Један Azure VM треба тунел: клијент у госту или VPN гејтвеј?

Једно радно оптерећење у једном Azure VM мора доћи до приватне мреже кроз тунел. Питање које одлучује о дизајну није који је VPN производ бољи, него хоће ли икада некој другој машини требати тај пут. Одговорите прво на то и остатак архитектуре се обично сам изабере. Погрешите ли, наследићете VM која је тихо постала рутер који нико није документовао.

Два посла која изгледају исто

VM може бити крајња тачка или транзитна тачка, а разлика није у софтверу који инсталирате него у томе ко користи тунел. Као крајња тачка, гост покреће клијент за сопствене процесе. Као транзитна тачка, прослеђује пакете других радних оптерећења, што га чини делом ваше мрежне топологије.

Већина захтева за један VM је први посао у језику другог. Неко каже „VM је наш VPN“, а мисли да једна апликација на њему мора доћи до базе података на другој страни.

Услов први: треба ли још нечему друга страна?

Ако је одговор не, инсталирајте клијент у госта и престаните да пројектујете. Ништа у том избору не захтева управљани гејтвеј и ништа га не чини гејтвејем за његове суседе. Додајете руту унутар једног оперативног система.

Ако је одговор да, или вероватно да у року од године, третирајте то сада као мрежни дизајн. Други VM-ови долазе до транзитног VM-а само када их табела рута подмреже пошаље тамо и NIC прихвати прослеђени саобраћај, па је посао табеле рута и дозволе за прослеђивање, а не још једна инсталација клијента.

Услов други: можете ли да задржите административни пут?

VPN клијент који инсталира широку руту може преузети пут којим администрирате VM. Ако се листа дестинација тунела преклапа са управљачком мрежом, ваша SSH или RDP сесија пада у тренутку када се клијент повеже, а исправка мора да се примени преко серијске конзоле или поновне изградње.

Проверите пре и после. На Linux-у ip route get <management-ip> показује који би интерфејс и извор кернел сада користио; упоредите то са одговором док је тунел активан. Подељени тунел са експлицитном листом дестинација лакше је бранити од подразумеване руте и обично је оно што оптерећењу заиста треба.

Услов трећи: ко га крпи у поноћ?

Клијент у госту је ваш оперативни систем, ваша верзија клијента и ваши сертификати. То је у реду када већ управљате VM-ом и његовим циклусом крпења. То је лоша трговина када VM постоји само да држи тунел. Пребројте сате крпења пре него што клијент у госту прогласите јефтинијим. Надоградња клијента која захтева рестарт је прекид који сте заказали за машину која постоји да би тунел остао активан.

Управљани гејтвеј премешта то одржавање на платформу. И даље поседујете идентитет, ауторизацију и мрежне путеве иза њега, али не рестартујете машину да бисте применили ажурирање клијента.

Шта управљани гејтвеј не ради

Azure VPN Gateway је услуга повезивања VNet-а са сопственим аранжманима локација-локација и тачка-локација. То није правило које забрањује VPN софтвер у госту и није директна замена за клијент који једној апликацији треба.

Оно што даје јесте веза на мрежном слоју, доступна многим оптерећењима кроз рутирање. Оно што не даје јесте тунел који користи само један процес на једном VM-у и који је ограничен на идентитет тог процеса. То ограничење није недостатак због којег треба да се извињавамо; управо је то смисао дизајна са клијентом у госту. Једна апликација, једна рута, један сет акредитива, без утицаја на друге VM-ове у подмрежи.

Дакле, поређење није управљано против софтвера. То је повезаност у обиму мреже против повезаности у обиму процеса, а друга је легитимна када је треба само један процес.

Испланирајте пут раста пре него што вам затреба

Ако захтев нарасте са једног VM-а на подмрежу, поново изградите дизајн уместо да шириrте дозвољене префиксе клијента. Поновно коришћење згодне сесије као недокументованог рутера везује сваког корисника за животни век тог VM-а, његове акредитиве и његов прозор крпења.

Исправна почетна тачка, када веза постане мрежног а не оптерећењског обима, јесте преглед Azure VPN Gateway.

Пре него што изаберете, напишите три реда: шта треба другу страну, ко администрира VM и ко крпи тунел. Ако сва три одговора показују на једно оптерећење, клијент у госту је искрен дизајн. Ако било који од њих показује на подмрежу, пројектујте мрежни слој сада.