Perkelti mašiną iš VPN į dirbtuves jos neprarandant

Mašina palieka kliento aikštelę, atvyksta į dirbtuves ir išsaugo tą pačią turto tapatybę, nors jos vieta tinkle visiškai pasikeičia. Kiek planavimo reikia tam perkėlimui, sprendžia trys sąlygos. Ar klientas pakartotinai naudoja adresus, kuriuos ir jūs naudojate viduje, ar dirbtuvių segmentas izoliuotas nuo darbuotojų tinklų ir ar seną kelią galima nuslopinti, o ne tik pranokti. Suklydę pirmoje, derinsite mašiną, kuri yra tvarkinga.

Tapatybė nėra adresas

Inventorius ir pavadinimai turi nešti turtą, klientą ir darbą. Adresas neša tai, kur mašina prijungta dabar, ir tai faktas, kuris pasikeičia jai išsikrausčius. Sumaišius abu, atsiranda klasikinė klaida skaityti prasmę skaičiuose.

Paskutiniame oktete užkoduotas serijos numeris atrodo tvarkingai ir maršrutizatoriui nieko neįrodo. Prefiksų ilgiai nusprendžia, ką hostas laiko vietiniu, ir joks įsimintinas numeravimas tos aritmetikos nepakeis.

Jei norite, kad adresas užsimintų apie klientą, tai konvencija, o konvencijos geros tol, kol niekas jomis nepagrindžia politikos. Ieškokite turto inventorijoje, ne adreso, ir perkėlimas į dirbtuves nustos būti lobių paieška. Jis taip pat atlaiko pernumeravimą, kuris anksčiau ar vėliau ateina į kiekvieną aikštelę.

Serijos numeris nėra prefikso ilgis

Įrenginiai, naudojantys plačią kaukę kaip 10.0.0.0/8, visus to diapazono adresus laikys tiesiogiai prijungtais, todėl srautas į dviejų tinklų atstumu esančią kliento mašiną niekada nepasiekia maršrutizatoriaus. Mašina tiesiog transliuoja ieškodama kaimyno, kuris negali atsakyti.

RFC 4632 apibrėžia prefiksus pagal ilgį, o ne pagal tai, ką siūlo taškuoti skaičiai. Jūsų planui reikia aiškių ilgių kiekvienai prisijungimo grupei: paslaugų segmentui, kliento kontekstui, dirbtuvių stalui. Jei pirmiausia įvardysite tas grupes, ilgiai taps akivaizdūs.

Praktinė taisyklė – suprojektuoti mažiausią prefiksą, apimantį vieną prisijungimo grupę, ir naudoti jį visur toje grupėje. Adreso tekstas skirtas žmonėms; kaukė yra tai, kuo vadovaudamasi veikia branduolys.

Kai du klientai pakartotinai naudoja tuos pačius adresus

Klientas A ir klientas B gali abu naudoti 192.168.10.0/24 ir abu bus teisūs savo pastatuose. Tai ne problema, kurią reikia spręsti pernumeruojant kito įmonės tinklą.

Laikykite kontekstus atskirai arba suteikite sąmoningus slapyvardžius per dizainą, kuris dokumentuoja, koks adresas priklauso kuriam klientui kuriuo momentu. Globalus inventorius yra tinkamas įrankis mašinoms atskirti; tai nėra įrodymas, kad adresai yra globaliai unikalūs. Slapyvardžių keliui reikia rašytinės galiojimo pabaigos taisyklės, kitaip jis pergyvena darbą, kurį sukūrė.

Ko reikia vengti – kad abu kontekstai būtų pasiekiami vienu metu be jokio ženklo. Du identiški adresai dvejuose gyvuose keliuose yra gedimo režimas, kuris nusiunčia programinės įrangos atnaujinimą ne tai mašinai. Simptomas retai atrodo kaip klaida; jis atrodo kaip įrenginys, kurį kažkas kitas perkonfigūravo. Pirmiau ženklas, paskui pasiekiamumas.

Duokite dirbtuvėms savo ribą

Kliento įranga, atvykstanti remontui, priklauso paslaugų segmentui su aiškiai leidžiama prieiga, o ne kišama į darbuotojų tinklą todėl, kad stalo prievadas buvo laisvas.

Nežinomą pramoninį įrenginį traktuokite kaip kitą pasitikėjimo sritį. Užsirašykite, kuris inžinerinis hostas gali jį pasiekti, kokių paslaugų tam hostui reikia ir kokie prisijungimo duomenys priklauso darbui. Kliento failus laikykite kartu su kliento darbu, o ne bendrame diske, kurį gali skaityti visi.

Izoliacija turi atlaikyti ir nuobodžią darbo vidurį: kol įrenginys atnaujinamas, kol stovi per naktį ir kol laukia kurjerio.

Perduokite maršrutą kaip darbo žingsnį

Paprastai centrinis maršrutizatorius pasiekia mašiną per kliento tunelį. Kai mašina yra ant stalo, dirbtuvių kelias tampa to prefikso arba siauresnės paskirties savininku, jei jums reikia tik vienos paslaugos.

Prieš perkėlimą užrašykite tris dalykus: seną kelią, naują kelią ir kaip pakeitimas atšaukiamas. Perdavimas, egzistuojantis tik kieno nors atmintyje, nėra perdavimas.

Būkite atsargūs su metrikomis. Mažesnė metrika svarbi tik tarp maršrutų, kuriuos atrankos procesas iš tikrųjų lygina, o konkretesnis prefiksas ar politikos taisyklė gali nulemti rezultatą dar prieš žiūrint į metrikas.

Įtraukite pasenusias sesijas į planą. Ryšys, užmegztas senuoju keliu, gali toliau perduoti komandas po maršruto pakeitimo, ir būtent tokioje situacijoje dvi vieno adreso kopijos padaro realią žalą. Uždarykite seną kelią aiškiai, o ne laukdami jo pasibaigimo.

Uždarykite ciklą, kai mašina išsiunčiama

Atkurkite numatytą nuotolinį maršrutą, pašalinkite laikinus leidimus ir patvirtinkite turtą tame galiniame taške, kuris, jūsų manymu, buvo pasirinktas. Tada patikrinkite iš kliento pusės, o ne tik iš dirbtuvių.

Vardų skyrimas ir inventorius čia atlieka operatoriui skirtą darbą: stabilus vardas ir ieškomas turto įrašas daro užduotį nuspėjamą, o tinklo planas išlieka sąžiningas dėl to, kur mašina yra šiandien.

Gero perdavimo išbandymas yra tai, kad kolega, niekada nemačiusiam darbo, gali perskaityti jūsų užrašus ir atsakyti į vieną klausimą: jei ši mašina dabar atsakytų, iš kurio kelio atėjo atsakymas? Jei užrašai to negali atsakyti, perdavimas dokumentuotas, bet nebaigtas.