Μεταφορά του OpenVPN από TAP σε TUN: μια σειρά μετάβασης που λειτουργεί

Η αντικατάσταση του dev tap με dev tun αλλάζει τι μεταφέρει η σήραγγα, όχι μόνο πώς ονομάζεται. Μια διεπαφή TAP παραδίδει πλαίσια Ethernet σε μια γέφυρα, οπότε οι πελάτες συμπεριφέρονται σαν να είναι συνδεδεμένοι στον διακόπτη του γραφείου. Μια διεπαφή TUN μεταφέρει πακέτα IP, οπότε οι πελάτες χρειάζονται διαδρομές και η άλλη πλευρά χρειάζεται δρόμο επιστροφής. Οι πελάτες, το σχέδιο διευθύνσεων και η διαδρομή επιστροφής του LAN πρέπει να μετακινηθούν μαζί με αυτή την αλλαγή.

Η μετάβαση είναι επανασχεδιασμός δικτύου με προσαρτημένη σήραγγα, και η σειρά παρακάτω τον κρατά αναστρέψιμο.

Καταγράψτε τι εξαρτάται πραγματικά από το Ethernet

Καταγράψτε τις εφαρμογές, όχι τους κεντρικούς υπολογιστές. Προσδιορίστε αν η καθεμία χρησιμοποιεί δρομολογημένες υπηρεσίες TCP ή UDP, ανακάλυψη μέσω εκπομπής, DHCP από το LAN του γραφείου, πρωτόκολλο Ethernet που δεν είναι IP ή την παραδοχή ότι και τα δύο άκρα βρίσκονται στο ίδιο υποδίκτυο. Η συνηθισμένη πρόσβαση IP επιβιώνει σε ένα δρομολογημένο σχέδιο. Ένα πρωτόκολλο που χρειάζεται ακατέργαστα πλαίσια Ethernet δεν επιβιώνει, και καμία ποσότητα δρομολόγησης δεν θα το κάνει να λειτουργήσει. Οι εφαρμογές που εξαρτώνται από την ανακάλυψη χρειάζονται μηχανισμό αντικατάστασης που αποφασίζεται πριν από τη μετάβαση, όχι κατά τη διάρκειά της.

Αυτή η καταγραφή είναι και ο κατάλογος αποδοχής. Κάθε καταχώριση που δεν μπορείτε να μεταφέρετε γίνεται τεκμηριωμένη εξαίρεση ή λόγος να κρατήσετε ένα μικρό τμήμα TAP ζωντανό μόνο για αυτό το φορτίο.

Δημιουργήστε το σχέδιο διευθύνσεων και διαδρομών επιστροφής

Επιλέξτε πρόθεμα πελατών που δεν επικαλύπτει το LAN, το παλιό εύρος της γέφυρας ή οποιοδήποτε δίκτυο στο οποίο φτάνει ήδη ένας πελάτης.dev tun, topology subnet και server 10.78.0.0 255.255.255.0, αλλά αυτό είναι απόσπασμα, όχι λειτουργικό προφίλ. Κρατήστε γύρω του την εγκεκριμένη πολιτική TLS, ταυτότητας, μεταφοράς και πρόσβασης και χρησιμοποιήστε πρόθεμα που έχετε επαληθεύσει ως ελεύθερο.

Στη συνέχεια σημειώστε τους προορισμούς που πρέπει να φτάνουν οι πελάτες και ποιος παρέχει τη διαδρομή επιστροφής. Ο διακομιστής χρειάζεται ενεργή προώθηση και επιτρεπόμενη διαδρομή προς τα εμπρός. Οι δρομολογητές του LAN χρειάζονται διαδρομή πίσω στο νέο πρόθεμα, ή το σχέδιο χρειάζεται μετάφραση πηγής με το κόστος ορατότητας που αυτό συνεπάγεται. Μια διαδρομή που ωθείται στη ρύθμιση του πελάτη ρυθμίζει τον πελάτη, όχι τη διαδρομή απάντησης του LAN.

Δοκιμή σε ξεχωριστό ακροατή

Σηκώστε τη νέα υπηρεσία δίπλα στην παλιά στη δική της θύρα και στο δικό της εύρος διευθύνσεων, αντί να αντικαταστήσετε το μοναδικό σημείο εισόδου που λειτουργεί. Εκδώστε προφίλ δοκιμής μέσω της υπάρχουσας διαδικασίας εγγραφής ώστε κανείς να μην ξαναχτίσει το CA για μια μετάβαση. Συνδέστε έναν αντιπροσωπευτικό πελάτη με ενεργή μόνο τη διαδρομή δοκιμής και μετά συγκρίνετε τις εκχωρημένες διευθύνσεις, το ιδιωτικό DNS, τις εφαρμογές από την καταγραφή και τις διαδρομές που πρέπει να παραμείνουν μπλοκαρισμένες.

Συμπεριλάβετε δοκιμή επανασύνδεσης και δοκιμή κίνησης επιστροφής. Μια χειραψία που ολοκληρώνεται δεν λέει τίποτα για το αν η άλλη πλευρά μπορεί να απαντήσει.

Μετακινήστε πελάτες σε ομάδες με επαναφορά

Κάντε τη μετάβαση σε ομάδες αρκετά μικρές ώστε μια αποτυχία να είναι εργασία υποστήριξης και όχι διακοπή. Κρατήστε την παλιά υπηρεσία σε λειτουργία και τεκμηριωμένη μέχρι να περάσουν οι πραγματικές ροές εργασίας κάθε ομάδας, και γράψτε την επαναφορά ως επιστροφή στο προηγούμενο προφίλ, όχι ως ανακατασκευή. Ενημερώστε τους κανόνες τείχους προστασίας βάσει διευθύνσεων, την παρακολούθηση και κάθε πρόσβαση που ξεκινά ο διακομιστής για το νέο πρόθεμα καθώς μετακινείται κάθε ομάδα.

Οι ομάδες σας δίνουν επίσης ένα μέρος για να ανακαλύψετε την εφαρμογή που δεν ανέφερε κανείς, ενώ η παλιά διαδρομή υπάρχει ακόμα για σύγκριση.

Αποσύρετε τη γέφυρα μόνο μετά την αποδοχή

Η αφαίρεση της συσκευής TAP είναι το τελευταίο βήμα, όχι το πρώτο. Ελέγξτε αν η γέφυρα εξακολουθεί να μεταφέρει τη διεύθυνση διαχείρισης του διακομιστή, μια διαδρομή παρακολούθησης ή άσχετο φορτίο πριν διαγράψετε οτιδήποτε. Αποσύρετε τις εξαρτήσεις εκκίνησης, τη συμμετοχή στη γέφυρα και τις δεσμεύσεις DHCP μέσω των ιδιοκτητών τους, με αυτή τη σειρά, με σημείωση για το τι αφαιρέθηκε.

Η μετάβαση ολοκληρώνεται όταν το δρομολογημένο μοντέλο πρόσβασης λειτουργεί για την καταγραφή, όχι όταν μια διεπαφή TAP εξαφανιστεί από την έξοδο του ip link.