Промена на провајдер без пренумерирање на адресите на VPN-от на локацијата

Една филијала менува интернет провајдер, а датотечниот сервер ја задржува својата адреса. Тој исход е нормален кај рутиран VPN на локација и изненадувачки за секој што претпоставува дека адресата на крајната точка на тунелот е адресата на апликацијата. Двете живеат во различни слоеви на дизајнот, а се премести само едната. Да се третираат како едно е начинот на кој миграцијата на провајдер станува проект за пренумерирање.

Два плана за адреси што се движат независно

Внатрешниот план ги опишува приватните адреси што ги користат апликациите: серверот на филијалата на 10.55.8.20, префиксот на централата што рутира кон него и повратната рута. Надворешниот план опишува како два гејтвеја се достигнуваат: адреси на партнери, порти за слушање и патот низ интернет.

Промената на провајдер го допира надворешниот план. Таа сама по себе не бара промена на внатрешниот план.

Одржувањето на двата инвентара одделно е практичната причина да се работи со overlay дури и кога апликацијата веќе го шифрира својот сообраќај. Overlay-от ви дава стабилна внатрешна топологија што ги преживува надворешните промени. Апликацијата ја задржува својата адреса, правилата на ѕидот и DNS записите. Се менуваат само транспортните записи, а тоа е многу помал преглед.

Надворешниот тунел го носи внатрешниот разговор

Во тунел од гејтвеј до гејтвеј, надворешното IP заглавје ги адресира двата гејтвеја. Внатрешното заглавје сè уште ги именува вистинските крајни точки на апликацијата. Описот од гејтвеј до гејтвеј во RFC 7296 го третира ова како обично рутирање што доставува сообраќај низ крајните точки на тунелот.

Затоа серверот на филијалата може да ја задржи 10.55.8.20 додека јавната адреса на гејтвејот се менува. Внатрешниот пакет воопшто не ја содржи адресата на провајдерот.

Поделбата е својство на дизајнот, а не автоматска гаранција. Ако замената врска не може да воспостави поддржаниот тунел или внатрешните рути не се инсталираат повторно, апликацијата го губи патот иако нејзината адреса е непроменета.

Преместувањето на провајдерот сè уште има контролна листа

Надворешната контролна листа има пет ставки: адресата на партнерот или одржуваното име, слушачот и какво било филтрирање возводно, преводот на патот, очекуваниот идентитет на партнерот и дозволените поставки на другиот гејтвеј. Секоја може да откаже сама. Држете одделна патека за враќање додека ја менувате врската што носи администрација. Пресекувањето на далечинскиот пристап за време на премин кон нова врска е дефект што сами сте го предизвикале.

Потоа проверете го префиксот на филијалата, рутата во двете насоки, заштитната политика и еден вистински тек на апликацијата. Новоавтентициран тунел не поправа рута што покажува кон старата приватна подмрежа.

Преклопувањето на адреси со друга поврзана локација е одделен проблем при планирањето. Промената на провајдерот не го создава, но миграцијата обично е моментот кога тоа излегува на површина.

Што не преживува: јавен извор и сесии

Стабилна приватна адреса на сервер не е стабилен јавен извор. Ако прелистувањето излегува директно низ новиот провајдер, страниците ја гледаат новата адреса свртена кон провајдерот.

За да ја одржите таа адреса стабилна, потребен е намерен дизајн на излезот, со сопствена достапност и политика. Тој не доаѓа бесплатно со тунелот.

Ни воспоставените сесии не преживуваат промена на патот. Тунелот може да се воспостави повторно за секунди и сепак да ги прекине долготрајните врски прикачени на стариот пат. Планирајте го преминот за прозорец во кој повторното поврзување е прифатливо. Не тврдете дека миграцијата ќе биде невидлива ако конкретните клиенти и нивните рокови не се тестирани.

Проверете го преместувањето со четири проверки

По промената проверете четири работи по ред: тунелот е воспоставен со предвидениот партнер, внатрешната рута до префиксот на филијалата постои, политиката го дозволува текот на апликацијата и апликацијата одговара. Секоја има своја наредба.

На Linux гејтвеј, овие три ја покриваат средината на таа листа:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Држете ги транспортните адреси во еден инвентар, а адресите на апликациите во друг. Ажурирајте ги само записите што навистина се преместиле. Пренумерирањето на внатрешните зависности поради промена на надворешната адреса на тунелот е работа што може да се избегне.