एका Azure VM ला टनेल हवा: गेस्ट क्लायंट की VPN गेटवे?

एका Azure VM मधील एका वर्कलोडला टनेलमार्फत खाजगी नेटवर्कपर्यंत पोहोचायचे आहे. रचना ठरवणारा प्रश्न कोणते VPN उत्पादन चांगले आहे हा नाही; तर दुसऱ्या कोणत्या मशीनला कधी तो मार्ग लागेल का हा आहे. आधी त्याचे उत्तर द्या आणि उर्वरित आर्किटेक्चर सहसा स्वतःच निवडले जाते. चूक झाल्यास, कोणीही दस्तऐवजीकरण न केलेला राउटर गुपचूप बनलेला VM तुम्हाला वारसा म्हणून मिळतो.

सारखी दिसणारी दोन कामे

VM एंडपॉइंट किंवा ट्रान्झिट पॉइंट असू शकते, आणि फरक तुम्ही इन्स्टॉल करता त्या सॉफ्टवेअरमध्ये नाही, तर टनेल कोण वापरते यात आहे. एंडपॉइंट म्हणून गेस्ट स्वतःच्या प्रक्रियांसाठी क्लायंट चालवतो. ट्रान्झिट पॉइंट म्हणून तो इतर वर्कलोडचे पॅकेट पुढे पाठवतो, त्यामुळे तो तुमच्या नेटवर्क टोपोलॉजीचा भाग होतो.

एका VM च्या बहुतेक विनंत्या दुसऱ्या कामाची भाषा परिधान केलेले पहिले काम असतात. कोणी म्हणतो “VM हा आमचा VPN आहे” पण त्याचा अर्थ त्यावरील एका अनुप्रयोगाला पलीकडच्या बाजूच्या डेटाबेसपर्यंत पोहोचायचे आहे.

अट एक: पलीकडची बाजू दुसऱ्या कशाला हवी आहे?

उत्तर नाही असेल तर गेस्टमध्ये क्लायंट इन्स्टॉल करा आणि रचना करणे थांबवा. त्या निवडीत काहीही व्यवस्थापित गेटवेची मागणी करत नाही, आणि त्यातून काहीही VM ला त्याच्या शेजाऱ्यांसाठी गेटवे बनवत नाही. तुम्ही एका ऑपरेटिंग सिस्टममध्ये मार्ग जोडत आहात.

उत्तर होय असेल, किंवा वर्षभरात बहुधा होय असेल, तर आता त्याकडे नेटवर्क रचना म्हणून पाहा. इतर VM ट्रान्झिट VM पर्यंत तेव्हाच पोहोचतात जेव्हा सबनेट रूट तक्ता त्यांना तिथे पाठवतो आणि NIC फॉरवर्ड केलेली वाहतूक स्वीकारते, म्हणून काम रूट तक्ते आणि फॉरवर्डिंग परवानग्या, अजून क्लायंट इन्स्टॉल नाही.

अट दोन: तुम्ही प्रशासनाचा मार्ग टिकवू शकता का?

रुंद मार्ग इन्स्टॉल करणारा VPN क्लायंट VM चे व्यवस्थापन करण्यासाठी वापरला जाणारा मार्ग पकडू शकतो. टनेलची गंतव्य यादी व्यवस्थापन नेटवर्कशी ओव्हरलॅप झाली, तर क्लायंट जोडल्या क्षणी तुमचे SSH किंवा RDP सत्र तुटते, आणि दुरुस्ती सीरियल कन्सोल किंवा पुनर्बांधणीद्वारे करावी लागते.

आधी आणि नंतर तपासा. Linux मध्ये ip route get <management-ip> कर्नेल आता कोणते इंटरफेस आणि स्रोत वापरेल ते दाखवते; टनेल सुरू असतानाच्या उत्तराशी त्याची तुलना करा. स्पष्ट गंतव्य यादीसह विभाजित टनेल डीफॉल्ट मार्गापेक्षा समर्थनास सोपे असते, आणि सहसा वर्कलोडला खरोखर तेच हवे असते.

अट तीन: मध्यरात्री कोण त्याला पॅच करते?

गेस्ट क्लायंट म्हणजे तुमची ऑपरेटिंग सिस्टम, तुमची क्लायंट आवृत्ती आणि तुमची प्रमाणपत्रे. तुम्ही आधीच VM आणि त्याचे पॅच चक्र चालवत असाल तर ते ठीक आहे. VM फक्त टनेल टिकवण्यासाठी असेल तर तो वाईट सौदा आहे. गेस्ट क्लायंटला स्वस्त म्हणण्यापूर्वी पॅचचे तास मोजा. रीबूट लागणारे क्लायंट अपग्रेड म्हणजे टनेल सुरू ठेवण्यासाठी अस्तित्वात असलेल्या मशीनसाठी तुम्हीच ठरवलेला खंड.

व्यवस्थापित गेटवे ती देखभाल प्लॅटफॉर्मवर हलवते. ओळख, अधिकृतता आणि त्यामागील नेटवर्क मार्ग अजूनही तुमचेच आहेत, पण क्लायंट अद्यतन लागू करण्यासाठी तुम्ही मशीन रीबूट करत नाही.

व्यवस्थापित गेटवे काय करत नाही

Azure VPN Gateway ही VNet कनेक्टिव्हिटी सेवा आहे, जिची स्वतःची साइट-ते-साइट आणि पॉइंट-ते-साइट व्यवस्था आहे. तो गेस्टमधील VPN सॉफ्टवेअरला बंदी घालणारा नियम नाही, आणि एका अनुप्रयोगाला आवश्यक असलेल्या क्लायंटचा थेट पर्याय नाही.

तो नेटवर्क स्तरावर कनेक्शन देतो, जिथे अनेक वर्कलोड राउटिंगमार्फत पोहोचू शकतात. तो असे टनेल देत नाही जे एका VM वरील एकाच प्रक्रियेने वापरले जाते आणि त्या प्रक्रियेच्या ओळखीपर्यंत मर्यादित असते. ही मर्यादा माफी मागण्यासारखी उणीव नाही; तोच गेस्ट-क्लायंट रचनेचा हेतू आहे. एक अनुप्रयोग, एक मार्ग, एक क्रेडेन्शियल संच, सबनेटमधील इतर VM वर कोणताही परिणाम नाही.

म्हणून तुलना व्यवस्थापित विरुद्ध सॉफ्टवेअर नाही. ती नेटवर्क-व्याप्तीची कनेक्टिव्हिटी विरुद्ध प्रक्रिया-व्याप्तीची कनेक्टिव्हिटी आहे, आणि दुसरी तेव्हा योग्य आहे जेव्हा ती एकाच प्रक्रियेला हवी असते.

गरज पडण्यापूर्वी वाढीचा मार्ग नियोजित करा

गरज एका VM वरून सबनेटपर्यंत वाढली तर क्लायंटचे मंजूर प्रीफिक्स रुंदावण्याऐवजी रचना पुन्हा बांधा. सोयीचे सत्र अदस्तऐवजी राउटर म्हणून पुनर्वापर केल्यास प्रत्येक वापरकर्ता त्या VM चे आयुष्य, त्याची क्रेडेन्शियल्स आणि त्याची पॅच विंडो यांना बांधला जातो.

कनेक्शन वर्कलोड-व्याप्तीऐवजी नेटवर्क-व्याप्तीचे झाल्यावर योग्य प्रारंभबिंदू Azure VPN Gateway चा आढावा आहे.

निवडण्यापूर्वी तीन ओळी लिहा: पलीकडची बाजू कशाला हवी, VM कोण व्यवस्थापित करते, आणि टनेल कोण पॅच करते. तिन्ही उत्तरे एकाच वर्कलोडकडे निर्देश करत असतील तर गेस्ट क्लायंट ही प्रामाणिक रचना आहे. त्यातील कोणतेही सबनेटकडे निर्देश करत असेल तर आता नेटवर्क स्तराची रचना करा.