OpenVPN-ді TAP-тан TUN-ға көшіру: жұмыс істейтін миграция тәртібі

dev tap орнына dev tun қою туннельдің нені тасымалдайтынын өзгертеді, тек атын емес. TAP интерфейсі Ethernet кадрларын көпірге береді, сондықтан клиенттер кеңсе коммутаторына қосылғандай әрекет етеді. TUN интерфейсі IP пакеттерді тасымалдайды, сондықтан клиенттерге маршруттар, ал қарсы жаққа қайту жолы қажет. Клиенттер, мекенжай жоспары және жергілікті желінің қайтару маршруты осы өзгеріспен бірге жылжуы керек.

Миграция — туннель қосылған желіні қайта жобалау, ал төмендегі тәртіп оны қайтарылатын етіп ұстайды.

Ethernet-ке шынымен не тәуелді екенін түгендеңіз

Хосттарды емес, қолданбаларды тізіңіз. Әрқайсысы маршрутталған TCP немесе UDP қызметтерін, хабар тарату арқылы табуды, кеңсе LAN-ынан DHCP-ны, IP емес Ethernet хаттамасын немесе екі ұшы бір қосымша желіде деген болжамды пайдаланатынын анықтаңыз. Кәдімгі IP қатынау маршрутталған жобада сақталады. Шикі Ethernet кадрларын қажет ететін хаттама сақталмайды, және ешқандай маршруттау оны істетпейді. Табуға тәуелді қолданбаларға ауысуға дейін шешілетін алмастыру тетігі қажет, ауысу кезінде емес.

Бұл түгендеу қабылдау тізімі де болып табылады. Көшіре алмайтын әрбір жазба құжатталған ерекшелікке немесе тек сол жұмыс жүктемесі үшін шағын TAP сегментін тірі ұстауға себеп болады.

Мекенжай және қайтару маршруты жоспарын құрыңыз

LAN-мен, көпірдің ескі ауқымымен немесе клиент бұрыннан жететін кез келген желімен қабаттаспайтын клиент префиксін таңдаңыз.dev tun, topology subnet және server 10.78.0.0 255.255.255.0, бірақ бұл үзінді, жұмыс істейтін профиль емес. Оның айналасында бекітілген TLS, сәйкестендіру, тасымалдау және қатынау саясатын ұстаңыз және бос екенін тексерген префиксті пайдаланыңыз.

Содан кейін клиенттер жетуі тиіс межелерді және қайтару жолын кім қамтамасыз ететінін жазыңыз. Серверге қосылған жіберу және рұқсат етілген ілгері жол қажет. LAN маршрутизаторларына жаңа префикске қайтару маршруты қажет, әйтпесе жобаға бастауышты аудару және онымен келетін көріну құны қажет. Клиент конфигурациясына жіберілген маршрут клиентті конфигурациялайды, LAN-ның жауап жолын емес.

Бөлек тыңдаушыда сынақтан өткізіңіз

Жаңа қызметті істеп тұрған жалғыз кіру нүктесін ауыстырудың орнына, оны ескісінің қасында өз порты мен өз мекенжай ауқымында көтеріңіз. Пилоттық профильдерді қолданыстағы тіркеу процесі арқылы шығарыңыз, сонда ешкім миграция үшін CA-ны қайта салмайды. Тек пилоттық жол белсенді күйде бір өкіл клиентті қосыңыз, содан кейін берілген мекенжайларды, жеке DNS-ті, түгендеудегі қолданбаларды және бұғатталуы керек жолдарды салыстырыңыз.

Қайта қосылу және қайтару трафигінің сынағын қосыңыз. Аяқталған қол алысу қарсы жақтың жауап бере алатыны туралы ештеңе айтпайды.

Клиенттерді қайтару мүмкіндігімен топтарға бөліп көшіріңіз

Сәтсіздік үзіліс емес, қолдау міндеті болатындай шағын топтармен көшіріңіз. Әр топтың нақты жұмыс ағындары өтпейінше ескі қызметті жұмыс істеп тұрған және құжатталған күйде ұстаңыз, ал қайтаруды қайта құру емес, алдыңғы профильге оралу деп жазыңыз. Әр топ көшкен сайын мекенжайға негізделген брандмауэр ережелерін, мониторингті және сервер бастаған кез келген қатынауды жаңа префикс үшін жаңартыңыз.

Топтар сонымен қатар ешкім атамаған қолданбаны табуға орын береді, ал ескі жол әлі салыстыру үшін бар.

Көпірді тек қабылдаудан кейін тоқтатыңыз

TAP құрылғысын жою — бірінші емес, соңғы қадам. Бірдеңені жоймас бұрын көпірдің әлі де сервердің басқару мекенжайын, мониторинг жолын немесе байланыссыз жұмыс жүктемесін тасымалдайтынын тексеріңіз. Іске қосу тәуелділіктерін, көпір мүшелігін және DHCP резервтерін олардың иелері арқылы сол тәртіппен тоқтатыңыз және не жойылғанын жазып қойыңыз.

Миграция маршрутталған қатынау моделі түгендеу үшін жұмыс істегенде аяқталады, TAP интерфейсі ip link шығысынан жоғалғанда емес.