Αλλαγή παρόχου χωρίς επαναρίθμηση των διευθύνσεων VPN της τοποθεσίας

Ένα υποκατάστημα αλλάζει πάροχο internet και ο διακομιστής αρχείων κρατά τη διεύθυνσή του. Αυτό το αποτέλεσμα είναι φυσιολογικό σε ένα δρομολογημένο site VPN και εκπληκτικό για όποιον υποθέτει ότι η διεύθυνση του ακραίου σημείου της σήραγγας είναι η διεύθυνση της εφαρμογής. Τα δύο ζουν σε διαφορετικά επίπεδα του σχεδιασμού και μόνο το ένα μετακινήθηκε. Το να τα αντιμετωπίζουμε ως ένα είναι ο τρόπος με τον οποίο μια μετεγκατάσταση παρόχου γίνεται έργο επαναρίθμησης.

Δύο σχέδια διευθύνσεων που κινούνται ανεξάρτητα

Το εσωτερικό σχέδιο περιγράφει τις ιδιωτικές διευθύνσεις που χρησιμοποιούν οι εφαρμογές: ο διακομιστής του υποκαταστήματος στη 10.55.8.20, το πρόθεμα της έδρας που δρομολογεί προς αυτόν και η διαδρομή επιστροφής. Το εξωτερικό σχέδιο περιγράφει πώς δύο πύλες φτάνουν η μία στην άλλη: διευθύνσεις ομότιμων, θύρες ακρόασης και η διαδρομή μέσω του internet.

Η αλλαγή παρόχου αγγίζει το εξωτερικό σχέδιο. Από μόνη της δεν απαιτεί αλλαγή του εσωτερικού σχεδίου.

Το να κρατάμε τα δύο ευρετήρια χωριστά είναι ο πρακτικός λόγος για ένα overlay ακόμη και όταν η εφαρμογή κρυπτογραφεί ήδη την κίνησή της. Το overlay σάς δίνει μια σταθερή εσωτερική τοπολογία που αντέχει στις εξωτερικές αλλαγές. Η εφαρμογή κρατά τη διεύθυνσή της, τους κανόνες τείχους προστασίας και τις εγγραφές DNS. Αλλάζουν μόνο οι εγγραφές μεταφοράς, και αυτό είναι πολύ μικρότερη ανασκόπηση.

Η εξωτερική σήραγγα μεταφέρει την εσωτερική συνομιλία

Σε σήραγγα πύλης προς πύλη, η εξωτερική κεφαλίδα IP διευθυνσιοδοτεί τις δύο πύλες. Η εσωτερική κεφαλίδα εξακολουθεί να ονομάζει τα πραγματικά ακραία σημεία της εφαρμογής. Η περιγραφή πύλης προς πύλη του RFC 7296 το αντιμετωπίζει ως συνήθη δρομολόγηση που παραδίδει κίνηση μέσω των ακραίων σημείων της σήραγγας.

Γι' αυτό ο διακομιστής του υποκαταστήματος μπορεί να κρατήσει τη 10.55.8.20 ενώ η δημόσια διεύθυνση της πύλης αλλάζει. Το εσωτερικό πακέτο δεν περιέχει καθόλου τη διεύθυνση του παρόχου.

Ο διαχωρισμός είναι ιδιότητα σχεδιασμού, όχι αυτόματη εγγύηση. Αν το uplink αντικατάστασης δεν μπορεί να στήσει την υποστηριζόμενη σήραγγα ή αν οι εσωτερικές διαδρομές δεν εγκατασταθούν ξανά, η εφαρμογή χάνει τη διαδρομή της παρόλο που η διεύθυνσή της μένει ίδια.

Η μετακίνηση παρόχου έχει ακόμη λίστα ελέγχου

Η εξωτερική λίστα ελέγχου έχει πέντε στοιχεία: τη διεύθυνση του ομότιμου ή το όνομα που συντηρείται, τον ακροατή και οποιοδήποτε φιλτράρισμα ανάντη, τη μετάφραση στη διαδρομή, την αναμενόμενη ταυτότητα του ομότιμου και τις επιτρεπόμενες ρυθμίσεις της άλλης πύλης. Κάθε ένα μπορεί να αποτύχει μόνο του. Κρατήστε ξεχωριστή διαδρομή ανάκτησης όσο αλλάζετε τον σύνδεσμο που μεταφέρει τη διαχείριση. Το να κόψετε την απομακρυσμένη πρόσβαση κατά τη μετάβαση σε νέο uplink είναι διακοπή που προκαλέσατε μόνοι σας.

Μετά από αυτό, ελέγξτε το πρόθεμα του υποκαταστήματος, τη διαδρομή προς τις δύο κατευθύνσεις, την πολιτική προστασίας και μία πραγματική ροή εφαρμογής. Μια σήραγγα που μόλις πιστοποιήθηκε δεν διορθώνει διαδρομή που δείχνει στο παλιό ιδιωτικό υποδίκτυο.

Η επικάλυψη διευθύνσεων με άλλη συνδεδεμένη τοποθεσία είναι ξεχωριστό πρόβλημα σχεδιασμού. Η αλλαγή παρόχου δεν τη δημιουργεί, αλλά η μετεγκατάσταση είναι συνήθως η στιγμή που αναδύεται.

Τι δεν επιβιώνει: δημόσια πηγή και συνεδρίες

Μια σταθερή ιδιωτική διεύθυνση διακομιστή δεν είναι σταθερή δημόσια πηγή. Αν η περιήγηση βγαίνει απευθείας από τον νέο πάροχο, οι ιστότοποι βλέπουν τη νέα διεύθυνση που κοιτά προς τον πάροχο.

Το να κρατήσουμε αυτή τη διεύθυνση σταθερή απαιτεί σκόπιμο σχεδιασμό εξόδου, με δική του διαθεσιμότητα και πολιτική. Δεν έρχεται δωρεάν με τη σήραγγα.

Ούτε οι εγκατεστημένες συνεδρίες επιβιώνουν από αλλαγή διαδρομής. Η σήραγγα μπορεί να επανέλθει σε δευτερόλεπτα και να σπάσει μακρόβιες συνδέσεις καρφιτσωμένες στην παλιά διαδρομή. Σχεδιάστε τη μετάβαση για ένα παράθυρο όπου οι επανασυνδέσεις είναι αποδεκτές. Μην ισχυριστείτε ότι μια μετεγκατάσταση θα είναι αόρατη αν δεν έχουν δοκιμαστεί οι συγκεκριμένοι πελάτες και τα χρονικά τους όρια.

Επαληθεύστε τη μετακίνηση με τέσσερις ελέγχους

Μετά την αλλαγή, επαληθεύστε τέσσερα πράγματα με σειρά: η σήραγγα έχει στηθεί με τον προβλεπόμενο ομότιμο, η εσωτερική διαδρομή προς το πρόθεμα του υποκαταστήματος υπάρχει, η πολιτική επιτρέπει τη ροή της εφαρμογής και η εφαρμογή απαντά. Κάθε ένα έχει τη δική του εντολή.

Σε πύλη Linux, αυτές οι τρεις καλύπτουν το μέσο αυτής της λίστας:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Κρατήστε τις διευθύνσεις μεταφοράς σε ένα ευρετήριο και τις διευθύνσεις εφαρμογών σε άλλο. Ενημερώστε μόνο τις εγγραφές που μετακινήθηκαν πραγματικά. Η επαναρίθμηση εσωτερικών εξαρτήσεων επειδή άλλαξε η εξωτερική διεύθυνση της σήραγγας είναι δουλειά που αποφεύγεται.