Feroarje fan provider sûnder de VPN-adressen fan 'e side om te nûmerjen
In rûte side-VPN hâldt privee-adressen as de uplink feroaret, mar it pearadres, de identiteit en it werompaad freegje noch wurk. Hjir is de splitsing.
In filiaal feroaret fan ynternetprovider, en de bestânsserver hâldt syn adres. Dat resultaat is normaal yn in rûte side-VPN en ferrassend foar elkenien dy't oannimt dat it einpuntadres fan 'e tunnel it adres fan 'e applikaasje is. De twa libje yn ferskillende lagen fan it ûntwerp, en mar ien fan harren ferhuze. Se as ien behannelje is hoe 't in providermigraasje in fernûmeringsprojekt wurdt.
Twa adresplannen dy't ûnôfhinklik bewege
It binnenplan beskriuwt de privee-adressen dy't applikaasjes brûke: de filiaalserver op 10.55.8.20, it prefiks fan it haadkantoar dat dêr hinne rûtet, en it werompaad. It bûtenplan beskriuwt hoe 't twa poarten elkoar berikke: pearadressen, harkpoarten en it paad oer it ynternet.
In providerferoaring rekket it bûtenplan. It freget op himsels net dat it binnenplan feroaret.
De twa ynventarissen skieden hâlde is de praktyske reden om in oerlaach te draaien sels as de applikaasje har eigen ferkear al fersiferet. De oerlaach jout jo in stabile binnen-topology dy't bûtenferoarings oerlibbet. De applikaasje hâldt har adres, har firewallregels en har DNS-records. Allinnich de transportrecords feroarje, en dat is in folle lytsere beoardieling.
De bûtentunnel draacht it binnepetear
Yn in poarte-oan-poarte-tunnel adressearret de bûtenste IP-kop de twa poarten. De binnenste kop neamt noch hieltyd de wiere einpunten fan 'e applikaasje. De poarte-oan-poarte-beskriuwing yn RFC 7296 behannelet dit as gewoane rûtering dy't ferkear troch tunnel-einpunten leveret.
Dêrom kin de filiaalserver 10.55.8.20 hâlde wylst it publike adres fan 'e poarte feroaret. It binnenste pakket befettet hielendal gjin adres fan 'e provider.
De skieding is in ûntwerpeigenskip, net in automatyske garânsje. As de ferfangende uplink de stipe tunnel net opsette kin, of de binnenrûtes net opnij ynstallearre wurde, ferliest de applikaasje har paad ek al is har adres net feroare.
De providerferhuzing hat noch hieltyd in checklist
De bûtenchecklist hat fiif items: it pearadres of de ûnderhâlden namme, de harker en alle filtering streamop, de oersetting op it paad, de ferwachte pearidentiteit en de tastiene ynstellings fan 'e oare poarte. Elk kin op himsels misse. Hâld in apart werstelpaad wylst jo de keppeling feroarje dy't behear draacht. Remote tagong ôfsnije by in uplink-oergong is in steuring dy't jo sels feroarsake hawwe.
Kontrolearje dêrnei it filiaalprefiks, it paad yn beide rjochtings, it beskermingsbelied en ien wier applikaasjefloei. In krekt autentisearre tunnel reparearret gjin paad dat nei it âlde privee subnet wiist.
Adresoerlaap mei in oare ferbûne side is in apart planningsprobleem. De providerferoaring makket it net, mar in migraasje is meastentiids it momint dat it boppe komt.
Wat net oerlibbet: publike boarne en sesjes
In stabyl privee serveradres is gjin stabile publike boarne. As sneupe direkt troch de nije provider útgiet, sjogge websiden it nije adres dat nei de provider ta stiet.
Dat adres stabyl hâlde freget in bewust útgongsûntwerp mei syn eigen beskikberens en belied. It komt net fergees mei de tunnel.
Fêstige sesjes oerlibje in paadferoaring ek net. De tunnel kin him binnen sekonden wer opbouwe en dochs langduorjende ferbiningen brekke dy't oan it âlde paad fêstset binne. Plan de oergong foar in finster wêryn 't werferbinen akseptabel is. Bewearje net dat in migraasje ûnsichtber wêze sil, útsein as de konkrete klanten en har time-outs test binne.
Ferifiearje de ferhuzing mei fjouwer kontrôles
Ferifiearje nei de feroaring fjouwer dingen yn folchoarder: de tunnel is oplutsen mei de bedoelde pear, de binnenrûte nei it filiaalprefiks bestiet, it belied tastiet de applikaasjefloei en de applikaasje antwurdet. Elk hat syn eigen kommando.
Op in Linux-poarte dekke dizze trije it midden fan dy list:
ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/healthHâld transportadressen yn ien ynventaris en applikaasjeadressen yn in oare. Wurkje allinnich de items by dy't wier ferhuze binne. Binnenôfhinklikheden fernûmerje om't it bûtenadres fan 'e tunnel feroare is, is te foarkommen wurk.