Еден Azure VM бара тунел: гостински клиент или VPN порта?

Едно работно оптоварување во еден Azure VM мора да стигне до приватна мрежа преку тунел. Прашањето што го одлучува дизајнот не е кој VPN производ е подобар, туку дали некоја друга машина некогаш ќе го побара тој пат. Одговорете прво на тоа и остатокот од архитектурата обично се избира сам. Ако згрешите, наследувате VM што тивко стана рутер што никој не го документирал.

Две работи што изгледаат исто

VM може да биде крајна точка или транзитна точка, а разликата не е во софтверот што го инсталирате, туку во тоа кој го троши тунелот. Како крајна точка, гостинот води клиент за своите процеси. Како транзитна точка, тој препраќа пакети на други работни оптоварувања, што го прави дел од вашата мрежна топологија.

Повеќето барања за еден VM се првата работа во јазикот на втората. Некој вели „VM е нашиот VPN“, а всушност мисли дека една апликација на него мора да стигне до база на податоци од другата страна.

Услов еден: дали нешто друго ја бара далечната страна?

Ако одговорот е не, инсталирајте го клиентот во гостинот и престанете да проектирате. Ништо во тој избор не бара управувана порта и ништо не го прави VM порта за неговите соседи. Додавате рута во еден оперативен систем.

Ако одговорот е да, или веројатно да во рок од една година, третирајте го сега како мрежен дизајн. Други VM стигнуваат до транзитен VM само кога табелата со рути на подмрежата ги испраќа таму и NIC прима препратен сообраќај, така што работата е табели со рути и дозволи за препраќање, а не уште една инсталација на клиент.

Услов два: можете ли да го задржите административниот пат?

VPN клиент што инсталира широка рута може да го заземе патот по кој го администрирате VM. Ако листата одредишта на тунелот се преклопува со управувачката мрежа, вашата SSH или RDP сесија паѓа во моментот кога клиентот се поврзува, а поправката мора да се примени преку сериската конзола или преку повторна изградба.

Проверете пред и потоа. На Linux ip route get <management-ip> покажува кој интерфејс и извор јадрото би ги користело сега; споредете го тоа со одговорот додека тунелот е активен. Поделен тунел со јасна листа одредишта полесно се брани од стандардна рута и обично е она што на оптоварувањето навистина му треба.

Услов три: кој го крпи на полноќ?

Гостинскиот клиент е вашиот оперативен систем, вашата верзија на клиентот и вашите сертификати. Тоа е во ред кога веќе го водите VM и неговиот циклус на крпење. Тоа е лоша зделка кога VM постои само за да го држи тунелот. Избројте ги часовите на крпење пред да го наречете гостинскиот клиент поевтин. Надградба на клиент што бара рестартирање е прекин што сами сте го закажале за машина што постои за да го одржува тунелот.

Управуваната порта го преместува тоа одржување на платформата. Сè уште ви припаѓаат идентитетот, авторизацијата и мрежните патишта зад неа, но не рестартирате машина за да примените ажурирање на клиент.

Што не прави управуваната порта

Azure VPN Gateway е услуга за поврзување на VNet со сопствени решенија од локација до локација и од точка до точка. Не е правило што забранува VPN софтвер во гостинот и не е директна замена за клиент што ѝ е потребен на една апликација.

Она што го дава е врска на мрежниот слој, достапна за многу оптоварувања преку насочување. Она што не го дава е тунел што го користи само еден процес на еден VM и што е ограничен на идентитетот на тој процес. Тоа ограничување не е недостаток за кој треба да се извинуваме; токму тоа е смислата на гостинскиот клиент. Една апликација, една рута, еден сет акредитиви, без ефект врз другите VM во подмрежата.

Значи споредбата не е управувано наспроти софтвер. Тоа е поврзаност во мрежен обем наспроти поврзаност во обем на процес, а втората е легитимна кога ѝ е потребна само на еден процес.

Планирајте го патот на раст пред да ви треба

Ако барањето порасне од еден VM на подмрежа, изградете го дизајнот повторно наместо да ги шири дозволените префикси на клиентот. Повторното користење на удобна сесија како недокументиран рутер го врзува секој корисник за животот на тој VM, неговите акредитиви и неговиот прозорец за крпење.

Вистинската почетна точка, кога врската е во мрежен, а не во обем на оптоварување, е прегледот на Azure VPN Gateway.

Пред да изберете, напишете три реда: што ја бара далечната страна, кој го администрира VM и кој го крпи тунелот. Ако сите три одговори укажуваат на едно оптоварување, гостинскиот клиент е чесен дизајн. Ако било кој од нив укажува на подмрежа, проектирајте го мрежниот слој сега.