OpenVPN vun TAP op TUN verréckelen: eng Migratiounsuerdnung déi funktionéiert

D'Ersetzen vum dev tap duerch dev tun ännert wat den Tunnel dréit, net just wéi e heescht. Eng TAP-Schnittstell iwwergëtt Ethernet-Frames un eng Bréck, sou datt sech Clienten behuelen wéi wa se am Büro-Switch dra stiechen. Eng TUN-Schnittstell dréit IP-Paketen, sou datt Clienten Ruten brauchen an déi aner Säit e Wee zréck. D'Clienten, den Adressplang an d'Retourrout vum LAN mussen alleguer mat där Ännerung bewegen.

D'Migratioun ass en Ëmdesign vum Netzwierk mat engem Tunnel dobäi, an d'Uerdnung hei drënner hält se ëmkéierbar.

Inventariséiert wat tatsächlech vun Ethernet ofhänkt

Lëscht d'Applikatiounen, net d'Hosts. Bestëmmt ob jiddwereng vun hinnen geroutete TCP- oder UDP-Servicer, Broadcast-Entdeckung, DHCP aus dem Büro-LAN, en net-IP-Ethernet-Protokoll oder d'Unahme benotzt datt béid Enner am selwechten Subnetz sinn. Gewéinlechen IP-Zougang iwwerlieft en gerouteten Design. En Protokoll dee roh Ethernet-Frames brauch net, an et gëtt kee Routing deen en zum Lafen bréngt. Applikatiounen déi vun der Entdeckung ofhänken brauchen en Ersatzmechanismus dee virum Iwwergank decidéiert gëtt, net während deem.

Dës Inventur ass och d'Akzeptanzlëscht. All Andrag deen Dir net migréiere kënnt gëtt eng dokumentéiert Ausnahm oder e Grond fir e klengt TAP-Segment just fir déi Aarbechtslaascht lieweg ze halen.

Baut den Adress- an Retourroutenplang

Wielt e Client-Präfix deen sech net mat dem LAN, dem ale Beräich vun der Bréck oder engem Netzwierk iwwerschneid, dat e Client schonn erreecht.dev tun, topology subnet an server 10.78.0.0 255.255.255.0, awer dat ass e Fragment, net e funktionéierende Profil. Hält ronderëm déi genehmegt TLS-, Identitéits-, Transport- an Zougangspolitik a benotzt e Präfix deen Dir als fräi verifizéiert hutt.

Schreift duerno d'Destinatiounen op déi d'Clienten erreeche mussen an wien de Wee zréck liwwert. De Server brauch ageschalt Forwarding an en erlaabte Wee no vir. LAN-Router brauchen eng Route zréck op den neie Präfix, oder den Design brauch Quellübersetzung mat de Sichtbarkeetskäschte déi dat mat sech bréngt. Eng Route déi an d'Clientkonfiguratioun gedréckt gëtt konfiguréiert de Client, net de Wee vun der Äntwert vum LAN.

Testt op engem separat Lauschterer

Stellt den neien Déngscht niewent dem alen op sengem eegene Port a sengem eegenen Adressberäich op, amplaz den eenzegen Agank ze ersetzen deen funktionéiert. Gitt Testprofiler duerch de bestehenden Aschreiwungsprozess aus, sou datt keen d'CA wéinst enger Migratioun nei baut. Verbënnt een representativen Client mat nëmmen dem Testwee aktiv, a vergläicht duerno zougewisen Adressen, privaten DNS, d'Applikatiounen aus der Inventur an d'Weeër déi sollen zou bleiwen.

Setzt en Test vu Reconnect an Zréckverkéier dobäi. En Handshake deen ofgeschloss gëtt seet näischt doriwwer ob déi aner Säit äntwere kann.

Verreckelt Clienten a Gruppe mat engem Rollback

Migréiert a Gruppe kleng genuch datt e Fehler eng Ënnerstëtzungsaufgab ass an net en Ausfall. Hält den ale Déngscht am Laf an dokumentéiert bis déi richteg Aarbechtsflëss vun all Grupp duerchginn, a schreift de Rollback als eng zréckschalten op de viriige Profil, net als en Neibau. Aktualiséiert adressbaséiert Firewallregele, Monitoring an all Zougang dee vum Server ugefaang gëtt fir den neie Präfix wärend all Grupp sech beweegt.

Gruppe ginn Iech och eng Plaz fir d'Applikatioun z'entdecken déi keen ernimmt huet, wärend de ale Wee nach existéiert fir ze vergläichen.

Pensionéiert d'Bréck eréischt no der Akzeptanz

D'TAP-Gerät ewechhuelen ass de leschte Schrëtt, net deen éischten. Kontrolléiert ob d'Bréck nach ëmmer d'Verwaltungsadress vum Server, en Iwwerwaachungswee oder eng onverbonnen Aarbechtslaascht dréit ier Dir eppes läscht. Pensionéiert Startofhängegkeeten, Bréckmemberzschaft an DHCP-Reservatiounen iwwer hir Besëtzer, an där Uerdnung, mat enger Notiz vun deem wat ewechgeholl gouf.

D'Migratioun ass fäerdeg wann de gerouteten Zougangsmodell fir d'Inventur funktionéiert, net wann eng TAP-Schnittstell aus dem Output vum ip link verschwënnt.