Një Azure VM ka nevojë për tunelin: klient mysafir apo gateway VPN?

Një ngarkesë pune në një Azure VM duhet të arrijë një rrjet privat përmes një tuneli. Pyetja që vendos dizajnin nuk është cili produkt VPN është më i mirë, por nëse ndonjë makinë tjetër do të ketë ndonjëherë nevojë për atë rrugë. Përgjigjuni asaj së pari dhe pjesa tjetër e arkitekturës zakonisht zgjedh vetë. Nëse gaboni, trashëgoni një VM që u bë në heshtje një ruter që askush nuk e dokumentoi.

Dy punë që duken njësoj

Një VM mund të jetë pikë fundore ose pikë tranziti, dhe ndryshimi nuk është softueri që instaloni por kush e konsumon tunelin. Si pikë fundore, mysafiri ekzekuton një klient për proceset e veta. Si pikë tranziti, ai përcjell paketat e ngarkesave të tjera, gjë që e bën pjesë të topologjisë së rrjetit tuaj.

Shumica e kërkesave për një VM janë puna e parë e veshur me gjuhën e së dytës. Dikush thotë «VM është VPN-i ynë» kur do të thotë se një aplikacion mbi të duhet të arrijë një bazë të dhënash në anën tjetër.

Kushti një: a ka nevojë diçka tjetër për anën e largët?

Nëse përgjigjja është jo, instaloni klientin në mysafir dhe ndaloni së projektuari. Asgjë në atë zgjedhje nuk kërkon gateway-in e menaxhuar, dhe asgjë në të nuk e bën VM-në gateway për fqinjët e saj. Po shtoni një rrugë brenda një sistemi operativ.

Nëse përgjigjja është po, ose ndoshta po brenda një viti, trajtojeni tani si dizajn rrjeti. VM-të e tjera arrijnë një VM tranziti vetëm kur tabela e rrugëve të nënrrjetit i dërgon atje dhe NIC pranon trafikun e përcjellë, prandaj puna është tabelat e rrugëve dhe lejet e përcjelljes, jo një instalim tjetër klienti.

Kushti dy: a mund ta mbani rrugën e administrimit?

Një klient VPN që instalon një rrugë të gjerë mund të kapë rrugën me të cilën administroni VM-në. Nëse lista e destinacioneve e tunelit mbivendoset me rrjetin e menaxhimit, sesioni juaj SSH ose RDP bie në momentin që klienti lidhet, dhe rregullimi duhet të aplikohet përmes konsolës serike ose një rindërtimi.

Kontrolloni para dhe pas. Në Linux, ip route get <management-ip> tregon cilën ndërfaqe dhe burim do të përdorte kerneli tani; krahasoni atë me përgjigjjen ndërsa tuneli është aktiv. Një tunel i ndarë me një listë eksplicite destinacionesh është më i lehtë për t'u mbrojtur sesa një rrugë e paracaktuar, dhe zakonisht është ajo që ngarkesa e punës ka vërtet nevojë.

Kushti tre: kush e rregullon në mesnatë?

Klienti mysafir është sistemi juaj operativ, versioni i klientit tuaj dhe certifikatat tuaja. Kjo është në rregull kur ju tashmë e drejtoni VM-në dhe ciklin e saj të rregullimeve. Është një shkëmbim i keq kur VM ekziston vetëm për të mbajtur tunelin. Numëroni orët e rregullimeve përpara se ta quani klientin mysafir më të lirë. Një përditësim klienti që kërkon rindezje është një ndërprerje që ju e planifikuat për një makinë që ekziston për ta mbajtur tunelin gjallë.

Gateway-i i menaxhuar e zhvendos atë mirëmbajtje në platformë. Ju ende zotëroni identitetin, autorizimin dhe rrugët e rrjetit pas tij, por nuk rindizni një makinë për të aplikuar një përditësim klienti.

Çfarë nuk bën gateway-i i menaxhuar

Azure VPN Gateway është një shërbim lidhshmërie VNet me marrëveshjet e veta faqe-në-faqe dhe pikë-në-pikë. Nuk është rregull që ndalon softuerin VPN në mysafir dhe nuk është zëvendësues i drejtpërdrejtë për një klient që i nevojitet një aplikacioni.

Ajo që ofron është një lidhje në shtresën e rrjetit, e arritshme nga shumë ngarkesa përmes rrugëtimit. Ajo që nuk ofron është një tunel që përdoret vetëm nga një proces në një VM, i kufizuar në identitetin e atij procesi. Ky kufizim nuk është mangësi për të cilën duhet kërkuar ndjesë; pikërisht ky është qëllimi i dizajnit me klient mysafir. Një aplikacion, një rrugë, një grup kredencialesh, pa efekt në VM-të e tjera në nënrrjet.

Prandaj krahasimi nuk është i menaxhuar kundrejt softueri. Është lidhshmëri në shkallë rrjeti kundrejt lidhshmërie në shkallë procesi, dhe e dyta është legitime kur vetëm një proces ka nevojë për të.

Planifikoni rrugën e rritjes përpara se t'ju duhet

Nëse kërkesa rritet nga një VM në një nënrrjet, rindërtoni dizajnin në vend që të zgjerojnë prefikset e lejuara të klientit. Ripërdorimi i një sesioni të përshtatshëm si ruter i padokumentuar lidh çdo konsumator me jetëgjatësinë e asaj VM, kredencialet e saj dhe dritaren e rregullimeve të saj.

Pika e nisjes e saktë, kur lidhja është në shkallë rrjeti dhe jo ngarkese, është përmbledhja e Azure VPN Gateway.

Përpara se të zgjidhni, shkruani tre rreshta: çfarë ka nevojë për anën e largët, kush e administron VM-në dhe kush i bën rregullimet tunelit. Nëse të tre përgjigjjet tregojnë një ngarkesë të vetme, një klient mysafir është dizajni i ndershëm. Nëse ndonjëra prej tyre tregon një nënrrjet, projektoni shtresën e rrjetit tani.