Անցում PPP-ի վրա հիմնված VPN-ից՝ առանց դրա ենթադրությունները կրկնօրինակելու

VPN-ի միգրացիան ավարտված է, երբ օգտատերերը, նպատակակետերը, անունների լուծումը և խափանման վարքը դեռևս ճիշտ են, ոչ թե այն ժամանակ, երբ նոր հաճախորդը ցույց է տալիս կանաչ պատկերակ։ Հին PPP-ի վրա հիմնված տեղակայումները կրում են ենթադրություններ, որոնք երբեք չեն գրվել՝ ընդհանուր գաղտնիք, որը նաև ինքնության միակ ստուգումն էր, ֆիքսված հասցեների լողավազան, որը հրահրիչը պահում է թույլատրվածների ցանկում, և DNS վերջածանց, որը սերվերը հրում է։ Փոխելով արձանագրությունը՝ առանց այդ ենթադրությունների գույքագրումը կատարելու, ստացվում է թունել, որը կատարում է ձեռքսեղմումը, և սահման, որը գոյություն չունի։ Ստորև բերված հաջորդականությունը այն կարգն է, որն օգտագործում եմ ես, և վերջին քայլն այն է, որը թիմերը բաց թողնում են։

Քայլ 1. գույքագրե՛ք, թե ինչ է ապահովում հին կապը

Գույքագրումը գրվում է, ոչ թե հիշվում։ Գրանցե՛ք աջակցվող հաճախորդները, նույնականացման դերերը, հասցեների լողավազանները, պաշտպանված ցանցերը, DNS պահանջները և այն ծառայությունների թույլտվությունները, որոնք անհրաժեշտ են օգտատերերի յուրաքանչյուր խմբի։

L2TP/IPsec-ի համար հստակորեն առանձնացրե՛ք երկու շերտերը։ IPsec գործընկերոջ ինքնությունը նույնականացնում է մեքենաներին, իսկ PPP-ն՝ օգտատիրոջը, սովորաբար CHAP կամ MSCHAPv2-ով։

Հենց այդ բաժանման մեջ են հին տեղակայումները թաքցնում իրենց ենթադրությունները։ Յուրաքանչյուր հաճախորդի կողմից կիսվող նախապես համաձայնեցված բանալին նույնականացնում է խումբ, ոչ թե սարք, և հաճախ դա միակ բանն է, որ երբևէ փոխվել է։ Եթե PPP հաշիվն է իրական օգտատեր-առանձին վերահսկողությունը, ասե՛ք դա, որովհետև փոխարինումը պետք է վերարտադրի այդ վերահսկողությունը մի բանով, որը ընդհանուր տող չէ։ Նշե՛ք նաև ֆիքսված աղբյուրի հասցեները և տեղական ցանցի բացառությունները, որովհետև դրանք այն կախվածություններն են, որոնք ոչ ոք չի փաստաթղթավորում, մինչև դրանք չկոտրվեն։

Քայլ 2. նախագծե՛ք փոխարինումը դիտավորյալ

Փոխարինման ընտրությունը պահանջ-ըստ-պահանջի քարտեզագրում է՝ արձանագրություն և պահպանվող հաճախորդ, որոնք կազմակերպությունը սատարում է, և յուրաքանչյուր ինքնության ու մուտքի պահանջ հայտնվում է իրական մեխանիզմում։ Ընդհանուր գաղտնիքն ինքնաբերաբար հավասար չէ սարքի բանալու կամ վկայականի, և օգտատեր-առանձին PPP հաշիվը հավասար չէ սարքի վկայականի։

Համաձայնեցրե՛ք հասցեների միջակայքերը ամեն ինչից առաջ, որովհետև տնային կամ գրասենյակային LAN-ի հետ համընկնող փոխարինող լողավազանը ստեղծում է խափանում, որը կապ չունի գաղտնագրման ուժի հետ։ Ստուգե՛ք լողավազանը նույն ցանկով, որը կազմել եք հին ծառայության համար, գումարած այն, ինչ նոր հաճախորդը ենթադրում է լռելյայն։ Հաստատե՛ք պաշտպանված ցանցերի վերադարձի երթուղավորումը և հաստատե՛ք, որ նոր հաճախորդը կարող է ուղարկել կամ փաստաթղթավորել այն DNS վերջածանցը, որը հինն էր ուղարկում։ Այս երկու կետերը ավելի շատ միգրացիոն տոմսեր են ստեղծում, քան ինքը՝ արձանագրության փոփոխությունը։

Քայլ 3. ներդրե՛ք փուլերով և ստուգե՛ք և՛ թույլտվությունը, և՛ արգելքը

Ներդրե՛ք մեկ ներկայացուցչական օգտատիրոջ և մեկ ներկայացուցչական հավելվածի հետ։ Ներառե՛ք թեստում մասնավոր DNS լուծումը, որովհետև թունելը, որը հասնում է հասցեին, բայց չի կարողանում լուծել ներքին անունը, միայն կիսով է միգրացված։ Ներառե՛ք նաև սպասվող անհասանելիության վիճակը՝ ինչ պետք է տեղի ունենա, երբ թունելը ընկնում է, և արդյոք հաճախորդը պարտադրում է դա։

Ապա փորձարկե՛ք նպատակակետ, որը պետք է մնա արգելված։ Լայն ժամանակավոր թույլտվության կանոնը կարող է նոր թունելը առողջ ցույց տալ, մինչդեռ լուռ հեռացնում է այն լիազորման սահմանը, որը պարտադրում էր հին ծառայությունը, և ոչ ոք չի նկատում մինչև աուդիտը։ Համեմատե՛ք թույլտվության և արգելքի արդյունքները կողք կողքի՝ նույն հաճախորդից, նույն նստաշրջանում։ Պահե՛ք հին ծառայությունը աշխատող, մինչև երկու սյունակներն էլ համապատասխանեն նախագծին։

Նախքան ադմինիստրատորի մուտքը տեղափոխելը՝ հաստատե՛ք, որ ունեք լիազորված վերականգնման ուղի, որը կախված չէ այն թունելից, որը փոխում եք։

Քայլ 4. թոշակի հանե՛ք հին ինքնությունը

Հին ինքնությունը ճիշտ թոշակի հանելը նշանակում է չեղարկել հնացած օգտատերերին և սարքերի հավատարմագրերը՝ դրանց տիրապետող ծառայության միջոցով, ապա հեռացնել հին պրոֆիլներն ու ունկնդիրները, երբ կախվածություն չի մնում։ Տեղական ֆայլի ջնջումը չի չեղարկում այլ տեղի պատճենը, և հին ընդհանուր գաղտնիքը դեռ ընդունող հին ունկնդիրը չհսկվող դուռ է։

Այս կետում արժե դանդաղել։ Նոթբուքի վրա դուրս բերված հաճախորդի պրոֆիլը չեղարկված հավատարմագիր չէ. հավատարմագիրը ապրում է սերվերում և վավեր է մնում, մինչև սերվերը դադարի այն ընդունելուց։ Փնտրե՛ք հին կոնֆիգուրացիայի այլ պատճեններ՝ փորձարկման սարքեր, մոռացված հեռախոս, ինչ-որ մեկի պահած տեղադրիչ, և ունկնդրի անջատումը համարե՛ք այն պահը, երբ հին ծառայությունն իրոք ավարտվում է։ Մինչ այդ միգրացիան ունի երկու առջևի դուռ։

Ընդունման արձանագրությունը առաջին քայլի գույքագրումն է՝ ավելացված սյունակով. ինչ է անում նոր նախագիծը յուրաքանչյուր տողի համար, և ինչպես եք ստուգել այն։ Դա արձանագրության թարմացումը վերածում է ապացույցներով ծառայության պահանջի։

Արդյունքը կապե՛ք ծառայության կարիքի հետ, ոչ թե արձանագրության անվան, որովհետև հին ենթադրությունները մեջը կրկնօրինակված ժամանակակից արձանագրությունը նույն ռիսկն է ավելի լավ շրջանակով։ RFC 3193-ը նկարագրում է, թե ինչպես է L2TP-ն փոխադրվում IPsec-ի վրայով, ինչը օգտակար հիշեցում է, որ երկու շերտերը միշտ առանձին որոշումներ են եղել։ Եթե գույքագրման մեջ կա տող, որը չեք կարող բացատրել, կանգ առե՛ք և պարզե՛ք, թե ինչն է դրանից կախված։ Միգրացիան ավարտված է, երբ ցանկը ձանձրալի է։