Mover una máquina de la VPN al taller sin perderla

Una máquina sale de una sede del cliente, llega a un taller y conserva la misma identidad de activo mientras su ubicación de red cambia por completo. Tres condiciones deciden cuánta planificación exige ese traslado. Si el cliente reutiliza direcciones que también usas internamente, si el segmento del taller está aislado de las redes del personal y si la ruta antigua puede suprimirse en lugar de solo superarse. Si fallas en la primera, acabarás depurando una máquina que está bien.

La identidad no es una dirección

El inventario y el nombrado deben llevar el activo, el cliente y el trabajo. La dirección lleva dónde está conectada la máquina ahora mismo, un hecho que cambia cuando se mueve. Confundir ambas cosas produce el error clásico de leer significado en los dígitos.

Un número de serie codificado en el último octeto parece ordenado y no demuestra nada a un enrutador. Las longitudes de prefijo deciden qué considera local un host, y ninguna cantidad de numeración memorable cambia esa aritmética.

Si quieres que la dirección insinúe al cliente, eso es una convención, y las convenciones están bien mientras nadie construya políticas sobre ellas. Busca el activo en el inventario, no la dirección, y el traslado al taller deja de ser una búsqueda del tesoro. También sobrevive a la renumeración que tarde o temprano llega a cada sede.

Un número de serie no es una longitud de prefijo

Los dispositivos que usan una máscara amplia como 10.0.0.0/8 tratarán todas las direcciones de ese rango como enlace directo, así que el tráfico hacia la máquina de un cliente a dos redes de distancia nunca llega a un enrutador. La máquina simplemente difunde buscando un vecino que no puede responder.

El RFC 4632 define los prefijos por longitud y no por lo que sugieren los dígitos con puntos. Tu plan necesita longitudes explícitas para cada grupo de conexión: un segmento de servicio, un contexto de cliente, un banco de taller. Nombrar primero esos grupos hace evidentes las longitudes.

La regla práctica es diseñar el prefijo más pequeño que cubra un grupo de conexión y usarlo en todas partes dentro de ese grupo. El texto de la dirección es para personas; la máscara es sobre lo que actúa el núcleo.

Cuando dos clientes reutilizan las mismas direcciones

El cliente A y el cliente B pueden ejecutar ambos 192.168.10.0/24, y ambos tendrán razón en sus propios edificios. Eso no es un problema que se resuelva renumerando la planta de otro.

Mantén los contextos separados, o proporciona alias deliberados mediante un diseño que documente qué dirección pertenece a qué cliente en qué momento. Un inventario global es la herramienta correcta para distinguir las máquinas; no es prueba de que las direcciones sean únicas a nivel global. La ruta de alias necesita una regla de caducidad escrita, o sobrevivirá al trabajo que la creó.

Lo que debes evitar es tener ambos contextos accesibles a la vez sin ningún marcador. Dos direcciones idénticas en dos rutas vivas es el modo de fallo que envía una actualización de firmware a la máquina equivocada. El síntoma rara vez parece un error; parece un dispositivo que otra persona reconfiguró. Primero el marcador, después la accesibilidad.

Da al taller su propia frontera

El equipo del cliente que llega para servicio pertenece a un segmento de servicio con acceso permitido explícito, no enchufado a una red de personal porque un puerto del banco estuviera libre.

Trata un dispositivo industrial desconocido como otro dominio de confianza. Registra qué host de ingeniería puede alcanzarlo, qué servicios necesita ese host y qué credenciales pertenecen al trabajo. Guarda los archivos del cliente con el trabajo del cliente en lugar de en un disco compartido que todos puedan leer.

El aislamiento debe sobrevivir también a la parte aburrida del trabajo: mientras se actualiza, mientras pasa la noche y mientras espera a un mensajero.

Entrega la ruta como un paso de trabajo

Normalmente el enrutador central llega a la máquina por el túnel del cliente. Cuando la máquina está en el banco, la ruta del taller pasa a ser el propietario de ese prefijo, o de un destino más estrecho si solo necesitas un servicio.

Anota tres cosas antes del traslado: la ruta antigua, la ruta nueva y cómo se revierte el cambio. Una entrega que solo existe en la memoria de alguien no es una entrega.

Cuidado con las métricas. Una métrica más baja solo importa entre rutas que el proceso de selección compara realmente, y un prefijo más específico o una regla de política pueden decidir el resultado antes de que se consulten las métricas.

Incluye las sesiones obsoletas en el plan. Una conexión establecida por la ruta antigua puede seguir entregando comandos después del cambio de ruta, y esa es exactamente la situación en la que dos copias de una dirección hacen daño real. Cierra la ruta antigua explícitamente en lugar de esperar a que caduque.

Cierra el ciclo cuando la máquina se envía

Restaura la ruta remota prevista, retira los permisos temporales y confirma el activo en el extremo que crees seleccionado. Después verifica desde el lado del cliente y no solo desde el taller.

La resolución de nombres y el inventario hacen aquí el trabajo orientado al operador: un nombre estable y un registro de activo consultable hacen predecible la tarea mientras el plan de red se mantiene honesto sobre dónde está la máquina hoy.

La prueba de una buena entrega es que un colega que nunca ha visto el trabajo pueda leer tus notas y responder una pregunta: si esta máquina responde ahora, ¿por qué ruta llegó la respuesta? Si las notas no pueden responderlo, la entrega está documentada pero no terminada.