Symud oddi wrth VPN sy’n seiliedig ar PPP heb gopïo ei dybiaethau

Mae ymfudiad VPN wedi gorffen pan fo’r defnyddwyr, y cyrchfannau, y datrysiad enwau a’r ymddygiad pan fydd methiant i gyd yn dal yn gywir, nid pan fydd y cleient newydd yn dangos eicon gwyrdd. Mae’r hen ddefnyddiadau sy’n seiliedig ar PPP yn cario tybiaethau na chawsant eu hysgrifennu erioed: cyfrinach a rennir a ddyblai fel yr unig wiriad hunaniaeth, pwll cyfeiriadau sefydlog y mae’r mur gwarchod yn ei gynnwys yn y rhestr ganiatáu, a godiad DNS a wthir gan y gweinydd. Mae disodli’r protocol heb restru’r tybiaethau hynny yn cynhyrchu twnnel sy’n ysgwyd llaw a ffin nad yw’n bodoli. Dyma’r drefn rydw i’n ei defnyddio isod, a’r cam olaf yw’r un y mae timau yn ei hepgor.

Cam 1: rhestrwch yr hyn y mae’r hen gysylltiad yn ei ddarparu

Ysgrifennir y rhestr yn hytrach na’i chofio. Cofnodwch y cleientiaid a gefnogir, y rolau dilysu, y pyllau cyfeiriadau, y rhwydweithiau gwarchodedig, y gofynion DNS a’r caniatadau gwasanaeth y mae pob grŵp defnyddwyr eu hangen.

Ar gyfer L2TP/IPsec, gwahanwch y ddwy haen yn benodol. Mae hunaniaeth cymar IPsec yn dilysu’r peiriannau; mae PPP yn dilysu’r defnyddiwr, fel arfer gyda CHAP neu MSCHAPv2.

Yn y gwahanu hwnnw y mae hen ddefnyddiadau yn cuddio eu tybiaethau. Mae allwedd a rannir ymlaen llaw gan bob cleient yn dilysu grŵp yn hytrach na dyfais, ac yn aml dyma’r unig beth a gylchdroiwyd erioed. Os mai’r cyfrif PPP yw’r gwir reolaeth fesul defnyddiwr, dywedwch hynny, oherwydd rhaid i’r disodliad atgynhyrchu’r reolaeth honno gyda rhywbeth nad yw’n llinyn a rannir. Nodwch gyfeiriadau ffynhonnell sefydlog ac eithriadau rhwydwaith lleol hefyd, oherwydd y rhain yw’r dibyniaethau na fydd neb yn eu dogfennu nes iddynt dorri.

Cam 2: dyluniwch y disodliad yn fwriadol

Mae dewis y disodliad yn fapio gofyniad wrth ofyniad: protocol a chleient a gynhelir sy’n cael ei gefnogi gan y sefydliad, gyda phob gofyniad hunaniaeth a mynediad yn glanio mewn mecanwaith go iawn. Nid yw cyfrinach a rannir yn gyfystyr yn awtomatig ag allwedd neu dystysgrif fesul dyfais, ac nid yw cyfrif PPP fesul defnyddiwr yn gyfystyr â thystysgrif dyfais.

Cydlynwch yr ystodau cyfeiriadau cyn unrhyw beth arall, oherwydd mae pwll disodli sy’n gorgyffwrdd â LAN cartref neu swyddfa yn creu methiant nad oes ganddo ddim i’w wneud â chryfder y seiffr. Gwiriwch y pwll yn erbyn yr un rhestr a godwyd gennych ar gyfer yr hen wasanaeth, ynghyd â’r hyn y mae’r cleient newydd yn ei dybio yn ddiofyn. Cadarnhewch y llwybro dychwelyd ar gyfer y rhwydweithiau gwarchodedig, a chadarnhewch fod y cleient newydd yn gallu gwthio neu ddogfennu’r godiad DNS a wthiodd yr hen un. Mae’r ddau eitem hyn yn achosi mwy o docynnau ymfudo na’r newid protocol ei hun.

Cam 3: cyflwynwch fesul cam a gwirio caniatáu ac atal

Cyflwynwch gydag un defnyddiwr cynrychiadol ac un cymhwysiad cynrychiadol. Cynhwyswch ddatrysiad DNS preifat yn y prawf, oherwydd twnnel sy’n cyrraedd cyfeiriad ond na all ddatrys enw mewnol dim ond hanner ei fod wedi’i ymfudo. Cynhwyswch y cyflwr angenfisol disgwyliedig hefyd: beth ddylai ddigwydd pan fydd y twnnel yn cwympo, ac a yw’r cleient yn ei orfodi.

Yna profwch gyrchfan y dylai aros yn ataledig. Gall rheol ganiatáu dros dro eang wneud y twnnel newydd i edrych yn iach wrth dynnu’n dawel y ffin awdurdodi a orfodwyd gan yr hen wasanaeth, ac ni fydd neb yn sylwi hyd archwiliad. Cymharwch ganlyniadau caniatáu ac atal ochr yn ochr, o’r un cleient, yn yr un sesiwn. Cadwch yr hen wasanaeth yn rhedeg nes bod y ddwy golofn yn cyfateb i’r dyluniad.

Cyn symud mynediad y gweinyddwr, cadarnhewch fod gennych lwybr adfer awdurdodedig nad yw’n dibynnu ar y twnnel rydych yn ei newid.

Cam 4: ymddeolwch yr hen hunaniaeth

Mae ymddeol yr hen hunaniaeth yn iawn yn golygu diddymu hen ddefnyddwyr a chrediadau dyfeisiau drwy’r gwasanaeth sy’n berchen arnynt, yna dileu hen broffiliau a gwrandawyr pan na fydd dibyniaeth yn weddill. Nid yw dileu ffeil leol yn diddymu copi yn rhywle arall, ac mae hen wrandawr sy’n dal i dderbyn yr hen gyfrinach a rannir yn ddrws heb ei fonitro.

Mae’r pwynt hwnnw yn haeddu arafu. Nid yw proffil cleient wedi’i ddatgomisiynu ar liniadur yn grediad wedi’i ddiddymu; mae’r crediad yn byw ar y gweinydd ac yn parhau’n ddilys nes i’r gweinydd roi’r gorau i’w dderbyn. Chwiliwch am gopïau eraill o’r hen ffurfweddiad — dyfeisiau prawf, ffôn wedi’i anghofio, gosodwr y cadwodd rhywun ef — a thriniwch gau’r gwrandawr fel y foment y mae’r hen wasanaeth yn dod i ben mewn gwirionedd. Hyd yna, mae gan yr ymfudiad ddwy ddrws blaen.

Y cofnod derbyn yw’r rhestr o gam un gyda cholofn wedi’i hychwanegu: beth mae’r dyluniad newydd yn ei wneud ar gyfer pob rhes, a sut y gwnaethoch ei wirio. Mae hynny’n troi uwchraddiad protocol yn ofyniad gwasanaeth gyda thystiolaeth.

Cadwch y canlyniad ynghlwm wrth yr hyn y mae’r gwasanaeth ei angen yn hytrach nag wrth enw’r protocol, oherwydd mae protocol modern gyda’r hen dybiaethau wedi’u copïo iddo yr un risg gyda fframwaith gwell. Mae RFC 3193 yn disgrifio sut y caiff L2TP ei gario dros IPsec, sy’n atgof defnyddiol fod y ddwy haen bob amser yn benderfyniadau ar wahân. Os oes rhes yn y rhestr na allwch ei hesbonio, stopiwch a darganfyddwch beth sy’n dibynnu arni. Mae’r ymfudiad wedi gorffen pan fydd y rhestr yn ddiflas.