Бир Azure VM туннелге муктаж: конок клиентиби же VPN шлюзубу?

Бир Azure VM ичиндеги бир жүктөмө туннел аркылуу жеке тармакка жетүүгө тийиш. Долбоорду чечүүчү суроо кайсы VPN продуктусу жакшы дегенде эмес, башка машинага бул жол эч качан керек болобу дегенде. Ага биринчи жооп бериңиз, калган архитектура адатта өзү тандалат. Жаңылышсаңыз, эч ким документтеген эмес маршрутизаторго унчукпай айланган VMди мураска аласыз.

Окшош көрүнгөн эки иш

VM четки чекит же транзиттик чекит боло алат, айырмачылык орнотулган программада эмес, туннелди ким колдонот дегенде. Четки чекит катары конок өз процесстери үчүн клиент иштетет. Транзиттик чекит катары ал башка жүктөмөлөрдүн пакеттерин өткөрүп берет, ошону менен тармак топологияңыздын бөлүгү болот.

Бир VM боюнча суроо-талаптардын көбү экинчи иштин тилин кийген биринчи иш. Бирөө «VM — биздин VPN» дейт, бирок анын мааниси анын үстүндөгү бир колдонмо аркы беттеги маалымат базасына жетүүгө тийиш деген сөз.

Биринчи шарт: аркы бет башка бир нерсеге керекпи?

Жооп жок болсо, клиентти конокко орнотуп, долбоорлоону токтотуңуз. Бул тандоодо башкарылуучу шлюзду талап кылган эч нерсе жок жана VMди кошуналары үчүн шлюз кылган да эч нерсе жок. Сиз бир операциялык системанын ичине маршрут кошуп жатасыз.

Жооп ооба болсо, же бир жыл ичинде балким ооба болсо, муну азыр тармактык долбоор катары караңыз. Башка VMдер транзиттик VMге ички тармактын маршрут таблицасы аларды ошол жакка жибергенде жана NIC өткөрүлгөн трафикти кабыл алганда гана жетет, ошондуктан иш маршрут таблицалары жана өткөрүү укуктары, дагы бир клиент орнотуу эмес.

Экинчи шарт: администрлөө жолун сактай аласызбы?

Кенен маршрут орноткон VPN клиенти VMди башкара турган жолду ээлеп алышы мүмкүн. Туннелдин багыттар тизмеси башкаруу тармагы менен капталса, клиент туташкан учурда SSH же RDP сессияңыз үзүлөт, ал эми оңдоону сериялык консол же кайра куруу аркылуу колдонууга туура келет.

Алдын жана кийин текшериңиз. Linuxте ip route get <management-ip> өзөк азыр кайсы интерфейс менен булакты колдоноорун көрсөтөт; туннел күйүп тургандагы жооп менен салыштырыңыз. Багыттары ачык көрсөтүлгөн бөлүнгөн туннел демейки маршруттан коргоого оңой жана адатта жүктөмөгө чын эле кереги ошол.

Үчүнчү шарт: түн ортосунда аны ким патчтайт?

Конок клиенти дегениңиз — сиздин операциялык системаңыз, клиент версияңыз жана сертификаттарыңыз. VMди жана анын патч циклин мурунтан башкарып жатсаңыз, бул жарайт. VM туннелди кармап туруу үчүн гана болсо, бул начар алмашуу. Конок клиентин арзаныраак деп атаардан мурун патч сааттарын санаңыз. Кайра жүктөөнү талап кылган клиент жаңыртуу — туннелди күйүк тутуу үчүн жашаган машинага өзүңүз пландаган токтоп калуу.

Башкарылуучу шлюз бул тейлөөнү платформага жылдырат. Идентификация, укук жана анын артындагы тармак жолдору дагы эле сиздики, бирок клиент жаңыртуусун колдонуу үчүн машинаны кайра жүктөбөйсүз.

Башкарылуучу шлюз эмне кылбайт

Azure VPN Gateway — өзүнүн сайт-сайт жана чекит-сайт конфигурациялары бар VNet байланыш кызматы. Ал коноктогу VPN программасына тыюу салган эреже эмес жана бир колдонмого керектүү клиенттин түз алмаштыргычы эмес.

Анын бергени — тармактык деңгээлдеги байланыш, ага көптөгөн жүктөмөлөр маршруттоо аркылуу жетет. Анын бербегени — бир VMдеги бир гана процесс колдонгон жана ошол процесстин идентификациясы менен чектелген туннел. Бул чектөө кечирим суроого татыктуу кемчилик эмес; бул конок клиентинин долбоорунун маңызы. Бир колдонмо, бир маршрут, бир эсептик маалыматтар топтому, ички тармактагы башка VMдерге таасир жок.

Ошондуктан салыштыруу башкарылуучу менен программалык камсыздоонун ортосунда эмес. Бул тармактык масштабдагы байланыш менен процесстик масштабдагы байланыштын ортосунда, ал эми экинчиси ага бир гана процесс муктаж болгондо мыйзамдуу.

Өсүү жолун ага муктаж болоордон мурун пландаңыз

Эгер талап бир VMден ички тармакка өссө, клиенттин уруксат берилген префикстерин кеңейтүүнүн ордуна долбоорду кайра куруңуз. Ыңгайлуу сессияны документтелбеген маршрутизатор катары кайра колдонуу ар бир керектөөчүнү ошол VMдин өмүрүнө, анын эсептик маалыматтарына жана анын патч терезесине байлап коёт.

Байланыш жүктөмө масштабынан тармактык масштабга өткөндө туура баштапкы чекит — Azure VPN Gateway сереби.

Тандоодон мурун үч сап жазыңыз: аркы бет кимге керек, VMди ким башкарат жана туннелди ким патчтайт. Үч жооп тең бир жүктөмөгө көрсөтсө, конок клиенти — чынчыл долбоор. Алардын кайсынысы болбосун ички тармакты көрсөтсө, тармактык деңгээлди азыр долбоорлоңуз.