Byt leverandør utan å omnummerera site-VPN-adressene

Ei avdeling byter internettleverandør, og filtenaren held på adressa si. Det resultatet er normalt i eit ruta site-VPN og overraskande for alle som trur at endepunktadressa til tunnelen er adressa til applikasjonen. Dei to lever i ulike lag av designet, og berre éin flytta seg. Å handsame dei som éin er måten ei leverandørflytting blir eit omnummereringsprosjekt.

To adresseplanar som flyttar seg uavhengig

Den indre planen skildrar dei private adressene applikasjonane brukar: avdelingsservaren på 10.55.8.20, prefikset til hovudkontoret som rutar dit, og returruta. Den ytre planen skildrar korleis to gatewayar når kvarandre: peer-adresser, lyttportar og vegen over internett.

Eit leverandørbyte rører den ytre planen. Det krev ikkje i seg sjølv at den indre planen blir endra.

Å halde dei to oversiktane fråskilde er den praktiske grunnen til å køyre eit overlay sjølv når applikasjonen alt krypterer sin eigen trafikk. Overlayet gjev deg ein stabil indre topologi som overlever ytre endringar. Applikasjonen held på adressa, brannmurreglane og DNS-postane sine. Berre transportpostane blir endra, og det er ein mykje mindre gjennomgang.

Den ytre tunnelen ber den indre samtalen

I ein gateway-til-gateway-tunnel adresserer den ytre IP-headeren dei to gatewayane. Den indre headeren nemner framleis dei faktiske endepunkta til applikasjonen. Skildringa av gateway-til-gateway i RFC 7296 handsamar dette som vanleg ruting som leverer trafikk via endepunkta til tunnelen.

Difor kan avdelingsservaren halde på 10.55.8.20 medan den offentlege adressa til gatewayen blir endra. Den indre pakken inneheld ikkje leverandøradressa i det heile.

Oppdelinga er ein designegenskap, ikkje ein automatisk garanti. Viss den nye uplinken ikkje kan setje opp den støtta tunnelen, eller dei indre rutene ikkje blir installerte på nytt, mistar applikasjonen vegen sin sjølv om adressa er uendra.

Leverandørflyttinga har framleis ei sjekkliste

Den ytre sjekklista har fem punkt: peer-adressa eller det vedlikehaldne namnet, lyttaren og eventuell filtrering lenger oppe, omsetjinga på vegen, den forventa peer-identiteten og dei tillatne innstillingane til den andre gatewayen. Kvar av dei kan svikte åleine. Hald ein separat gjenopprettingsveg medan du byter lenkja som ber administrasjonen. Å kutte fjernåtkomst under ein uplink-overgang er eit avbrot du sjølv skapte.

Deretter kontrollerer du avdelingsprefikset, ruta i båe retningar, beskyttelsespolitikken og éin ekte applikasjonsflyt. Ein nyautentisert tunnel rettar ikkje ei rute som peikar mot det gamle private subnettet.

Adresseoverlapp med ein annan tilkopla stad er eit separat planleggingsproblem. Leverandørbytet skapar det ikkje, men ei migrering er vanlegvis då det dukkar opp.

Det som ikkje overlever: offentleg kjelde og sesjonar

Ei stabil privat tenaradresse er ikkje ei stabil offentleg kjelde. Viss nettlesinga går direkte ut gjennom den nye leverandøren, ser nettsidene den nye leverandørvende adressa.

Å halde den adressa stabil krev eit medvite egress-design med eiga tilgjenge og policy. Det kjem ikkje gratis med tunnelen.

Etablerte sesjonar overlever heller ikkje eit vegbyte. Tunnelen kan bli gjenoppretta i løpet av sekund og likevel bryte langvarige samband som er feste til den gamle vegen. Planlegg overgangen til eit vindauge der gjenoppkoplingar er akseptable. Ikkje påstå at ei migrering blir usynleg med mindre dei konkrete klientane og tidsavbrota deira er testa.

Verifiser flyttinga med fire kontrollar

Etter endringa, verifiser fire ting i rekkjefølgje: tunnelen er etablert med den tiltenkte peeren, den indre ruta til avdelingsprefikset finst, policyen tillèt applikasjonsflyten, og applikasjonen svarar. Kvar har sin eigen kommando.

På ein Linux-gateway dekkjer desse tre midten av den lista:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Hald transportadresser i éi oversikt og applikasjonsadresser i ei anna. Oppdater berre postane som faktisk flytta seg. Å omnummerera interne avhengnader fordi den ytre adressa til tunnelen er endra, er unødvendig arbeid.