Masina viimine VPN-ist töökotta ilma seda kaotamata

Masin lahkub kliendi objektilt, jõuab töökotta ja säilitab sama vara identiteedi, kuigi selle võrgukoht muutub täielikult. Kolm tingimust otsustavad, kui palju planeerimist see ümberpaigutamine nõuab. Kas klient kasutab uuesti aadresse, mida ka teie sisemiselt kasutate, kas töökoja segment on personali võrkudest isoleeritud ja kas vana tee saab alla suruda, mitte ainult üle trumpida. Kui esimesega eksida, siis silute masinat, millega on kõik korras.

Identiteet ei ole aadress

Inventar ja nimetamine peaksid kandma vara, klienti ja tööd. Aadress kannab seda, kuhu masin praegu ühendatud on, ja see on fakt, mis liikumisel muutub. Kahe segamine tekitab klassikalise vea lugeda numbritesse tähendust.

Viimases oktetis kodeeritud seerianumber tundub korrapärane ja ei tõesta ruuterile midagi. Prefiksi pikkused otsustavad, mida host peab kohalikuks, ja ükski meeldejääv numeratsioon seda aritmeetikat ei muuda.

Kui tahate, et aadress vihjaks kliendile, on see kokkulepe, ja kokkulepped on head seni, kuni keegi ei ehita neile poliitikat. Otsige inventarist vara, mitte aadressi, ja töökotta viimine lakkab olemast aardejahi. See peab vastu ka ümbernummerdamisele, mis varem või hiljem iga objektini jõuab.

Seerianumber ei ole prefiksi pikkus

Laiat maski nagu 10.0.0.0/8 kasutavad seadmed käsitlevad iga aadressi selles vahemikus otseühendatuna, nii et liiklus kliendi masinani kahe võrgu kaugusel ei jõua üldse ruuterini. Masin lihtsalt saadab ringhäälinguga päringu naabri järele, kes ei saa vastata.

RFC 4632 määratleb prefiksid pikkuse järgi, mitte selle järgi, mida punktiga eraldatud numbrid vihjavad. Teie plaan vajab iga ühendusgrupi jaoks selgesõnalisi pikkusi: teenindussegment, kliendikontekst, töökoja pink. Nende gruppide esmalt nimetamine teeb pikkused ilmsiks.

Praktiline reegel on kujundada väikseim prefiks, mis katab ühe ühendusgrupi, ja kasutada seda kõikjal selles grupis. Aadressi tekst on inimestele; mask on see, mille järgi tuum tegutseb.

Kui kaks klienti kasutavad samu aadresse uuesti

Klient A ja klient B võivad mõlemad käitada 192.168.10.0/24 ja mõlemad on oma hoonetes õigel teel. See ei ole probleem, mida lahendada kellegi teise tehase ümbernummerdamisega.

Hoidke kontekstid eraldi või pakkuge sihilikke aliaseid disaini kaudu, mis dokumenteerib, milline aadress kuulub millisele kliendile millisel hetkel. Globaalne inventar on õige tööriist masinate eristamiseks; see ei ole tõestus, et aadressid on globaalselt unikaalsed. Aliase tee vajab kirjalikku aegumisreeglit, muidu elab see kauem kui töö, mis selle lõi.

Mida tuleb vältida, on mõlema konteksti korraga kättesaadavus ilma ühegi markerita. Kaks identset aadressi kahel elaval teel on tõrkerežiim, mis saadab püsivara uuenduse valesse masinasse. Sümptom näeb harva välja nagu viga; see näeb välja nagu seade, mille keegi teine on ümber seadistanud. Kõigepealt marker, siis kättesaadavus.

Andke töökojale oma piir

Hoolduseks saabuv kliendiseade kuulub teenindussegmenti selgesõnaliselt lubatud juurdepääsuga, mitte pistikupesa vaba oleku tõttu personali võrku.

Kohelge tundmatut tööstusseadet kui teist usaldusdomeeni. Kirjutage üles, milline insenerihost tohib selle juurde pääseda, milliseid teenuseid see host vajab ja millised volitused kuuluvad töö juurde. Hoidke kliendi failid kliendi töö juures, mitte jagatud kettal, mida kõik saavad lugeda.

Isoleeritus peab vastu pidama ka töö igavas keskosas: uuendamise ajal, üleöö seismise ajal ja kullerit oodates.

Andke marsruut üle töösammuna

Tavaliselt jõuab keskruuter masinani kliendi tunnelit mööda. Kui masin on pingil, saab töökoja tee selle prefiksi või kitsama sihtkoha omanikuks, kui vajate ainult ühte teenust.

Kirjutage enne ümberpaigutamist üles kolm asja: vana tee, uus tee ja kuidas muudatus tagasi pööratakse. Üleandmine, mis on ainult kellegi mälus, ei ole üleandmine.

Olge mõõdikutega ettevaatlik. Madalam mõõdik loeb ainult marsruutide seas, mida valikuprotsess tegelikult võrdleb, ja spetsiifilisem prefiks või poliitikareegel võib tulemuse otsustada enne, kui mõõdikuid üldse vaadatakse.

Lisage plaani aegunud sessioonid. Vanale teele loodud ühendus võib pärast marsruudi muutumist edasi käske toimetada ja täpselt selles olukorras teevad ühe aadressi kaks koopiat tõelist kahju. Sulgege vana tee selgesõnaliselt, selle asemel et oodata selle aegumist.

Sulgege ring, kui masin teele saadetakse

Taastage kavandatud kaugmarsruut, eemaldage ajutised load ja kinnitage vara lõpp-punktis, mille arvate olevat valitud. Seejärel kontrollige kliendi poolelt, mitte ainult töökojast.

Nimelahendus ja inventar teevad siin operaatorile suunatud tööd: stabiilne nimi ja otsitav vara kirje muudavad ülesande prognoositavaks, samal ajal kui võrguplaan jääb ausaks selle kohta, kus masin täna on.

Hea üleandmise proov on see, et kolleeg, kes pole tööd kunagi näinud, suudab teie märkmeid lugeda ja vastata ühele küsimusele: kui see masin nüüd vastab, siis milliselt teelt vastus tuli? Kui märkmed sellele vastata ei suuda, on üleandmine dokumenteeritud, kuid mitte lõpetatud.