Migrearje fan in op PPP basearre VPN ôf sûnder syn oannames te kopiearjen

In VPN-migraasje is klear as de brûkers, bestimmingen, nammeresolúsje en it gedrach by falen noch altyd kloppe, net as de nije klant in grien ikoantsje toant. Alde op PPP basearre ynsetten drage oannames dy’t nea opskreaun binne: in dielde geheim dat ek de iennichste identiteitskontrôle wie, in fêst adrespul dat de brânmuorre op ‘e list fan tastiene hat, in DNS-efterheaksel dat de tsjinner stjoert. It protokol ferfange sûnder dy oannames te ynventarisearjen leveret in tunnel op dy’t de hânklop docht en in grins dy’t net bestiet. De trochgong hjirûnder is de folchoarder dy’t ik brûk, en de lêste stap is dejinge dy’t teams oerslaan.

Stap 1: ynventarisearje wat de âlde ferbining leveret

De ynventaris wurdt skreaun, net ûntholden. Skriuw de stipe klanten, de autentikaasjerollen, de adrespools, de beskerme netwurken, de DNS-easken en de tsjinsttastimmingen op dy’t elke brûkersgroep nedich hat.

Foar L2TP/IPsec moatst de twa lagen eksplisyt skiede. De identiteit fan ‘e IPsec-pear autentisearret de masines; PPP autentisearret de brûker, meastentiids mei CHAP of MSCHAPv2.

Yn dy skieding ferbergje âlde ynsetten har oannames. In foarôf dielde kaai dy’t elke klant dielt, autentisearret in groep ynstee fan in apparaat, en hy is faak it iennichste dat ea rotearre is. As it PPP-akkount de echte kontrôle per brûker is, sis dat, want de ferfanging moat dy kontrôle reprodusearje mei eat dat gjin dielde string is. Skriuw ek fêste boarneadressen en útsûnderings foar it lokale netwurk op, want dat binne de ôfhinklikheden dy’t nimmen dokumintearret oant se brekke.

Stap 2: ûntwerp de ferfanging mei opset

It kiezen fan ‘e ferfanging is in keppeling fan eask ta eask: in protokol en in ûnderhâlden klant dy’t de organisaasje stipet, wêrby’t elke identiteits- en tagongseask yn in echt meganisme bedellet. In dield geheim is net automatysk gelyk oan in kaai of sertifikaat per apparaat, en in PPP-akkount per brûker is net gelyk oan in apparaatsertifikaat.

Koördinearje adresberikken foar al it oare, want in ferfangend pul dat in thús- of kantoar-LAN oerlaapet, makket in fal dy’t neat mei sjifrekrêft te meitsjen hat. Kontrolearje it pul tsjin deselde list dy’tst foar de âlde tsjinst makke hast, plus wat de nije klant standert oannimt. Befêstigje it weromrûten foar de beskerme netwurken, en befêstigje dat de nije klant it DNS-efterheaksel stjoere of dokumintearje kin dat de âlde stjoerde. Dy twa punten feroarsaakje mear migraasjetickets as de protokolferoaring sels.

Stap 3: set it stadich yn en ferifiearje sawol tastean as wegerje

Set yn mei ien represintative brûker en ien represintative tapassing. Nim privee DNS-resolúsje yn ‘e test op, want in tunnel dy’t in adres berikt mar in ynterne namme net resolvje kin, is mar heal migrearre. Nim ek de ferwachte tastân fan ûnbeskikberens op: wat barre moat as de tunnel falt, en oft de klant dat hanthavent.

Test dan in bestimming dy’t wegerre bleatstean moat. In brede tydlike tasteanregel kin de nije tunnel sûn lykje litte wylst er stilwei de autorisaasjegrins fuorthellet dy’t de âlde tsjinst hanthavene, en nimmen merkt it oant in audit. Fergelykje de resultaten fan tastean en wegerje neist elkoar, fan deselde klant, yn deselde sesje. Hâld de âlde tsjinst rinne oant beide kolommen by it ûntwerp passe.

Foardatst behearderstagong ferpleatst, befêstigje datst in autorisearre herstelpaad hast dat net fan ‘e tunnel ôfhinget dy’tst feroarest.

Stap 4: nim de âlde identiteit út tsjinst

De âlde identiteit goed út tsjinst nimme betsjut ferâldere brûkers en apparaatsbewizen weromlûke fia de tsjinst dy’t se hat, en dêrnei âlde profilen en listenerers fuorthelje as der gjin ôfhinklikheid mear oerbliuwt. It wiskjen fan in lokaal bestân lûkt gjin kopy earne oars werom, en in âlde listener dy’t it âlde dielde geheim noch akseptearret is in doar sûnder tafersjoch.

Dat punt is it wurdich om foar te fertsjenjen. In ôfdanke klantprofyl op in laptop is gjin weromlutsen bewiis; it bewiis libbet op ‘e tsjinner en bliuwt jildich oant de tsjinner ophâldt it te akseptearjen. Sjoch nei oare kopyen fan ‘e âlde konfiguraasje — testapparaten, in fergetten telefoan, in ynstallaasjeprogramma dat immen bewarre hat — en beskôgje it útsetten fan ‘e listener as it momint wêrop’t de âlde tsjinst echt einiget. Oant dan hat de migraasje twa foardoarren.

It akseptrekord is de ynventaris fan stap ien mei in kolom derby: wat it nije ûntwerp foar elke rige docht, en hoe’tst it ferifiearre hast. Dat makket fan in protokoloerwurking in tsjinst eask mei bewiis.

Hâld de útkomst bûn oan wat de tsjinst nedich hat ynstee fan oan ‘e protokolnamme, want in moderne protokol mei de âlde oannames deryn kopyearre is itselde risiko mei in better ramt. RFC 3193 beskriuwt hoe’t L2TP oer IPsec droegen wurdt, wat in nuttige herinnering is dat de twa lagen altyd aparte besluten wiene. As de ynventaris in rige hat dy’tst net ferklearje kinst, stopje dan en sykje út wat dêrfan ôfhinget. De migraasje is klear as de list ferfelend is.