózatot. A tervezést eldöntő kérdés nem az, melyik VPN-termék a jobb, hanem hogy szüksége lesz-e valaha más gépre ezen az útvonalon. Válaszoljon erre először, és az architektúra többi része általában magától kiválasztódik. Ha elhibázza, olyan VM-et örököl, amely csendben routerré vált, és ezt senki nem dokumentálta.

Két munka, amely hasonlónak tűnik

Egy VM lehet végpont vagy tranzitpont, és a különbség nem a telepített szoftverben van, hanem abban, ki fogyasztja az alagutat. Végpontként a vendég a saját folyamataihoz futtat klienst. Tranzitpontként más számítási feladatok csomagjait továbbítja, így a hálózati topológia részévé válik.

Az egyetlen VM-re vonatkozó kérések többsége az első munka a második nyelvén. Valaki azt mondja, „a VM a mi VPN-ünk”, miközben arra gondol, hogy egy rajta futó alkalmazásnak el kell érnie egy adatbázist a másik oldalon.

Első feltétel: kell-e még valaminek a túlsó oldal?

Ha a válasz nem, telepítse a klienst a vendégbe, és hagyja abba a tervezést. Ebben a döntésben semmi nem igényli a felügyelt átjárót, és semmi nem teszi a VM-et a szomszédai átjárójává. Egy útvonalat ad hozzá egyetlen operációs rendszeren belül.

Ha a válasz igen, vagy valószínűleg igen egy éven belül, kezelje ezt most hálózattervezésként. Más VM-ek csak akkor érnek el egy tranzit-VM-et, ha az alhálózati útvonaltábla odaküldi őket, és a NIC elfogadja a továbbított forgalmat, tehát a munka útvonaltáblák és továbbítási engedélyek, nem újabb kliens telepítése.

Második feltétel: meg tudja-e tartani az adminisztrációs útvonalat?

Egy széles útvonalat telepítő VPN-kliens elfoghatja azt az útvonalat, amelyen a VM-et adminisztrálja. Ha az alagút célállomáslistája átfed az adminisztrációs hálózattal, az SSH- vagy RDP-munkamenete abban a pillanatban megszakad, amikor a kliens csatlakozik, és a javítást soros konzolon vagy újraépítéssel kell alkalmazni.

Ellenőrizze előtte és utána. Linuxon a ip route get <management-ip> megmutatja, melyik interfészt és forrást használná a kernel most; hasonlítsa össze ezt a válasszal, amíg az alagút üzemel. A kifejezett célállomáslistát használó osztott alagút könnyebben védhető, mint az alapértelmezett útvonal, és általában erre van a számítási feladatnak valóban szüksége.

Harmadik feltétel: ki javítja éjfélkor?

A vendégkliens az Ön operációs rendszere, kliensverziója és tanúsítványai. Ez rendben van, ha már üzemelteti a VM-et és annak javítási ciklusát. Rossz üzlet, ha a VM csak az alagút megtartásáért létezik. Számolja meg a javítási órákat, mielőtt olcsóbbnak nevezné a vendégklienst. Az újraindítást igénylő kliensfrissítés olyan kiesés, amelyet egy olyan géphez ütemezett, amely az alagút fenntartásáért létezik.

A felügyelt átjáró ezt a karbantartást a platformra helyezi. Az identitás, az engedélyezés és a mögötte lévő hálózati útvonalak továbbra is az Önéi, de nem indít újra gépet egy kliensfrissítés alkalmazásához.

Amit a felügyelt átjáró nem tesz

Az Azure VPN Gateway VNet-kapcsolódási szolgáltatás saját hely-hely és pont-hely megoldásokkal. Nem tiltja meg a vendég VPN-szoftvert, és nem közvetlen helyettesítője egy olyan kliensnek, amelyre egyetlen alkalmazásnak szüksége van.

Amit ad, az a hálózati rétegbeli kapcsolat, amelyet sok számítási feladat ér el útválasztáson keresztül. Amit nem ad, az az az alagút, amelyet egyetlen VM egyetlen folyamata használ, és amely az adott folyamat identitására korlátozódik. Ez a korlátozás nem hiba, amiért bocsánatot kellene kérni; éppen ez a vendégkliens-tervezés lényege. Egy alkalmazás, egy útvonal, egy hitelesítőadat-készlet, nincs hatás az alhálózat többi VM-jére.

Az összehasonlítás tehát nem felügyelt kontra szoftver. Hálózati hatókörű kapcsolódás kontra folyamathatókörű kapcsolódás, és a második akkor jogos, ha csak egy folyamatnak van rá szüksége.

Tervezze meg a növekedési utat, mielőtt szüksége lenne rá

Ha az igény egy VM-ről alhálózatra nő, építse újra a tervet, ahelyett hogy szélesítené a kliens engedélyezett előtagjait. Egy kényelmes munkamenet nem dokumentált routerként való újrafelhasználása minden fogyasztót az adott VM élettartamához, hitelesítő adataihoz és javítási ablakához köt.

A megfelelő kiindulópont, amint a kapcsolat hálózati, nem pedig számításifeladat-hatókörű, az Azure VPN Gateway áttekintése.

Mielőtt választ, írjon három sort: kinek kell a túlsó oldal, ki adminisztrálja a VM-et, és ki javítja az alagutat. Ha mindhárom válasz egyetlen számítási feladatra mutat, a vendégkliens az őszinte tervezés. Ha bármelyik alhálózatra mutat, tervezze meg most a hálózati réteget.