Преместување машина од VPN во работилницата без да се изгуби

Машина го напушта локацијата на клиентот, пристигнува во работилница и го задржува истиот идентитет на средство, додека нејзината мрежна местоположба целосно се менува. Три услови одлучуваат колку планирање бара тоа преместување. Дали клиентот повторно користи адреси што и вие ги користите внатрешно, дали сегментот на работилницата е изолиран од мрежите на персоналот и дали старата патека може да се потисне, а не само да се надмине. Ако згрешите во првото, ќе дебагирате машина што е сосема во ред.

Идентитетот не е адреса

Инвентарот и именувањето треба да ги носат средството, клиентот и работата. Адресата носи каде е машината моментално приклучена, а тоа е факт што се менува кога ќе се премести. Мешањето на двете ја дава класичната грешка да се чита значење во цифрите.

Сериски број кодиран во последниот октет изгледа уредно и не докажува ништо на рутер. Должините на префиксот одлучуваат што домаќинот смета за локално и ниту една количина на лесно памтиво нумерирање не ја менува таа аритметика.

Ако сакате адресата да навестува на клиентот, тоа е конвенција, а конвенциите се во ред сѐ додека никој не гради политика врз нив. Барајте го средството во инвентарот, не адресата, и преместувањето во работилница престанува да биде потрага по богатство. Тоа исто така го преживува пренумерирањето што порано или подоцна доаѓа на секоја локација.

Серискиот број не е должина на префикс

Уредите што користат широка маска како 10.0.0.0/8 ќе ја третираат секоја адреса во тој опсег како директно поврзана, па сообраќајот до машина на клиент оддалечена две мрежи воопшто не стигнува до рутер. Машината едноставно емитува барајќи сосед што не може да одговори.

RFC 4632 ги дефинира префиксите според должина, а не според она што го навестуваат цифрите со точки. Вашиот план бара експлицитни должини за секоја група на приклучување: сервисен сегмент, контекст на клиент, клупа во работилница. Ако прво ги именувате тие групи, должините стануваат очигледни.

Практичното правило е да се дизајнира најмалиот префикс што покрива една група на приклучување и да се користи насекаде во таа група. Текстот на адресата е за луѓе; маската е она на што дејствува јадрото.

Кога два клиента ги користат истите адреси

Клиентот A и клиентот B можат и двајцата да работат 192.168.10.0/24 и двајцата ќе бидат во право во своите згради. Тоа не е проблем што се решава со пренумерирање на туѓ објект.

Држете ги контекстите одвоени или обезбедете намерни алијаси преку дизајн што документира која адреса на кој клиент му припаѓа во кој момент. Глобалниот инвентар е вистинската алатка за разликување на машините; тој не е доказ дека адресите се глобално единствени. Патеката на алијасите бара писмено правило за истекување, инаку го надживува делото што го создало.

Она од што мора да се избегне е двата контексти да бидат достапни истовремено без никаков обележувач. Две идентични адреси на две живи патеки е режимот на откажување што праќа ажурирање на фирмверот на погрешната машина. Симптомот ретко изгледа како грешка; изгледа како уред што некој друг го реконфигурирал. Прво обележувач, потоа достапност.

Дајте ѝ на работилницата своја граница

Опремата на клиентот што пристигнува за сервис припаѓа на сервисен сегмент со изречно дозволен пристап, а не приклучена во мрежа на персонал затоа што портата на клупата била слободна.

Однесувајте се кон непознат индустриски уред како кон друг домен на доверба. Запишете кој инженерски домаќин може да го достигне, кои услуги му се потребни на тој домаќин и кои акредитиви и припаѓаат на работата. Чувајте ги датотеките на клиентот со работата на клиентот, а не на споделен диск што сите можат да го читаат.

Изолацијата мора да ја преживее и досадната средина на работата: додека се ажурира, додека стои преку ноќ и додека чека курир.

Предајте ја рутата како работен чекор

Обично централниот рутер стигнува до машината преку тунелот на клиентот. Кога машината е на клупата, патеката на работилницата станува сопственик на тој префикс, или на потесна дестинација ако ви треба само една услуга.

Запишете три работи пред преместувањето: старата патека, новата патека и како промената се враќа назад. Предавање што постои само во нечија меморија не е предавање.

Бидете внимателни со метриките. Пониска метрика е важна само меѓу рутите што процесот на избор навистина ги споредува, а поконкретен префикс или правило на политика може да го одлучат исходот пред воопшто да се консултираат метриките.

Вклучете ги застарените сесии во планот. Врска воспоставена преку старата патека може да продолжи да доставува команди откако рутата ќе се смени, а тоа е точно ситуацијата во која две копии од една адреса прават вистинска штета. Затворете ја старата патека експлицитно наместо да чекате да истече.

Затворете го циклусот кога машината се испраќа

Вратете ја предвидената далечинска рута, отстранете ги привремените дозволи и потврдете го средството на крајната точка што сметате дека е избрана. Потоа проверете од страната на клиентот, а не само од работилницата.

Резолуцијата на имиња и инвентарот ја вршат овде работата свртена кон операторот: стабилно име и запис за средство што може да се пребарува ја прават задачата предвидлива, додека мрежниот план останува искрен за тоа каде е машината денес.

Тестот на добро предавање е што колега што никогаш не ја видел работата може да ги прочита вашите белешки и да одговори на едно прашање: ако оваа машина одговори сега, по која патека дојде одговорот? Ако белешките не можат да го одговорат тоа, предавањето е документирано, но не е завршено.