En Azure VM potrebuje tunel: gostiteljev odjemalec ali prehod VPN?
Trije pogoji odločajo, ali naj en Azure VM izvaja lastnega odjemalca VPN ali povezava sodi raje v omrežno plast.
Ena delovna obremenitev v enem Azure VM mora skozi tunel doseči zasebno omrežje. Vprašanje, ki odloča o zasnovi, ni, kateri izdelek VPN je boljši, ampak ali bo to pot kdaj potreboval še kak drug stroj. Najprej odgovorite na to in preostanek arhitekture se običajno izbere sam. Če se zmotite, podedujete VM, ki je tiho postala usmerjevalnik, ki ga ni nihče dokumentiral.
Dve opravili, ki sta si podobni
VM je lahko končna točka ali tranzitna točka, razlika pa ni v programski opremi, ki jo namestite, ampak v tem, kdo uporablja tunel. Kot končna točka gost požene odjemalca za svoje procese. Kot tranzitna točka posreduje pakete drugih obremenitev, zato postane del vaše omrežne topologije.
| Opravilo | Kaj naredi VM | Kdo ima usmerjanje |
|---|---|---|
| Končna točka obremenitve | Požene podprtega odjemalca za svoje procese | Gostiteljeve poti izberejo odobrene cilje |
| Tranzitna naprava | Posreduje druge obremenitve v povezavo s spletom | Tabele poti podomrežja, posredovanje NIC, pravila gosta in povratne poti |
Večina zahtev za en VM je prvo opravilo v jeziku drugega. Nekdo reče »VM je naš VPN«, ko misli, da mora ena aplikacija na njej doseči bazo podatkov na drugi strani.
Pogoj prvi: ali še kaj potrebuje oddaljeno stran?
Če je odgovor ne, namestite odjemalca v gosta in prenehajte načrtovati. Nič pri tej izbiri ne zahteva upravljanega prehoda in nič je ne naredi prehoda za sosede. Dodajate pot znotraj enega operacijskega sistema.
Če je odgovor da ali verjetno da v enem letu, to zdaj obravnavajte kot omrežno zasnovo. Druge VM dosežejo tranzitno VM le, ko jih tabela poti podomrežja pošlje tja in NIC sprejme posredovani promet, zato je delo tabele poti in dovoljenja za posredovanje, ne še ena namestitev odjemalca.
Pogoj drugi: ali lahko obdržite pot upravljanja?
Odjemalec VPN, ki namesti široko pot, lahko prevzame pot, po kateri upravljate VM. Če se seznam ciljev tunela prekriva z omrežjem upravljanja, vaša seja SSH ali RDP pade v trenutku, ko se odjemalec poveže, popravek pa je treba uporabiti prek serijske konzole ali ponovne gradnje.
Preverite pred in po. V Linuxu ip route get <management-ip> pokaže, kateri vmesnik in vir bi jedro uporabilo zdaj; primerjajte to z odgovorom, ko je tunel aktiven. Razdeljen tunel z izrecnim seznamom ciljev je lažje braniti kot privzeto pot, in običajno je to tisto, kar obremenitev v resnici potrebuje.
Pogoj tretji: kdo ga krpa ob polnoči?
Gostiteljev odjemalec je vaš operacijski sistem, vaša različica odjemalca in vaša potrdila. To je v redu, ko VM in njen cikel krpanja že upravljate. To je slaba menjava, ko VM obstaja samo zato, da drži tunel. Preštejte ure krpanja, preden odjemalca v gostu razglasite za cenejšega. Nadgradnja odjemalca, ki zahteva ponovni zagon, je prekinitev, ki ste jo sami predvideli za stroj, ki obstaja zato, da tunel ostane pokonci.
Upravljani prehod to vzdrževanje prenese na platformo. Identiteta, avtorizacija in omrežne poti za njim so še vedno vaše, vendar stroja ne zaženete znova zaradi posodobitve odjemalca.
Česa upravljani prehod ne naredi
Azure VPN Gateway je storitev povezljivosti VNet z lastnimi ureditvami od mesta do mesta in od točke do točke. Ni pravilo, ki bi prepovedovalo programsko opremo VPN v gostu, in ni neposreden nadomestek za odjemalca, ki ga potrebuje ena aplikacija.
Kar ponuja, je povezava na omrežni plasti, dosegljiva številnim obremenitvam prek usmerjanja. Česar ne ponuja, je tunel, ki ga uporablja le en proces na enem VM in je omejen na identiteto tega procesa. Ta omejitev ni pomanjkljivost, za katero bi se bilo treba opravičevati; prav to je smisel zasnove z odjemalcem v gostu. Ena aplikacija, ena pot, en nabor poverilnic, brez vpliva na druge VM v podomrežju.
Primerjava torej ni upravljano proti programski opremi. To je povezljivost v obsegu omrežja proti povezljivosti v obsegu procesa, druga pa je legitimna, ko jo potrebuje le en proces.
Načrtujte pot rasti, preden jo boste potrebovali
Če zahteva zraste z enega VM na podomrežje, zasnovo zgradite znova, namesto da bi širili dovoljene predpone odjemalca. Ponovna uporaba priročne seje kot nedokumentiranega usmerjevalnika veže vsakega uporabnika na življenjsko dobo tega VM, njegove poverilnice in njegovo okno krpanja.
Pravo izhodišče, ko je povezava v obsegu omrežja in ne obremenitve, je pregled Azure VPN Gateway.
Preden izberete, napišite tri vrstice: kaj potrebuje oddaljeno stran, kdo upravlja VM in kdo krpa tunel. Če vsi trije odgovori kažejo na eno obremenitev, je gostiteljev odjemalec poštena zasnova. Če kateri od njih kaže na podomrežje, zdaj zasnujte omrežno plast.