OpenVPN fan TAP nei TUN ferpleatse: in migraasjefolchoarder dy't wurket

It ferfangen fan dev tap troch dev tun feroaret wat de tunnel draacht, net allinnich hoe't er hjit. In TAP-ynterface jout Ethernet-frames oan in brêge, sadat kliïnten har hâlde as wiene se yn 'e kantoarswitch stutsen. In TUN-ynterface draacht IP-pakketten, sadat kliïnten rûtes nedich hawwe en de oare kant in paad werom. De kliïnten, it adresplan en de weromrûte fan it LAN moatte allegear mei dy feroaring ferfarre.

De migraasje is in nij ûntwerp fan it netwurk mei in tunnel derby, en de folchoarder hjirûnder hâldt it omkearber.

Ynventarisearje wat echt fan Ethernet ôfhinget

List de applikaasjes op, net de hosts. Bepaal oft elk rûtearre TCP- of UDP-tsjinsten, broadcast-ûntdekking, DHCP fan it kantoar-LAN, in Ethernet-protokol dat gjin IP is, of de oanname brûkt dat beide einen yn itselde subnet sitte. Gewoane IP-tagong oerlibbet in rûtearre ûntwerp. In protokol dat rauwe Ethernet-frames nedich hat net, en gjin hoemannichte routing sil it wurkje litte. Applikaasjes dy't fan ûntdekking ôfhingje hawwe in ferfangingsmeganisme nedich dat foar de oerstap besletten wurdt, net ûnderweis.

Dy ynventaris is ek de akseptaasjelist. Elk item dat jo net migrearje kinne, wurdt in dokumintearre útsûndering of in reden om in lyts TAP-segment allinnich foar dy wurklast libben te hâlden.

Bou it adres- en weromrûteplan

Kies in kliïntprefiks dat net oerlapet mei it LAN, it âlde berik fan 'e brêge of in netwurk dat in kliïnt al berikt.dev tun, topology subnet en server 10.78.0.0 255.255.255.0, mar dat is in fragmint, net in wurkjend profyl. Hâld it goedkarde TLS-, identiteits-, ferfiers- en tagongbelied deromhinne en brûk in prefiks dat jo as frij ferifiearre hawwe.

Skriuw dan de bestimmingen op dy't kliïnten berikke moatte en wa't it paad werom leveret. De server hat oansette trochstjoering en in tastien paad foarút nedich. LAN-routers hawwe in rûte werom nei it nije prefiks nedich, of it ûntwerp hat boarnetranslaasje nedich mei de sichtberenskosten dy't dat meibringt. In rûte dy't nei de kliïntkonfiguraasje skood wurdt, konfigurearret de kliïnt, net it antwurdpaad fan it LAN.

Test op in aparte listener

Set de nije tsjinst njonken de âlde op mei eigen poarte en eigen adresberik, ynstee fan it iennichste wurkjende yngongspunt te ferfangen. Jou testprofylen út fia it besteande registraasjeproses sadat nimmen de CA op 'e nij bout foar in migraasje. Ferbyn ien represintative kliïnt mei allinnich it testpaad aktyf, en fergelykje dan tawiisde adressen, privee DNS, de applikaasjes út 'e ynventaris en de paden dy't blokkearre bliuwe moatte.

Nim in werferbining en in weromferkearstest op. In hânjaan dat foltôget, seit neat oer oft de oare kant antwurdzje kin.

Ferpleats kliïnten yn groepen mei in weromrôl

Migrearje yn groepen dy't lyts genôch binne dat in flater in stiptearderij is en gjin útfal. Hâld de âlde tsjinst rinnende en dokumintearre oant de echte wurkstreamen fan elke groep slagje, en skriuw de weromrôl as in werom skeakeljen nei it foarige profyl, net as in weropbou. Wurkje adresbasearre firewallregels, monitoring en alle troch de server begûn tagong by foar it nije prefiks wylst elke groep ferfart.

Groepen jouwe jo ek in plak om de applikaasje te ûntdekken dy't nimmen neamde, wylst it âlde paad noch bestiet om mei te fergelykjen.

Hef de brêge pas op nei akseptaasje

It fuortheljen fan it TAP-apparaat is de lêste stap, net de earste. Kontrolearje oft de brêge noch it behearadres fan de server, in monitoringspaad of in net-relatearre wurklast draacht foardat jo eat wiskje. Hef opstartôfhinklikheden, brêgelidmaatskip en DHCP-reservaasjes fia har eigeners op, yn dy folchoarder, mei in notysje fan wat fuorthelle is.

De migraasje is klear as it rûtearre tagongsmodel foar de ynventaris wurket, net as in TAP-ynterface ferdwynt út de útfier fan ip link.