Провайдерди алмаштырып, сайт VPN дарегин кайра номурлабай эле

Бир филиал интернет провайдерин алмаштырат, ал эми файл сервери өз дарегин сактап калат. Бул натыйжа маршрутталган сайт VPN үчүн кадимки жана туннелдин акыркы чекитинин дареги колдонмонун дареги деп эсептегендер үчүн таң калыштуу. Экөө дизайндын ар башка катмарларында жашайт жана бирөө гана жылды. Аларды бир нерсе катары кароо провайдердин көчүрүүсүн кайра номурлоо долбооруна айландырат.

Көз карандысыз кыймылдаган эки дарек планы

Ички план колдонмолор колдонгон жеке даректерди сүрөттөйт: 10.55.8.20 дарегиндеги филиал сервери, ага маршрут берүүчү башкы кеңсенин префикси жана кайтуу маршруту. Сырткы план эки шлюздун бири-бирине кантип жетүүсүн сүрөттөйт: өнөктөш даректери, угуу порттору жана интернет аркылуу өтүүчү жол.

Провайдердин алмашуусу сырткы планга тийет. Ал өзүнчө ички планды өзгөртүүнү талап кылбайт.

Эки тизмени өзүнчө кармоо — колдонмо өз трафигин өзү шифрлеп жатса да overlay иштетүүнүн практикалык себеби. Overlay сизге тышкы өзгөрүүлөргө туруштук берүүчү туруктуу ички топология берет. Колдонмо өз дарегин, firewall эрежелерин жана DNS жазууларын сактайт. Тек транспорт жазуулары өзгөрөт жана бул алда канча кичине кароо.

Сырткы туннель ички сүйлөшүүнү алып жүрөт

Шлюзден шлюзге туннелде сырткы IP аталышы эки шлюзду даректөөт. Ички аталыш дагы эле колдонмонун чыныгы акыркы чекиттерин атайт. RFC 7296нын шлюзден шлюзге сүрөттөмөсү муну туннелдин акыркы чекиттери аркылуу трафикти жеткирүүчү кадимки маршруттоо катары карайт.

Ошондуктан шлюздун жарыя дареги өзгөргөндө филиал сервери 10.55.8.20ди сактай алат. Ички пакетте провайдердин дареги такыр жок.

Бөлүнүү — дизайндын касиети, автоматтык кепилдик эмес. Эгер алмаштыруучу канал колдоого алынган туннелди кура албаса, же ички маршруттар кайра орнотулбаса, дареги өзгөрбөсө да колдонмо өз жолун жоготот.

Провайдерди жылдыруунун дагы эле текшерүү тизмеси бар

Сырткы текшерүү тизмесинде беш пункт бар: өнөктөштүн дареги же кармалып турган аталышы, угуучу жана ар кандай жогорку фильтрлөө, жолдогу которуу, өнөктөштүн күтүлгөн инсандыгы жана экинчи шлюздун уруксат берилген жөндөөлөрү. Ар бири өзүнчө ишке ашпай калышы мүмкүн. Администрацияны алып жүргөн байланышты алмаштырганда өзүнчө калыбына келтирүү жолун кармаңыз. Канал алмашуу учурунда аралыктан кирүүнү үзүү — өзүңүз жараткан бузулуу.

Андан кийин филиал префиксин, эки багыттагы маршрутту, коргоо саясатын жана бир чыныгы колдонмо агымын текшериңиз. Жаңы аутентификацияланган туннель эски жеке ички тармакка багытталган маршрутту оңдобойт.

Башка туташкан сайт менен даректердин кабатташуусу өзүнчө пландоо маселеси. Провайдердин алмашуусу аны жаратпайт, бирок көчүрүү адатта ал бетке чыккан учур.

Эмне аман калбайт: жарыя булак жана сессиялар

Туруктуу жеке сервер дареги туруктуу жарыя булак эмес. Эгер серептөө түз жаңы провайдер аркылуу чыкса, сайттар провайдерге караган жаңы даректи көрүшөт.

Ошол даректи туруктуу кармоо үчүн өз жеткиликтүүлүгү жана саясаты бар атайын чыгуу дизайны керек. Ал туннель менен бирге акысыз келбейт.

Орнотулган сессиялар да жолдун өзгөрүшүнө туруштук бербейт. Туннель секунддар ичинде кайра орной алат жана баары бир эски жолго бекитилген узак байланыштарды үзөт. Алмашууну кайра туташуу жарамдуу терезеге пландаңыз. Тышкы кардарлар жана алардын убакыт чектөөлөрү текшерилбейинче, көчүрүү көрүнбөйт деп ырастооңуз.

Жылдырууну төрт текшерүү менен ырастаңыз

Өзгөртүүдөн кийин төрт нерсени ирети менен текшериңиз: туннель көздөлгөн өнөктөш менен курулган, филиал префиксине ички маршрут бар, саясат колдонмо агымына уруксат берет жана колдонмо жооп берет. Ар биринин өз буйругу бар.

Linux шлюзүндө бул үчөө ошол тизменин ортосун камтыйт:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Транспорт даректерин бир тизмеде, колдонмо даректерин экинчисинде кармаңыз. Чын эле жылган жазууларды гана жаңыртыңыз. Туннелдин сырткы дареги өзгөргөндүктөн ички көз карандылыктарды кайра номурлоо — болтурбоого боло турган иш.