Moure una màquina de la VPN al taller sense perdre-la

Una màquina surt d’un lloc del client, arriba a un taller i conserva la mateixa identitat d’actiu mentre la seva ubicació de xarxa canvia del tot. Tres condicions decideixen quanta planificació necessita aquest trasllat. Si el client reutilitza adreces que també feu servir internament, si el segment del taller està aïllat de les xarxes del personal i si el camí antic es pot suprimir en lloc de només superar. Encerts malament la primera i acabaràs depurant una màquina que està bé.

La identitat no és una adreça

L’inventari i l’anomenament han de portar l’actiu, el client i la feina. L’adreça porta on està connectada la màquina ara mateix, un fet que canvia quan es mou. Confondre les dues coses produeix l’error clàssic de llegir significat en els dígits.

Un número de sèrie codificat a l’últim octet sembla ordenat i no demostra res a un encaminador. Les longituds de prefix decideixen què considera local un amfitrió, i cap quantitat de numeració memoritzable canvia aquesta aritmètica.

Si voleu que l’adreça insinuï el client, això és una convenció, i les convencions van bé sempre que ningú hi basi polítiques. Cerqueu l’actiu a l’inventari, no l’adreça, i el trasllat al taller deixa de ser una cacera del tresor. També sobreviu a la renumeració que tard o d’hora arriba a cada lloc.

Un número de sèrie no és una longitud de prefix

Els dispositius que fan servir una màscara àmplia com 10.0.0.0/8 tractaran totes les adreces d’aquest rang com a enllaç directe, així que el trànsit cap a la màquina d’un client a dues xarxes de distància no arriba mai a cap encaminador. La màquina simplement difon buscant un veí que no pot respondre.

L’RFC 4632 defineix els prefixos per longitud, no pel que suggereixen els dígits amb punts. El vostre pla necessita longituds explícites per a cada grup d’adjunció: un segment de servei, un context de client, un banc de taller. Anomenar primer aquests grups fa evidents les longituds.

La regla pràctica és dissenyar el prefix més petit que cobreixi un grup d’adjunció i fer-lo servir a tot arreu dins d’aquest grup. El text de l’adreça és per a les persones; la màscara és sobre el que actua el nucli.

Quan dos clients reutilitzen les mateixes adreces

El client A i el client B poden fer anar tots dos 192.168.10.0/24, i tots dos tindran raó als seus propis edificis. Això no és un problema que es resolgui renumerant la planta d’un altre.

Manteniu els contextos separats, o proporcioneu àlies deliberats mitjançant un disseny que documenti quina adreça pertany a quin client en quin moment. Un inventari global és l’eina correcta per distingir les màquines; no és cap prova que les adreces siguin úniques globalment. El camí dels àlies necessita una regla de caducitat escrita, o sobreviurà a la feina que el va crear.

El que heu d’evitar és tenir tots dos contextos accessibles alhora sense cap marcador. Dues adreces idèntiques en dos camins vius és el mode de fallada que envia una actualització de firmware a la màquina equivocada. El símptoma poques vegades sembla un error; sembla un dispositiu que algú altre ha reconfigurat. Primer el marcador, després l’accessibilitat.

Doneu al taller la seva pròpia frontera

L’equipament del client que arriba per al servei pertany a un segment de servei amb accés permès explícit, no endollat a la xarxa del personal perquè un port del banc era lliure.

Tracteu un dispositiu industrial desconegut com un altre domini de confiança. Anoteu quin amfitrió d’enginyeria hi pot arribar, quins serveis necessita aquest amfitrió i quines credencials pertanyen a la feina. Guardeu els fitxers del client amb la feina del client, no en un disc compartit que tothom pugui llegir.

L’aïllament ha de sobreviure també a la part avorrida de la feina: mentre s’actualitza, mentre passa la nit i mentre espera un missatger.

Lliureu la ruta com un pas de feina

Normalment l’encaminador central arriba a la màquina pel túnel del client. Quan la màquina és al banc, el camí del taller es converteix en el propietari d’aquell prefix, o d’una destinació més estreta si només necessiteu un servei.

Anoteu tres coses abans del trasllat: el camí antic, el camí nou i com es reverteix el canvi. Un lliurament que només existeix a la memòria d’algú no és un lliurament.

Aneu amb compte amb les mètriques. Una mètrica més baixa només importa entre rutes que el procés de selecció compara realment, i un prefix més específic o una regla de política poden decidir el resultat abans que es consultin les mètriques.

Incloeu les sessions obsoletes al pla. Una connexió establerta pel camí antic pot continuar lliurant ordres després del canvi de ruta, i aquesta és exactament la situació en què dues còpies d’una adreça fan mal real. Tanqueu el camí antic explícitament en lloc d’esperar que caduqui.

Tanqueu el cercle quan la màquina surt

Restabliu la ruta remota prevista, retireu les concessions temporals i confirmeu l’actiu al punt final que creieu seleccionat. Després verifiqueu des del costat del client i no només des del taller.

La resolució de noms i l’inventari fan aquí la feina orientada a l’operador: un nom estable i un registre d’actiu cercable fan la tasca predictible mentre el pla de xarxa es manté honest sobre on és la màquina avui.

La prova d’un bon lliurament és que un company que mai ha vist la feina pugui llegir les vostres notes i respondre una pregunta: si aquesta màquina respon ara, per quin camí ha arribat la resposta? Si les notes no ho poden respondre, el lliurament està documentat però no acabat.