Vaihda operaattoria numeroimatta sivuston VPN-osoitteita uudelleen

Haaratoimisto vaihtaa internetoperaattoria ja tiedostopalvelin pitää osoitteensa. Tulos on normaali reititetyssä sivuston VPN:ssä ja yllättävä jokaiselle, joka olettaa tunnelin päätepisteen osoitteen olevan sovelluksen osoite. Ne elävät suunnittelun eri kerroksissa, ja vain toinen liikkui. Niiden kohteleminen yhtenä on tapa, jolla operaattorivaihdosta tulee uudelleennumeroinnin projekti.

Kaksi osoitesuunnitelmaa, jotka liikkuvat itsenäisesti

Sisäinen suunnitelma kuvaa yksityiset osoitteet, joita sovellukset käyttävät: haaratoimiston palvelin osoitteessa 10.55.8.20, pääkonttorin etuliite, joka reitittää sinne, ja paluureitti. Ulkoinen suunnitelma kuvaa, miten kaksi yhdyskäytävää tavoittaa toisensa: vertaisosoitteet, kuunteluportit ja reitti internetin halki.

Operaattorivaihdos koskettaa ulkoista suunnitelmaa. Se ei sinänsä vaadi sisäisen suunnitelman muuttamista.

Kahden luettelon pitäminen erillään on käytännön syy ajaa overlay-kerrosta, vaikka sovellus jo salaisi oman liikenteensä. Overlay antaa vakaan sisäisen topologian, joka kestää ulkoiset muutokset. Sovellus säilyttää osoitteensa, palomuurisääntönsä ja DNS-tietueensa. Vain siirtotietueet muuttuvat, ja se on paljon pienempi katselmointi.

Ulompi tunneli kuljettaa sisempää keskustelua

Yhdyskäytävä-yhdyskäytävä-tunnelissa ulompi IP-otsake osoittaa kaksi yhdyskäytävää. Sisempi otsake nimeää edelleen sovelluksen todelliset päätepisteet. RFC 7296:n yhdyskäytävä-yhdyskäytävä-kuvaus käsittelee tätä tavallisena reitityksenä, joka toimittaa liikennettä tunnelin päätepisteiden kautta.

Siksi haaratoimiston palvelin voi pitää osoitteen 10.55.8.20, vaikka yhdyskäytävän julkinen osoite muuttuu. Sisempi paketti ei sisällä operaattorin osoitetta lainkaan.

Erottelu on suunnitteluominaisuus, ei automaattinen tae. Jos korvaava uplink ei pysty muodostamaan tuettua tunnelia tai sisäisiä reittejä ei asenneta uudelleen, sovellus menettää polkunsa, vaikka sen osoite pysyy samana.

Operaattorisiirrolla on silti tarkistuslista

Ulkoisessa tarkistuslistassa on viisi kohtaa: vertaisosoite tai ylläpidetty nimi, kuuntelija ja mahdollinen ylävirran suodatus, käännös polulla, odotettu vertaisidentiteetti ja toisen yhdyskäytävän sallitut asetukset. Jokainen voi epäonnistua itsenäisesti. Pidä erillinen palautumispolku, kun vaihdat hallintaa kantavaa linkkiä. Etäkäytön katkaiseminen uplink-siirtymän aikana on katkos, jonka aiheutit itse.

Tarkista sen jälkeen haaratoimiston etuliite, reitti molempiin suuntiin, suojauskäytäntö ja yksi todellinen sovellusvirta. Juuri todennettu tunneli ei korjaa reittiä, joka osoittaa vanhaan yksityiseen aliverkkoon.

Osoitteiden päällekkäisyys toisen liitetyn sivuston kanssa on erillinen suunnitteluongelma. Operaattorivaihdos ei luo sitä, mutta migraatio on yleensä hetki, jolloin se tulee esiin.

Mikä ei säily: julkinen lähde ja istunnot

Vakaa yksityinen palvelinosoite ei ole vakaa julkinen lähde. Jos selailu poistuu suoraan uuden operaattorin kautta, verkkosivustot näkevät uuden operaattoriin päin olevan osoitteen.

Tämän osoitteen pitäminen vakaana vaatii harkitun lähtöliikenteen suunnittelun, jolla on oma saatavuus ja käytäntö. Se ei tule ilmaiseksi tunnelin mukana.

Myöskään muodostetut istunnot eivät kestä polun vaihtumista. Tunneli voi palautua sekunneissa ja silti katkaista pitkäikäiset yhteydet, jotka on kiinnitetty vanhaan polkuun. Suunnittele siirtymä ikkunaan, jossa uudelleenyhdistäminen on hyväksyttävää. Älä väitä migraation olevan näkymätön, ellet ole testannut kyseisiä asiakkaita ja niiden aikakatkaisuja.

Vahvista siirto neljällä tarkistuksella

Tarkista muutoksen jälkeen neljä asiaa järjestyksessä: tunneli on muodostettu aiottuun vertaiseen, sisäinen reitti haaratoimiston etuliitteeseen on olemassa, käytäntö sallii sovellusvirran ja sovellus vastaa. Jokaisella on oma komentonsa.

Linux-yhdyskäytävässä nämä kolme kattavat luettelon keskiosan:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Pidä siirtoosoitteet yhdessä luettelossa ja sovellusosoitteet toisessa. Päivitä vain ne tietueet, jotka todella siirtyivät. Sisäisten riippuvuuksien uudelleennumerointi siksi, että tunnelin ulompi osoite muuttui, on vältettävissä olevaa työtä.