Satu Azure VM perlukan tunnel: klien tetamu atau gateway VPN?

Satu beban kerja dalam satu Azure VM perlu mencapai rangkaian peribadi melalui tunnel. Soalan yang menentukan reka bentuk bukanlah produk VPN mana yang lebih baik, tetapi sama ada mesin lain akan memerlukan laluan itu. Jawab itu dahulu dan selebihnya seni bina biasanya memilih sendiri. Jika silap, anda mewarisi VM yang diam-diam menjadi penghala yang tiada siapa dokumentasikan.

Dua kerja yang kelihatan serupa

VM boleh menjadi titik akhir atau titik transit, dan bezanya bukan perisian yang anda pasang tetapi siapa yang menggunakan tunnel. Sebagai titik akhir, tetamu menjalankan klien untuk prosesnya sendiri. Sebagai titik transit, ia memajukan paket beban kerja lain, yang menjadikannya bahagian topologi rangkaian anda.

Kebanyakan permintaan untuk satu VM ialah tugas pertama yang memakai bahasa tugas kedua. Seseorang berkata “VM itu VPN kami” sedangkan maksudnya satu aplikasi di atasnya perlu mencapai pangkalan data di sebelah sana.

Syarat satu: adakah sesuatu yang lain memerlukan sebelah jauh?

Jika jawapannya tidak, pasang klien dalam tetamu dan berhenti mereka bentuk. Tiada apa dalam pilihan itu memerlukan gateway terurus, dan tiada apa menjadikan VM gateway untuk jirannya. Anda menambah laluan dalam satu sistem pengendalian.

Jika jawapannya ya, atau mungkin ya dalam setahun, anggap ia sebagai reka bentuk rangkaian sekarang. VM lain mencapai VM transit hanya apabila jadual laluan subnet menghantarnya ke sana dan NIC menerima trafik yang dimajukan, jadi kerjanya ialah jadual laluan dan kebenaran pemajuan, bukan pemasangan klien lagi.

Syarat dua: bolehkah anda mengekalkan laluan pentadbiran?

Klien VPN yang memasang laluan luas boleh merampas laluan yang anda gunakan untuk mentadbir VM. Jika senarai destinasi tunnel bertindih dengan rangkaian pengurusan, sesi SSH atau RDP anda terputus pada saat klien menyambung, dan pembaikan mesti dilakukan melalui konsol bersiri atau pembinaan semula.

Semak sebelum dan selepas. Dalam Linux, ip route get <management-ip> menunjukkan antara muka dan sumber yang akan digunakan kernel sekarang; bandingkan dengan jawapannya semasa tunnel aktif. Tunnel berpecah dengan senarai destinasi yang jelas lebih mudah dipertahankan daripada laluan lalai, dan biasanya itulah yang beban kerja benar-benar perlukan.

Syarat tiga: siapa menampalnya pada tengah malam?

Klien tetamu ialah sistem pengendalian anda, versi klien anda dan sijil anda. Itu wajar apabila anda sudah mengendalikan VM dan kitaran tampalnya. Itu pertukaran buruk apabila VM wujud hanya untuk memegang tunnel. Kira jam penampalan sebelum memanggil klien tetamu lebih murah. Peningkatan klien yang memerlukan but semula ialah gangguan yang anda jadualkan untuk mesin yang wujud untuk memastikan tunnel hidup.

Gateway terurus memindahkan penyelenggaraan itu ke platform. Anda masih memiliki identiti, kebenaran dan laluan rangkaian di belakangnya, tetapi anda tidak but semula mesin untuk melaksanakan kemas kini klien.

Apa yang gateway terurus tidak lakukan

Azure VPN Gateway ialah perkhidmatan kesambungan VNet dengan pengaturan tapak-ke-tapak dan titik-ke-titik tersendiri. Ia bukan peraturan yang melarang perisian VPN dalam tetamu, dan bukan pengganti langsung bagi klien yang diperlukan oleh satu aplikasi.

Apa yang diberikannya ialah sambungan pada lapisan rangkaian, yang boleh dicapai banyak beban kerja melalui penghalaan. Apa yang tidak diberikannya ialah tunnel yang hanya digunakan satu proses pada satu VM, dan terhad kepada identiti proses itu. Skop itu bukan kekurangan yang perlu diminta maaf; itulah inti reka bentuk klien tetamu. Satu aplikasi, satu laluan, satu set kelayakan, tiada kesan pada VM lain dalam subnet.

Jadi perbandingannya bukan terurus lawan perisian. Ia kesambungan berskop rangkaian lawan kesambungan berskop proses, dan yang kedua sah apabila hanya satu proses memerlukannya.

Rancang laluan pertumbuhan sebelum anda memerlukannya

Jika keperluan berkembang daripada satu VM kepada satu subnet, bina semula reka bentuk dan bukannya meluaskan awalan yang dibenarkan klien. Menggunakan semula sesi yang mudah sebagai penghala tidak berdokumen mengikat setiap pengguna kepada hayat VM itu, kelayakannya dan tetingkap tampalnya.

Titik permulaan yang betul, apabila sambungan berskop rangkaian dan bukan berskop beban kerja, ialah gambaran keseluruhan Azure VPN Gateway.

Sebelum memilih, tulis tiga baris: apa yang memerlukan sebelah jauh, siapa mentadbir VM, dan siapa menampal tunnel. Jika ketiga-tiga jawapan menunjuk kepada satu beban kerja, klien tetamu ialah reka bentuk yang jujur. Jika mana-mana daripadanya menunjuk kepada subnet, reka lapisan rangkaian sekarang.