OpenVPN van TAP naar TUN verplaatsen: een migratievolgorde die werkt

Het vervangen van dev tap door dev tun verandert wat de tunnel vervoert, niet alleen hoe hij heet. Een TAP-interface geeft Ethernet-frames door aan een bridge, dus clients gedragen zich alsof ze op de kantoorswitch zijn aangesloten. Een TUN-interface vervoert IP-pakketten, dus clients hebben routes nodig en de andere kant heeft een weg terug nodig. De clients, het adresplan en de retourroute van het LAN moeten allemaal mee met die wijziging.

De migratie is een herontwerp van het netwerk met een tunnel eraan vast, en de volgorde hieronder houdt het omkeerbaar.

Inventariseer wat werkelijk van Ethernet afhangt

Maak een lijst van de toepassingen, niet van de hosts. Bepaal of elk ervan gerouteerde TCP- of UDP-diensten gebruikt, discovery via broadcast, DHCP van het kantoor-LAN, een Ethernet-protocol dat geen IP is, of de aanname dat beide uiteinden in hetzelfde subnet zitten. Gewone IP-toegang overleeft een gerouteerd ontwerp. Een protocol dat ruwe Ethernet-frames nodig heeft niet, en geen enkele hoeveelheid routing maakt dat werkend. Toepassingen die van discovery afhangen hebben een vervangend mechanisme nodig dat vóór de overstap is bepaald, niet tijdens.

Die inventarisatie is ook de acceptatielijst. Elk item dat je niet kunt migreren wordt een gedocumenteerde uitzondering of een reden om een klein TAP-segment alleen voor die werklast in leven te houden.

Maak het adres- en retourrouteplan

Kies een clientprefix dat niet overlapt met het LAN, de oude bridgerange of een netwerk dat een client al bereikt. Een server met subnettopologie heeft een fragment nodig zoals dev tun, topology subnet en server 10.78.0.0 255.255.255.0, maar dat is een fragment en geen werkend profiel. Houd het goedgekeurde TLS-, identiteits-, transport- en toegangsbeleid eromheen en gebruik een prefix waarvan je hebt geverifieerd dat hij vrij is.

Schrijf vervolgens de bestemmingen op die clients moeten bereiken en wie het retourpad levert. De server heeft forwarding ingeschakeld nodig en een toegestaan pad verder. LAN-routers hebben een route terug naar de nieuwe prefix nodig, of het ontwerp heeft brontranslatie nodig met de zichtbaarheidskosten die dat met zich meebrengt. Een route die naar de client wordt geduwd configureert de client, niet het antwoordpad van het LAN.

Test op een aparte listener

Zet de nieuwe dienst naast de oude op zijn eigen poort en zijn eigen adresbereik, in plaats van het enige werkende toegangspunt te vervangen. Geef testprofielen uit via het bestaande enrollmentsproces zodat niemand de CA opnieuw bouwt voor een migratie. Verbind één representatieve client met alleen het testpad actief en vergelijk daarna de toegewezen adressen, privé-DNS, de toepassingen uit de inventarisatie en de paden die geblokkeerd moeten blijven.

Neem een herverbindings- en een retourtraffictest op. Een handshake die voltooit zegt niets over de vraag of de andere kant kan antwoorden.

Verplaats clients in groepen met een rollback

Migreer in groepen die klein genoeg zijn dat een fout een supporttaak is en geen storing. Houd de oude dienst draaiend en gedocumenteerd tot de echte werkstromen van elke groep slagen, en schrijf de rollback als een terugschakeling naar het vorige profiel en niet als een herbouw. Werk adresgebaseerde firewallregels, monitoring en elke door de server geïnitieerde toegang voor de nieuwe prefix bij zodra elke groep overgaat.

Groepen geven je ook een plek om de toepassing te ontdekken die niemand noemde, terwijl het oude pad nog bestaat om mee te vergelijken.

Haal de bridge pas weg na acceptatie

Het verwijderen van het TAP-apparaat is de laatste stap, niet de eerste. Controleer of de bridge nog het beheeradres van de server, een monitorpad of een ongerelateerde werklast draagt voordat je iets verwijdert. Haal opstartafhankelijkheden, bridge-lidmaatschap en DHCP-reserveringen via hun eigenaren weg, in die volgorde, met een notitie van wat is verwijderd.

De migratie is klaar wanneer het gerouteerde toegangsmodel voor de inventarisatie werkt, niet wanneer een TAP-interface uit de uitvoer van ip link verdwijnt.