Migrazzjoni minn VPN ibbażata fuq PPP mingħajr ma jiġu kkopjati l-assunzjonijiet tagħha

Migrazzjoni tal-VPN titlesta meta l-utenti, id-destinazzjonijiet, ir-riżoluzzjoni tal-ismijiet u l-imġiba fil-falliment ikunu għadhom kollha korretti, mhux meta l-klijent il-ġdid juri ikona ħadra. L-installazzjonijiet qodma bbażati fuq PPP iġorru assunzjonijiet li qatt ma nkitbu: sigriet komuni li kien ukoll l-unika verifika tal-identità, pool fiss tal-indirizzi li l-firewall iżomm fil-lista permessa, u suffiss DNS li jimbotta s-server. Is-sostituzzjoni tal-protokoll mingħajr inventarju ta' dawk l-assunzjonijiet tipproduċi tunnel li jtemm il-handshake u fruntiera li ma teżistix. L-ordni hawn taħt hija dik li nuża jien, u l-aħħar pass huwa dak li t-timijiet jaqbeż.

Pass 1: inventarja x'jipprovdi l-konnessjoni l-qadima

L-inventarju jinkiteb, mhux jiġi mfakkar. Irreġistra l-klijenti appoġġjati, ir-rwoli tal-awtentikazzjoni, il-pools tal-indirizzi, in-netwerks protetti, ir-rekwiżiti DNS u l-permessi tas-servizz li teħtieġ kull grupp ta' utenti.

Għal L2TP/IPsec, ifred iż-żewġ saffi b'mod espliċitu. L-identità tal-pari IPsec tawtentika l-magni; PPP tawtentika l-utent, normalment b'CHAP jew MSCHAPv2.

F'dik is-separazzjoni l-installazzjonijiet qodma jaħbu l-assunzjonijiet tagħhom. Ċavetta qabel maqsuma li tinqasam minn kull klijent tawtentika grupp u mhux apparat, u spiss tkun l-unika ħaġa li qatt iddawret. Jekk il-kont PPP huwa l-kontroll reali għal kull utent, għid hekk, għax is-sostitut irid jirriproduċi dak il-kontroll b'xi ħaġa li mhijiex string maqsum. Innota wkoll indirizzi sors fissi u eċċezzjonijiet tan-netwerk lokali, għax dawk huma d-dipendenzi li ħadd ma jiddokumenta sakemm jinqasmu.

Pass 2: iddisinja s-sostitut b'apposta

L-għażla tas-sostitut hija mappatura rekwiżit b'rekwiżit: protokoll u klijent mantenut li l-organizzazzjoni tappoġġja, b'kull rekwiżit tal-identità u tal-aċċess jinżel f'mekkaniżmu reali. Sigriet komuni mhuwiex awtomatikament ekwivalenti għal ċavetta jew ċertifikat għal kull apparat, u kont PPP għal kull utent mhuwiex ekwivalenti għal ċertifikat tal-apparat.

Ikkordina l-firxiet tal-indirizzi qabel kull ħaġa oħra, għax pool sostitut li jidħol fuq LAN tad-dar jew tal-uffiċċju joħloq falliment li m'għandu xejn x'jaqsam mas-saħħa taċ-ċifrar. Iċċekkja l-pool kontra l-istess lista li bnijt għas-servizz l-antik, flimkien ma' dak li l-klijent il-ġdid jassumi b'mod awtomatiku. Ikkonferma r-rotta tar-ritorn għan-netwerks protetti u kkonferma li l-klijent il-ġdid jista' jimbotta jew jiddokumenta s-suffiss DNS li kien jimbotta l-antik. Dawn iż-żewġ punti joħolqu aktar biljetti tal-migrazzjoni mill-bidla tal-protokoll innifisha.

Pass 3: implimenta fi stadji u vverifika kemm l-permess kif ukoll iċ-ċaħda

Implimenta b'utent rappreżentattiv wieħed u applikazzjoni rappreżentattiva waħda. Inkludi riżoluzzjoni DNS privata fit-test, għax tunnel li jasal għal indirizz iżda ma jistax isolvi isem intern ikun migra biss bin-nofs. Inkludi wkoll l-istat ta' indisponibilità mistenni: x'għandu jiġri meta t-tunnel jaqa', u jekk il-klijent jinfurzax dan.

Imbagħad ittestja destinazzjoni li għandha tibqa' miċħuda. Regola ta' permess temporanju wiesgħa tista' tagħmel it-tunnel il-ġdid jidher f'saħħtu waqt li tneħħi bil-kwiet il-fruntiera tal-awtorizzazzjoni li kienet tinforza s-servizz l-antik, u ħadd ma jinduna qabel verifika. Qabbel ir-riżultati tal-permess u taċ-ċaħda ħdejn xulxin, mill-istess klijent, fl-istess sessjoni. Żomm is-servizz l-antik jaħdem sakemm iż-żewġ kolonni jqabblu mad-disinn.

Qabel ma tmexxi l-aċċess tal-amministratur, ikkonferma li għandek rotta ta' rkupru awtorizzata li ma tiddependix mit-tunnel li qed tibdel.

Pass 4: irtira l-identità l-qadima

L-irtirar korrett tal-identità l-qadima jfisser li tħassar utenti u kredenzjali tal-apparat skaduti permezz tas-servizz li jippossjedihom, imbagħad tneħħi profili u semmiegħa qodma meta ma jibqa' l-ebda dipendenza. It-tħassir ta' fajl lokali ma jħassarx kopja x'imkien ieħor, u semmiegħ antik li għadu jaċċetta s-sigriet komuni l-antik huwa bieb mingħajr sorveljanza.

Dan il-punt jistħoqqlu tnaqqis fil-veloċità. Profil tal-klijent iddiżattivat fuq laptop mhuwiex kredenzjali revokata; il-kredenzjali tgħix fuq is-server u tibqa' valida sakemm is-server jieqaf jaċċettaha. Fittex kopji oħra tal-konfigurazzjoni l-qadima — apparati tat-test, telefon minsija, installatur li xi ħadd żamm — u qis it-tifi tas-semmiegħ bħala l-mument li s-servizz l-antik verament jintemm. Sa dakinhar, il-migrazzjoni għandha żewġ bibien ta' quddiem.

Ir-rekord tal-aċċettazzjoni huwa l-inventarju mill-ewwel pass b'kolonna miżjuda: x'jagħmel id-disinn il-ġdid għal kull ringiela, u kif ivverifikajtu. Dan ibiddel aġġornament tal-protokoll f'rekwiżit tas-servizz b'evidenza.

Żomm ir-riżultat marbut ma' dak li jeħtieġ is-servizz u mhux mal-isem tal-protokoll, għax protokoll modern bl-assunzjonijiet qodma kkopjati fih huwa l-istess riskju b'qafas aħjar. RFC 3193 jiddeskrivi kif L2TP jinġarr fuq IPsec, li huwa tfakkira utli li ż-żewġ saffi dejjem kienu deċiżjonijiet separati. Jekk l-inventarju għandu ringiela li ma tistax tispjega, waqaf u sib x'jiddependi minnha. Il-migrazzjoni titlesta meta l-lista tkun monotona.