Een Azure VM brauch den Tunnel: Gaascht-Client oder VPN-Gateway?
Dräi Bedéngungen entscheeden, ob eng eenzeg Azure VM hire eigenen VPN-Client soll lafen, oder ob d'Verbindung éischter an d'Nettwierksschicht gehéiert.
Eng Aarbechtslaascht an enger Azure VM muss iwwer en Tunnel eng privat Nett erreechen. D'Fro déi den Design entscheet ass net wéi ee VPN-Produkt besser ass, mee ob eng aner Maschinn dëse Wee iergendwann brauch. Äntwert dat als éischt a rescht vun der Architektur wielt sech meeschtens selwer. Maacht et falsch an Dir ierft eng VM déi sech roueg an engem Router verwandelt huet deen keen dokumentéiert huet.
Zwou Aufgabe déi ähnlech ausgesinn
Eng VM ka en Endpunkt oder en Transitpunkt sinn, an den Ënnerscheed ass net d'Software déi Dir installéiert, mee wien den Tunnel benotzt. Als Endpunkt leet de Gaascht e Client fir seng eege Prozesser lafen. Als Transitpunkt leet en d'Paketer vun aneren Aarbechtslaaschten weider, wat en zu engem Deel vun Ärer Netzwierktopologie mécht.
| Aufgab | Wat d'VM mécht | Wien huet d'Routing |
|---|---|---|
| Endpunkt vun der Aarbechtslaascht | Leet e unterstützte Client fir seng eege Prozesser | Gaascht-Routen wielen déi genehmegt Destinatiounen |
| Transit-Apparat | Leet aner Aarbechtslaaschten an d'Site-Verbindung | Subnetz-Routingtabellen, NIC-Weiderleitung, Gaaschtpolitik a Réckwee |
Déi meescht Ufroën fir eng eenzeg VM sinn déi éischt Aufgab an der Sprooch vun der zweeter. Een seet „d'VM ass eisen VPN“ wann en mengt datt eng Applikatioun drop eng Datebank op der anerer Säit erreeche muss.
Bedingung éischt: brauch nach eppes déi wäit Säit?
Wann d'Äntwert nee ass, installéiert de Client am Gaascht a stoppt mat designen. Nings an där Wiel verlaangt de geréierten Gateway, an nings dodrun mécht d'VM zu engem Gateway fir seng Noperen. Dir setzt eng Route bannen an engem Betribssystem derbäi.
Wann d'Äntwert jo ass, oder wahrscheinlech jo bannen engem Joer, behandelt et elo als Nettwiersdesign. Aner VMen erreechen eng Transit-VM nëmmen wann d'Subnetz-Routingtabell se dohi schéckt an d'NIC déi weidergeluede Traffic akzeptéiert, also ass d'Aarbecht Routingtabellen a Weiderleitungsrechter, net nach eng Clientinstallatioun.
Bedingung zweet: kënnt Dir de Verwaltungswee behalen?
En VPN-Client deen eng breet Route installéiert kann de Wee erwëschen deen Dir benotzt fir d'VM ze verwalten. Wann d'Destinatiounslëscht vum Tunnel sech mat dem Verwaltungsnetz iwwerschneet, fällt Är SSH- oder RDP-Sessioun an deem Moment wou de Client sech verbënnt, an d'Korrektur muss duerch d'seriell Konsole oder en Neibau ugewannt ginn.
Kontrolléiert virun a duerno. Op Linux weist ip route get <management-ip> wéi eng Interface a Quell de Kernel just elo benotze géif; vergläicht dat mat der Äntwert wärend den Tunnel op ass. En opgedeelte Tunnel mat enger expliziter Destinatiounslëscht ass méi einfach ze verteidegen wéi eng Standardroute, an et ass meeschtens dat wat d'Aarbechtslaascht wierklech brauch.
Bedingung drëtt: wien patchët en um Mëtternuecht?
E Gaascht-Client ass Ären Betribssystem, Är Client-Versioun an Är Zertifikater. Dat ass gutt wann Dir d'VM an hire Patchzyklus schonn ënnerhält. Et ass en schlechten Tausch wann d'VM just existéiert fir den Tunnel ze halen. Zielt d'Patchstonnen ier Dir de Gaascht-Client méi bëlleg nennt. Eng Client-Erhéijung déi en Neistart brauch ass eng Auszäit déi Dir fir eng Maschinn geplangt hutt déi just existéiert fir den Tunnel um Liewen ze halen.
De geréierten Gateway verréckelt déi Ënnerhalt op d'Plattform. Dir hutt ëmmer nach Identitéit, Autorisatioun an d'Nettwiersweeër hannendrun, awer Dir start nei eng Maschinn fir eng Client-Aktualiséierung unzewennen.
Wat de geréierten Gateway net mécht
Azure VPN Gateway ass en VNet-Konnektivitéitsservice mat sengen eegene Site-zu-Site- a Punkt-zu-Punkt-Arrangementer. Et ass keng Regel déi Gaascht-VPN-Software verbitt, an et ass keen direkten Ersatz fir e Client deen eng eenzeg Applikatioun brauch.
Wat et gëtt ass eng Verbindung op der Nettiwwerksschicht, déi vill Aarbechtslaaschte iwwer Routing erreechen. Wat et net gëtt ass en Tunnel deen nëmmen ee Prozess op enger VM benotzt, a limitéiert op d'Identitéit vun deem Prozess. Dës Limitatioun ass keen Defekt fir deen ee sech entschëllegen muss; et ass just de Sënn vum Gaascht-Client-Design. Eng Applikatioun, eng Route, een Set Umeldungsinformatiounen, keen Effekt op déi aner VMen am Subnetz.
Also ass de Verglach net geréiert géint Software. Et ass Konnektivitéit am Nettwiersëmfang géint Konnektivitéit am Prozessëmfang, an déi zweet ass legitim wann nëmmen ee Prozess se brauch.
Plangt de Wuesstumswee ier Dir en braucht
Wann d'Ufuerderung vun enger VM op en Subnetz wiisst, baut den Design nei op amplaz déi erlaabt Prefixe vum Client ze verbreeden. Eng bequem Sessioun als ondokumentéierte Router weiderzebenotzen bënnt all Benotzer un d'Liewensdauer vun där VM, hir Umeldungsinformatiounen an hire Patchfenster.
De richtegen Ausgangspunkt, wa mol d'Verbindung am Nettwiersëmfang ass an net am Aarbechtslaaschtenëmfang, ass d'Iwwersiicht vum Azure VPN Gateway.
Ier Dir wielt, schreift dräi Zeilen: wat brauch déi wäit Säit, wien administréiert d'VM, a wien patchët den Tunnel. Wann all dräi Äntwerten op eng Aarbechtslaascht weisen, ass e Gaascht-Client den éierlechen Design. Wann eng dovun op en Subnetz weist, design elo d'Nettiwwerksschicht.