Преместване на машина от VPN в работилницата без загуба

Една машина напуска обекта на клиента, пристига в работилница и запазва същата идентичност на актива, докато мрежовото ѝ местоположение се променя напълно. Три условия решават колко планиране изисква това преместване. Дали клиентът използва повторно адреси, които и вие използвате вътрешно, дали сегментът на работилницата е изолиран от мрежите на служителите и дали старият път може да бъде потиснат, а не само да бъде надминат по приоритет. Сбъркате ли първото, ще дебъгвате машина, която е наред.

Идентичността не е адрес

Инвентарът и именуването трябва да носят актива, клиента и работата. Адресът носи къде е прикачена машината в момента, а това е факт, който се променя при преместване. Смесването на двете води до класическата грешка да се търси смисъл в цифрите.

Сериен номер, кодиран в последния октет, изглежда подреден и не доказва нищо на рутера. Дължините на префикса решават какво хостът смята за локално и никакво количество запомнящо се номериране не променя тази аритметика.

Ако искате адресът да подсказва клиента, това е конвенция, а конвенциите са наред, стига никой да не гради политика върху тях. Търсете актива в инвентара, не адреса, и преместването в работилницата престава да бъде търсене на съкровище. То издържа и на преномерирането, което рано или късно идва на всеки обект.

Сериен номер не е дължина на префикс

Устройства, които използват широка маска като 10.0.0.0/8, ще третират всеки адрес в този диапазон като директно свързан, така че трафикът до машината на клиента на две мрежи разстояние изобщо не стига до рутер. Машината просто излъчва в търсене на съсед, който не може да отговори.

RFC 4632 дефинира префиксите по дължина, а не по това, което подсказват цифрите с точки. Планът ви се нуждае от явни дължини за всяка група на прикачване: сегмент за услуги, контекст на клиент, работна маса в работилницата. Ако първо именувате тези групи, дължините стават очевидни.

Практическото правило е да проектирате най-малкия префикс, който покрива една група на прикачване, и да го използвате навсякъде в тази група. Текстът на адреса е за хора; маската е това, върху което действа ядрото.

Когато двама клиенти използват повторно едни и същи адреси

Клиент A и Клиент B могат да работят и двамата с 192.168.10.0/24 и двамата ще са прави в собствените си сгради. Това не е проблем, който се решава с преномериране на чужда площадка.

Пазете контекстите разделени или осигурете умишлени псевдоними чрез дизайн, който документира кой адрес на кой клиент принадлежи в кой момент. Глобалният инвентар е правилният инструмент за различаване на машините; той не е доказателство, че адресите са глобално уникални. Пътят на псевдонимите се нуждае от писмено правило за изтичане, иначе надживява работата, която го е създала.

Това, което трябва да избягвате, е двата контекста да са достъпни едновременно без никакъв маркер. Два еднакви адреса по два живи пътя е режимът на отказ, който изпраща фърмуерна актуализация до грешната машина. Симптомът рядко изглежда като грешка; изглежда като устройство, което някой друг е преконфигурирал. Първо маркер, после достъпност.

Дайте на работилницата собствена граница

Оборудването на клиента, което пристига за обслужване, принадлежи в сегмент за услуги с изрично разрешен достъп, а не включено в мрежата на служителите, защото един порт на масата е бил свободен.

Отнасяйте се към непознато индустриално устройство като към друг домейн на доверие. Запишете кой инженерен хост може да го достигне, кои услуги са нужни на този хост и кои идентификационни данни принадлежат на работата. Пазете файловете на клиента с работата на клиента, а не на споделен диск, който всеки може да чете.

Изолацията трябва да издържи и скучната среда на работата: докато се актуализира, докато стои през нощта и докато чака куриер.

Прехвърлете маршрута като стъпка от работата

Обикновено централният рутер достига машината през тунела на клиента. Когато машината е на масата, пътят през работилницата става собственик на този префикс или на по-тясна дестинация, ако ви трябва само една услуга.

Запишете три неща преди преместването: стария път, новия път и как промяната се обръща. Предаване, което съществува само в нечия памет, не е предаване.

Внимавайте с метриките. По-ниска метрика има значение само сред маршрутите, които процесът на избор действително сравнява, а по-специфичен префикс или правило на политика може да реши изхода още преди метриките да бъдат разгледани.

Включете в плана и остарелите сесии. Връзка, установена по стария път, може да продължи да доставя команди след промяната на маршрута и това е точно ситуацията, в която две копия на един адрес нанасят реални щети. Затворете стария път изрично, вместо да чакате да изтече.

Затворете цикъла, когато машината замине

Възстановете предвидения отдалечен маршрут, премахнете временните разрешения и потвърдете актива в крайната точка, която смятате за избрана. После проверете от страната на клиента, а не само от работилницата.

Разрешаването на имена и инвентарът вършат тук работата, обърната към оператора: стабилно име и търсим запис на актива правят задачата предвидима, докато мрежовият план остава честен за това къде е машината днес.

Проверката за добро предаване е, че колега, който никога не е виждал работата, може да прочете бележките ви и да отговори на един въпрос: ако тази машина отговори сега, от кой път дойде отговорът? Ако бележките не могат да отговорят, предаването е документирано, но не е завършено.