Promijenite ISP bez prenumeriranja adresa VPN-a na lokaciji

Podružnica mijenja internetskog pružatelja, a datotečni poslužitelj zadržava svoju adresu. Takav je ishod normalan kod rutiranog VPN-a lokacije i iznenađenje za svakoga tko pretpostavi da je adresa krajnje točke tunela adresa aplikacije. Njih dvoje žive u različitim slojevima dizajna, a pomaknuo se samo jedan. Tretirati ih kao jedno jest način na koji migracija pružatelja postaje projekt prenumeriranja.

Dva plana adresa koji se kreću neovisno

Unutarnji plan opisuje privatne adrese koje aplikacije koriste: poslužitelj podružnice na 10.55.8.20, prefiks sjedišta koji rutira prema njemu i povratnu rutu. Vanjski plan opisuje kako dva gatewaya dolaze jedan do drugoga: adrese partnera, portove za slušanje i put kroz internet.

Promjena pružatelja dotiče vanjski plan. Ona sama po sebi ne zahtijeva promjenu unutarnjeg plana.

Držati dva popisa odvojeno praktičan je razlog za pokretanje overlaya čak i kad aplikacija već šifrira vlastiti promet. Overlay vam daje stabilnu unutarnju topologiju koja preživljava vanjske promjene. Aplikacija zadržava svoju adresu, pravila vatrozida i DNS zapise. Mijenjaju se samo transportni unosi, a to je mnogo manji pregled.

Vanjski tunel nosi unutarnji razgovor

U tunelu od gatewaya do gatewaya vanjsko IP zaglavlje adresira dva gatewaya. Unutarnje zaglavlje i dalje imenuje stvarne krajnje točke aplikacije. Opis gateway-prema-gatewayu u RFC 7296 tretira to kao obično rutiranje koje dostavlja promet kroz krajnje točke tunela.

Zato poslužitelj podružnice može zadržati 10.55.8.20 dok se javna adresa gatewaya mijenja. Unutarnji paket uopće ne sadrži adresu pružatelja.

Razdvajanje je osobina dizajna, a ne automatsko jamstvo. Ako zamjenska veza ne može uspostaviti podržani tunel ili se unutarnje rute ne instaliraju ponovno, aplikacija gubi svoju putanju iako joj adresa nije promijenjena.

Preseljenje pružatelja i dalje ima kontrolni popis

Vanjski kontrolni popis ima pet stavki: adresa partnera ili održavano ime, slušatelj i bilo koje filtriranje uzvodno, prevođenje na putu, očekivani identitet partnera i dopuštene postavke drugog gatewaya. Svaka može pasti sama za sebe. Držite odvojenu putanju oporavka dok mijenjate vezu koja nosi administraciju. Prekid udaljenog pristupa tijekom prelaska na novu vezu je ispad koji ste sami prouzročili.

Nakon toga provjerite prefiks podružnice, rutu u oba smjera, zaštitnu politiku i jedan stvarni tok aplikacije. Svježe autentificiran tunel ne ispravlja rutu koja pokazuje na staru privatnu podmrežu.

Preklapanje adresa s drugom povezanom lokacijom odvojen je planski problem. Promjena pružatelja ga ne stvara, ali migracija je obično trenutak kad se pojavi.

Što ne preživljava: javni izvor i sesije

Stabilna privatna adresa poslužitelja nije stabilan javni izvor. Ako pregledavanje izlazi izravno kroz novog pružatelja, web-lokacije vide novu adresu okrenutu pružatelju.

Zadržati tu adresu stabilnom traži promišljen dizajn izlaza s vlastitom dostupnošću i politikom. On ne dolazi besplatno uz tunel.

Uspostavljene sesije također ne preživljavaju promjenu putanje. Tunel se može ponovno uspostaviti u sekundama i ipak prekinuti dugotrajne veze vezane uz staru putanju. Planirajte prelazak za prozor u kojem su ponovna povezivanja prihvatljiva. Ne tvrdite da će migracija biti nevidljiva osim ako konkretni klijenti i njihova vremenska ograničenja nisu testirani.

Provjerite preseljenje s četiri provjere

Nakon promjene provjerite četiri stvari po redu: tunel je uspostavljen s predviđenim partnerom, unutarnja ruta do prefiksa podružnice postoji, politika dopušta tok aplikacije i aplikacija odgovara. Svaka ima svoju naredbu.

Na Linux gatewayu ove tri pokrivaju sredinu tog popisa:

ip route get 10.55.8.20
ip xfrm policy list
curl -sS -o /dev/null -w "%{http_code}" --max-time 8 http://10.55.8.20/health

Držite transportne adrese u jednom popisu, a adrese aplikacija u drugom. Ažurirajte samo unose koji su se stvarno pomaknuli. Prenumeriranje unutarnjih ovisnosti zato što se vanjska adresa tunela promijenila je posao koji se može izbjeći.