Bitta Azure VM ga tunnel kerak: mehmon klienti yoki VPN shlyuzi?
Uch shart bitta Azure VM o'z VPN klientini ishga tushirishi kerakmi yoki ulanish tarmoq qatlamiga tegishlimi — shuni belgilaydi.
Bitta Azure VM dagi bitta ish yuki tunnel orqali xususiy tarmoqqa yetib borishi kerak. Dizaynni hal qiladigan savol qaysi VPN mahsuloti yaxshiroq degani emas, balki boshqa mashinaga bu yo'l qachondir kerak bo'ladimi degani. Avval shunga javob bering va arxitekturaning qolgani odatda o'zi tanlanadi. Xato qilsangiz, hech kim hujjatlashtirmagan routerga jimgina aylangan VM ni meros qilib olasiz.
Bir xil ko'rinadigan ikki ish
VM oxirgi nuqta yoki tranzit nuqtasi bo'lishi mumkin, farq o'rnatadigan dasturiy ta'minotda emas, tunneldan kim foydalanishida. Oxirgi nuqta sifatida mehmon o'z jarayonlari uchun klient ishga tushiradi. Tranzit nuqtasi sifatida u boshqa ish yuklarining paketlarini uzatadi, shu bilan tarmoq topologiyangizning bir qismiga aylanadi.
| Vazifa | VM nima qiladi | Marshrutlash kimniki |
|---|---|---|
| Ish yukining oxirgi nuqtasi | O'z jarayonlari uchun qo'llab-quvvatlanadigan klient ishga tushiradi | Mehmon marshrutlari tasdiqlangan manzillarni tanlaydi |
| Tranzit qurilmasi | Boshqa ish yuklarini sayt ulanishiga uzatadi | Ichki tarmoq marshrut jadvallari, NIC uzatish, mehmon siyosati va qaytish yo'llari |
Bitta VM bo'yicha so'rovlarning ko'pi ikkinchi ishning tilini kiygan birinchi ish. Kimdir «VM bizning VPN» deydi, lekin aslida undagi bitta ilova narigi tomondagi ma'lumotlar bazasiga yetishi kerakligini nazarda tutadi.
Birinchi shart: narigi tomon boshqa narsaga kerakmi?
Agar javob yo'q bo'lsa, klientni mehmonga o'rnating va dizayn qilishni to'xtating. Bu tanlovda boshqariladigan shlyuzni talab qiladigan hech narsa yo'q va VM ni qo'shnilari uchun shlyuzga aylantiradigan ham hech narsa yo'q. Siz bitta operatsion tizim ichiga marshrut qo'shyapsiz.
Agar javob ha bo'lsa yoki bir yil ichida ehtimol ha bo'lsa, buni hoziroq tarmoq dizayni sifatida qabul qiling. Boshqa VM lar tranzit VM ga faqat ichki tarmoq marshrut jadvali ularni u yerga yuborganda va NIC uzatilgan trafikni qabul qilganda yetib boradi, shuning uchun ish marshrut jadvallari va uzatish ruxsatlari, yana bitta klient o'rnatish emas.
Ikkinchi shart: boshqaruv yo'lini saqlab qola olasizmi?
Keng marshrut o'rnatadigan VPN klienti VM ni boshqaradigan yo'lni egallab olishi mumkin. Tunnel manzillari ro'yxati boshqaruv tarmog'i bilan ustma-ust tushsa, klient ulangan lahzada SSH yoki RDP sessiyangiz uziladi, tuzatishni esa ketma-ket konsol yoki qayta qurish orqali kiritishga to'g'ri keladi.
Oldin va keyin tekshiring. Linux da ip route get <management-ip> yadro hozir qaysi interfeys va manbadan foydalanishini ko'rsatadi; tunnel ishlab turgandagi javob bilan solishtiring. Aniq manzillar ro'yxatiga ega bo'lingan tunnel standart marshrutdan himoya qilish osonroq va odatda ish yukiga haqiqatan kerak bo'lgan narsa shu.
Uchinchi shart: yarim kechada uni kim yamaydi?
Mehmon klienti bu sizning operatsion tizimingiz, klient versiyangiz va sertifikatlaringiz. VM va uning yamaq siklini allaqachon boshqarsangiz, bu yaxshi. VM faqat tunnelni ushlab turish uchun mavjud bo'lsa, bu yomon almashuv. Mehmon klientini arzonroq deb atashdan oldin yamaq soatlarini sanang. Qayta ishga tushirishni talab qiladigan klient yangilanishi tunnelni ishlab turish uchun mavjud mashinaga o'zingiz rejalashtirgan uzilishdir.
Boshqariladigan shlyuz bu xizmatni platformaga ko'chiradi. Identifikatsiya, avtorizatsiya va uning orqasidagi tarmoq yo'llari hali ham sizniki, lekin klient yangilanishini qo'llash uchun mashinani qayta ishga tushirmaysiz.
Boshqariladigan shlyuz nima qilmaydi
Azure VPN Gateway — o'zining sayt-sayt va nuqta-sayt sozlamalariga ega VNet ulanish xizmati. U mehmonda VPN dasturiy ta'minotini taqiqlovchi qoida emas va bitta ilovaga kerak bo'lgan klientning bevosita o'rnini bosuvchi ham emas.
U beradigan narsa — tarmoq qatlamidagi ulanish, unga ko'plab ish yuklari marshrutlash orqali yeta oladi. U bermaydigan narsa — bitta VM da faqat bitta jarayon foydalanadigan va shu jarayon identifikatsiyasi bilan cheklangan tunnel. Bu cheklov kechirim so'raladigan kamchilik emas; bu mehmon klienti dizaynining mazmuni. Bitta ilova, bitta marshrut, bitta hisob ma'lumotlari to'plami, ichki tarmoqdagi boshqa VM larga hech qanday ta'sir yo'q.
Demak, taqqoslash boshqariladigan va dasturiy ta'minot o'rtasida emas. Bu tarmoq ko'lamidagi ulanish va jarayon ko'lamidagi ulanish o'rtasida, ikkinchisi esa unga faqat bitta jarayon muhtoj bo'lganda qonuniydir.
O'sish yo'lini kerak bo'lishidan oldin rejalashtiring
Agar talab bitta VM dan ichki tarmoqqa o'ssa, klientning ruxsat etilgan prefikslarini kengaytirish o'rniga dizaynni qayta quring. Qulay sessiyani hujjatlashtirilmagan router sifatida qayta ishlatish har bir foydalanuvchini shu VM ning umriga, uning hisob ma'lumotlariga va yamaq oynasiga bog'lab qo'yadi.
Ulanish ish yuki emas, tarmoq ko'lamida bo'lganda to'g'ri boshlanish nuqtasi — Azure VPN Gateway sharhi.
Tanlashdan oldin uch qator yozing: narigi tomonga nima kerak, VM ni kim boshqaradi va tunnelni kim yamaydi. Uch javob ham bitta ish yukiga ishora qilsa, mehmon klienti halol dizayndir. Ulardan biri ichki tarmoqqa ishora qilsa, tarmoq qatlamini hoziroq loyihalang.