PPPn oinarritutako VPN batetik alde egitea bere suposizioak kopiatu gabe

VPN migrazio bat amaituta dago erabiltzaileak, helmugak, izenen ebazpena eta hutsegiteen portaera oraindik zuzenak direnean, ez denean bezero berriak ikono berdea erakusten duenean. PPPn oinarritutako inplementazio zaharrek inoiz idatzi ez ziren suposizioak daramatzate: identitate-egiaztapen bakarra ere bazen sekretu partekatu bat, suebakiak baimenduen zerrendan duen helbide multzo finko bat, zerbitzariak bultzatzen duen DNS atzizki bat. Protokoloa ordezkatzeak suposizio horien inbentarioa egin gabe esku-ematea egiten duen tunel bat eta existitzen ez den muga bat sortzen ditu. Beheko ibilbidea nik erabiltzen dudan ordena da, eta azken urratsa taldeek saltatzen dutena da.

1. urratsa: egin inbentarioa konexio zaharrak zer eskaintzen duen

Inbentarioa idatzi egiten da, ez gogoratu. Erregistratu onartutako bezeroak, autentifikazio-rolak, helbide multzoak, babestutako sareak, DNS baldintzak eta erabiltzaile-talde bakoitzak behar dituen zerbitzu-baimenak.

L2TP/IPsec protokolorako, bereizi bi geruzak modu esplizituan. IPsec parearen identitateak makinak autentifikatzen ditu; PPPk erabiltzailea autentifikatzen du, normalean CHAP edo MSCHAPv2 erabiliz.

Bereizketa horretan ezkutatzen dituzte inplementazio zaharrek beren suposizioak. Bezero guztiek partekatzen duten aurrez partekatutako gako batek talde bat autentifikatzen du, ez gailu bat, eta askotan inoiz biratu den gauza bakarra da. PPP kontua benetako erabiltzaile bakoitzeko kontrola bada, esan, ordezkapenak kontrol hori birsortu behar duelako kate partekatu bat ez den zerbait erabiliz. Ohartu iturri-helbide finkoak eta sare lokaleko salbuespenak ere, horiek direlako inork hautsi arte dokumentatzen ez dituen mendekotasunak.

2. urratsa: diseina ezazu ordezkapena nahita

Ordezkapena aukeratzea baldintza-baldintzako mapatze bat da: erakundeak onartzen dituen protokolo bat eta mantendutako bezero bat, identitate- eta sarbide-baldintza bakoitza mekanismo erreal batean lurreratuz. Sekretu partekatu bat ez da automatikoki gailu bakoitzeko gako edo ziurtagiri baten baliokide, eta erabiltzaile bakoitzeko PPP kontu bat ez da gailu ziurtagiri baten baliokide.

Koordina itzazu helbide-barrutiak beste edozer baino lehen, etxeko edo bulegoko LAN batekin gainjartzen den ordezkapen multzoak zifratzearen indarrarekin zerikusirik ez duen hutsegite bat sortzen duelako. Egiaztatu multzoa zerbitzu zaharrerako eraiki zenituen zerrenda beraren aurka, gehi bezero berriak lehenespenez suposatzen duena. Berretsi babestutako sareen atzera-bideratzea eta berretsi bezero berriak zaharrak bultzatzen zuen DNS atzizkia bultza edo dokumenta dezakeela. Bi elementu horiek protokolo-aldaketak berak baino migrazio-txartel gehiago eragiten dituzte.

3. urratsa: ezarri etapaka eta egiaztatu bai baimena bai ukoa

Ezarri erabiltzaile ordezkari batekin eta aplikazio ordezkari batekin. Sartu proban DNS ebazpen pribatua, helbide batera iristen den baina barne-izen bat ebatzi ezin duen tunel bat erdi migratua baino ez dagoelako. Sartu itxarondako erabilgaitasun-egoera ere: zer gertatu behar den tunela erortzen denean eta bezeroak hori betearazten duen.

Gero proba ezazu ukatuta jarraitu behar duen helmuga bat. Baimen-arau zabal eta behin-behineko batek tunel berria osasuntsu ikusarazi dezake, zerbitzu zaharrak betearazten zuen autorizazio-muga isilbidez kentzen duen bitartean, eta inork ez du konturatuko auditoria bat arte. Alderatu baimen- eta uko-emaitzak alboan, bezero beretik, saio berean. Mantendu zerbitzu zaharra martxan bi zutabeek diseinuarekin bat egin arte.

Administratzailearen sarbidea mugitu aurretik, berretsi aldatzen ari zaren tunelaren mendekoa ez den berreskuratze-bide baimendua duzula.

4. urratsa: erretira ezazu identitate zaharra

Identitate zaharra behar bezala erretiratzeak erabiltzaile zaharkituak eta gailu-kredentzialak haiek dituen zerbitzuaren bidez baliogabetzea esan nahi du, eta gero profil eta entzule zaharrak kentzea mendekotasunik geratzen ez denean. Fitxategi lokal bat ezabatzeak ez du beste nonbaiteko kopia bat baliogabetzen, eta oraindik sekretu partekatu zaharra onartzen duen entzule zaharra zaintzarik gabeko ate bat da.

Hori moteldu behar da puntu horretan. Gailu eramangarri batean deskonfiguratutako bezero-profil bat ez da kredentzial baliogabetua; kredentziala zerbitzarian bizi da eta baliozkoa izaten jarraitzen du zerbitzariak onartzeari uzten dion arte. Bilatu konfigurazio zaharraren beste kopia batzuk — proba-gailuak, ahaztutako telefono bat, norbaitek gordetako instalatzaile bat — eta tratatu entzulea itzaltzea zerbitzu zaharra benetan amaitzen den une gisa. Harik eta ordu arte, migrazioak bi ate nagusi ditu.

Onarpen-erregistroa lehen urratseko inbentarioa da, zutabe bat gehituz: diseinu berriak errenkada bakoitzeko zer egiten duen eta nola egiaztatu zenuen. Horrek protokolo-eguneratze bat zerbitzu-baldintza bilakatzen du frogak barne.

Mantendu emaitza zerbitzuak behar duenari lotuta, eta ez protokoloaren izenari, protokolo moderno bat suposizio zaharrak barrura kopiatuta arrisku bera delako marko hobearekin. RFC 3193 agiriak deskribatzen du nola eramaten den L2TP IPsec gainean, eta hori gogorarazpen erabilgarria da bi geruzak beti erabaki bereiziak izan zirela. Inbentarioan azaldu ezin duzun errenkada bat badago, gelditu eta jakin ezazu zer dagoen horren mende. Migrazioa amaituta dago zerrenda aspergarria denean.