Translokigi maŝinon de la VPN al la laborejo sen perdi ĝin

Maŝino forlasas ejon de kliento, alvenas en laborejon kaj konservas la saman identecon de aktivaĵo, dum ĝia reta loko tute ŝanĝiĝas. Tri kondiĉoj decidas kiom da planado tiu translokiĝo bezonas. Ĉu la kliento reuzas adresojn, kiujn vi ankaŭ uzas interne, ĉu la laboreja segmento estas izolita de la retoj de la personaro kaj ĉu la malnova vojo povas esti subpremita anstataŭ nur superita. Se vi maltrafas la unuan, vi erarserĉos maŝinon, kiu estas en ordo.

Identeco ne estas adreso

La inventaro kaj la nomado portu la aktivaĵon, la klienton kaj la taskon. La adreso portas, kie la maŝino estas nun ligita, kaj tio estas fakto, kiu ŝanĝiĝas kiam ĝi translokiĝas. Kumnetado de la du produktas la klasikan eraron legi signifon en ciferojn.

Seria numero kodigita en la lasta okto sentiĝas ordema kaj pruvas nenion al enkursigilo. Prefiksa longoj decidas, kion gastiganto konsideras loka, kaj neniu kvanto da memorebla numerado ŝanĝas tiun aritmetikon.

Se vi volas, ke la adreso aludu al la kliento, tio estas konvencio, kaj konvencioj bonas tiel longe, kiel neniu konstruas politikon sur ili. Serĉu la aktivaĵon en la inventaro, ne la adreson, kaj la translokiĝo al la laborejo ĉesas esti ĉasaĵo. Ĝi ankaŭ postvivas la renumeradon, kiu fine alvenas al ĉiu ejo.

Seria numero ne estas prefiksa longo

Aparatoj, kiuj uzas larĝan maskon kiel 10.0.0.0/8, traktos ĉiun adreson en tiu intervalo kiel rekte ligitan, do trafiko al klienta maŝino du retojn for neniam atingas enkursigilon. La maŝino simple elsendas serĉante najbaron, kiu ne povas respondi.

RFC 4632 difinas prefiksojn laŭ longo, ne laŭ tio, kion sugestas la punktitaj ciferoj. Via plano bezonas eksplicitajn longojn por ĉiu liggrupo: servo-segmento, klienta kunteksto, laboreja benko. Nomante unue tiujn grupojn, la longoj fariĝas evidentaj.

La praktika regulo estas desegni la plej malgrandan prefikson, kiu kovras unu liggrupon, kaj uzi ĝin ĉie en tiu grupo. Adresa teksto estas por homoj; la masko estas tio, sur kio agas la kerno.

Kiam du klientoj reuzas la samajn adresojn

Kliento A kaj Kliento B povas ambaŭ funkciigi 192.168.10.0/24, kaj ambaŭ pravos en siaj propraj konstruaĵoj. Tio ne estas problemo solvenda per renumerado de la instalaĵo de iu alia.

Tenu la kuntekstojn aparte, aŭ provizu intencajn kaŝnomojn per dizajno, kiu dokumentas, kiu adreso apartenas al kiu kliento en kiu momento. Tutmonda inventaro estas la ĝusta ilo por distingi la maŝinojn; ĝi ne estas pruvo, ke la adresoj estas tutmonde unikaj. La kaŝnoma vojo bezonas skriban eksvalidiĝan regulon, alie ĝi supervivos la taskon, kiu ĝin kreis.

Kion vi devas eviti, estas havi ambaŭ kuntekstojn atingeblaj samtempe sen ia markilo. Du identaj adresoj sur du vivantaj vojoj estas la fiaskmaniero, kiu sendas firmvaran ĝisdatigon al la malĝusta maŝino. La simptomo malofte aspektas kiel eraro; ĝi aspektas kiel aparato, kiun iu alia reagordis. Unue markilo, poste atingeblo.

Donu al la laborejo sian propran limon

Klienta ekipaĵo alvenanta por servo apartenas al servo-segmento kun eksplicite permesita aliro, ne enpuŝita en personaran reton ĉar benka haveno estis libera.

Traktu nekonatan industrian aparaton kiel alian fido-domajnon. Notu, kiu inĝeniera gastiganto rajtas atingi ĝin, kiujn servojn tiu gastiganto bezonas kaj kiuj akreditaĵoj apartenas al la tasko. Konservu la dosierojn de la kliento kun la tasko de la kliento anstataŭ sur komuna disko, kiun ĉiuj povas legi.

La izoliteco devas postvivi ankaŭ la enuan mezon de la tasko: dum ĝi ĝisdatiĝas, dum ĝi staras nokte kaj dum ĝi atendas kurieron.

Transdonu la vojon kiel laborpaŝon

Kutime la centra enkursigilo atingas la maŝinon tra la tunelo de la kliento. Kiam la maŝino estas sur la benko, la laboreja vojo fariĝas la posedanto de tiu prefikso, aŭ de pli mallarĝa celo se vi bezonas nur unu servon.

Skribu tri aferojn antaŭ la translokiĝo: la malnovan vojon, la novan vojon kaj kiel la ŝanĝo estas inversigita. Transdono, kiu ekzistas nur en la memoro de iu, ne estas transdono.

Atentu metrikojn. Pli malalta metriko gravas nur inter vojoj, kiujn la elekta procezo efektive komparas, kaj pli specifa prefikso aŭ politika regulo povas decidi la rezulton antaŭ ol metrikoj entute konsultiĝas.

Inkluzivu kadukajn sesiojn en la plano. Konekto starigita tra la malnova vojo povas daŭre liveri komandojn post kiam la vojo ŝanĝiĝas, kaj ĝuste tiu estas la situacio, kie du kopioj de unu adreso faras realan damaĝon. Fermu la malnovan vojon eksplicite anstataŭ atendi, ke ĝi eksvalidiĝu.

Fermu la ciklon, kiam la maŝino sendoĝas

Restarigu la celatan malproksiman vojon, forigu la tempajn permesojn kaj konfirmu la aktivaĵon ĉe la finpunkto, kiun vi kredas elektita. Poste kontrolu de la klienta flanko, ne nur el la laborejo.

Nomresolvado kaj inventaro faras ĉi tie la laboron direktitan al la operatoro: stabila nomo kaj serĉebla aktivaĵa registro faras la taskon anticipebla, dum la reta plano restas honesta pri tio, kie la maŝino estas hodiaŭ.

La testo de bona transdono estas, ke kolego, kiu neniam vidis la taskon, povas legi viajn notojn kaj respondi al unu demando: se ĉi tiu maŝino respondas nun, de kiu vojo venis la respondo? Se la notoj ne kapablas respondi tion, la transdono estas dokumentita sed ne finita.