Bytt leverandør uten å omnummerere site-VPN-adressene

En filial bytter internettleverandør, og filserveren beholder adressen sin. Det resultatet er normalt i et rutet site-VPN og overraskende for alle som antar at tunnelens endepunktsadresse er applikasjonens adresse. De to lever i ulike lag av designet, og bare én flyttet seg. Å behandle dem som én er måten en leverandørflytting blir til et omnummereringsprosjekt.

To adresseplaner som flytter seg uavhengig

Den indre planen beskriver de private adressene applikasjonene bruker: filialserveren på 10.55.8.20, hovedkontorets prefiks som ruter dit, og returruten. Den ytre planen beskriver hvordan to gateways når hverandre: peer-adresser, lyttporter og veien over internett.

Et leverandørbytte berører den ytre planen. Det krever ikke i seg selv at den indre planen endres.

Å holde de to oversiktene atskilt er den praktiske grunnen til å kjøre et overlay selv når applikasjonen allerede krypterer sin egen trafikk. Overlayet gir deg en stabil indre topologi som overlever ytre endringer. Applikasjonen beholder adressen, brannmurreglene og DNS-postene sine. Bare transportpostene endres, og det er en mye mindre gjennomgang.

Den ytre tunnelen bærer den indre samtalen

I en gateway-til-gateway-tunnel adresserer den ytre IP-headeren de to gatewayene. Den indre headeren navngir fortsatt applikasjonens faktiske endepunkter. Beskrivelsen av gateway-til-gateway i RFC 7296 behandler dette som vanlig ruting som leverer trafikk via tunnelens endepunkter.

Derfor kan filialserveren beholde 10.55.8.20 mens gatewayens offentlige adresse endres. Den indre pakken inneholder ikke leverandørens adresse i det hele tatt.

Oppdelingen er en designegenskap, ikke en automatisk garanti. Hvis den nye uplinken ikke kan etablere den støttede tunnelen, eller de indre rutene ikke installeres på nytt, mister applikasjonen veien sin selv om adressen er uendret.

Leverandørflyttingen har fortsatt en sjekkliste

Den ytre sjekklisten har fem punkter: peer-adressen eller det vedlikeholdte navnet, lytteren og eventuell filtrering lenger opp, oversettelsen på veien, den forventede peer-identiteten og den andre gatewayens tillatte innstillinger. Hver av dem kan svikte alene. Hold en separat gjenopprettingsvei mens du bytter lenken som bærer administrasjonen. Å kutte fjernaksess under en uplink-overgang er et avbrudd du selv forårsaket.

Deretter kontrollerer du filialprefikset, ruten i begge retninger, beskyttelsespolicyen og én ekte applikasjonsflyt. En nyautentisert tunnel retter ikke en rute som peker på det gamle private subnettet.

Adresseoverlapp med et annet tilkoblet anlegg er et separat planleggingsproblem. Leverandørbyttet skaper det ikke, men en migrering er vanligvis når det dukker opp.

Det som ikke overlever: offentlig kilde og sesjoner

En stabil privat serveradresse er ikke en stabil offentlig kilde. Hvis nettlesingen går direkte ut gjennom den nye leverandøren, ser nettstedene den nye leverandørvendte adressen.

Å holde den adressen stabil krever en bevisst egress-design med egen tilgjengelighet og policy. Det kommer ikke gratis med tunnelen.

Etablerte sesjoner overlever heller ikke et veibytte. Tunnelen kan gjenopprettes i løpet av sekunder og likevel bryte langvarige forbindelser som er festet til den gamle veien. Planlegg overgangen til et vindu der gjenoppkoblinger er akseptable. Ikke påstå at en migrering blir usynlig med mindre de konkrete klientene og deres tidsavbrudd er testet.

Verifiser flyttingen med fire kontroller

Etter endringen, verifiser fire ting i rekkefølge: tunnelen er etablert med den tiltenkte peeren, den indre ruten til filialprefikset finnes, policyen tillater applikasjonsflyten, og applikasjonen svarer. Hver har sin egen kommando.

På en Linux-gateway dekker disse tre midten av den listen:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Hold transportadresser i én oversikt og applikasjonsadresser i en annen. Oppdater bare postene som faktisk flyttet seg. Å omnummerere interne avhengigheter fordi tunnelens ytre adresse er endret, er unødvendig arbeid.