Tek bir Azure VM tünele ihtiyaç duyuyor: konuk istemci mi VPN ağ geçidi mi?

Tek bir Azure VM'deki tek iş yükü bir tünel üzerinden özel bir ağa ulaşmalı. Tasarımı belirleyen soru hangi VPN ürününün daha iyi olduğu değil, başka bir makinenin bu yola hiç ihtiyaç duyup duymayacağıdır. Önce buna yanıt verin, mimarinin geri kalanı genellikle kendini seçer. Yanlış yaparsanız, kimsenin belgelemediği bir yönlendiriciye sessizce dönüşmüş bir VM'i devralırsınız.

Birbirine benzeyen iki iş

VM bir uç nokta veya geçiş noktası olabilir; fark kurduğunuz yazılımda değil, tüneli kimin kullandığındadır. Uç nokta olarak konuk kendi süreçleri için bir istemci çalıştırır. Geçiş noktası olarak diğer iş yüklerinin paketlerini iletir ve böylece ağ topolojinizin parçası olur.

Tek bir VM için gelen isteklerin çoğu, ikinci işin dilini giymiş birinci iştir. Biri “VM bizim VPN'imiz” derken aslında üzerindeki bir uygulamanın diğer taraftaki bir veritabanına ulaşması gerektiğini kasteder.

Birinci koşul: başka bir şey uzak tarafa ihtiyaç duyuyor mu?

Yanıt hayırsa istemciyi konuğa kurun ve tasarlamayı bırakın. Bu seçimde hiçbir şey yönetilen ağ geçidini gerektirmez ve hiçbir şey VM'i komşuları için ağ geçidi yapmaz. Tek bir işletim sistemi içine bir rota ekliyorsunuz.

Yanıt evetse ya da bir yıl içinde büyük olasılıkla evetse, bunu artık bir ağ tasarımı olarak ele alın. Diğer VM'ler geçiş VM'ine yalnızca alt ağ rota tablosu onları oraya gönderdiğinde ve NIC iletilen trafiği kabul ettiğinde ulaşır, dolayısıyla iş rota tabloları ve iletim izinleridir, bir istemci kurulumu daha değil.

İkinci koşul: yönetim yolunu koruyabiliyor musunuz?

Geniş bir rota kuran VPN istemcisi, VM'i yönettiğiniz yolu ele geçirebilir. Tünelin hedef listesi yönetim ağıyla çakışırsa, SSH veya RDP oturumunuz istemci bağlandığı anda düşer ve düzeltmenin seri konsol ya da yeniden kurulum üzerinden uygulanması gerekir.

Öncesinde ve sonrasında kontrol edin. Linux'ta ip route get <management-ip> çekirdeğin şu anda hangi arayüzü ve kaynağı kullanacağını gösterir; tünel açıkken verilen yanıtla karşılaştırın. Açık bir hedef listesi olan bölünmüş tünel, varsayılan rotadan savunması daha kolaydır ve genellikle iş yükünün gerçekten ihtiyaç duyduğu şeydir.

Üçüncü koşul: gece yarısı onu kim yamalıyor?

Konuk istemci sizin işletim sisteminiz, istemci sürümünüz ve sertifikalarınızdır. VM'i ve yama döngüsünü zaten işletiyorsanız bu iyidir. VM yalnızca tüneli tutmak için varsa bu kötü bir takastır. Konuk istemciyi daha ucuz saymadan önce yama saatlerini sayın. Yeniden başlatma gerektiren bir istemci yükseltmesi, tüneli ayakta tutmak için var olan bir makine için kendi planladığınız bir kesintidir.

Yönetilen ağ geçidi bu bakımı platforma taşır. Kimlik, yetkilendirme ve arkasındaki ağ yolları hâlâ sizin sorumluluğunuzda, ancak istemci güncellemesini uygulamak için makineyi yeniden başlatmıyorsunuz.

Yönetilen ağ geçidinin yapmadığı şey

Azure VPN Gateway, kendi siteden siteye ve noktadan noktaya düzenlemeleri olan bir VNet bağlantı hizmetidir. Konukta VPN yazılımını yasaklayan bir kural değildir ve tek bir uygulamanın ihtiyaç duyduğu istemcinin doğrudan yerine geçmez.

Sunduğu şey ağ katmanında, birçok iş yükünün yönlendirme yoluyla ulaşabildiği bir bağlantıdır. Sunmadığı şey, tek bir VM'de yalnızca bir sürecin kullandığı ve o sürecin kimliğiyle sınırlı bir tüneldir. Bu sınırlama özür dilenecek bir eksiklik değil; konuk istemci tasarımının anlamı tam da budur. Tek uygulama, tek rota, tek kimlik bilgisi kümesi, alt ağdaki diğer VM'lere hiçbir etkisi yok.

Yani karşılaştırma yönetilen ile yazılım arasında değil. Ağ ölçekli bağlantı ile süreç ölçekli bağlantı arasındadır ve ikincisi yalnızca tek bir süreç ihtiyaç duyduğunda meşrudur.

İhtiyaç duymadan önce büyüme yolunu planlayın

Gereksinim tek bir VM'den bir alt ağa büyürse, istemcinin izin verilen öneklerini genişletmek yerine tasarımı yeniden kurun. Uygun bir oturumu belgelenmemiş bir yönlendirici olarak yeniden kullanmak, her tüketiciyi o VM'in ömrüne, kimlik bilgilerine ve yama penceresine bağlar.

Bağlantı iş yükü değil ağ ölçekli hale geldiğinde doğru başlangıç noktası Azure VPN Gateway'e genel bakış.

Seçmeden önce üç satır yazın: uzak tarafa ne ihtiyaç duyuyor, VM'i kim yönetiyor ve tüneli kim yamalıyor. Üç yanıt da tek bir iş yüküne işaret ediyorsa konuk istemci dürüst tasarımdır. Herhangi biri bir alt ağa işaret ediyorsa ağ katmanını şimdi tasarlayın.