OpenVPN van TAP na TUN skuif: ’n migrasieorde wat werk

Die vervanging van dev tap deur dev tun verander wat die tonnel dra, nie net hoe dit genoem word nie. ’n TAP-koppelvlak gee Ethernet-rame aan ’n brug, so kliënte tree op asof hulle in die kantoor se skakelaar ingeprop is. ’n TUN-koppelvlak dra IP-pakkette, so kliënte het roetes nodig en die ander kant het ’n pad terug nodig. Die kliënte, die adresplan en die LAN se terugroete moet almal met daardie verandering saamskuif.

Die migrasie is ’n herontwerp van die netwerk met ’n tonnel daarby, en die volgorde hieronder hou dit omkeerbaar.

Inventariseer wat werklik van Ethernet afhanklik is

Lys die toepassings, nie die gashere nie. Bepaal of elkeen gerouteerde TCP- of UDP-dienste, uitsaaiontdekking, DHCP van die kantoor-LAN, ’n nie-IP Ethernet-protokol of ’n aanname dat albei kante in dieselfde subnet sit, gebruik. Gewone IP-toegang oorleef ’n gerouteerde ontwerp. ’n Protokol wat rou Ethernet-rame nodig het, oorleef dit nie, en geen mate van routering sal dit laat werk nie. Ontdekkingsafhanklike toepassings het ’n vervangingsmeganisme nodig wat voor die oorskakeling besluit word, nie tydens dit nie.

Daardie inventaris is ook die aanvaardingslys. Elke inskrywing wat jy nie kan migreer nie, word ’n gedokumenteerde uitsondering of ’n rede om ’n klein TAP-segment net vir daardie werklading aan die lewe te hou.

Bou die adres- en terugroeteplan

Kies ’n kliëntvoorvoegsel wat nie die LAN, die ou brugreeks of enige netwerk wat ’n kliënt reeds bereik, oorvleuel nie.dev tun, topology subnet en server 10.78.0.0 255.255.255.0, maar dit is ’n fragment eerder as ’n werkende profiel. Hou die goedgekeurde TLS-, identiteits-, vervoer- en toegangsbeleid daarom, en gebruik ’n voorvoegsel wat jy as vry geverifieer het.

Skryf dan die bestemmings neer wat kliënte moet bereik en wie die terugpad verskaf. Die bediener het stuur aan nodig en ’n toegelate pad vorentoe. LAN-roeteerders het ’n roete terug na die nuwe voorvoegsel nodig, of die ontwerp het brontranslasie nodig met die sigbaarheidskoste wat dit inhou. ’n Roete wat na die kliënt se konfigurasie gestuur word, configureer die kliënt, nie die LAN se antwoordpad nie.

Probeer op ’n aparte luisteraar

Stel die nuwe diens langs die ou een op met sy eie poort en sy eie adresreeks, eerder as om die enigste werkende toegangspunt te vervang. Reik proefprofiele uit deur die bestaande inskrywingsproses sodat niemand die CA vir ’n migrasie herbou nie. Verbind een verteenwoordigende kliënt met net die proefpad aktief, en vergelyk dan toegewysde adresse, private DNS, die toepassings uit die inventaris en die paaie wat geblokkeer moet bly.

Sluit ’n herverbinding en ’n terugverkeertoets in. ’n Handdruk wat voltooi, sê niks oor of die ander kant kan antwoord nie.

Skuif kliënte in groepe met ’n terugrol

Migreer in groepe wat klein genoeg is dat ’n fout ’n ondersteuningstaak eerder as ’n onderbreking is. Hou die ou diens aan die gang en gedokumenteer totdat elke groep se werklike werkstrome slaag, en skryf die terugrol as ’n terugskakeling na die vorige profiel eerder as ’n herbou. Dateer adresgebaseerde firewallreëls, monitering en enige bediener-geïnisieerde toegang vir die nuwe voorvoegsel op soos elke groep skuif.

Groepe gee jou ook ’n plek om die toepassing te ontdek wat niemand genoem het nie, terwyl die ou pad nog bestaan om mee te vergelyk.

Trek die brug eers na aanvaarding terug

Die verwydering van die TAP-toestel is die laaste stap, nie die eerste nie. Kontroleer of die brug nog die bediener se bestuursadres, ’n moniteringspad of ’n onverwante werklading dra voordat jy enigiets verwyder. Trek opstartafhanklikhede, bruglidmaatskap en DHCP-reserverings deur hul eienaars terug, in daardie volgorde, met ’n nota van wat verwyder is.

Die migrasie is klaar wanneer die gerouteerde toegangsmodel vir die inventaris werk, nie wanneer ’n TAP-koppelvlak uit die uitset van ip link.