Пераход з VPN на базе PPP без капіравання яго дапушчэнняў

Міграцыя VPN завершана тады, калі карыстальнікі, пункты прызначэння, развязанне імёнаў і паводзіны пры збоях усё яшчэ правільныя, а не тады, калі новы кліент паказвае зялёную іконку. Старыя разгортванні на базе PPP нясуць дапушчэнні, якія ніколі не былі запісаныя: агульны сакрэт, які служыў адзінай праверкай ідэнтычнасці, фіксаваны пул адрасоў, які файрвол уносіць у белы спіс, DNS-суфікс, які прадстаўляе сервер. Замена пратакола без інвентарызацыі гэтых дапушчэнняў дае тунель, які здзяйсняе рукапоцісканне, і мяжу, якой не існуе. Парадак ніжэй — гэта тое, што выкарыстоўваю я, і апошні крок — той, які каманды прапускаюць.

Крок 1: праінвентарызаваць, што дае старое злучэнне

Інвентар запісваюць, а не трымаюць у памяці. Зафіксуйце падтрымліваных кліентаў, ролі автэнтыфікацыі, пулы адрасоў, абароненыя сеткі, патрабаванні да DNS і дазволы на паслугі, патрэбныя кожнай групе карыстальнікаў.

Для L2TP/IPsec раздзяляйце два ўзроўні відавочна. Ідэнтычнасць партнёра IPsec аўтэнтыфікуе машыны; PPP аўтэнтыфікуе карыстальніка, звычайна праз CHAP або MSCHAPv2.

Менавіта ў гэтым раздзяленні старыя разгортванні хаваюць свае дапушчэнні. Агульны папярэдне заменены ключ, які падзяляюць усе кліенты, аўтэнтыфікуе групу, а не прыладу, і часта гэта адзінае, што калі-небудзь змянялі. Калі ўліковы запіс PPP — гэта рэальнае кіраванне на ўзроўні карыстальніка, скажыце пра гэта, бо замена павінна ўзнавіць гэтае кіраванне чымсьці, што не з'яўляецца агульным радком. Занатаваць таксама фіксаваныя адрасы крыніцы і выключэнні для лакальнай сеткі, бо гэта залежнасці, якія ніхто не дакументуе, пакуль яны не зламаюцца.

Крок 2: свядома спраектаваць замену

Выбар замены — гэта супастаўленне патрабаванне за патрабаваннем: пратакол і кліент, які падтрымліваецца арганізацыяй, прычым кожнае патрабаванне да ідэнтычнасці і доступу трапляе ў рэальны механізм. Агульны сакрэт не аўтаматычна роўны ключу або сертыфікату на прыладу, а ўліковы запіс PPP на карыстальніка не роўны сертыфікату прылады.

Узгадніце дыяпазоны адрасоў перш за ўсё, бо пул замены, які перакрываецца з хатняй або офіснай LAN, стварае збой, не звязаны з моцай шыфра. Праверце пул па тым жа спісе, які вы склалі для старой паслугі, плюс тое, што новы кліент прымае па змаўчанні. Пацвердзіце зваротную маршрутызацыю для абароненых сетак і пацвердзіце, што новы кліент можа перадаваць або дакументаваць DNS-суфікс, які перадаваў стары. Гэтыя два пункты выклікаюць больш заявак на міграцыю, чым само змяненне пратакола.

Крок 3: укараніць паэтапна і праверыць і дазвол, і забарону

Укараніце з адным прадстаўнічым карыстальнікам і адной прадстаўнічай праграмай. Уключыце ў тэст развязанне прыватных імёнаў праз DNS, бо тунель, які дасягае адраса, але не можа развязаць унутранае імя, міграваны толькі напалову. Уключыце таксама чаканы стан недаступнасці: што павінна адбывацца, калі тунель падае, і ці кліент гэта выконвае.

Затым праверце пункт прызначэння, які павінен застацца забароненым. Шырокае часовае правіла дазволу можа зрабіць новы тунель здаровым на выгляд, але ціха прыбраць мяжу аўтарызацыі, якую ўводзіла старая паслуга, і ніхто гэтага не заўважыць да аўдыту. Параўнайце вынікі дазволу і забароны побач, з таго ж кліента, у той жа сесіі. Трымайце старую паслугу працоўнай, пакуль абодва слупкі не адпавядуць праекту.

Перш чым пераносіць адміністрацыйны доступ, пацвердзіце, што ў вас ёсць санкцыянаваны шлях аднаўлення, які не залежыць ад тунеля, які вы змяняеце.

Крок 4: вывесці старую ідэнтычнасць

Належнае вывядзенне старой ідэнтычнасці азначае адкліканне састарэлых карыстальнікаў і ўліковых даных прылад праз паслугу, якая імі валодае, а затым выдаленне старых профіляў і слухачоў, калі залежнасцяў больш не застаецца. Выдаленне лакальнага файла не адклікае копію дзесьці яшчэ, а стары слухач, які ўсё яшчэ прымае стары агульны сакрэт, — гэта дзверы без нагляду.

На гэтым пункце варта запаволіцца. Спісаны профіль кліента на ноўтбуку — не адкліканыя ўліковыя даныя; уліковыя даныя жывуць на серверы і застаюцца сапраўднымі, пакуль сервер не перастане іх прымаць. Шукайце іншыя копіі старой канфігурацыі — тэставыя прылады, забыты тэлефон, інсталятар, які нехта пакінуў — і лічыце выключэнне слухача момантам, калі старая паслуга сапраўды сканчаецца. Да таго часу ў міграцыі дзве ўваходныя дзверы.

Запіс аб прыёмцы — гэта інвентар з першага кроку з дададзеным слупком: што новы праект робіць для кожнага радка і як вы гэта праверылі. Гэта ператварае абнаўленне пратакола ў патрабаванне да паслугі з доказамі.

Трымайце вынік прывязаным да таго, што патрабуе паслуга, а не да назвы пратакола, бо сучасны пратакол з скапіяванымі ў яго старымі дапушчэннямі — гэта той жа рызыка ў лепшай апраўцы. RFC 3193 апісвае, як L2TP перадаецца праз IPsec, што служыць карысным напамінам: гэтыя два ўзроўні заўсёды былі асобнымі рашэннямі. Калі ў інвентары ёсць радок, які вы не можаце патлумачыць, спыніцеся і высветліце, што ад яго залежыць. Міграцыя завершана, калі спіс стаў сумным.