Skuif ’n masjien van die VPN na die werkswinkel sonder om dit te verloor

’n Masjien verlaat ’n klantterrein, kom in ’n werkswinkel aan en behou dieselfde bate-identiteit terwyl sy netwerklokasie heeltemal verander. Drie voorwaardes bepaal hoeveel beplanning daardie skuif verg. Of die klant adresse hergebruik wat jy ook intern gebruik, of die werkswinkelsegment van personeelnetwerke geïsoleer is, en of die ou pad onderdruk kan word eerder as net oorterf. Kry die eerste een verkeerd en jy ontfout ’n masjien wat heeltemal reg is.

Identiteit is nie ’n adres nie

Inventaris en naamgewing moet die bate, die klant en die taak dra. Die adres dra waar die masjien op die oomblik gekoppel is, wat ’n feit is wat verander wanneer dit skuif. Om die twee te verwar, lewer die klassieke fout op om betekenis in syfers in te lees.

’n Reeksnommer wat in die laaste oktet geënkodeer is, voel netjies en bewys niks aan ’n router nie. Voorvoegsellengtes bepaal wat ’n gasheer as plaaslik beskou, en geen hoeveelheid gedenkwaardige nommering verander daardie rekenkunde nie.

As jy wil hê die adres moet na die klant hint, is dit ’n konvensie, en konvensies is goed solank niemand beleid daarop bou nie. Soek die bate in die inventaris, nie die adres nie, en die werkswinkelskuif hou op om ’n skattejag te wees. Dit oorleef ook die hernommering wat uiteindelik by elke terrein opdaag.

’n Reeksnommer is nie ’n voorvoegsellengte nie

Toestelle wat ’n breë masker soos 10.0.0.0/8 gebruik, sal elke adres in daardie reeks as direk gekoppel beskou, so verkeer na ’n klant se masjien twee netwerke verder bereik nooit ’n router nie. Die masjien uitsaai bloot op soek na ’n buurman wat nie kan antwoord nie.

RFC 4632 definieer voorvoegsels volgens lengte eerder as volgens wat die kolletjiesyfers voorstel. Jou plan het eksplisiete lengtes vir elke aanhegtinggroep nodig: ’n diensegment, ’n klantkonteks, ’n werkswinkelbank. Om daardie groepe eerste te benoem, maak die lengtes duidelik.

Die praktiese reël is om die kleinste voorvoegsel te ontwerp wat een aanhegtinggroep dek en dit oral in daardie groep te gebruik. Adresteks is vir mense; die masker is waarop die kernel reageer.

Wanneer twee klante dieselfde adresse hergebruik

Klant A en Klant B kan albei 192.168.10.0/24 gebruik, en albei sal reg wees in hul eie geboue. Dit is nie ’n probleem om op te los deur iemand anders se aanleg te hernommer nie.

Hou die kontekste geskei, of verskaf doelbewuste aliasse deur ’n ontwerp wat dokumenteer watter adres op watter oomblik aan watter klant behoort. ’n Globale inventaris is die regte instrument om die masjiene uitmekaar te hou; dit is nie bewys dat die adresse globaal uniek is nie. Die aliaspad het ’n geskrewe vervalreël nodig, anders oorleef dit die taak wat dit geskep het.

Wat jy moet vermy, is om beide kontekste gelyktydig bereikbaar te hê sonder enige merker. Twee identiese adresse op twee lewende paaie is die foutmodus wat ’n firmware-opdatering na die verkeerde masjien stuur. Die simptoom lyk selde soos ’n fout; dit lyk soos ’n toestel wat iemand anders herkonfigureer het. Merker eerste, dan bereikbaarheid.

Gee die werkswinkel sy eie grens

Klanttoerusting wat vir diens opdaag, hoort in ’n diensegment met uitdruklik toegestane toegang, nie ingeprop in ’n personeelnetwerk omdat ’n bankpoort beskikbaar was nie.

Behandel ’n onbekende industriële toestel as nog ’n vertrouensdomein. Teken aan watter ingenieursgasheer dit mag bereik, watter dienste daardie gasheer nodig het en watter geloofsbriewe by die taak hoort. Hou die klant se lêers by die klant se taak eerder as op ’n gedeelde skyf wat almal kan lees.

Die isolasie moet ook die vervelige middel van die taak oorleef: terwyl dit opgedateer word, terwyl dit oornag staan en terwyl dit op ’n koerier wag.

Handoor die roete as ’n taakstap

Normaalweg bereik die sentrale router die masjien deur die klant se tonnel. Wanneer die masjien op die bank is, word die werkswinkelpad die eienaar vir daardie voorvoegsel, of vir ’n nouer bestemming as jy net een diens nodig het.

Skryf drie dinge voor die skuif neer: die ou pad, die nuwe pad en hoe die verandering omgekeer word. ’n Oorhandiging wat net in iemand se geheue bestaan, is nie ’n oorhandiging nie.

Wees versigtig met maatstawwe. ’n Laer maatstaf maak net saak onder roetes wat die keuringsproses werklik vergelyk, en ’n meer spesifieke voorvoegsel of ’n beleidsreël kan die uitkoms beslis nog voordat maatstawwe geraadpleeg word.

Sluit verouderde sessies in die plan in. ’n Verbinding wat oor die ou pad tot stand gekom het, kan aanhou om opdragte af te lewer nadat die roete verander, en dit is juis die situasie waarin twee kopieë van een adres werklike skade doen. Sluit die ou pad uitdruklik, eerder as om te wag tot dit verval.

Sluit die lus wanneer die masjien verskeep word

Herstel die beoogde afgeleë roete, verwyder die tydelike toekennings en bevestig die bate by die eindpunt wat jy glo gekies is. Verifieer dan van die klant se kant eerder as net van die werkswinkel se kant.

Naamresolusie en inventaris doen hier die operateurgerigte werk: ’n stabiele naam en ’n deursoekbare bate-rekord maak die taak voorspelbaar terwyl die netwerkplan eerlik bly oor waar die masjien vandag is.

Die toets van ’n goeie oorhandiging is dat ’n kollega wat nog nooit die taak gesien het nie, jou notas kan lees en een vraag kan antwoord: as hierdie masjien nou antwoord, watter pad het die antwoord gekom? As die notas dit nie kan antwoord nie, is die oorhandiging gedokumenteer maar nie klaar nie.