OpenVPN-ը TAP-ից TUN տեղափոխելը. աշխատող միգրացիայի հերթականություն

dev tap-ի փոխարեն dev tun դնելը փոխում է այն, ինչ կրում է թունելը, ոչ միայն նրա անունը։ TAP միջերեսը Ethernet կադրերը հանձնում է կամրջին, ուստի սպասարկողները վարվում են այնպես, կարծես միացված են գրասենյակի անջատիչին։ TUN միջերեսը կրում է IP փաթեթներ, ուստի սպասարկողներին անհրաժեշտ են երթուղիներ, իսկ մյուս կողմին՝ վերադարձի ուղի։ Սպասարկողները, հասցեների պլանը և LAN-ի վերադարձի երթուղին բոլորը պետք է շարժվեն այդ փոփոխության հետ։

Միգրացիան թունելով լրացված ցանցի վերանախագծում է, և ներքևի հերթականությունը պահում է այն շրջելի։

Գույքագրեք, ինչն է իրականում կախված Ethernet-ից

Թվարկեք հավելվածները, ոչ թե հոսթերը։ Որոշեք՝ արդյոք յուրաքանչյուրն օգտագործում է երթուղավորված TCP կամ UDP ծառայություններ, հեռարձակմամբ հայտնաբերում, գրասենյակի LAN-ից DHCP, ոչ IP Ethernet արձանագրություն, թե այն ենթադրությունը, որ երկու ծայրերը նույն ենթացանցում են։ Սովորական IP հասանելիությունը դիմանում է երթուղավորված նախագծին։ Իսկ հում Ethernet կադրեր պահանջող արձանագրությունը՝ ոչ, և ոչ մի երթուղավորում այն աշխատեցնել չի տա։ Հայտնաբերումից կախված հավելվածներին անհրաժեշտ է փոխարինող մեխանիզմ, որը որոշվում է անցումից առաջ, ոչ թե ընթացքում։

Այդ գույքագրումը նաև ընդունման ցանկն է։ Յուրաքանչյուր գրառում, որը չեք կարող միգրացնել, դառնում է փաստաթղթավորված բացառություն կամ պատճառ՝ փոքր TAP հատվածը միայն այդ ծանրաբեռնվածության համար կենդանի պահելու։

Կառուցեք հասցեների և վերադարձի երթուղիների պլանը

Ընտրեք սպասարկողների նախածանց, որը չի համընկնում LAN-ի, կամրջի հին տիրույթի կամ ցանցի հետ, որտեղ սպասարկողն արդեն հասնում է։dev tun, topology subnet և server 10.78.0.0 255.255.255.0, բայց սա բեկոր է, ոչ աշխատող պրոֆիլ։ Պահեք շուրջը հաստատված TLS-ի, ինքնության, փոխադրման և հասանելիության քաղաքականությունը, և օգտագործեք նախածանց, որն ազատ լինելը ստուգել եք։

Ապա գրեք այն նպատակակետերը, որոնց պետք է հասնեն սպասարկողները, և թե ով է ապահովում վերադարձի ուղին։ Սերվերին անհրաժեշտ է միացված փոխանցում և թույլատրված ուղի առաջ։ LAN երթուղիչներին անհրաժեշտ է երթուղի դեպի նոր նախածանց, կամ նախագծին՝ աղբյուրի թարգմանություն և դրա հետ եկող տեսանելիության գինը։ Սպասարկողի կարգավորում մղված երթուղին կարգավորում է սպասարկողին, ոչ թե LAN-ի պատասխանի ուղին։

Փորձարկեք առանձին լսողի վրա

Կանգնեցրեք նոր ծառայությունը հինի կողքին՝ իր սեփական պորտով և իր սեփական հասցեների տիրույթով, փոխարենը չփոխարինելով միակ աշխատող մուտքի կետը։ Թողարկեք փորձնական պրոֆիլները գոյություն ունեցող գրանցման գործընթացով, որպեսզի ոչ ոք միգրացիայի համար CA-ն նորից չկառուցի։ Միացրեք մեկ ներկայացուցչական սպասարկող՝ միայն փորձնական ուղին ակտիվ, ապա համեմատեք հատկացված հասցեները, մասնավոր DNS-ը, գույքագրման հավելվածները և այն ուղիները, որոնք պետք է արգելափակված մնան։

Ներառեք վերամիացման և վերադարձի երթևեկության թեստ։ Ավարտվող ձեռքսեղմումը ոչինչ չի ասում այն մասին, թե արդյոք մյուս կողմը կարող է պատասխանել։

Տեղափոխեք սպասարկողներին խմբերով՝ վերադարձի հնարավորությամբ

Միգրացրեք այնպիսի խմբերով, որոնք բավական փոքր են, որ ձախողումը աջակցության խնդիր լինի, ոչ թե ընդհատում։ Պահեք հին ծառայությունը աշխատող և փաստաթղթավորված, մինչև յուրաքանչյուր խմբի իրական աշխատահոսքերը անցնեն, և վերադարձը գրեք որպես նախորդ պրոֆիլին վերադառնալ, ոչ թե վերակառուցում։ Թարմացրեք հասցեների վրա հիմնված firewall կանոնները, մոնիտորինգը և սերվերի նախաձեռնած ցանկացած հասանելիություն նոր նախածանցի համար, երբ յուրաքանչյուր խումբ տեղափոխվում է։

Խմբերը նաև տեղ են տալիս գտնելու այն հավելվածը, որը ոչ ոք չհիշատակեց, մինչ հին ուղին դեռ գոյություն ունի համեմատության համար։

Հանեք կամուրջը միայն ընդունումից հետո

TAP սարքը հեռացնելը վերջին քայլն է, ոչ առաջինը։ Ստուգեք՝ արդյոք կամուրջը դեռ կրում է սերվերի կառավարման հասցեն, մոնիտորինգի ուղի կամ անկապ ծանրաբեռնվածություն, նախքան ինչ-որ բան ջնջելը։ Հանեք գործարկման կախվածությունները, կամրջի անդամակցությունը և DHCP ամրագրումները դրանց տերերի միջոցով, այդ հերթականությամբ, նշումով, թե ինչ հեռացվեց։

Միգրացիան ավարտված է, երբ երթուղավորված հասանելիության մոդելը աշխատում է գույքագրման համար, ոչ թե երբ TAP միջերեսը անհետանում է ip link-ի ելքից։