Provider wiesselen ouni d'Site-VPN-Adressen nei ze nummeréieren

Eng Filial wiesselt den Internetprovider, an de Fichierserver behält seng Adress. Dëst Resultat ass normal an engem geroutete Site-VPN a verwonnert jiddereen, dee mengt, d'Endpunktadress vum Tunnel wier d'Adress vun der Applikatioun. Déi zwee liewen an ënnerschiddleche Schichte vum Design, an nëmmen eng huet sech beweegt. Si als eng ze behandelen ass de Wee, wéi eng Provider-Migratioun zu engem Renummeréierungsprojet gëtt.

Zwee Adresspläng, déi sech onofhängeg beweegen

Den bannenzege Plang beschreift déi privat Adressen, déi d'Applikatioune benotzen: de Filialserver op 10.55.8.20, de Präfix vun der Zentrale, dee dohi routet, an de Réckwee. Den äussenze Plang beschreift, wéi zwou Paarten sech erreechen: Peer-Adressen, Lauschterporten an de Wee iwwer den Internet.

Eng Provider-Ännerung beréiert den äussenze Plang. Si verlaangt fir sech selwer net, datt de bannenzege Plang sech ännert.

Déi zwou Inventaire getrennt ze halen ass de praktesche Grond fir en Overlay ze bedreiwen, och wann d'Applikatioun hireen eegene Verkéier scho verschlësselt. Den Overlay gëtt Iech eng stabil bannenzeg Topologie, déi äusser Ännerunge iwwersteet. D'Applikatioun behält seng Adress, seng Firewall-Reegelen a seng DNS-Enregistrementer. Nëmmen d'Transport-Enregistrementer änneren sech, an dat ass eng vill méi kleng Iwwerpréiwung.

Den äussenze Tunnel dréit d'bannenzeg Gespréich

An engem Paart-zu-Paart-Tunnel adresséiert den äussenze IP-Kapp déi zwou Paarten. Den bannenzege Kapp bezeechent nach ëmmer déi tatsächlech Endpunkte vun der Applikatioun. D'Paart-zu-Paart-Beschreiwung vum RFC 7296 behandelt dat als gewéinlech Routing, déi Verkéier iwwer d'Endpunkte vum Tunnel liwwert.

Dofir kann de Filialserver 10.55.8.20 behalen, während déi ëffentlech Adress vun der Paart sech ännert. Den bannenzege Paket enthält guer net d'Adress vum Provider.

D'Trennung ass eng Design-Eegeschaft, keng automatesch Garantie. Wann den Ersatz-Uplink den ënnerstëtzten Tunnel net kann opbauen, oder d'bannenzeg Route net nei installéiert ginn, verléiert d'Applikatioun hire Wee, obwuel hir Adress onverännert ass.

D'Provider-Versetzung huet nach ëmmer eng Checklist

Déi äussenzeg Checklist huet fënnef Punkten: d'Peer-Adress oder den ënnerhalenen Numm, de Lauschterer an all Upstream-Filterung, d'Iwwersetzung um Wee, déi erwaart Peer-Identitéit an déi erlaabt Astellungen vun der anerer Paart. Jidderee kann eenzel versoen. Halt en separate Recuperatiounswee, während Dir d'Verbindung ännert, déi d'Administratioun dréit. De Fernzougang während enger Uplink-Ëmstellung ofzeschneiden ass en Ausfall, deen Dir selwer verursaacht hutt.

Duerno iwwerpréift de Filialpräfix, d'Route an zwou Richtungen, d'Schutzpolitik an een echte Applikatiounsflux. En neien authentifizéierten Tunnel fléckt keng Route, déi op dat aalt privat Subnetz weist.

D'Iwwerlappung vun Adressen mat engem anere verbonnenen Site ass e separaten Planning-Problem. D'Provider-Ännerung schaaft et net, awer eng Migratioun ass meeschtens de Moment, wou et sech weist.

Wat net iwwerlieft: ëffentlech Quell a Sëtzungen

Eng stabil privat Serveradress ass keng stabil ëffentlech Quell. Wann d'Browsing direkt iwwer den neie Provider erausgeet, gesinn d'Websäiten déi nei, providerzougewandt Adress.

Déi Adress stabil ze halen verlaangt en bewosst Ausgangsdesign mat senger eegener Disponibilitéit a Politik. Et kënnt net gratis mam Tunnel.

Opgerichte Sëtzungen iwwerliewe jo och keen Wee-Ännerung. Den Tunnel kann a Sekonne sech nei opbauen an awer laangfristeg Verbindungen briechen, déi um ale Wee festgemaach sinn. Plangt d'Ëmstellung fir eng Fënster, wou Reconnects akzeptabel sinn. Behaupt net, datt eng Migratioun onsiichtbar wäert sinn, ausser déi konkreet Cliente mat hiren Timeoute goufen getest.

Iwwerpréift d'Versetzung mat véier Kontrollen

No der Ännerung iwwerpréift véier Saachen an der Rei: den Tunnel ass mam virgesinnene Peer opgebaut, d'bannenzeg Route zum Filialpräfix existéiert, d'Politik erlaabt den Applikatiounsflux an d'Applikatioun äntwert. Jidderee huet säin eegenen Uerder.

Op enger Linux-Paart decken dës dräi d'Mëtt vun där Lëscht of:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Halt Transportadressen an engem Inventaire an Applikatiounsadressen an engem aneren. Aktualiséier nëmmen d'Enregistrementer, déi sech wierklech beweegt hunn. Bannenzeg Ofhängegkeeten nei ze nummeréieren, well sech d'äussenzeg Adress vum Tunnel geännert huet, ass vermeidbar Aarbecht.