Én Azure VM trenger tunnelen: gjesteklient eller VPN-gateway?
Tre betingelser avgjør om én enkelt Azure VM skal kjøre sin egen VPN-klient, eller om forbindelsen heller hører til på nettverkslaget.
Én arbeidsbelastning i én Azure VM må nå et privat nettverk gjennom en tunnel. Spørsmålet som avgjør designet, er ikke hvilket VPN-produkt som er best, men om noen annen maskin noen gang vil trenge den veien. Svar på det først, og resten av arkitekturen velger seg vanligvis selv. Går det galt, arver du en VM som stille ble en ruter ingen dokumenterte.
To jobber som ser like ut
En VM kan være et endepunkt eller et transitpunkt, og forskjellen er ikke programvaren du installerer, men hvem som bruker tunnelen. Som endepunkt kjører gjesten en klient for sine egne prosesser. Som transitpunkt videresender den pakker fra andre arbeidsbelastninger, noe som gjør den til en del av nettverkstopologien din.
| Jobb | Hva VM-en gjør | Hvem eier rutingen |
|---|---|---|
| Endepunkt for arbeidsbelastning | Kjører en støttet klient for sine egne prosesser | Gjestens ruter velger de godkjente destinasjonene |
| Transittapparat | Videresender andre arbeidsbelastninger til nettstedsforbindelsen | Rutetabeller for subnett, NIC-videresending, gjestepolicy og returveier |
De fleste forespørsler om én enkelt VM er den første jobben i den andres språk. Noen sier «VM-en er VPN-en vår» når de mener at én applikasjon på den må nå en database på den andre siden.
Betingelse én: trenger noe annet den fjerne siden?
Er svaret nei, installer klienten i gjesten og slutt å designe. Ingenting ved det valget krever den administrerte gatewayen, og ingenting ved det gjør VM-en til en gateway for naboene sine. Du legger til en rute inne i ett operativsystem.
Er svaret ja, eller sannsynligvis ja innen et år, behandl det som et nettverksdesign nå. Andre VM-er når bare en transitt-VM når subnettets rutetabell sender dem dit og NIC-en godtar videresendt trafikk, så arbeidet er rutetabeller og videresendingstillatelser, ikke nok en klientinstallasjon.
Betingelse to: kan du beholde administrasjonsveien?
En VPN-klient som installerer en bred rute, kan fange veien du bruker til å administrere VM-en. Hvis tunnelens destinasjonsliste overlapper administrasjonsnettet, faller SSH- eller RDP-økten din i det øyeblikket klienten kobler til, og rettelsen må brukes via seriekonsollen eller en gjenoppbygging.
Kontroller før og etter. På Linux viser ip route get <management-ip> hvilket grensesnitt og hvilken kilde kjernen ville brukt akkurat nå; sammenlign det med svaret mens tunnelen er oppe. En delt tunnel med en eksplisitt destinasjonsliste er lettere å forsvare enn en standardrute, og det er vanligvis det arbeidsbelastningen faktisk trenger.
Betingelse tre: hvem patcher den ved midnatt?
En gjesteklient er operativsystemet ditt, klientversjonen din og sertifikatene dine. Det er greit når du allerede drifter VM-en og patch-syklusen dens. Det er en dårlig handel når VM-en bare finnes for å holde tunnelen. Tell patch-timene før du kaller gjesteklienten billigere. En klientoppgradering som krever omstart, er et avbrudd du selv har planlagt for en maskin som finnes for å holde tunnelen oppe.
Den administrerte gatewayen flytter det vedlikeholdet til plattformen. Du eier fortsatt identitet, autorisasjon og nettverksveiene bak den, men du starter ikke om en maskin for å bruke en klientoppdatering.
Hva den administrerte gatewayen ikke gjør
Azure VPN Gateway er en VNet-tilkoblingstjeneste med egne nettsted-til-nettsted- og punkt-til-punkt-ordninger. Den er ikke en regel som forbyr VPN-programvare i gjesten, og den er ikke en direkte erstatning for en klient som én applikasjon trenger.
Det den gir, er en forbindelse på nettverkslaget, nåbar for mange arbeidsbelastninger gjennom ruting. Det den ikke gir, er en tunnel som bare én prosess på én VM bruker, avgrenset til den prosessens identitet. Den avgrensningen er ikke en begrensning man må be om unnskyldning for; det er nettopp poenget med gjesteklientdesignet. Én applikasjon, én rute, ett sett legitimasjon, ingen effekt på de andre VM-ene i subnettet.
Sammenligningen er altså ikke administrert mot programvare. Det er nettverksavgrenset tilkobling mot prosessavgrenset tilkobling, og den andre er legitim når bare én prosess trenger den.
Planlegg vekstveien før du trenger den
Hvis kravet vokser fra én VM til et subnett, bygg designet på nytt i stedet for å utvide klientens tillatte prefikser. Gjenbruk av en praktisk økt som en udokumentert ruter binder hver bruker til den VM-ens levetid, legitimasjonen og patch-vinduet.
Det riktige utgangspunktet, når forbindelsen er nettverksavgrenset snarere enn arbeidsbelastningsavgrenset, er oversikten over Azure VPN Gateway.
Skriv tre linjer før du velger: hva trenger den fjerne siden, hvem administrerer VM-en, og hvem patcher tunnelen. Hvis alle tre svarene peker på én arbeidsbelastning, er en gjesteklient det ærlige designet. Hvis noen av dem peker på et subnett, design nettverkslaget nå.