Memindahkan OpenVPN daripada TAP ke TUN: urutan migrasi yang berkesan

Menukar dev tap kepada dev tun mengubah apa yang dibawa oleh terowong, bukan sekadar namanya. Antara muka TAP menyerahkan bingkai Ethernet kepada jambatan, jadi klien berkelakuan seolah-olah dipasang pada suis pejabat. Antara muka TUN membawa paket IP, jadi klien memerlukan laluan dan pihak jauh memerlukan laluan pulang. Klien, pelan alamat dan laluan balik LAN semuanya mesti berpindah bersama perubahan itu.

Migrasi ini ialah reka bentuk semula rangkaian dengan terowong terpasang, dan urutan di bawah mengekalkannya boleh dipulihkan.

Senaraikan apa yang sebenarnya bergantung pada Ethernet

Senaraikan aplikasi, bukan hos. Tentukan sama ada setiap satu menggunakan perkhidmatan TCP atau UDP yang dilalui, penemuan siaran, DHCP daripada LAN pejabat, protokol Ethernet bukan IP, atau andaian bahawa kedua-dua hujung berada dalam subnet yang sama. Akses IP biasa bertahan dalam reka bentuk berpenghalaan. Protokol yang memerlukan bingkai Ethernet mentah tidak bertahan, dan tiada jumlah penghalaan akan membuatnya berfungsi. Aplikasi yang bergantung pada penemuan memerlukan mekanisme pengganti yang diputuskan sebelum peralihan, bukan semasanya.

Senarai itu juga merupakan senarai penerimaan. Setiap entri yang tidak dapat anda pindahkan menjadi pengecualian berdokumen atau sebab untuk mengekalkan segmen TAP kecil hidup bagi beban kerja itu sahaja.

Bina pelan alamat dan laluan balik

Pilih awalan klien yang tidak bertindih dengan LAN, julat jambatan lama atau mana-mana rangkaian yang sudah dicapai oleh klien. Pelayan topologi subnet memerlukan serpihan seperti dev tun, topology subnet dan server 10.78.0.0 255.255.255.0, tetapi itu hanyalah serpihan, bukan profil yang berfungsi. Kekalkan dasar TLS, identiti, pengangkutan dan akses yang diluluskan di sekelilingnya, dan gunakan awalan yang telah anda sahkan sebagai bebas.

Kemudian tuliskan destinasi yang mesti dicapai oleh klien dan siapa yang menyediakan laluan pulang. Pelayan memerlukan penghantaran diaktifkan dan laluan ke hadapan yang dibenarkan. Penghala LAN memerlukan laluan balik ke awalan baharu, atau reka bentuk memerlukan terjemahan sumber dengan kos keterlihatan yang tersirat. Laluan yang ditolak ke klien mengkonfigurasi klien, bukan laluan balasan LAN.

Uji pada pendengar berasingan

Dirikan perkhidmatan baharu di sebelah yang lama pada port dan julat alamatnya sendiri, bukannya menggantikan satu-satunya titik masuk yang berfungsi. Keluarkan profil perintis melalui proses pendaftaran sedia ada supaya tiada siapa membina semula CA untuk migrasi. Sambungkan satu klien wakil dengan hanya laluan perintis aktif, kemudian bandingkan alamat yang diberikan, DNS peribadi, aplikasi daripada senarai dan laluan yang sepatutnya kekal disekat.

Sertakan ujian sambung semula dan trafik balik. Jabat tangan yang selesai tidak memberitahu apa-apa tentang sama ada pihak jauh boleh menjawab.

Pindahkan klien dalam kumpulan dengan rollback

Berhijrah dalam kumpulan yang cukup kecil supaya kegagalan menjadi tugas sokongan, bukan gangguan. Kekalkan perkhidmatan lama berjalan dan didokumenkan sehingga aliran kerja sebenar setiap kumpulan lulus, dan tulis rollback sebagai pertukaran kembali kepada profil sebelumnya, bukan pembinaan semula. Kemas kini peraturan tembok api berasaskan alamat, pemantauan dan sebarang akses yang dimulakan pelayan untuk awalan baharu semasa setiap kumpulan bergerak.

Kumpulan juga memberi anda tempat untuk menemui aplikasi yang tidak disebut oleh sesiapa, sementara laluan lama masih wujud untuk dibandingkan.

Hentikan jambatan hanya selepas penerimaan

Membuang peranti TAP ialah langkah terakhir, bukan yang pertama. Semak sama ada jambatan masih membawa alamat pengurusan pelayan, laluan pemantauan atau beban kerja yang tidak berkaitan sebelum memadam apa-apa. Hentikan kebergantungan permulaan, keahlian jambatan dan tempahan DHCP melalui pemiliknya, dalam urutan itu, dengan catatan tentang apa yang telah dibuang.

Migrasi selesai apabila model akses berpenghalaan berfungsi untuk senarai itu, bukan apabila antara muka TAP hilang daripada output ip link.