OpenVPN-i viimine TAP-ilt TUN-ile: migratsioonijärjekord, mis töötab

dev tap asendamine dev tun-iga muudab seda, mida tunnel kannab, mitte ainult selle nime. TAP-liides annab Etherneti kaadrid sillale, nii et kliendid käituvad nii, nagu oleksid kontori kommutaatorisse ühendatud. TUN-liides kannab IP-pakette, nii et kliendid vajavad marsruute ja vastaspool vajab tagasiteed. Kliendid, aadressiplaan ja kohtvõrgu tagasitee peavad kõik selle muutusega kaasa liikuma.

Migratsioon on võrgu ümberkujundus koos külge kinnitatud tunneliga ja allolev järjekord hoiab selle pööratavana.

Kaardistage, mis tegelikult Ethernetist sõltub

Loetlege rakendused, mitte hostid. Tehke kindlaks, kas igaüks kasutab marsruuditud TCP- või UDP-teenuseid, ringhäälingupõhist avastamist, kontori kohtvõrgu DHCP-d, mitte-IP Etherneti protokolli või eeldust, et mõlemad otsad on samas alamvõrgus. Tavaline IP-pääs peab marsruuditud lahendusele vastu. Protokoll, mis vajab tooreid Etherneti kaadreid, ei pea, ja miski marsruutimine ei pane seda tööle. Avastamisest sõltuvad rakendused vajavad asendusmehhanismi, mis otsustatakse enne üleminekut, mitte selle ajal.

See kaardistus on ka vastuvõtunimekiri. Iga kirje, mida te ei saa migreerida, muutub dokumenteeritud erandiks või põhjuseks hoida väike TAP-segment elus ainult selle töökoormuse jaoks.

Koostage aadressi- ja tagasiteeplaan

Valige kliendi prefiks, mis ei kattu kohtvõrgu, vana silla vahemiku ega ühegi võrguga, kuhu klient juba jõuab.dev tun, topology subnet ja server 10.78.0.0 255.255.255.0, kuid see on fragment, mitte töötav profiil. Hoidke selle ümber kinnitatud TLS-, identiteedi-, transpordi- ja juurdepääsupoliitikat ning kasutage prefiksit, mille olete kontrollinud vabana.

Seejärel kirjutage üles sihtkohad, kuhu kliendid peavad jõudma, ja kes tagab tagasitee. Server vajab sisselülitatud edastust ja lubatud edasist teed. Kohtvõrgu ruuterid vajavad marsruudi tagasi uude prefiksisse, või vajab lahendus lähtetõlget koos sellega kaasneva nähtavuskuluga. Kliendi konfiguratsiooni lükatud marsruut seadistab klienti, mitte kohtvõrgu vastusteed.

Katsetage eraldi kuulajal

Pange uus teenus vana kõrvale omaenda pordile ja omaenda aadressivahemikku, selle asemel et asendada ainus töötav sissepääs. Andke katsetööprofiilid välja olemasoleva registreerimisprotsessi kaudu, et keegi ei ehitaks migratsiooni pärast CA-d uuesti. Ühendage üks esinduslik klient, kus on aktiivne ainult katsetee, ja võrrelge seejärel määratud aadresse, privaatset DNS-i, kaardistuse rakendusi ja teid, mis peaksid blokeerituks jääma.

Lisage taasühenduse ja tagasiliikluse test. Lõpule viidud käepigistus ei ütle midagi selle kohta, kas vastaspool suudab vastata.

Liigutage kliente rühmade kaupa koos tagasipööramisega

Migreerige rühmades, mis on piisavalt väikesed, et tõrge oleks tugiülesanne, mitte katkestus. Hoidke vana teenus töös ja dokumenteerituna, kuni iga rühma tegelikud töövood läbivad, ja kirjutage tagasipööramine eelmisele profiilile naasmiseks, mitte ülesehitamiseks. Uuendage aadressipõhiseid tulemüürireegleid, seiret ja kõiki serveri algatatud juurdepääsu uue prefiksi jaoks iga rühma liikumisel.

Rühmad annavad teile ka koha avastada rakendus, mida keegi ei maininud, samal ajal kui vana tee on endiselt võrdlemiseks olemas.

Võtke sild rivist välja alles pärast vastuvõttu

TAP-seadme eemaldamine on viimane samm, mitte esimene. Kontrollige, kas sild kannab endiselt serveri haldusaadressi, seireteed või seostamata töökoormust, enne kui midagi kustutate. Võtke käivitussõltuvused, sillaliikmelisus ja DHCP-reserveeringud nende omanike kaudu rivist välja selles järjekorras, märkides, mis eemaldati.

Migratsioon on lõpetatud siis, kui marsruuditud juurdepääsumudel töötab kaardistuse jaoks, mitte siis, kui TAP-liides kaob väljundist ip link.