Провайдерді ауыстырып, сайт VPN мекенжайларын қайта нөмірлемеу

Бір филиал интернет провайдерін ауыстырады, ал файл сервері өз мекенжайын сақтайды. Бұл нәтиже маршрутталған сайт VPN үшін қалыпты және туннельдің соңғы нүктесінің мекенжайын қосымшаның мекенжайы деп есептейтіндер үшін таңқаларлық. Екеуі дизайнның әртүрлі қабаттарында өмір сүреді және тек біреуі ғана жылжыды. Оларды бір нәрсе ретінде қарау провайдер көшіруін қайта нөмірлеу жобасына айналдырады.

Дербес қозғалатын екі мекенжай жоспары

Ішкі жоспар қосымшалар пайдаланатын жеке мекенжайларды сипаттайды: 10.55.8.20 мекенжайындағы филиал сервері, оған маршруттайтын бас кеңсенің префиксі және қайтару маршруты. Сыртқы жоспар екі шлюздің бір-біріне қалай жететінін сипаттайды: серіктес мекенжайлары, тыңдау порттары және интернет арқылы өтетін жол.

Провайдердің ауысуы сыртқы жоспарға тиеді. Ол өздігінен ішкі жоспарды өзгертуді талап етпейді.

Екі тізімді бөлек ұстау — қосымша өз трафигін өзі шифрлап жатса да, overlay іске қосудың практикалық себебі. Overlay сізге сыртқы өзгерістерге төзетін тұрақты ішкі топология береді. Қосымша өз мекенжайын, firewall ережелерін және DNS жазбаларын сақтайды. Тек тасымалдау жазбалары өзгереді және бұл әлдеқайда шағын шолу.

Сыртқы туннель ішкі сұхбатты тасымалдайды

Шлюзден шлюзге туннельде сыртқы IP тақырыбы екі шлюзді мекендейді. Ішкі тақырып әлі де қосымшаның нақты соңғы нүктелерін атайды. RFC 7296-ның шлюзден шлюзге сипаттамасы мұны туннельдің соңғы нүктелері арқылы трафикті жеткізетін қарапайым маршруттау ретінде қарастырады.

Сондықтан шлюздің жария мекенжайы өзгергенде филиал сервері 10.55.8.20-ны сақтай алады. Ішкі пакетте провайдердің мекенжайы мүлдем жоқ.

Бөліну — дизайн қасиеті, автоматты кепілдік емес. Егер ауыстырушы арна қолдау көрсетілетін туннельді құра алмаса немесе ішкі маршруттар қайта орнатылмаса, мекенжайы өзгермесе де қосымша өз жолын жоғалтады.

Провайдерді жылжытудың әлі де тексеру тізімі бар

Сыртқы тексеру тізімінде бес тармақ бар: серіктес мекенжайы немесе ұсталатын атау, тыңдаушы және кез келген жоғарғы сүзгілеу, жолдағы түрлендіру, серіктестің күтілетін сәйкестігі және екінші шлюздің рұқсат етілген параметрлері. Әрқайсысы жеке-дара сәтсіздікке ұшырауы мүмкін. Әкімшілікті тасымалдайтын байланысты ауыстырғанда бөлек қалпына келтіру жолын ұстаңыз. Арна ауысуы кезінде қашықтан қатынауды үзу — өзіңіз тудырған іркіліс.

Одан кейін филиал префиксін, екі бағыттағы маршрутты, қорғау саясатын және бір нақты қосымша ағынын тексеріңіз. Жаңа аутентификацияланған туннель ескі жеке ішкі желіге бағытталған маршрутты түзетпейді.

Басқа қосылған сайтпен мекенжайлардың қабаттасуы — бөлек жоспарлау мәселесі. Провайдердің ауысуы оны тудырмайды, бірақ көшіру әдетте ол бетіне шығатын сәт.

Не аман қалмайды: жария көз және сессиялар

Тұрақты жеке сервер мекенжайы тұрақты жария көз емес. Егер шолу тікелей жаңа провайдер арқылы шықса, сайттар провайдерге қараған жаңа мекенжайды көреді.

Сол мекенжайды тұрақты ұстау үшін өз қолжетімділігі мен саясаты бар әдейі шығу дизайны керек. Ол туннельмен бірге тегін келмейді.

Орнатылған сессиялар да жолдың өзгеруіне төзбейді. Туннель секундтар ішінде қалпына келуі мүмкін және бәрібір ескі жолға бекітілген ұзақ байланыстарды үзеді. Ауысуды қайта қосылу қолайлы терезеге жоспарлаңыз. Нақты клиенттер мен олардың уақыт шектеулері тексерілмейінше, көшіру көрінбейтін болады деп мәлімдемеңіз.

Жылжытуды төрт тексерумен растаңыз

Өзгерістен кейін төрт нәрсені ретімен тексеріңіз: туннель көзделген серіктеспен құрылған, филиал префиксіне ішкі маршрут бар, саясат қосымша ағынына рұқсат береді және қосымша жауап береді. Әрқайсысының өз пәрмені бар.

Linux шлюзінде бұл үшеуі сол тізімнің ортасын қамтиды:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Тасымалдау мекенжайларын бір тізімде, қосымша мекенжайларын екіншісінде ұстаңыз. Тек шынымен жылжыған жазбаларды жаңартыңыз. Туннельдің сыртқы мекенжайы өзгергендіктен ішкі тәуелділіктерді қайта нөмірлеу — болдырмауға болатын жұмыс.