Mover unha máquina da VPN ao obradoiro sen perdela

Unha máquina sae dunha sede do cliente, chega a un obradoiro e conserva a mesma identidade de activo mentres a súa localización de rede cambia por completo. Tres condicións deciden canta planificación precisa ese traslado. Se o cliente reutiliza enderezos que tamén usas internamente, se o segmento do obradoiro está illado das redes do persoal e se a ruta antiga se pode suprimir en vez de só superar. Se fallas na primeira, acabarás depurando unha máquina que está ben.

A identidade non é un enderezo

O inventario e o nomeado deben levar o activo, o cliente e o traballo. O enderezo leva onde está conectada a máquina agora mesmo, un feito que cambia cando se move. Confundir ambas as cousas produce o erro clásico de ler significado nos díxitos.

Un número de serie codificado no último octeto parece ordenado e non demostra nada a un encamiñador. As lonxitudes de prefixo deciden que considera local unha máquina, e ningunha cantidade de numeración memorable cambia esa aritmética.

Se queres que o enderezo suxira o cliente, iso é unha convención, e as convencións están ben mentres ninguén constrúa políticas sobre elas. Busca o activo no inventario, non o enderezo, e o traslado ao obradoiro deixa de ser unha busca do tesouro. Tamén sobrevive á renumeración que tarde ou cedo chega a cada sede.

Un número de serie non é unha lonxitude de prefixo

Os dispositivos que usan unha máscara ampla como 10.0.0.0/8 tratarán todos os enderezos dese rango como enlace directo, así que o tráfico cara á máquina dun cliente a dúas redes de distancia nunca chega a un encamiñador. A máquina simplemente difunde buscando un veciño que non pode responder.

O RFC 4632 define os prefixos por lonxitude e non polo que suxiren os díxitos con puntos. O teu plan precisa lonxitudes explícitas para cada grupo de conexión: un segmento de servizo, un contexto de cliente, un banco de obradoiro. Nomear primeiro eses grupos fai evidentes as lonxitudes.

A regra práctica é deseñar o prefixo máis pequeno que cubra un grupo de conexión e usalo en todas partes dentro dese grupo. O texto do enderezo é para persoas; a máscara é sobre o que actúa o núcleo.

Cando dous clientes reutilizan os mesmos enderezos

O cliente A e o cliente B poden executar ambos 192.168.10.0/24, e ambos terán razón nos seus propios edificios. Iso non é un problema que se resolva renumerando a planta doutro.

Mantén os contextos separados, ou proporciona alias deliberados mediante un deseño que documente que enderezo pertence a que cliente en que momento. Un inventario global é a ferramenta correcta para distinguir as máquinas; non é proba de que os enderezos sexan únicos a nivel global. A ruta de alias precisa unha regra de caducidade escrita, ou sobrevivirá ao traballo que a creou.

O que debes evitar é ter ambos os contextos accesibles á vez sen ningún marcador. Dous enderezos idénticos en dúas rutas vivas é o modo de fallo que envía unha actualización de firmware á máquina equivocada. O síntoma raramente parece un erro; parece un dispositivo que outra persoa reconfigurou. Primeiro o marcador, despois a accesibilidade.

Dálle ao obradoiro a súa propia fronteira

O equipamento do cliente que chega para servizo pertence a un segmento de servizo con acceso permitido explícito, non enchufado a unha rede de persoal porque un porto do banco estivese libre.

Trata un dispositivo industrial descoñecido como outro dominio de confianza. Rexistra que host de enxeñaría pode alcanzalo, que servizos necesita ese host e que credenciais pertencen ao traballo. Garda os ficheiros do cliente co traballo do cliente en vez de nun disco compartido que todos poidan ler.

O illamento debe sobrevivir tamén á parte aburrida do traballo: mentres se actualiza, mentres pasa a noite e mentres espera un mensaxeiro.

Entrega a ruta como un paso de traballo

Normalmente o encamiñador central chega á máquina polo túnel do cliente. Cando a máquina está no banco, a ruta do obradoiro pasa a ser o propietario dese prefixo, ou dun destino máis estreito se só precisas un servizo.

Anota tres cousas antes do traslado: a ruta antiga, a ruta nova e como se reverte o cambio. Unha entrega que só existe na memoria de alguén non é unha entrega.

Coidado coas métricas. Unha métrica máis baixa só importa entre rutas que o proceso de selección compara realmente, e un prefixo máis específico ou unha regra de política poden decidir o resultado antes de que se consulten as métricas.

Inclúe as sesións obsoletas no plan. Unha conexión establecida pola ruta antiga pode seguir entregando ordes despois do cambio de ruta, e esa é exactamente a situación na que dúas copias dun enderezo fan dano real. Pecha a ruta antiga explicitamente en vez de esperar a que caduque.

Pecha o ciclo cando a máquina se envía

Restaura a ruta remota prevista, retira os permisos temporais e confirma o activo no extremo que cres seleccionado. Despois verifica desde o lado do cliente e non só desde o obradoiro.

A resolución de nomes e o inventario fan aquí o traballo orientado ao operador: un nome estable e un rexistro de activo consultable fan previsible a tarefa mentres o plan de rede se mantén honesto sobre onde está a máquina hoxe.

A proba dunha boa entrega é que un compañeiro que nunca viu o traballo poida ler as túas notas e responder unha pregunta: se esta máquina responde agora, por que ruta chegou a resposta? Se as notas non poden respondelo, a entrega está documentada pero non terminada.