Mainiet pakalpojumu sniedzēju, nepārnumurējot vietnes VPN adreses

Filiāle maina interneta pakalpojumu sniedzēju, un failu serveris saglabā savu adresi. Šāds iznākums ir normāls maršrutētā vietnes VPN un pārsteidzošs ikvienam, kurš pieņem, ka tuneļa galapunkta adrese ir lietojumprogrammas adrese. Abi dzīvo dažādos dizaina slāņos, un pārvietojās tikai viens. Uzskatīt tos par vienu ir veids, kā pakalpojumu sniedzēja migrācija pārvēršas pārnumurēšanas projektā.

Divi adrešu plāni, kas pārvietojas neatkarīgi

Iekšējais plāns apraksta privātās adreses, ko izmanto lietojumprogrammas: filiāles serveris adresē 10.55.8.20, centrālā biroja prefikss, kas virza uz to, un atgriešanās maršruts. Ārējais plāns apraksta, kā divi vārteji sasniedz viens otru: partnera adreses, klausīšanās porti un ceļš pāri internetam.

Pakalpojumu sniedzēja maiņa skar ārējo plānu. Tā pati par sevi neprasa mainīt iekšējo plānu.

Divu uzskaites sarakstu šķiršana ir praktiskais iemesls darbināt pārklājumu arī tad, kad lietojumprogramma jau pati šifrē savu satiksmi. Pārklājums dod stabilu iekšējo topoloģiju, kas pārdzīvo ārējas izmaiņas. Lietojumprogramma saglabā savu adresi, ugunsmūra noteikumus un DNS ierakstus. Mainās tikai transporta ieraksti, un tā ir daudz mazāka pārbaude.

Ārējais tunelis nes iekšējo sarunu

Vārteja-uz-vārteju tunelī ārējā IP galvene adresē abus vārtejus. Iekšējā galvene joprojām nosauc faktiskos lietojumprogrammas galapunktus. RFC 7296 vārteja-uz-vārteju apraksts to uzskata par parastu maršrutēšanu, kas piegādā satiksmi caur tuneļa galapunktiem.

Tāpēc filiāles serveris var saglabāt 10.55.8.20, kamēr mainās vārteja publiskā adrese. Iekšējā paketē pakalpojumu sniedzēja adreses nemaz nav.

Šķīrums ir dizaina īpašība, nevis automātiska garantija. Ja aizvietojošais kanāls nevar izveidot atbalstīto tuneli vai iekšējie maršruti netiek uzstādīti no jauna, lietojumprogramma zaudē savu ceļu, lai gan tās adrese nav mainījusies.

Pakalpojumu sniedzēja pārvietošanai joprojām ir kontrolsaraksts

Ārējā kontrolsarakstā ir piecas pozīcijas: partnera adrese vai uzturētais nosaukums, klausītājs un jebkura augšupēja filtrēšana, tulkošana ceļā, sagaidāmā partnera identitāte un otra vārteja atļautie iestatījumi. Katrs var neizdoties pats par sevi. Turiet atsevišķu atkopšanas ceļu, kamēr maināt saiti, kas nes administrāciju. Attālinātās piekļuves nogriešana kanāla pārslēgšanas laikā ir pārtraukums, ko izraisījāt paši.

Pēc tam pārbaudiet filiāles prefiksu, maršrutu abos virzienos, aizsardzības politiku un vienu reālu lietojumprogrammas plūsmu. Tikko autentificēts tunelis nesalabo maršrutu, kas norāda uz veco privāto apakštīklu.

Adrešu pārklāšanās ar citu pieslēgtu vietni ir atsevišķa plānošanas problēma. Pakalpojumu sniedzēja maiņa to nerada, bet migrācija parasti ir tas brīdis, kad tā parādās.

Kas neizdzīvo: publiskais avots un sesijas

Stabila privāta servera adrese nav stabils publiskais avots. Ja pārlūkošana iziet tieši caur jauno pakalpojumu sniedzēju, vietnes redz jauno uz pakalpojumu sniedzēju vērsto adresi.

Lai noturētu šo adresi stabilu, vajadzīgs apzināts izejas dizains ar savu pieejamību un politiku. Tas nenāk bez maksas kopā ar tuneli.

Arī izveidotās sesijas nepārdzīvo ceļa maiņu. Tunelis var atjaunoties sekundēs un tomēr pārtraukt ilgstošus savienojumus, kas piesaistīti vecajam ceļam. Plānojiet pārslēgšanu tādam logam, kurā atkārtota pievienošanās ir pieņemama. Neapgalvojiet, ka migrācija būs neredzama, ja nav pārbaudīti konkrētie klienti un to taimauti.

Pārbaudiet pārvietošanu ar četrām pārbaudēm

Pēc izmaiņām pēc kārtas pārbaudiet četras lietas: tunelis ir izveidots ar paredzēto partneri, iekšējais maršruts uz filiāles prefiksu pastāv, politika atļauj lietojumprogrammas plūsmu un lietojumprogramma atbild. Katrai ir sava komanda.

Linux vārtejā šie trīs nosedz tā saraksta vidu:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Turiet transporta adreses vienā uzskaitē un lietojumprogrammu adreses citā. Atjauniniet tikai tos ierakstus, kas tiešām pārvietojās. Iekšējo atkarību pārnumurēšana tāpēc, ka mainījās tuneļa ārējā adrese, ir izvairāms darbs.