OpenVPN-u TAP-dan TUN-a köçürmək: işləyən miqrasiya sırası

dev tap yerinə dev tun qoymaq tunelin nə daşıdığını dəyişir, yalnız adını deyil. TAP interfeysi Ethernet kadrlarını körpüyə verir, buna görə müştərilər ofis kommutatoruna qoşulmuş kimi davranır. TUN interfeysi IP paketləri daşıyır, buna görə müştərilərə marşrutlar, qarşı tərəfə isə geri yol lazımdır. Müştərilər, ünvan planı və yerli şəbəkənin qayıdış marşrutu bu dəyişikliklə birlikdə köçməlidir.

Miqrasiya yanına tunel əlavə edilmiş şəbəkə yenidən layihələndirilməsidir və aşağıdakı sıra onu geri qaytarıla bilən saxlayır.

Ethernet-dən həqiqətən asılı olanı siyahıya alın

Hostları deyil, tətbiqləri sadalayın. Hər birinin marşrutlaşdırılan TCP və ya UDP xidmətlərindən, yayım aşkarlamasından, ofis yerli şəbəkəsindən DHCP-dən, IP olmayan Ethernet protokolundan, yoxsa hər iki tərəfin eyni alt şəbəkədə olması fərziyyəsindən istifadə etdiyini müəyyən edin. Adi IP girişi marşrutlaşdırılmış dizaynda qalır. Xam Ethernet kadrlarına ehtiyac duyan protokol isə qalmır və heç bir marşrutlaşdırma onu işlədə bilməz. Aşkarlamadan asılı tətbiqlər üçün əvəzedici mexanizm keçiddən əvvəl qərarlaşdırılmalıdır, keçid zamanı deyil.

Bu siyahı həm də qəbul siyahısıdır. Köçürə bilmədiyiniz hər bənd sənədləşdirilmiş istisna və ya yalnız həmin iş yükü üçün kiçik TAP seqmentinin saxlanmasına səbəb olur.

Ünvan və qayıdış marşrutu planını qurun

Yerli şəbəkə, köhnə körpü aralığı və ya müştərinin artıq çatdığı hər hansı şəbəkə ilə üst-üstə düşməyən müştəri prefiksi seçin.dev tun, topology subnet və server 10.78.0.0 255.255.255.0, lakin bu işləyən profil deyil, bir fraqmentdir. Onun ətrafında təsdiqlənmiş TLS, kimlik, nəqliyyat və giriş siyasətini saxlayın və boş olduğunu yoxladığınız prefiksi istifadə edin.

Sonra müştərilərin çatmalı olduğu təyinatları və qayıdış yolunu kimin verdiyini yazın. Serverin yönləndirməsi aktiv və irəli yolun icazəli olması lazımdır. Yerli şəbəkə marşrutlaşdırıcılarına yeni prefiksə geri marşrut lazımdır, əks halda dizayn mənbə çevrilməsini və bunun gətirdiyi görünürlük xərcini tələb edir. Müştəri konfiqurasiyasına ötürülən marşrut müştərini qurur, yerli şəbəkənin cavab yolunu deyil.

Ayrı dinləyicidə sınaq keçirin

Yeni xidməti işləyən yeganə giriş nöqtəsini əvəz etmək əvəzinə, öz portunda və öz ünvan aralığında köhnənin yanında qaldırın. Sınaq profillərini mövcud qeydiyyat prosesi ilə verin ki, heç kim miqrasiya üçün CA-nı yenidən qurmasın. Yalnız sınaq yolu aktiv olmaqla bir təmsilçi müştərini qoşun, sonra təyin edilmiş ünvanları, özəl DNS-i, siyahıdakı tətbiqləri və bloklanmış qalmalı yolları müqayisə edin.

Yenidən qoşulma və qayıdış trafiki testi də daxil edin. Tamamlanan əl sıxma qarşı tərəfin cavab verə bilməsi barədə heç nə demir.

Müştəriləri geri qaytarma ilə qruplar şəklində köçürün

Uğursuzluğun kəsinti deyil, dəstək tapşırığı olacaq qədər kiçik qruplarla miqrasiya edin. Hər qrupun real iş axınları keçənə qədər köhnə xidməti işlək və sənədləşdirilmiş saxlayın və geri qaytarmanı yenidən qurma deyil, əvvəlki profilə qayıtma kimi yazın. Hər qrup köçdükcə ünvana əsaslanan firewall qaydalarını, monitorinqi və serverin başlatdığı istənilən girişi yeni prefiks üçün yeniləyin.

Qruplar həm də heç kimin qeyd etmədiyi tətbiqi aşkar etmək üçün yer verir, köhnə yol isə müqayisə üçün hələ də mövcuddur.

Körpünü yalnız qəbuldan sonra dayandırın

TAP cihazının çıxarılması ilk deyil, son addımdır. Bir şeyi silməzdən əvvəl körpünün hələ də serverin idarəetmə ünvanını, monitorinq yolunu və ya əlaqəsiz iş yükünü daşıyıb-daşımadığını yoxlayın. Başlanğıc asılılıqlarını, körpü üzvlüyünü və DHCP rezervasiyalarını öz sahibləri vasitəsilə, bu sıra ilə dayandırın və nəyin çıxarıldığını qeyd edin.

Miqrasiya, TAP interfeysi ip link çıxışından yox olanda deyil, marşrutlaşdırılmış giriş modeli siyahı üçün işləyəndə tamamlanır.