Symud OpenVPN o TAP i TUN: trefn mudo sy'n gweithio

Mae disodli dev tap ag dev tun yn newid yr hyn y mae'r twnnel yn ei gario, nid yn unig sut y'i henwir. Mae rhyngwyneb TAP yn trosglwyddo ffrâmau Ethernet i bont, felly mae cleientiaid yn ymddwyn fel pe baent wedi'u plygio i switsh y swyddfa. Mae rhyngwyneb TUN yn cario pecynnau IP, felly mae angen llwybrau ar gleientiaid ac mae angen llwybr yn ôl ar yr ochr arall. Rhaid i'r cleientiaid, y cynllun cyfeiriadau a llwybr dychwelyd y LAN symud gyda'r newid hwnnw.

Ailddyluniad rhwydwaith gyda thwnnel ynghlwm yw'r mudo, ac mae'r drefn isod yn ei chadw'n gildroadwy.

Rhestrwch beth sy'n dibynnu ar Ethernet mewn gwirionedd

Rhestrwch y ceisiadau, nid y gwesteiwyr. Penderfynwch a yw pob un yn defnyddio gwasanaethau TCP neu UDP wedi'u llwybro, darganfod darlledu, DHCP o LAN y swyddfa, protocol Ethernet nad yw'n IP, neu dybiaeth bod y ddau ben yn yr un is-rwydwaith. Mae mynediad IP cyffredin yn goroesi cynllun wedi'i lwybro. Nid yw protocol sydd angen ffrâmau Ethernet crai yn goroesi, ac ni fydd unrhyw faint o lwybro yn ei wneud i weithio. Mae angen i geisiadau sy'n dibynnu ar ddarganfod fod â mecanwaith disodli a benderfynir cyn y trosglwyddiad, nid yn ystod.

Mae'r rhestr honno hefyd yn rhestr dderbyn. Daw pob cofnod na allwch ei fudo yn eithriad wedi'i ddogfennu neu'n reswm i gadw segment TAP bach yn fyw ar gyfer y llwyth hwnnw yn unig.

Adeiladwch y cynllun cyfeiriadau a llwybrau dychwelyd

Dewiswch ragddodiad cleient nad yw'n gorgyffwrdd â'r LAN, hen amrediad y bont nac unrhyw rwydwaith y mae cleient yn ei gyrraedd yn barod.dev tun, topology subnet a server 10.78.0.0 255.255.255.0, ond darn yn unig yw hwn, nid proffil sy'n gweithio. Cadwch y polisi TLS, hunaniaeth, cludiant a mynediad cymeradwy o'i amgylch, a defnyddiwch ragddodiad yr ydych wedi gwirio ei fod yn rhydd.

Yna nodwch y cyrchfannau y mae'n rhaid i gleientiaid eu cyrraedd a phwy sy'n darparu'r llwybr dychwelyd. Mae ar y gweinydd angen anfon ymlaen wedi'i alluogi a llwybr caniataol ymlaen. Mae ar lwybryddion y LAN angen llwybr yn ôl i'r rhagddodiad newydd, neu mae angen cyfieithu ffynhonnell ar y cynllun gyda'r gost welededd y mae hynny'n ei olygu. Mae llwybr a wthir i ffurfweddiad y cleient yn ffurfweddu'r cleient, nid llwybr ymateb y LAN.

Treialwch ar wrandawr ar wahân

Codwch y gwasanaeth newydd wrth ymyl yr hen un ar ei borth ei hun a'i amrediad cyfeiriadau ei hun, yn hytrach na disodli'r unig fynedfa sy'n gweithio. Cyhoeddwch broffiliau treial drwy'r broses gofrestru bresennol fel na fydd neb yn ailadeiladu'r CA ar gyfer mudo. Cysylltwch un cleient cynrychioliadol gyda dim ond y llwybr treial yn actif, yna cymharwch y cyfeiriadau a neilltuwyd, DNS preifat, y ceisiadau o'r rhestr a'r llwybrau y dylent aros ar gau.

Cynhwyswch brawf ailgysylltu a phrawf traffig dychwelyd. Nid yw ysgydwad llaw sy'n cwblhau yn dweud dim am a all yr ochr arall ateb.

Symudwch gleientiaid mewn grwpiau gyda chiledroad

Mudwch mewn grwpiau sy'n ddigon bach i fethiant fod yn dasg cymorth yn hytrach nag yn derfyn gwasanaeth. Cadwch yr hen wasanaeth yn rhedeg ac wedi'i ddogfennu nes bod llifau gwaith gwirioneddol pob grŵp yn pasio, ac ysgrifennwch y ciledroad fel newid yn ôl i'r proffil blaenorol yn hytrach nag ailadeiladu. Diweddarwch reolau tân yn seiliedig ar gyfeiriadau, monitro ac unrhyw fynediad a gychwynnir gan y gweinydd ar gyfer y rhagddodiad newydd wrth i bob grŵp symud.

Mae grwpiau hefyd yn rhoi lle i chi ddarganfod y cais na soniodd neb amdano, tra bod yr hen lwybr yn dal i fodoli i gymharu ag ef.

Ymddiweddwch y bont dim ond ar ôl derbyn

Tynnu'r ddyfais TAP yw'r cam olaf, nid y cyntaf. Gwiriwch a yw'r bont yn dal i gario cyfeiriad rheoli'r gweinydd, llwybr monitro neu lwyth diberthynol cyn dileu unrhyw beth. Ymddiweddwch ddibyniaethau cychwyn, aelodaeth y bont a chadw lle DHCP drwy eu perchnogion, yn y drefn honno, gyda nodyn o'r hyn a dynnwyd.

Mae'r mudo wedi'i gwblhau pan fydd y model mynediad wedi'i lwybro yn gweithio i'r rhestr, nid pan fydd rhyngwyneb TAP yn diflannu o allbwn ip link.