Бір Azure VM-ге туннель керек: қонақ клиент пе, әлде VPN шлюзі ме?

Бір Azure VM ішіндегі бір жүктеме туннель арқылы жеке желіге жетуі керек. Дизайнды шешетін сұрақ қай VPN өнімі жақсы дегенде емес, басқа машинаға бұл жол мәңгілік қажет бола ма дегенде. Алдымен соған жауап беріңіз, сәулеттің қалғаны әдетте өзі таңдалады. Қателессеңіз, ешкім құжаттамаған маршрутизаторға үнсіз айналған VM-ді мұралайсыз.

Ұқсас көрінетін екі жұмыс

VM шеткі нүкте немесе транзиттік нүкте бола алады, айырмашылық орнатылатын бағдарламада емес, туннельді кім тұтынатынында. Шеткі нүкте ретінде қонақ өз процестері үшін клиент іске қосады. Транзиттік нүкте ретінде ол басқа жүктемелердің пакеттерін жібереді, сол арқылы желілік топологияңыздың бөлігіне айналады.

Бір VM-ге қатысты сұраныстардың көбі — екінші жұмыстың тілін киген бірінші жұмыс. Біреу «VM — біздің VPN» дейді, бірақ оның мағынасы ондағы бір қолданбаның арғы жақтағы дерекқорға жетуі керек деген сөз.

Бірінші шарт: арғы жақ басқа бір нәрсеге керек пе?

Жауап жоқ болса, клиентті қонаққа орнатып, дизайн жасауды тоқтатыңыз. Бұл таңдауда басқарылатын шлюзді талап ететін ештеңе жоқ және VM-ді көршілері үшін шлюзге айналдыратын да ештеңе жоқ. Сіз бір операциялық жүйенің ішіне маршрут қосып жатырсыз.

Жауап иә болса, немесе бір жыл ішінде ықтимал иә болса, мұны қазір желілік дизайн ретінде қарастырыңыз. Басқа VM-дер транзиттік VM-ге тек ішкі желі маршрут кестесі оларды сонда жібергенде және NIC жіберілген трафикті қабылдағанда жетеді, сондықтан жұмыс маршрут кестелері мен жіберу рұқсаттары, тағы бір клиент орнату емес.

Екінші шарт: әкімшілік жолын сақтай аласыз ба?

Кең маршрут орнататын VPN клиенті VM-ді басқаратын жолды басып алуы мүмкін. Туннельдің межелер тізімі басқару желісімен қабаттасса, клиент қосылған сәтте SSH немесе RDP сессияңыз үзіледі, ал түзетуді сериялық консоль немесе қайта құру арқылы қолдануға тура келеді.

Алдын және кейін тексеріңіз. Linux-та ip route get <management-ip> ядро қазір қай интерфейс пен көзді пайдаланатынын көрсетеді; туннель қосулы кездегі жауаппен салыстырыңыз. Межелері анық көрсетілген бөлінген туннель әдепкі маршруттан қорғауға оңай және әдетте жүктемеге шынымен керегі осы.

Үшінші шарт: түн ортасында оны кім патчтайды?

Қонақ клиенті дегеніміз — сіздің операциялық жүйеңіз, клиент нұсқаңыз және сертификаттарыңыз. VM мен оның патч циклін бұрыннан басқарып отырсаңыз, бұл жарайды. VM тек туннельді ұстап тұру үшін ғана болса, бұл нашар айырбас. Қонақ клиентін арзанырақ деп атамас бұрын патч сағаттарын санаңыз. Қайта жүктеуді қажет ететін клиент жаңартуы — туннельді ұстап тұру үшін өмір сүретін машинаға өзіңіз жоспарлаған тоқтау.

Басқарылатын шлюз бұл қызмет көрсетуді платформаға ауыстырады. Сәйкестік, рұқсат және оның артындағы желілік жолдар әлі де сіздікі, бірақ клиент жаңартуын қолдану үшін машинаны қайта жүктемейсіз.

Басқарылатын шлюз не істемейді

Azure VPN Gateway — өзінің сайт-сайт және нүкте-сайт конфигурациялары бар VNet байланыс қызметі. Ол қонақтағы VPN бағдарламасына тыйым салатын ереже емес және бір қолданбаға қажет клиенттің тікелей алмастырғышы емес.

Оның беретіні — желілік деңгейдегі байланыс, оған көптеген жүктемелер маршруттау арқылы жетеді. Оның бермейтіні — бір VM-дегі бір ғана процесс пайдаланатын және сол процестің сәйкестігімен шектелген туннель. Бұл шектеу кешірім сұрайтын кемшілік емес; бұл — қонақ клиенті дизайнының мәні. Бір қолданба, бір маршрут, бір тіркелгі деректері жиынтығы, ішкі желідегі басқа VM-дерге әсер жоқ.

Сондықтан салыстыру басқарылатын мен бағдарламалық жасақтама арасында емес. Бұл желі ауқымындағы байланыс пен процесс ауқымындағы байланыс арасындағы салыстыру, ал екіншісі оған тек бір процесс мұқтаж болса, заңды.

Өсу жолын қажет болмай тұрып жоспарлаңыз

Егер талап бір VM-нен ішкі желіге дейін өссе, клиенттің рұқсат етілген префикстерін кеңейтудің орнына дизайнды қайта құрыңыз. Ыңғайлы сессияны құжатталмаған маршрутизатор ретінде қайта пайдалану әр тұтынушыны сол VM-нің өміріне, оның тіркелгі деректеріне және патч терезесіне байлап қояды.

Байланыс жүктеме ауқымынан желі ауқымына өткен кезде дұрыс бастау нүктесі — Azure VPN Gateway шолуы.

Таңдамас бұрын үш жол жазыңыз: арғы жақ неге керек, VM-ді кім басқарады және туннельді кім патчтайды. Үш жауап та бір жүктемеге нұсқаса, қонақ клиенті — адал дизайн. Олардың кез келгені ішкі желіге нұсқаса, желілік деңгейді қазір жобалаңыз.