Jedna Azure VM potrebuje tunel: klient v hostovi alebo brána VPN?

Jedna pracovná záťaž v jednej Azure VM sa musí dostať do privátnej siete tunelom. Otázka, ktorá rozhoduje o návrhu, nie je, ktorý produkt VPN je lepší, ale či tú cestu bude niekedy potrebovať aj iný stroj. Odpovedzte na to najskôr a zvyšok architektúry sa zvyčajne vyberie sám. Ak to pokazíte, zdedíte VM, ktorá sa ticho stala routerom, ktorý nikto nezdokumentoval.

Dve práce, ktoré vyzerajú rovnako

VM môže byť koncový bod alebo tranzitný bod a rozdiel nie je v softvéri, ktorý nainštalujete, ale v tom, kto tunel využíva. Ako koncový bod spúšťa hosť klienta pre vlastné procesy. Ako tranzitný bod preposiela pakety iných záťaží, a tým sa stáva súčasťou vašej sieťovej topológie.

Väčšina požiadaviek na jednu VM je prvá práca v jazyku druhej. Niekto povie „VM je náš VPN“, ale myslí tým, že jedna aplikácia na nej potrebuje dosiahnuť databázu na druhej strane.

Podmienka prvá: potrebuje vzdialenú stranu ešte niečo iné?

Ak je odpoveď nie, nainštalujte klienta v hostovi a prestaňte navrhovať. Nič na tejto voľbe nevyžaduje spravovanú bránu a nič z nej nerobí VM bránu pre jej susedov. Pridávate trasu vnútri jedného operačného systému.

Ak je odpoveď áno, alebo pravdepodobne áno do roka, berte to teraz ako sieťový návrh. Iné VM dosiahnu tranzitnú VM len vtedy, keď ich tam pošle smerovacia tabuľka podsiete a NIC prijme preposielanú prevádzku, takže prácou sú smerovacie tabuľky a povolenia na preposielanie, nie ďalšia inštalácia klienta.

Podmienka druhá: udržíte si administračnú cestu?

Klient VPN, ktorý nainštaluje širokú trasu, môže zachytiť cestu, ktorou VM spravujete. Ak sa zoznam cieľov tunela prekrýva s riadiacou sieťou, vaša relácia SSH alebo RDP spadne v momente, keď sa klient pripojí, a oprava sa musí vykonať cez sériovú konzolu alebo nové postavenie.

Skontrolujte pred a po. V Linuxe ip route get <management-ip> ukáže, ktoré rozhranie a zdroj by jadro práve teraz použilo; porovnajte to s odpoveďou, kým je tunel aktívny. Rozdelený tunel s explicitným zoznamom cieľov sa obhajuje ľahšie než predvolená trasa a zvyčajne je to to, čo záťaž naozaj potrebuje.

Podmienka tretia: kto to záplatuje o polnoci?

Klient v hostovi znamená váš operačný systém, vašu verziu klienta a vaše certifikáty. To je v poriadku, keď VM aj jej cyklus záplat už prevádzkujete. Je to zlý obchod, keď VM existuje len preto, aby držala tunel. Spočítajte hodiny záplat, kým klienta v hostovi označíte za lacnejšieho. Upgrade klienta, ktorý vyžaduje reštart, je výpadok, ktorý ste naplánovali stroju, ktorý existuje preto, aby tunel bežal.

Spravovaná brána presúva túto údržbu na platformu. Identitu, autorizáciu aj sieťové cesty za ňou máte stále na starosti, ale nereštartujete stroj kvôli aktualizácii klienta.

Čo spravovaná brána nerobí

Azure VPN Gateway je služba konektivity VNet s vlastnými usporiadaniami site-to-site a point-to-site. Nie je to pravidlo, ktoré zakazuje VPN softvér v hostovi, a nie je to priama náhrada klienta, ktorý jednej aplikácii chýba.

Dáva vám pripojenie na sieťovej vrstve, dostupné mnohým záťažiam cez smerovanie. Nedáva vám tunel, ktorý používa len jeden proces na jednej VM a ktorý je obmedzený na identitu toho procesu. To obmedzenie nie je chyba, za ktorú sa treba ospravedlňovať; práve to je zmyslom návrhu s klientom v hostovi. Jedna aplikácia, jedna trasa, jedna sada prihlasovacích údajov, žiadny vplyv na ostatné VM v podsieti.

Porovnanie teda nie je spravované proti softvéru. Je to konektivita v rozsahu siete proti konektivite v rozsahu procesu, a druhá je legitímna, keď ju potrebuje len jeden proces.

Naplánujte cestu rastu, kým ju budete potrebovať

Ak požiadavka narastie z jednej VM na podsieť, prestavte návrh, namiesto toho aby ste rozširovali povolené prefixy klienta. Opätovné použitie pohodlnej relácie ako nezdokumentovaného routera viaže každého používateľa na životnosť tej VM, jej prihlasovacie údaje a jej okno záplat.

Správnym východiskovým bodom, keď je spojenie v rozsahu siete a nie záťaže, je prehľad Azure VPN Gateway.

Skôr než si vyberiete, napíšte tri riadky: čo potrebuje vzdialenú stranu, kto spravuje VM a kto záplatuje tunel. Ak všetky tri odpovede ukazujú na jednu záťaž, klient v hostovi je poctivý návrh. Ak ktorákoľvek z nich ukazuje na podsieť, navrhnite sieťovú vrstvu hneď.