Mutarea unei mașini din VPN în atelier fără a o pierde

O mașină părăsește locația unui client, ajunge într-un atelier și păstrează aceeași identitate de activ în timp ce locația ei în rețea se schimbă complet. Cât de multă planificare necesită această mutare decid trei condiții. Dacă clientul refolosește adrese pe care le folosești și tu intern, dacă segmentul atelierului este izolat de rețelele personalului și dacă vechea cale poate fi suprimată, nu doar depășită. Greșești prima și vei depana o mașină care este în regulă.

Identitatea nu este o adresă

Inventarul și denumirea trebuie să poarte activul, clientul și lucrarea. Adresa poartă locul unde mașina este conectată acum, un fapt care se schimbă când este mutată. Confundarea celor două produce eroarea clasică de a citi semnificație în cifre.

Un număr de serie codificat în ultimul octet pare îngrijit și nu dovedește nimic unui router. Lungimile prefixelor decid ce consideră un host local, iar nicio cantitate de numerotare memorabilă nu schimbă acea aritmetică.

Dacă vrei ca adresa să sugereze clientul, aceea este o convenție, iar convențiile sunt în regulă atât timp cât nimeni nu construiește politici pe ele. Caută activul în inventar, nu adresa, și mutarea în atelier încetează să mai fie o vânătoare de comori. Rezistă și renumerotării care ajunge mai devreme sau mai târziu la fiecare locație.

Un număr de serie nu este o lungime de prefix

Dispozitivele care folosesc o mască largă precum 10.0.0.0/8 vor trata fiecare adresă din acel interval ca fiind conectată direct, așa că traficul către mașina unui client aflat la două rețele distanță nu ajunge niciodată la un router. Mașina doar difuzează în căutarea unui vecin care nu poate răspunde.

RFC 4632 definește prefixele după lungime, nu după ce sugerează cifrele cu puncte. Planul tău are nevoie de lungimi explicite pentru fiecare grup de conectare: un segment de serviciu, un context de client, un banc de atelier. Dacă numești mai întâi acele grupuri, lungimile devin evidente.

Regula practică este să proiectezi cel mai mic prefix care acoperă un grup de conectare și să îl folosești peste tot în acel grup. Textul adresei este pentru oameni; masca este ceea ce acționează nucleul.

Când doi clienți refolosesc aceleași adrese

Clientul A și clientul B pot rula amândoi 192.168.10.0/24, și amândoi vor avea dreptate în clădirile lor. Aceasta nu este o problemă care se rezolvă renumerotând instalația altcuiva.

Ține contextele separate sau oferă aliasuri deliberate printr-un design care documentează ce adresă aparține cărui client în ce moment. Un inventar global este instrumentul potrivit pentru a distinge mașinile; nu este dovada că adresele sunt unic global. Calea aliasurilor are nevoie de o regulă scrisă de expirare, altfel supraviețuiește lucrării care a creat-o.

Ce trebuie evitat este ca ambele contexte să fie accesibile simultan fără niciun marcaj. Două adrese identice pe două căi active este modul de eșec care trimite o actualizare de firmware la mașina greșită. Simptomul arată rar ca o eroare; arată ca un dispozitiv pe care altcineva l-a reconfigurat. Mai întâi marcajul, apoi accesibilitatea.

Dă atelierului propria frontieră

Echipamentul clientului care sosește pentru service aparține unui segment de serviciu cu acces permis explicit, nu este băgat într-o rețea a personalului doar pentru că un port de pe banc era liber.

Tratează un dispozitiv industrial necunoscut ca un alt domeniu de încredere. Notează ce host de inginerie îl poate atinge, ce servicii are nevoie acel host și ce acreditări aparțin lucrării. Păstrează fișierele clientului împreună cu lucrarea clientului, nu pe un disc partajat pe care toată lumea îl poate citi.

Izolarea trebuie să supraviețuiască și părții plictisitoare a lucrării: în timp ce este actualizată, în timp ce stă peste noapte și în timp ce așteaptă un curier.

Predă ruta ca pas de lucru

De obicei routerul central ajunge la mașină prin tunelul clientului. Când mașina este pe banc, calea atelierului devine proprietarul acelui prefix, sau al unei destinații mai înguste dacă ai nevoie de un singur serviciu.

Notează trei lucruri înainte de mutare: vechea cale, noua cale și cum se inversează schimbarea. O predare care există doar în memoria cuiva nu este o predare.

Fii atent la metrici. O metrică mai mică contează doar între rutele pe care procesul de selecție le compară efectiv, iar un prefix mai specific sau o regulă de politică pot decide rezultatul înainte ca metricile să fie consultate.

Include sesiunile învechite în plan. O conexiune stabilită pe vechea cale poate continua să livreze comenzi după schimbarea rutei, și exact aceasta este situația în care două copii ale unei adrese produc daune reale. Închide vechea cale explicit în loc să aștepți să expire.

Închide bucla când mașina este expediată

Restabilește ruta la distanță prevăzută, elimină permisiunile temporare și confirmă activul la punctul final pe care crezi că l-ai selectat. Apoi verifică din partea clientului și nu doar din atelier.

Rezolvarea numelor și inventarul fac aici munca orientată către operator: un nume stabil și o înregistrare de activ căutabilă fac sarcina previzibilă în timp ce planul de rețea rămâne sincer cu privire la unde este mașina astăzi.

Testul unei predări bune este că un coleg care nu a văzut niciodată lucrarea poate citi notițele tale și răspunde la o întrebare: dacă această mașină răspunde acum, pe ce cale a venit răspunsul? Dacă notițele nu pot răspunde, predarea este documentată, dar nu este terminată.