In masine fan it VPN nei de wurkpleats ferpleatse sûnder har te ferliezen

In masine ferlit in klantlokaasje, komt yn in wurkpleats oan en behâldt deselde asset-identiteit wylst har netwurklokaasje folslein feroaret. Trije betingsten bepale hoefolle planning dy ferpleatsing nedich hat. Oft de klant adressen werbrûkt dy't jo ek yntern brûke, oft it segmint fan 'e wurkpleats isolearre is fan personielsnetwurken, en oft it âlde paad ûnderdrukt wurde kin ynstee fan allinnich oerwûn. Docht jo de earste ferkeard, dan debugge jo in masine dy't goed is.

Identiteit is gjin adres

Ynventaris en nammejouwing moatte it asset, de klant en de opdracht drage. It adres draacht wêr't de masine no oan ferbûn is, en dat is in feit dat feroaret as se ferpleatst wurdt. It fermingen fan beide jout de klassike flater om betsjutting yn sifers te lêzen.

In searjenûmer kodearre yn it lêste oktet fielt oarderlik en bewiist in router neat. Foarheaksel-lingten bepale wat in host as lokaal beskôget, en gjin hoemannichte fan tinkber nûmerjen feroaret dy rekkenjen.

As jo wolle dat it adres nei de klant hintet, is dat in konvinsje, en konvinsjes binne goed salang't nimmen der belied op bout. Sykje it asset yn it ynventaris, net it adres, en de ferpleatsing nei de wurkpleats hâldt op in skatssyktocht te wêzen. It oerlibbet ek de weromnummering dy't úteinlik op elk lokaasje komt.

In searjenûmer is gjin foarheaksel-lingte

Apparaten dy't in breed masker brûke lykas 10.0.0.0/8 behannelje elk adres yn dat berik as streekrjocht ferbûn, dus ferkear nei de masine fan in klant twa netwurken fierder berikt nea in router. De masine stjoert gewoan in útsending foar in buorman dy't net antwurdzje kin.

RFC 4632 definiearret foarheaksels op lingte, net op wat de stipbere sifers suggerearje. Jo plan hat eksplisite lingten nedich foar elke oanslútgroep: in tsjinstsegmint, in klantkontekst, in wurkbank. It earst beneamen fan dy groepen makket de lingten fanselssprekkend.

De praktykse regel is it lytste foarheaksel te ûntwerpen dat ien oanslútgroep dekt en it oeral yn dy groep te brûken. Adrestekst is foar minsken; it masker is dêr't de kearn op hannelet.

As twa klanten deselde adressen werbrûke

Klant A en Klant B kinne beide 192.168.10.0/24 driuwe, en beide sille gelyk hawwe yn har eigen gebouwen. Dat is gjin probleem dat oplost wurdt troch de ynstallaasje fan in oar werom te nummerjen.

Hâld de konteksten skieden, of foarsjoch bewuste aliassen fia in ûntwerp dat dokumintearret hokker adres by hokker klant heart op hokker momint. In globaal ynventaris is it juste ark om de masines útinoar te hâlden; it is gjin bewiis dat de adressen globaal unyk binne. It aliaspaad hat in skreaune ferfaldatumregel nedich, oars oerlibbet it de opdracht dy't it makke hat.

Wat jo foarkomme moatte, is beide konteksten tagelyk berikber te hawwen sûnder in marker. Twa identike adressen op twa libbene paden is de flatermodus dy't in firmware-update nei de ferkearde masine stjoert. It symptoom liket selden op in flater; it liket op in apparaat dat immen oars opnij konfigurearre hat. Earst marker, dan berikberens.

Jou de wurkpleats har eigen grins

Klantapparatuer dy't foar tsjinst oankomt, heart yn in tsjinstsegmint mei eksplisyt tastiene tagong, net yn in personielsnetwurk stutsen om't in bankpoarte frij wie.

Behannelje in ûnbekend yndustryapparaat as in oar fertrouwensdomein. Registrearje hokker engineering-host it berikke mei, hokker tsjinsten dy host nedich hat en hokker bewizen by de opdracht hearre. Hâld de bestannen fan de klant by de opdracht fan de klant ynstee fan op in dielde skiif dy't elkenien lêze kin.

De isolaasje moat ek it ferfeelsume midden fan 'e opdracht oerlibje: wylst se bywurke wurdt, wylst se de nacht stiet en wylst se op in koerier wachtet.

Oerhandigje de rûte as in wurkstap

Normaal berikt de sintrale router de masine troch de tunnel fan de klant. As de masine op 'e bank stiet, wurdt it paad fan de wurkpleats eigner fan dat foarheaksel, of fan in smeller bestimming as jo mar ien tsjinst nedich hawwe.

Skriuw trije dingen foar de ferpleatsing op: it âlde paad, it nije paad en hoe't de feroaring weromdraaid wurdt. In oerhandiging dy't allinnich yn immens ûnthâld bestiet, is gjin oerhandiging.

Wês foarsichtich mei metriken. In legere metryk jildt allinnich ûnder rûtes dy't it seleksjeproses wier ferliket, en in mear spesifyk foarheaksel of in beliedsregel kin de útkomst beslisse foardat metriken sels rieplachte wurde.

Nim ferâldere sessys op yn it plan. In ferbining dy't oer it âlde paad oprjochte is, kin opdrachten bliuwe leverjen neidat de rûte feroare is, en dat is krekt de situaasje wêryn't twa kopyen fan ien adres echte skea dogge. Slút it âlde paad eksplisyt ynstee fan te wachtsjen oant it ferrint.

Slút de sirkel as de masine ferstjoerd wurdt

Stel de bedoelde fiere rûte werom, ferwiderje de tydlike tastimmingen en befêstigje it asset by it einpunt dat jo leauwe dat selektearre is. Ferifiearje dan fan de klantkant ynstee fan allinnich út de wurkpleats.

Nammebesolve en ynventaris dogge hjir it operatorrjochte wurk: in stabile namme en in trochsykbere asset-registraasje meitsje de taak foarsisber wylst it netwurkplan earlik bliuwt oer wêr't de masine hjoed is.

De test fan in goede oerhandiging is dat in kollega dy't de opdracht nea sjoen hat, jo notysjes lêze kin en ien fraach beantwurdzje: as dizze masine no antwurdet, hokker paad kaam it antwurd wei? As de notysjes dat net beantwurdzje kinne, is de oerhandiging dokumintearre mar net ôfmakke.