Zmiana dostawcy bez przenumerowywania adresów VPN oddziału

Oddział zmienia dostawcę internetu, a serwer plików zachowuje swój adres. Ten wynik jest normalny w routowanym VPN oddziału i zaskakujący dla każdego, kto zakłada, że adres końca tunelu to adres aplikacji. Oba żyją w różnych warstwach projektu i przesunął się tylko jeden. Traktowanie ich jako jednego to sposób, w jaki migracja dostawcy staje się projektem przenumerowania.

Dwa plany adresów, które ruszają się niezależnie

Plan wewnętrzny opisuje adresy prywatne używane przez aplikacje: serwer oddziału pod 10.55.8.20, prefiks centrali, który tam kieruje, oraz trasę powrotną. Plan zewnętrzny opisuje, jak dwie bramy docierają do siebie: adresy peerów, porty nasłuchu i droga przez internet.

Zmiana dostawcy dotyka planu zewnętrznego. Sama w sobie nie wymaga zmiany planu wewnętrznego.

Trzymanie dwóch spisów osobno to praktyczny powód, by uruchamiać overlay, nawet gdy aplikacja sama szyfruje swój ruch. Overlay daje stabilną topologię wewnętrzną, która przeżywa zmiany zewnętrzne. Aplikacja zachowuje swój adres, reguły firewalla i rekordy DNS. Zmieniają się tylko wpisy transportowe, a to znacznie mniejszy przegląd.

Zewnętrzny tunel niesie wewnętrzną rozmowę

W tunelu brama-brama zewnętrzny nagłówek IP adresuje obie bramy. Wewnętrzny nagłówek nadal nazywa rzeczywiste punkty końcowe aplikacji. Opis brama-brama w RFC 7296 traktuje to jako zwykłe trasowanie, które dostarcza ruch przez punkty końcowe tunelu.

Dlatego serwer oddziału może zachować 10.55.8.20, gdy zmienia się publiczny adres bramy. Wewnętrzny pakiet w ogóle nie zawiera adresu dostawcy.

Rozdzielenie jest cechą projektu, nie automatyczną gwarancją. Jeśli łącze zastępcze nie potrafi ustanowić obsługiwanego tunelu albo trasy wewnętrzne nie zostaną zainstalowane ponownie, aplikacja traci ścieżkę, choć jej adres się nie zmienił.

Przeprowadzka dostawcy nadal ma listę kontrolną

Zewnętrzna lista kontrolna ma pięć punktów: adres peera lub utrzymywana nazwa, nasłuch i wszelkie filtrowanie wyżej, tłumaczenie na ścieżce, oczekiwana tożsamość peera oraz dozwolone ustawienia drugiej bramy. Każdy może zawieść samodzielnie. Trzymaj osobną ścieżkę odzyskiwania, gdy zmieniasz łącze, które niesie administrację. Odcięcie dostępu zdalnego podczas przełączenia łącza to awaria, którą sam sobie zrobiłeś.

Potem sprawdź prefiks oddziału, trasę w obu kierunkach, politykę ochrony i jeden rzeczywisty przepływ aplikacji. Świeżo uwierzytelniony tunel nie naprawia trasy wskazującej na starą podsieć prywatną.

Nakładanie się adresów z inną podłączoną lokalizacją to osobny problem planistyczny. Zmiana dostawcy go nie tworzy, ale migracja to zwykle moment, w którym się ujawnia.

Co nie przetrwa: publiczne źródło i sesje

Stabilny prywatny adres serwera nie jest stabilnym publicznym źródłem. Jeśli przeglądanie wychodzi bezpośrednio przez nowego dostawcę, witryny widzą nowy adres skierowany do dostawcy.

Utrzymanie tego adresu wymaga świadomego projektu wyjścia z własną dostępnością i polityką. Nie przychodzi za darmo z tunelem.

Ustanowione sesje też nie przetrwają zmiany ścieżki. Tunel może się odtworzyć w kilka sekund i nadal zerwać długotrwałe połączenia przypięte do starej ścieżki. Zaplanuj przełączenie na okno, w którym ponowne połączenia są akceptowalne. Nie twierdź, że migracja będzie niewidoczna, dopóki nie przetestowano konkretnych klientów i ich limitów czasu.

Sprawdź przeprowadzkę czterema kontrolami

Po zmianie sprawdź cztery rzeczy po kolei: tunel jest ustanowiony z zamierzonym peerem, trasa wewnętrzna do prefiksu oddziału istnieje, polityka zezwala na przepływ aplikacji i aplikacja odpowiada. Każda ma własne polecenie.

Na bramie Linux te trzy pokrywają środek tej listy:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Trzymaj adresy transportowe w jednym spisie, a adresy aplikacji w drugim. Aktualizuj tylko wpisy, które naprawdę się przesunęły. Przenumerowywanie zależności wewnętrznych z powodu zmiany zewnętrznego adresu tunelu to praca, której można uniknąć.