Vienam Azure VM vajag tuneli: viesa klients vai VPN vārteja?

Vienai darba slodzei vienā Azure VM jāsasniedz privāts tīkls caur tuneli. Jautājums, kas izlemj dizainu, nav par to, kurš VPN produkts ir labāks, bet gan par to, vai kādai citai mašīnai kādreiz būs vajadzīgs šis ceļš. Atbildiet uz to vispirms, un pārējā arhitektūra parasti izvēlas pati. Ja kļūdīsities, jūs mantojat VM, kas klusi kļuvusi par maršrutētāju, kuru neviens nav dokumentējis.

Divi darbi, kas izskatās līdzīgi

VM var būt galapunkts vai tranzīta punkts, un atšķirība nav instalētajā programmatūrā, bet gan tajā, kas patērē tuneli. Kā galapunkts viesis palaiž klientu saviem procesiem. Kā tranzīta punkts tas pārsūta citu darba slodžu paketes, tāpēc kļūst par jūsu tīkla topoloģijas daļu.

Lielākā daļa pieprasījumu par vienu VM ir pirmais darbs otrā darba valodā. Kāds saka „VM ir mūsu VPN“, bet patiesībā domā, ka vienai lietotnei uz tā jāsasniedz datubāze otrā pusē.

Pirmais nosacījums: vai vēl kaut kam vajag tālo pusi?

Ja atbilde ir nē, instalējiet klientu viesī un pārtrauciet projektēt. Nekas šajā izvēlē neprasa pārvaldīto vārteju, un nekas tajā nepadara VM par vārteju tās kaimiņiem. Jūs pievienojat maršrutu vienā operētājsistēmā.

Ja atbilde ir jā vai, iespējams, jā gada laikā, izturieties pret to kā pret tīkla dizainu jau tagad. Citi VM sasniedz tranzīta VM tikai tad, kad apakštīkla maršrutu tabula tos turp aizsūta un NIC pieņem pārsūtīto satiksmi, tāpēc darbs ir maršrutu tabulas un pārsūtīšanas atļaujas, nevis vēl viena klienta instalācija.

Otrais nosacījums: vai varat saglabāt administrēšanas ceļu?

VPN klients, kas instalē plašu maršrutu, var aizņemt ceļu, pa kuru jūs administrējat VM. Ja tuneļa galamērķu saraksts pārklājas ar pārvaldības tīklu, jūsu SSH vai RDP sesija pārtrūkst tajā mirklī, kad klients pievienojas, un labojums jāveic caur seriālo konsoli vai pārbūvi.

Pārbaudiet pirms un pēc. Linuxā ip route get <management-ip> parāda, kuru saskarni un avotu kodols izmantotu tagad; salīdziniet to ar atbildi, kamēr tunelis ir aktīvs. Sadalīts tunelis ar skaidru galamērķu sarakstu ir vieglāk aizstāvams nekā noklusējuma maršruts, un parasti tas ir tas, kas darba slodzei patiešām vajadzīgs.

Trešais nosacījums: kas to labo pusnaktī?

Viesa klients ir jūsu operētājsistēma, jūsu klienta versija un jūsu sertifikāti. Tas ir labi, ja jūs jau pārvaldāt VM un tā labošanas ciklu. Tas ir slikts darījums, ja VM pastāv tikai tuneļa dēļ. Saskaitiet labošanas stundas, pirms saucat viesa klientu par lētāku. Klienta atjauninājums, kam vajadzīga pārstartēšana, ir pārtraukums, ko jūs esat ieplānojuši mašīnai, kas pastāv, lai tunelis paliktu aktīvs.

Pārvaldītā vārteja pārvieto šo apkopi uz platformu. Jums joprojām pieder identitāte, autorizācija un tīkla ceļi aiz tās, bet jūs nepārstartējat mašīnu, lai piemērotu klienta atjauninājumu.

Ko pārvaldītā vārteja nedara

Azure VPN Gateway ir VNet savienojamības pakalpojums ar saviem vietnes uz vietni un punkta uz punktu risinājumiem. Tas nav noteikums, kas aizliedz VPN programmatūru viesī, un tas nav tiešs aizvietotājs klientam, kas vajadzīgs vienai lietotnei.

Ko tas dod, ir savienojums tīkla slānī, kas sasniedzams daudzām darba slodzēm caur maršrutēšanu. Ko tas nedod, ir tunelis, ko izmanto tikai viens process vienā VM un kas ir ierobežots ar šī procesa identitāti. Šis ierobežojums nav trūkums, par ko jāatvainojas; tieši tāda ir viesa klienta dizaina jēga. Viena lietotne, viens maršruts, viens akreditācijas datu kopums, bez ietekmes uz citiem VM apakštīklā.

Tātad salīdzinājums nav pārvaldīts pret programmatūru. Tas ir tīkla mēroga savienojamība pret procesa mēroga savienojamību, un otrā ir likumīga, ja tā vajadzīga tikai vienam procesam.

Izplānojiet izaugsmes ceļu, pirms tas jums vajadzīgs

Ja prasība izaug no viena VM līdz apakštīklam, pārbūvējiet dizainu, nevis paplašiniet klienta atļautos prefiksus. Ērtas sesijas atkārtota izmantošana kā nedokumentēts maršrutētājs piesaista katru lietotāju šī VM dzīves laikam, tā akreditācijas datiem un tā labošanas logam.

Pareizais sākumpunkts, kad savienojums ir tīkla, nevis darba slodzes mērogā, ir Azure VPN Gateway pārskats.

Pirms izvēlaties, uzrakstiet trīs rindas: kam vajag tālo pusi, kas administrē VM un kas labo tuneli. Ja visas trīs atbildes norāda uz vienu darba slodzi, viesa klients ir godīgs dizains. Ja kāda no tām norāda uz apakštīklu, projektējiet tīkla slāni tagad.