Перанясіце машыну з VPN у майстэрню, не страціўшы яе

Машына пакідае пляцоўку кліента, трапляе ў майстэрню і захоўвае тую ж ідэнтычнасць актыву, хоць яе месца ў сетцы цалкам змяняецца. Колькасць планавання для такога пераносу вызначаюць тры ўмовы. Ці паўтарае кліент адрасы, якія вы таксама выкарыстоўваеце ўнутры, ці ізаляваны сегмент майстэрні ад сетак супрацоўнікаў і ці можна стары шлях задушыць, а не проста пераважыць. Памыліцеся ў першай — і будзеце адладжваць машыну, якая цалкам спраўная.

Ідэнтычнасць — не адрас

Інвентар і назвы павінны несці актыў, кліента і працу. Адрас жа нясе тое, куды машына падключана цяпер, а гэта факт, які змяняецца пры пераносе. Змешванне двух дае класічную памылку — пошук сэнсу ў лічбах.

Серыйны нумар, закадаваны ў апошнім актэце, выглядае акуратна і нічога не даказвае маршрутызатару. Даўжыні прэфіксаў вызначаюць, што хост лічыць лакальным, і ніякая колькасць прыгожых нумароў не змяняе гэтую арыфметыку.

Калі хочаце, каб адрас намякаў на кліента, гэта ўмоўнасць, а ўмоўнасці добрыя, пакуль ніхто не будуе на іх палітыку. Шукайце актыў у інвентары, а не адрас, і перанос у майстэрню перастане быць пошукам скарбу. Ён таксама перажывае перанумарацыю, якая рана ці позна прыходзіць на кожную пляцоўку.

Серыя — не даўжыня прэфікса

Прылады, якія выкарыстоўваюць шырокую маску накшталт 10.0.0.0/8, будуць лічыць кожны адрас у гэтым дыяпазоне непасрэдна падключаным, таму трафік да машыны кліента праз дзве сеткі зусім не даходзіць да маршрутызатара. Машына проста шырокавяшчае ў пошуку суседа, які не можа адказаць.

RFC 4632 вызначае прэфіксы па даўжыні, а не па тым, на што намякаюць лічбы з кропкамі. Вашаму плану патрэбныя яўныя даўжыні для кожнай групы падключэння: сегмент паслуг, кантэкст кліента, стол майстэрні. Калі спачатку назваць гэтыя групы, даўжыні стануць відавочнымі.

Практычнае правіла — распрацаваць найменшы прэфікс, які пакрывае адну групу падключэння, і ўжываць яго ўсюды ў гэтай групе. Тэкст адраса — для людзей; маска — тое, на што дзейнічае ядро.

Калі два кліенты паўтараюць адныя і тыя ж адрасы

Кліент A і кліент B могуць абодва выкарыстоўваць 192.168.10.0/24, і абодва будуць мець рацыю ў сваіх будынках. Гэта не праблема, якую вырашаюць перанумарацыяй чужой пляцоўкі.

Трымайце кантэксты асобна або давайце наўмысныя псеўданімы праз праект, які дакументуе, які адрас належыць якому кліенту і ў які момант. Глабальны інвентар — слушная прылада, каб адрозніць машыны; ён не доказ таго, што адрасы глабальна ўнікальныя. Шлях псеўданімаў патрабуе пісьмовага правіла сканчэння, інакш ён перажыве працу, якая яго стварыла.

Чаго трэба пазбягаць — гэта калі абодва кантэксты дасяжныя адначасова без ніякага маркера. Два аднолькавыя адрасы на двух жывых шляхах — гэта рэжым адмовы, які адпраўляе абнаўленне прашыўкі на не тую машыну. Сімптом рэдка выглядае як памылка; ён выглядае як прылада, якую нехта іншы пераканфігураваў. Спачатку маркер, потым дасяжнасць.

Дайце майстэрні ўласную мяжу

Абсталяванне кліента, якое прыбывае на абслугоўванне, належыць сегменту паслуг з яўна дазволеным доступам, а не разетцы сеткі супрацоўнікаў толькі таму, што порт на стале быў свабодны.

Стаўцеся да незнаёмай прамысловай прылады як да іншай зоны даверу. Запішыце, які інжынерны хост можа да яе дабрацца, якія паслугі гэтаму хосту патрэбныя і якія ўліковыя дадзеныя належаць працы. Трымайце файлы кліента разам з працай кліента, а не на агульным дыску, які могуць чытаць усе.

Ізаляцыя павінна перажыць і сумную сярэдзіну працы: пакуль ідзе абнаўленне, пакуль прылада стаіць на ноч і пакуль чакае кур'ера.

Перадайце маршрут як крок працы

Звычайна цэнтральны маршрутызатар дасягае машыны праз тунель кліента. Калі машына на стале, шлях майстэрні становіцца ўладальнікам гэтага прэфікса або вузейшага прызначэння, калі вам патрэбна толькі адна паслуга.

Запішыце тры рэчы перад пераносам: стары шлях, новы шлях і як змена адкочваецца. Перадача, якая існуе толькі ў чыёйсьці памяці, — не перадача.

Будзьце асцярожныя з метрыкамі. Меншая метрыка мае значэнне толькі сярод маршрутаў, якія працэс выбару сапраўды параўноўвае, а больш канкрэтны прэфікс або правіла палітыкі могуць вырашыць вынік яшчэ да звароту да метрык.

Уключыце ў план састарэлыя сеансы. Злучэнне, устаноўленае праз стары шлях, можа працягваць дастаўляць каманды пасля змены маршруту, і гэта менавіта тая сітуацыя, дзе дзве копіі аднаго адраса робяць сапраўдную шкоду. Закрыйце стары шлях яўна, замест таго каб чакаць яго тайм-аўту.

Загняце цыкл, калі машына адпраўляецца

Аднавіце мэтавы аддалены маршрут, выдаліце часовыя дазволы і пацвердзіце актыў на канчатковай кропцы, якую вы лічыце выбранай. Затым праверце з боку кліента, а не толькі з боку майстэрні.

Развязанне імёнаў і інвентар робяць тут працу, звернутую да аператара: стабільнае імя і бачны ў пошуку запіс актыву робяць задачу прадказальнай, пакуль сеткавы план застаецца сумленным адносна таго, дзе машына сёння.

Праверка добрай перадачы — гэта калі калега, які ніколі не бачыў працы, можа прачытаць вашыя нататкі і адказаць на адно пытанне: калі гэтая машына зараз адказвае, дык з якога шляху прыйшоў адказ? Калі нататкі не могуць на гэта адказаць, перадача задокументаваная, але не завершаная.