Մեկ Azure VM-ին թունել է պետք՝ հյուրի հաճախորդ, թե VPN դարպաս؟

Մեկ Azure VM-ում գործող մեկ բեռնվածք պետք է թունելով հասնի մասնավոր ցանց։ Դիզայնը որոշող հարցը այն չէ, թե որ VPN արտադրանքն է ավելի լավ, այլ այն՝ արդյոք երբևէ այլ մեքենայի պետք կգա այդ ուղին։ Առաջինը պատասխանեք դրան, և ճարտարապետության մնացած մասը սովորաբար ինքն է ընտրվում։ Սխալվեք, և կժառանգեք VM, որ լուռ դարձել է երթուղիչ, որը ոչ ոք չի փաստաթղթավորել։

Երկու աշխատանք, որոնք նույն տեսքն ունեն

VM-ը կարող է լինել վերջնակետ կամ տրանզիտային կետ, և տարբերությունը ոչ թե տեղադրվող ծրագրաշարի մեջ է, այլ այն բանում, թե ով է սպառում թունելը։ Որպես վերջնակետ՝ հյուրը գործարկում է հաճախորդ իր իսկ պրոցեսների համար։ Որպես տրանզիտային կետ՝ այն փոխանցում է այլ բեռնվածքների փաթեթներ, ինչի շնորհիվ դառնում է ձեր ցանցային տոպոլոգիայի մաս։

Մեկ VM-ի հարցումների մեծ մասը առաջին աշխատանքն է՝ երկրորդի լեզվով հագցված։ Ինչ-որ մեկն ասում է՝ «VM-ը մեր VPN-ն է», մինչդեռ նկատի ունի, որ դրա վրա գտնվող մեկ հավելված պետք է հասնի մյուս կողմի տվյալների բազային։

Պայման առաջին՝ արդյոք ուրիշ ինչ-որ բանի պետք է հեռավոր կողմը։

Եթե պատասխանը ոչ է, տեղադրեք հաճախորդը հյուրի մեջ և դադարեցրեք ձևավորել։ Այդ ընտրության մեջ ոչինչ չի պահանջում կառավարվող դարպասը, և ոչինչ այն չի դարձնում VM դարպաս իր հարևանների համար։ Դուք երթուղի եք ավելացնում մեկ օպերացիոն համակարգի ներսում։

Եթե պատասխանը այո է, կամ հավանաբար այո՝ մեկ տարվա ընթացքում, ապա դա հիմա դիտարկեք որպես ցանցային ձևավորում։ Այլ VM-ներ տրանզիտային VM-ին հասնում են միայն այն ժամանակ, երբ ենթացանցի երթուղային աղյուսակն ուղարկում է նրանց այնտեղ, և NIC-ը ընդունում է փոխանցված տրաֆիկը, ուստի աշխատանքը ենթացանցի երթուղային աղյուսակներն ու փոխանցման թույլտվություններն են, այլ ոչ թե ևս մեկ հաճախորդի տեղադրում։

Պայման երկրորդ՝ կարո՞ղ եք պահպանել կառավարման ուղին։

VPN հաճախորդը, որը տեղադրում է լայն երթուղի, կարող է զավթել այն ուղին, որով կառավարում եք VM-ը։ Եթե թունելի նպատակակետերի ցանկը համընկնում է կառավարման ցանցի հետ, ձեր SSH կամ RDP սեսիան ընկնում է այն պահին, երբ հաճախորդը միանում է, և ուղղումը պետք է կիրառել սերիական կոնսոլի կամ վերակառուցման միջոցով։

Ստուգեք առաջ և հետո։ Linux-ում ip route get <management-ip> ցույց է տալիս, թե որ ինտերֆեյսն ու աղբյուրը միջուկը հիմա կօգտագործեր, համեմատեք դա պատասխանի հետ, մինչ թունելը միացված է։ Բացահայտ նպատակակետերի ցանկով բաժանված թունելն ավելի հեշտ է պաշտպանել, քան լռելյայն երթուղին, և սովորաբար դա է, ինչ բեռնվածքին իրոք պետք է։

Պայման երրորդ՝ ով է կարկատում այն կեսգիշերին։

Հյուրի հաճախորդը ձեր օպերացիոն համակարգն է, ձեր հաճախորդի տարբերակը և ձեր վկայագրերը։ Դա նորմալ է, երբ դուք արդեն վարում եք VM-ը և դրա կարկատման ցիկլը։ Դա վատ փոխանակում է, երբ VM-ը գոյություն ունի միայն թունելը պահելու համար։ Հաշվեք կարկատման ժամերը, նախքան հյուրի հաճախորդն ավելի էժան անվանելը։ Վերագործարկում պահանջող հաճախորդի թարմացումը ընդհատում է, որը դուք պլանավորել եք մեքենայի համար, որը գոյություն ունի թունելը միացված պահելու համար։

Կառավարվող դարպասը տեղափոխում է այդ սպասարկումը հարթակ։ Դուք դեռ տիրապետում եք ինքնությանը, թույլտվությանը և դրա հետևում գտնվող ցանցային ուղիներին, բայց չեք վերագործարկում մեքենա՝ հաճախորդի թարմացումը կիրառելու համար։

Ինչ չի անում կառավարվող դարպասը

Azure VPN Gateway-ը VNet կապակցության ծառայություն է՝ իր սեփական կայք-կայք և կետ-կետ պայմանավորվածություններով։ Այն չի արգելում հյուրի VPN ծրագրաշարը և ուղղակի փոխարինում չէ այն հաճախորդի, որն անհրաժեշտ է մեկ հավելվածի։

Ինչ տալիս է այն՝ ցանցային շերտի կապ, որին շատ բեռնվածքներ հասնում են երթուղայնության միջոցով։ Ինչ չի տալիս՝ թունել, որն օգտագործում է միայն մեկ պրոցես մեկ VM-ի վրա և սահմանափակված է այդ պրոցեսի ինքնությամբ։ Այդ սահմանափակումը թերություն չէ, որի համար պետք է ներողություն խնդրել, դա հենց հյուրի հաճախորդի ձևավորման իմաստն է։ Մեկ հավելված, մեկ երթուղի, մեկ հավատարմագրերի հավաքածու, ոչ մի ազդեցություն ենթացանցի մյուս VM-ների վրա։

Այսպիսով, համեմատությունը կառավարվողի և ծրագրաշարի միջև չէ։ Այն ցանցային մասշտաբի կապակցության և պրոցեսային մասշտաբի կապակցության միջև է, և երկրորդը օրինական է, երբ այն պետք է միայն մեկ պրոցեսի։

Պլանավորեք աճի ուղին, նախքան այն ձեզ պետք կգա

Եթե պահանջը մեկ VM-ից աճում է մինչև ենթացանց, վերակառուցեք ձևավորումը՝ հաճախորդի թույլատրված նախածանցները լայնացնելու փոխարեն։ Հարմար սեսիան որպես չփաստաթղթավորված երթուղիչ վերօգտագործելը կապում է յուրաքանչյուր սպառողի այդ VM-ի կյանքին, նրա հավատարմագրերին և նրա կարկատման պատուհանին։

Ճիշտ մեկնարկային կետը, երբ կապը ցանցային մասշտաբի է, այլ ոչ թե բեռնվածքի, Azure VPN Gateway-ի ընդհանուր ակնարկն է։

Նախքան ընտրելը, գրեք երեք տող՝ ինչ է պետք հեռավոր կողմին, ով է կառավարում VM-ը, և ով է կարկատում թունելը։ Եթե բոլոր երեք պատասխանները մատնանշում են մեկ բեռնվածքի, ապա հյուրի հաճախորդն ազնիվ ձևավորում է։ Եթե դրանցից որևէ մեկը մատնանշում է ենթացանց, ապա հիմա ձևավորեք ցանցային շերտը։