Mutarea OpenVPN din TAP în TUN: o ordine de migrare care funcționează

Înlocuirea dev tap cu dev tun schimbă ce transportă tunelul, nu doar cum se numește. O interfață TAP predă cadre Ethernet unei punți, așa că clienții se comportă ca și cum ar fi conectați la switch-ul biroului. O interfață TUN transportă pachete IP, așa că clienții au nevoie de rute, iar partea cealaltă are nevoie de o cale de întoarcere. Clienții, planul de adrese și ruta de retur a LAN-ului trebuie toate mutate odată cu această schimbare.

Migrarea este o reproiectare a rețelei cu un tunel atașat, iar ordinea de mai jos o menține reversibilă.

Inventariază ce depinde cu adevărat de Ethernet

Listează aplicațiile, nu gazdele. Stabilește dacă fiecare folosește servicii TCP sau UDP rutate, descoperire prin broadcast, DHCP din LAN-ul biroului, un protocol Ethernet care nu este IP sau presupunerea că ambele capete sunt în aceeași subrețea. Accesul IP obișnuit supraviețuiește unui design rutat. Un protocol care are nevoie de cadre Ethernet brute nu supraviețuiește, iar nicio cantitate de rutare nu îl va face să funcționeze. Aplicațiile dependente de descoperire au nevoie de un mecanism de înlocuire decis înainte de tranziție, nu în timpul ei.

Acel inventar este și lista de acceptare. Fiecare intrare pe care nu o poți migra devine o excepție documentată sau un motiv de a păstra în viață un segment TAP mic doar pentru acea încărcare de lucru.

Construiește planul de adrese și rute de retur

Alege un prefix de clienți care nu se suprapune cu LAN-ul, cu intervalul vechii punți sau cu orice rețea pe care un client o atinge deja. Un server cu topologie de subrețea are nevoie de un fragment precum dev tun, topology subnet și server 10.78.0.0 255.255.255.0, dar acela este un fragment, nu un profil funcțional. Păstrează în jurul lui politica aprobată de TLS, identitate, transport și acces și folosește un prefix pe care l-ai verificat ca fiind liber.

Apoi notează destinațiile pe care clienții trebuie să le atingă și cine asigură calea de întoarcere. Serverul are nevoie de forwarding activat și de o cale permisă mai departe. Routerele din LAN au nevoie de o rută înapoi către noul prefix, sau designul are nevoie de traducere de sursă cu costul de vizibilitate pe care îl implică. O rută împinsă către client configurează clientul, nu calea de răspuns a LAN-ului.

Testează pe un listener separat

Ridică noul serviciu lângă cel vechi, pe propriul port și în propriul interval de adrese, în loc să înlocuiești singurul punct de intrare care funcționează. Emite profiluri pilot prin procesul de înrolare existent, ca nimeni să nu reconstruiască CA-ul pentru o migrare. Conectează un client reprezentativ cu doar calea pilot activă, apoi compară adresele atribuite, DNS-ul privat, aplicațiile din inventar și căile care trebuie să rămână blocate.

Include un test de reconectare și de trafic de retur. Un handshake care se încheie nu spune nimic despre dacă partea cealaltă poate răspunde.

Mută clienții în grupuri cu rollback

Migrează în grupuri suficient de mici încât un eșec să fie o sarcină de suport, nu o cădere. Ține serviciul vechi în funcțiune și documentat până când fluxurile reale de lucru ale fiecărui grup trec, iar rollback-ul scrie-l ca o revenire la profilul anterior, nu ca o reconstrucție. Actualizează regulile de firewall bazate pe adrese, monitorizarea și orice acces inițiat de server pentru noul prefix pe măsură ce fiecare grup se mută.

Grupurile îți dau și un loc unde să descoperi aplicația pe care nimeni nu a menționat-o, cât timp calea veche încă există pentru comparație.

Retrage puntea doar după acceptare

Scoaterea dispozitivului TAP este ultimul pas, nu primul. Verifică dacă puntea mai transportă adresa de administrare a serverului, o cale de monitorizare sau o încărcare de lucru nelegată înainte de a șterge ceva. Retrage dependențele de pornire, apartenența la punte și rezervările DHCP prin proprietarii lor, în această ordine, cu o notă despre ce a fost eliminat.

Migrarea este terminată când modelul de acces rutat funcționează pentru inventar, nu când o interfață TAP dispare din ieșirea comenzii ip link.