PPP негізіндегі VPN-нен оның болжамдарын көшірмей көшу

VPN көшіруі пайдаланушылар, баратын жерлер, атауларды шешу және ақаулық кезіндегі мінез-құлық әлі де дұрыс болғанда аяқталады, жаңа клиент жасыл белгіше көрсеткенде емес. Ескі PPP негізіндегі орналастырулар ешқашан жазылмаған болжамдарды алып жүреді: жалғыз сәйкестік тексерісі қызметін де атқарған ортақ құпия, желіаралық қалқан рұқсат тізімінде ұстайтын бекітілген мекенжай пулы, сервер жіберетін DNS жұрнағы. Осы болжамдарды түгендемей протоколды ауыстыру қол алысуды орындайтын туннель мен жоқ шекараны береді. Төмендегі рет — мен қолданатын тәртіп, ал соңғы қадам — командалар өткізіп жіберетін қадам.

1-қадам: ескі қосылымның не беретінін түгендеңіз

Түгендеу есте сақталмайды, жазылады. Қолдау көрсетілетін клиенттерді, аутентификация рөлдерін, мекенжай пулдарын, қорғалған желілерді, DNS талаптарын және әр пайдаланушы тобына қажет қызмет рұқсаттарын жазыңыз.

L2TP/IPsec үшін екі қабатты анық бөліңіз. IPsec серіктесінің сәйкестігі машиналарды аутентификациялайды; PPP пайдаланушыны аутентификациялайды, әдетте CHAP немесе MSCHAPv2 арқылы.

Ескі орналастырулар өз болжамдарын дәл осы бөлуде жасырады. Әр клиент бөлісетін алдын ала ортақ кілт құрылғыны емес, топты аутентификациялайды, және көбінесе бұл бірде-бір рет ауыстырылған жалғыз нәрсе. Егер PPP тіркелгісі нақты пайдаланушы бойынша бақылау болса, соны айтыңыз, өйткені ауыстырма сол бақылауды ортақ жол емес нәрсемен қайта шығаруы керек. Бекітілген бастау мекенжайлары мен жергілікті желі ерекшеліктерін де жазып қойыңыз, өйткені бұлар — бұзылғанша ешкім құжаттамайтын тәуелділіктер.

2-қадам: ауыстырманы әдейі жобалаңыз

Ауыстырманы таңдау — талап сайынғы сәйкестендіру: ұйым қолдайтын протокол мен қолдау көрсетілетін клиент, әр сәйкестік және қатынау талабы нақты механизмге түседі. Ортақ құпия автоматты түрде құрылғы бойынша кілтке немесе сертификатқа тең емес, ал пайдаланушы бойынша PPP тіркелгісі құрылғы сертификатына тең емес.

Мекенжай ауқымдарын бәрінен бұрын келісіңіз, өйткені үй немесе кеңсе LAN-ымен қабаттасатын ауыстырма пул шифр күшіне қатысы жоқ ақаулық туғызады. Пулды ескі қызмет үшін жасаған тізіммен, сонымен қатар жаңа клиенттің әдепкі бойынша болжайтынымен салыстырыңыз. Қорғалған желілер үшін қайта маршруттауды растаңыз және жаңа клиенттің ескісі жіберген DNS жұрнағын жібере алатынын немесе құжаттай алатынын растаңыз. Осы екі тармақ протокол ауысуының өзінен де көп көшіру билеттерін тудырады.

3-қадам: кезең-кезеңімен енгізіп, рұқсат пен тыйымды да тексеріңіз

Бір өкіл пайдаланушы және бір өкіл қолданбамен енгізіңіз. Сынаққа жеке DNS шешімін қосыңыз, өйткені мекенжайға жететін, бірақ ішкі атауды шеше алмайтын туннель жартылай ғана көшірілген. Күтілетін қолжетімсіз күйді де қосыңыз: туннель құлағанда не болуы керек және клиент оны орындай ма.

Содан кейін тыйым салынған күйде қалуы тиіс баратын жерді сынаңыз. Кең уақытша рұқсат ережесі жаңа туннельді сау көрсетіп, ал ескі қызметтің қолдаған авторизация шекарасын үнсіз алып тастауы мүмкін, және мұны аудитке дейін ешкім байқамайды. Рұқсат пен тыйым нәтижелерін қатар салыстырыңыз, сол клиенттен, сол сессияда. Екі баған да жобаға сәйкес келгенше ескі қызметті іске қосулы ұстаңыз.

Әкімші қатынауын тасымалдамас бұрын, өзгертіп жатқан туннельге тәуелді емес рұқсат етілген қалпына келтіру жолыңыз бар екенін растаңыз.

4-қадам: ескі сәйкестікті жойыңыз

Ескі сәйкестікті дұрыс жою — ескірген пайдаланушылар мен құрылғы тіркелгі деректерін оларға ие қызмет арқылы кері қайтарып алу, содан кейін тәуелділік қалмағанда ескі профильдер мен тыңдаушыларды жою. Жергілікті файлды жою басқа жердегі көшірмені жоймайды, ал ескі ортақ құпияны әлі де қабылдайтын ескі тыңдаушы — бақылаусыз есік.

Осы тұста баяулаған жөн. Ноутбуктегі жойылған клиент профилі — кері қайтарылған тіркелгі дерегі емес; тіркелгі дерегі серверде тұрады және сервер оны қабылдауды тоқтатқанша жарамды болып қалады. Ескі конфигурацияның басқа көшірмелерін іздеңіз — сынақ құрылғылары, ұмытылған телефон, біреу сақтап қалған орнатушы — және тыңдаушыны өшіруді ескі қызметтің шын мәнінде аяқталатын сәті деп санаңыз. Оған дейін көшірудің екі алдыңғы есігі бар.

Қабылдау жазбасы — бірінші қадамның түгендеуіне қосылған баған: жаңа жоба әр жол үшін не істейді және сіз оны қалай тексердіңіз. Бұл протокол жаңартуын дәлелді қызмет талабына айналдырады.

Нәтижені протокол атауына емес, қызметке қажет нәрсеге байланыстырып ұстаңыз, өйткені ескі болжамдар көшірілген заманауи протокол — жақсырақ жақтаумен келген сол қауіп. RFC 3193 L2TP-нің IPsec үстінен қалай тасымалданатынын сипаттайды, бұл екі қабаттың әрдайым жеке шешім болғанын еске салады. Егер түгендеуде түсіндіре алмайтын жол болса, тоқтап, оған не тәуелді екенін анықтаңыз. Тізім зерікті болғанда көшіру аяқталады.