Mudar de operadora sem renumerar os endereços VPN do site

Uma filial troca de operadora de internet e o servidor de arquivos mantém o seu endereço. Esse resultado é normal numa VPN de site encaminhada e surpreendente para quem assume que o endereço do extremo do túnel é o endereço da aplicação. Os dois vivem em camadas diferentes do desenho, e só um se deslocou. Tratá-los como um só é como uma migração de operadora se transforma num projeto de renumeração.

Dois planos de endereços que se movem de forma independente

O plano interior descreve os endereços privados que as aplicações usam: o servidor da filial em 10.55.8.20, o prefixo da sede que encaminha para lá e a rota de volta. O plano exterior descreve como dois gateways se alcançam: endereços de par, portas de escuta e o caminho pela internet.

Uma mudança de operadora toca o plano exterior. Por si só, não exige alterar o plano interior.

Manter os dois inventários separados é a razão prática para executar uma sobreposição mesmo quando a aplicação já cifra o seu próprio tráfego. A sobreposição dá-lhe uma topologia interior estável que sobrevive às mudanças exteriores. A aplicação conserva o seu endereço, as regras de firewall e os registos DNS. Só as entradas de transporte mudam, e isso é uma revisão muito menor.

O túnel exterior transporta a conversa interior

Num túnel de gateway para gateway, o cabeçalho IP exterior endereça os dois gateways. O cabeçalho interior continua a nomear os extremos reais da aplicação. A descrição de gateway para gateway do RFC 7296 trata isto como encaminhamento comum que entrega tráfego através dos extremos do túnel.

É por isso que o servidor da filial pode conservar 10.55.8.20 enquanto o endereço público do gateway muda. O pacote interior não contém de todo o endereço da operadora.

A separação é uma propriedade do desenho, não uma garantia automática. Se o link de substituição não conseguir estabelecer o túnel suportado, ou as rotas interiores não forem reinstaladas, a aplicação perde o seu caminho ainda que o endereço não mude.

A mudança de operadora ainda tem uma lista de verificação

A lista exterior tem cinco entradas: o endereço do par ou o nome mantido, o ouvinte e qualquer filtragem a montante, a tradução no caminho, a identidade esperada do par e as definições permitidas do outro gateway. Cada uma pode falhar sozinha. Mantenha um caminho de recuperação separado enquanto muda o link que transporta a administração. Cortar o acesso remoto durante uma mudança de link é uma falha que você mesmo provocou.

Depois, verifique o prefixo da filial, a rota nos dois sentidos, a política de proteção e um fluxo real de aplicação. Um túnel recém-autenticado não corrige uma rota que aponta para a sub-rede privada antiga.

A sobreposição de endereços com outro site ligado é um problema de planeamento à parte. A mudança de operadora não o cria, mas uma migração é normalmente o momento em que ele surge.

O que não sobrevive: origem pública e sessões

Um endereço privado de servidor estável não é uma origem pública estável. Se a navegação sai diretamente pela nova operadora, os sites veem o novo endereço virado para a operadora.

Manter esse endereço estável exige um desenho de saída deliberado, com a sua própria disponibilidade e política. Não vem de graça com o túnel.

As sessões estabelecidas também não sobrevivem a uma mudança de caminho. O túnel pode restabelecer-se em segundos e ainda assim quebrar ligações de longa duração fixadas ao caminho antigo. Planeie a mudança para uma janela em que as reconexões sejam aceitáveis. Não afirme que uma migração será invisível sem que os clientes concretos e os seus tempos limite tenham sido testados.

Verifique a mudança com quatro controlos

Após a alteração, verifique quatro coisas por ordem: o túnel está estabelecido com o par previsto, a rota interior para o prefixo da filial existe, a política permite o fluxo da aplicação e a aplicação responde. Cada uma tem o seu próprio comando.

Num gateway Linux, estas três cobrem o meio dessa lista:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Mantenha os endereços de transporte num inventário e os endereços de aplicação noutro. Atualize apenas as entradas que realmente se deslocaram. Renumerar dependências internas porque o endereço exterior do túnel mudou é trabalho evitável.