ฉันอยู่ในขั้นตอนของการออกแบบการตั้งค่าเครือข่ายส่วนตัวเสมือนสำหรับสภาพแวดล้อมคลาวด์โฮสติ้ง ด้วยความต้องการของเราฉันไม่เห็นสิ่งนี้แตกต่างจากสภาพแวดล้อมเซิร์ฟเวอร์เฉพาะ แนวคิดคือเราต้องการให้ลูกค้าสามารถกำหนดให้ผู้ใช้เชื่อมต่อกับเครื่องเสมือนหรือเซิร์ฟเวอร์เฉพาะโดยใช้ VPN ซึ่งสามารถให้การเข้ารหัสเสริม (ตัวอย่างเช่นสำหรับงานพิมพ์ที่ส่งกลับไปยังเครือข่ายลูกค้า)
เรากำลังมองหาการสนับสนุนโฮสต์เพื่อโฮสต์ IPSec (ESP และ AH) และแน่นอนอุโมงค์ SSH แต่สิ่งเหล่านี้ไม่ได้มีความสามารถในการใช้อะแดปเตอร์ VPN เรากำลังพิจารณาที่จะเพิ่มอย่างน้อยบางส่วนต่อไปนี้ แต่เนื่องจากพื้นที่มีค่าสูงเราจึงต้องการสร้างมาตรฐานบนไม่เกินหนึ่งหรือสองแห่ง (ซึ่งจะดีกว่า):
- การสนับสนุนทันเนลของ IPSec บนโฮสต์เสมือนหรือโฮสต์เฉพาะ
- Tinc
- PPTP
เนื่องจากเซิร์ฟเวอร์ของเราทำการสำรองข้อมูล ฯลฯ อาจอยู่ในดาต้าเซ็นเตอร์ที่แตกต่างกันเราต้องการที่จะสามารถใช้วิธี VPN อีกครั้งได้ที่นี่ ดูเหมือนว่าจะตัดการใช้ PPTP ความคิดปัจจุบันของฉันคือ IPSec น่าจะดีกว่าเพราะเราสามารถใช้อะแดปเตอร์ VPN มาตรฐานได้ แต่การตั้งค่าการกำหนดเส้นทาง (ตามความต้องการของลูกค้า) น่าจะยากขึ้นอย่างมากซึ่งเป็นสาเหตุที่เราดูด้วย tinc
ข้อใดที่สองข้อนี้เป็นที่นิยมกว่า ฉันกลัวว่าการจัดการเส้นทางมีแนวโน้มที่จะปวดหัวอย่างรุนแรงกับ IPSec หรือไม่? มีวิธีง่ายๆในการนี้หรือไม่? มี gotchas อื่น ๆ เกี่ยวกับ tinc ที่ฉันหายไป (เช่นอื่นที่ไม่ใช่ลูกค้าแยกต่างหาก)?
อัปเดตเพื่อตอบสนองต่อคำตอบของ @ Wintermute :
ใช่คำถามนี้มาจากมุมมองของเซิร์ฟเวอร์ เหตุผลก็คือเซิร์ฟเวอร์เหล่านี้ตัดการเชื่อมต่อจากเครือข่ายของลูกค้าอย่างมีประสิทธิภาพ ใช่ตลาดเป้าหมายของเราคือเครือข่าย SME ใช่เราคาดหวังว่าจะใช้ไอพีสาธารณะของแต่ละเซิร์ฟเวอร์ลูกค้าเว้นแต่ว่าพวกเขาต้องการสิ่งที่แตกต่างกัน (จากนั้นเราสามารถพูดคุย)
วิธีการแก้ปัญหาที่เรากำลังโน้มตัวไปคือสิ่งที่ลูกค้ากำหนดช่องทาง IP และช่วงเครือข่ายที่เข้าถึงได้โดยช่องทางเหล่านั้นและจุดที่เรารวมเข้าด้วยกันด้วยเครื่องมือการจัดการของเรา (ซึ่งอยู่ระหว่างการพัฒนา) ซึ่งเชื่อมโยงคำขอของลูกค้า ปัญหาคือเนื่องจากเราไม่น่าจะเรียกใช้ซอฟต์แวร์การกำหนดเส้นทางบน vms และเซิร์ฟเวอร์ตารางการกำหนดเส้นทางจะต้องได้รับการจัดการแบบคงที่ดังนั้นลูกค้าที่ทำผิดพลาดในการกำหนดค่าจะพบว่า VPN ไม่ทำงาน
เป็นไปได้ว่าเราจะใช้ ESP ผ่านเครือข่ายสำหรับการดำเนินงานภายในของเราเอง (สำหรับสิ่งต่าง ๆ เช่นการสำรองข้อมูล) การตั้งค่าทั้งหมดค่อนข้างซับซ้อนและมีมุมมองที่แตกต่างกันมากมายตั้งแต่เซิร์ฟเวอร์เป็นศูนย์กลาง (ไคลเอนต์ VPN ของเราไปเป็นโฮสต์) ไปจนถึงเครือข่ายเป็นศูนย์กลาง (เนื้อหาภายใน) ไปจนถึงฐานข้อมูลเป็นศูนย์กลาง (เครื่องมือของเรา) ดังนั้นฉันจะไม่พูดว่าคำถามนี้เป็นตัวแทนของวิธีการทั้งหมดของเรา (และคำถามจะถูกถามในเว็บไซต์ SE หลายแห่ง)
สิ่งนี้ไม่มีผลกับคำถามโดยรวมเลย มันอาจจะเป็นบริบทที่มีประโยชน์