Nqiegħdu OpenVPN mit-TAP għat-TUN: ordni ta’ migrazzjoni li taħdem

Billi tibdel dev tap għal dev tun jinbidel dak li ġġorr il-mina, mhux biss l-isem tagħha. L-interface TAP tgħaddi l-qafas Ethernet lil pont, għalhekk il-klijenti jġibu ruħhom bħallikieku mqabbda mas-switch tal-uffiċċju. L-interface TUN iġorr il-pakketti IP, għalhekk il-klijenti jeħtieġu rotot u n-naħa l-oħra jeħtieġ triq lura. Il-klijenti, il-pjan tal-indirizzi u r-rotta tar-ritorn tal-LAN kollha jridu jiċċaqilqu ma’ dik il-bidla.

Il-migrazzjoni hija disinn mill-ġdid tan-netwerk b’mina mehmuża, u l-ordni hawn taħt iżżommha riversibbli.

Iġbor inventarju ta’ dak li verament jiddependi mill-Ethernet

Elenka l-applikazzjonijiet, mhux il-hosts. Iddetermina jekk kull waħda tużax servizzi TCP jew UDP bir-rotta, skoperta bil-broadcast, DHCP mil-LAN tal-uffiċċju, protokoll Ethernet mhux IP, jew suppożizzjoni li ż-żewġt iħħar jinsabu fl-istess subnetwork. Aċċess IP ordinarju jibqa’ ħaj f’disinn bir-rotta. Protokoll li jeħtieġ qafas Ethernet mhux ipproċessat ma jibqax, u l-ebda ammont ta’ routing ma jagħmlu jaħdem. L-applikazzjonijiet li jiddependu mill-iskoperta jeħtieġu mekkaniżmu ta’ sostituzzjoni deċiż qabel il-qalba, mhux waqtaha.

Dak l-inventarju huwa wkoll il-lista ta’ aċċettazzjoni. Kull entrata li ma tistax tittrasferixxi ssir eċċezzjoni dokumentata jew raġuni biex iżżomm segment TAP żgħir ħaj għal dak ix-xogħol biss.

Ibni l-pjan tal-indirizzi u r-rotot tar-ritorn

Agħżel prefiss tal-klijenti li ma jikkoinċidix mal-LAN, mal-firxa l-qadima tal-pont jew ma’ kwalunkwe netwerk li l-klijent diġà jasal għalih. Server b’topoloġija tas-subnet jeħtieġ framment bħal dev tun, topology subnet u server 10.78.0.0 255.255.255.0, iżda dak huwa framment, mhux profil li jaħdem. Żomm il-politika approvata tat-TLS, tal-identità, tat-trasport u tal-aċċess madwaru, u uża prefiss li verifikajt li huwa ħieles.

Imbagħad ikteb id-destinazzjonijiet li l-klijenti jridu jaslu għalihom u min jipprovdi t-triq lura. Is-server jeħtieġ forwarding mixgħul u triq ’l quddiem permessa. Ir-router tal-LAN jeħtieġu rotta lura lejn il-prefiss il-ġdid, jew id-disinn jeħtieġ traduzzjoni tas-sors bl-ispiża tal-viżibilità li timplika. Rotta mbuttata lill-klijent tikkonfigura lill-klijent, mhux it-triq tar-risposta tal-LAN.

Ipprova fuq listener separat

Qiegħed is-servizz il-ġdid ħdejn dak antik fuq il-port tiegħu u l-firxa tal-indirizzi tiegħu, minflok ma tissostitwixxi l-uniku punt tad-dħul li jaħdem. Ħareġ profili pilota permezz tal-proċess tal-enrollment eżistenti biex ħadd ma jerġa’ jibni l-CA għal migrazzjoni. Qabbad klijent rappreżentattiv wieħed biss bit-triq pilota attiva, imbagħad qabbel l-indirizzi assenjati, id-DNS privat, l-applikazzjonijiet mill-inventarju u t-toroq li għandhom jibqgħu mblukkati.

Inkludi test ta’ qbid mill-ġdid u traffiku tar-ritorn. Handshake li jitlesta ma jgħid xejn dwar jekk in-naħa l-oħra tistax twieġeb.

Mexxi l-klijenti fi gruppi b’rollback

Migra fi gruppi żgħar biżżejjed li falliment ikun kompitu ta’ appoġġ mhux waqfa. Żomm is-servizz antik miexi u dokumentat sakemm il-flussi tax-xogħol reali ta’ kull grupp jgħaddu, u ikteb ir-rollback bħala bidla lura għall-profil preċedenti, mhux bini mill-ġdid. Aġġorna r-regoli tal-firewall ibbażati fuq l-indirizzi, il-monitoraġġ u kwalunkwe aċċess mibdi mis-server għall-prefiss il-ġdid hekk kif kull grupp jiċċaqlaq.

Il-gruppi jagħtuk ukoll post biex tiskopri l-applikazzjoni li ħadd ma semma, waqt li t-triq antika għadha teżisti biex tqabbel magħha.

Irtira l-pont biss wara l-aċċettazzjoni

It-tneħħija tal-apparat TAP hija l-aħħar pass, mhux l-ewwel. Iċċekkja jekk il-pont għadux iġorr l-indirizz tal-ġestjoni tas-server, triq ta’ monitoraġġ jew xogħol mhux relatat qabel tħassar xi ħaġa. Irtira d-dipendenzi tal-bidu, is-sħubija fil-pont u r-riżervi tad-DHCP permezz tas-sidien tagħhom, f’dak l-ordni, b’nota ta’ dak li tneħħa.

Il-migrazzjoni tintemm meta l-mudell tal-aċċess bir-rotta jaħdem għall-inventarju, mhux meta interface TAP tisparixxi mill-output ta’ ip link.