OpenVPNди TAPтан TUNга көчүрүү: иштеген миграция тартиби

dev tap ордуна dev tun коюу туннелдин эмнени ташыганын өзгөртөт, атын гана эмес. TAP интерфейси Ethernet кадрларын көпүрөгө берет, ошондуктан кардарлар кеңсе коммутаторуна туташкандай жүрүшөт. TUN интерфейси IP пакеттерди ташыйт, ошондуктан кардарларга маршруттар, ал эми каршы тарапка кайтуу жолу керек. Кардарлар, дарек планы жана жергиликтүү тармактын кайтаруу маршруту ушул өзгөрүү менен бирге жылышы керек.

Миграция — туннель кошулган тармакты кайра долбоорлоо, ал эми төмөнкү тартип аны кайтарыла турган кылып кармайт.

Ethernetке чындап эмне көз каранды экенин тизмектеңиз

Хостторду эмес, колдонмолорду тизмектеңиз. Ар бири маршрутталган TCP же UDP кызматтарын, трансляция аркылуу табууну, кеңсе LANынан DHCPни, IP эмес Ethernet протоколун, же эки учур тең бир субтармакта деген божомолду колдонорун аныктаңыз. Кадимки IP жетүү маршрутталган долбоордо сакталат. Чийки Ethernet кадрларын талап кылган протокол сакталбайт, жана эч кандай маршруттоо аны иштетпейт. Табууга көз каранды колдонмолорго өтүүдөн мурун чечилген алмаштыруу механизми керек, өтүү учурунда эмес.

Бул тизме кабыл алуу тизмеси да болуп саналат. Көчүрө албаган ар бир жазуу документтелген өзгөчөлүккө же ушул жумуш жүгү үчүн гана кичине TAP сегментин тирүү кармоого себеп болот.

Дарек жана кайтаруу маршрутунун планын түзүңүз

LAN, көпүрөнүн эски диапазону же кардар мурун жеткен тармак менен кабатталбаган кардар префиксин тандаңыз.dev tun, topology subnet жана server 10.78.0.0 255.255.255.0, бирок бул үзүндү, иштеген профиль эмес. Анын айланасында бекитилген TLS, инсандык, транспорт жана жетүү саясатын кармаңыз жана бош экенин текшерген префиксти колдонуңуз.

Анан кардарлар жетиши керек болгон жерлерди жана кайтуу жолун ким камсыз кыларын жазыңыз. Серверге күйгүзүлгөн өткөрүү жана уруксат берилген алдыга жол керек. LAN маршрутизаторлоруна жаңы префикске кайтуу маршруту керек, же долбоорго булактык котормо жана анын менен келген көрүнүү баасы керек. Кардардын конфигурациясына түртүлгөн маршрут кардарды конфигурациялайт, LANдын жооп жолун эмес.

Өзүнчө угуучуда сынаңыз

Жаңы кызматты иштеп турган жалгыз кирүү чекитин алмаштыруунун ордуна, аны эскисинин жанында өз порту жана өз дарек диапазону менен тургузуңуз. Пилоттук профилдерди учурдагы каттоо процесси аркылуу чыгарыңыз, эч ким миграция үчүн CAны кайра курбашы үчүн. Пилоддук жол гана активдүү болгон бир өкүл кардарды туташтырыңыз, анан берилген даректерди, жеке DNSти, тизмедеги колдонмолорду жана бөгөттө калышы керек жолдорду салыштырыңыз.

Кайра туташуу жана кайтуу трафигинин сынагын кошуңуз. Бүткөн кол кармашуу каршы тараптын жооп бере алары тууралуу эч нерсе айтпайт.

Кардарларды кайтаруу мүмкүнчүлүгү менен топторго бөлүп көчүрүңүз

Ийгиликсиздик тыныгуу эмес, колдоо иши болгондой кичине топтор менен көчүрүңүз. Ар бир топтун реалдуу жумуш агымдары өтмөйүнчө эски кызматты иштеп турган жана документтелген абалда кармаңыз, ал эми кайтарууну кайра куруу эмес, мурунку профилге кайтуу деп жазыңыз. Ар бир топ жылган сайын дарекке негизделген брандмауэр эрежелерин, мониторингди жана сервер баштаган ар кандай жетүүнү жаңы префикс үчүн жаңыртыңыз.

Топтор ошондой эле эч ким атабаган колдонмону табууга орун берет, ал эми эски жол дагы эле салыштыруу үчүн бар.

Көпүрөнү кабыл алуудан кийин гана токтотуңуз

TAP түзмөгүн алып салуу — биринчи эмес, акыркы кадам. Бир нерсени жок кылардан мурун көпүрө дагы эле сервердин башкаруу дарегин, мониторинг жолун же байланышсыз жумуш жүгүн ташып жатканын текшериңиз. Ишке кирүү көз карандылыктарын, көпүрө мүчөлүгүн жана DHCP резервдерин алардын ээлери аркылуу ошол тартипте токтотуңуз жана эмне алынгандыгын белгилеп коюңуз.

Миграция маршрутталган жетүү модели тизме үчүн иштегенде бүтөт, TAP интерфейси ip link чыгарылышынан жок болгондо эмес.