Aldatu ISP gunearen VPN helbideak berriz zenbatu gabe
Gune VPN bideratuak helbide pribatuak mantentzen ditu esteka aldatzean, baina parearen helbideak, identitateak eta itzulera-bideak lan egin behar dute oraindik. Hona hemen banaketa.
Adar batek interneteko hornitzailea aldatzen du, eta fitxategi-zerbitzariak bere helbidea mantentzen du. Emaitza hori normala da gune VPN bideratu batean, eta harrigarria tunelaren mutur-puntuaren helbidea aplikazioaren helbidea dela uste duenarentzat. Biak diseinuaren geruza desberdinetan bizi dira, eta bakarra mugitu da. Biak bat balira bezala tratatzea da hornitzaile-migrazioa berriz zenbatzeko proiektu bihurtzen duena.
Modu independentean mugitzen diren bi helbide-plan
Barne-planak aplikazioek erabiltzen dituzten helbide pribatuak deskribatzen ditu: adarraren zerbitzaria 10.55.8.20 helbidean, hara bideratzen duen egoitza nagusiko aurrizkia eta itzulera-bidea. Kanpoko planak bi atakak nola iristen diren elkarrengana deskribatzen du: pareen helbideak, entzuteko portuak eta interneteko bidea.
Hornitzaile-aldaketak kanpoko plana ukitzen du. Bere horretan ez du barne-plana aldatzea eskatzen.
Bi inbentarioak bereizita edukitzea gainjartze bat exekutatzeko arrazoi praktikoa da, aplikazioak jada bere trafikoa zifratzen duenean ere. Gainjartzeak barne-topologia egonkorra ematen dizu, kanpoko aldaketak gainditzen dituena. Aplikazioak bere helbidea, suebaki-arauak eta DNS erregistroak mantentzen ditu. Garraio-sarrerak bakarrik aldatzen dira, eta hori askoz berrikusketa txikiagoa da.
Kanpoko tunelak barne-elkarrizketa eramaten du
Ataka-ataka tunel batean, kanpoko IP goiburuak bi atakak helbideratzen ditu. Barne-goiburuak aplikazioaren benetako mutur-puntuak izendatzen jarraitzen du. RFC 7296ren ataka-ataka deskribapenak bideratze arrunt gisa tratatzen du hori, trafikoa tunelaren mutur-puntuen bidez ematen duena.
Horregatik adarraren zerbitzariak 10.55.8.20 mantendu dezake atakaren helbide publikoa aldatzen den bitartean. Barne-paketeak ez du hornitzailearen helbidea batere jasotzen.
Bereizketa diseinu-ezaugarri bat da, ez berme automatikoa. Ordezko estekak onartutako tunela ezartzen ez badu, edo barne-bideak berriz instalatzen ez badira, aplikazioak bere bidea galtzen du helbidea aldatu ez bada ere.
Hornitzailearen lekualdaketak kontrol-zerrenda bat du oraindik
Kanpoko kontrol-zerrendak bost sarrera ditu: parearen helbidea edo mantentzen den izena, entzulea eta edozein iragazte gorago, bidean zeharkako itzulpena, parearen espero den identitatea eta beste atakaren baimendutako ezarpenak. Bakoitzak bere aldetik huts egin dezake. Mantendu berreskuratze-bide bereizi bat administrazioa daraman esteka aldatzen duzun bitartean. Urrutiko sarbidea moztea esteka-aldaketaren erdian zuok sortutako etena da.
Horren ondoren, egiaztatu adarraren aurrizkia, bidea bi norabideetan, babes-politika eta aplikazio-fluxu erreal bat. Autentifikatu berri den tunel batek ez du konpontzen azpi-sare pribatu zaharrera doan bidea.
Beste gune konektatu batekin helbideen gainjartzea plangintza-arazo bereizia da. Hornitzaile-aldaketak ez du sortzen, baina migrazioa izaten da normalean agerian geratzen den unea.
Zerk ez du irauten: iturri publikoa eta saioak
Zerbitzariaren helbide pribatu egonkorra ez da iturri publiko egonkorra. Nabigazioa hornitzaile berritik zuzenean irteten bada, webguneek hornitzaileari begira dagoen helbide berria ikusten dute.
Helbide hori egonkor mantentzeak irteera-diseinu deliberatua behar du, bere erabilgarritasun eta politika propioekin. Ez da tunelarekin doan etortzen.
Ezarritako saioak ere ez dira bide-aldaketa batetik ateratzen. Tunelak segundo batzuetan berrezar daiteke eta, hala ere, bide zaharrarekin lotuta dauden konexio luzeak hautsi. Planifikatu aldaketa berrikonektatzea onargarria den leiho batean. Ez esan migrazioa ikusezina izango denik bezero zehatzak eta haien denbora-mugak probatu ez badira.
Egiaztatu lekualdaketa lau egiaztapenekin
Aldaketaren ondoren, egiaztatu lau gauza hurrenez hurren: tunela aurreikusitako parearekin ezarri da, adarraren aurrizkirako barne-bidea existitzen da, politikak aplikazio-fluxua onartzen du eta aplikazioak erantzuten du. Bakoitzak bere komandoa du.
Linux ataka batean, hiru hauek zerrenda horren erdia estaltzen dute:
ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/healthMantendu garraio-helbideak inbentario batean eta aplikazio-helbideak bestean. Eguneratu benetan mugitu diren sarrerak soilik. Barne-mendekotasunak berriz zenbatzea tunelaren kanpoko helbidea aldatu delako saihesteko moduko lana da.