Verander ISP sonder om jou werf-VPN-adresse te hernommer

’n Tak verander internetverskaffers, en die lêerbediener behou sy adres. Daardie uitkoms is normaal in ’n gerouteerde werf-VPN en verrassend vir enigiemand wat aanneem die tonnel se eindpuntadres is die toepassing se adres. Die twee leef in verskillende lae van die ontwerp, en net een van hulle het beweeg. Om hulle as een te behandel, is hoe ’n verskaffermigrasie in ’n hernommeringsprojek verander.

Twee adresplanne wat onafhanklik beweeg

Die binnepan beskryf die private adresse wat toepassings gebruik: die takbediener by 10.55.8.20, die hoofkantoor-prefiks wat daarheen roeteer, en die terugroete. Die buitepan beskryf hoe twee poorte mekaar bereik: eweknie-adresse, luisterpoorte en die pad oor die internet.

’n Verskafferverandering raak die buitepan. Dit vereis nie op sigself dat die binnepan verander nie.

Om die twee inventarisse apart te hou, is die praktiese rede om ’n oorleg te ry selfs wanneer die toepassing reeds sy eie verkeer versleutel. Die oorleg gee jou ’n stabiele binnetopologie wat buiteveranderinge oorleef. Die toepassing behou sy adres, sy firewall-reëls en sy DNS-rekords. Net die vervoerinskrywings verander, en dit is ’n veel kleiner hersiening.

Die buitenste tonnel dra die binneste gesprek

In ’n poort-tot-poort-tonnel adresseer die buitenste IP-kop die twee poorte. Die binneste kop noem steeds die werklike toepassing-eindpunte. RFC 7296 se poort-tot-poort-beskrywing behandel dit as gewone roetering wat verkeer deur tonnel-eindpunte aflewer.

Daarom kan die takbediener 10.55.8.20 behou terwyl die poort se publieke adres verander. Die binneste pakkie bevat glad nie die verskaffer se adres nie.

Die skeiding is ’n ontwerp-eienskap, nie ’n outomatiese waarborg nie. As die vervangingsopstroom nie die ondersteunde tonnel kan opstel nie, of die binneroes nie herinstalleer word nie, verloor die toepassing sy pad al is sy adres onveranderd.

Die verskafferskuif het steeds ’n kontrolelys

Die buitenste kontrolelys het vyf inskrywings: die eweknie-adres of onderhoude naam, die luisteraar en enige opstroomfiltering, vertaling in die pad, die verwagte eweknie-identiteit, en die ander poort se toegelate instellings. Elkeen kan op sy eie faal. Hou ’n aparte herstelpad terwyl jy die skakel verander wat administrasie dra. Om afstandtoegang af te sny tydens ’n opstroom-oorstap is ’n onderbreking wat jy self veroorsaak het.

Kontroleer daarna die takprefiks, die roete in beide rigtings, die beskermingsbeleid en een werklike toepassingvloei. ’n Pas-geverifieerde tonnel maak nie ’n roete reg wat na die ou private subnet wys nie.

Adresoorvleueling met ’n ander gekoppelde werf is ’n aparte beplanningsprobleem. Die verskafferverandering skep dit nie, maar ’n migrasie is gewoonlik wanneer dit opduik.

Wat nie oorleef nie: publieke bron en sessies

’n Stabiele private bedieneradres is nie ’n stabiele publieke bron nie. As blaai direk deur die nuwe verskaffer uitgaan, sien webwerwe die nuwe verskaffergerigte adres.

Om daardie adres stabiel te hou, verg ’n doelbewuste uitgangsontwerp met sy eie beskikbaarheid en beleid. Dit kom nie gratis saam met die tonnel nie.

Gevestigde sessies oorleef ook nie ’n padverandering nie. Die tonnel kan binne sekondes weer opstel en steeds langdurige verbindings breek wat aan die ou pad vasgepen is. Beplan die oorstap vir ’n venster waar herverbindings aanvaarbaar is. Moenie beweer ’n migrasie sal onsigbaar wees nie, tensy die spesifieke kliënte en hul timeouts getoets is.

Verifieer die skuif met vier kontroles

Verifieer ná die verandering vier dinge in volgorde: die tonnel is opgestel met die beoogde eweknie, die binneroete na die takprefiks bestaan, die beleid laat die toepassingvloei toe, en die toepassing antwoord. Elkeen het sy eie opdrag.

Op ’n Linux-poort dek hierdie drie die middel van daardie lys:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Hou vervoeradresse in een inventaris en toepassingadresse in ’n ander. Werk net die inskrywings by wat werklik beweeg het. Om interne afhanklikhede te hernommer omdat die tonnel se buitenste adres verander het, is vermybare werk.