Presun stroja z VPN do dielne bez straty

Stroj opustí areál zákazníka, dorazí do dielne a zachová si rovnakú identitu aktíva, hoci sa jeho umiestnenie v sieti úplne zmení. Koľko plánovania ten presun potrebuje, rozhodujú tri podmienky. Či zákazník znova používa adresy, ktoré používate aj interne, či je segment dielne izolovaný od sietí zamestnancov a či sa dá stará cesta potlačiť, a nie len prebiť. Pomýlite si prvú a budete ladiť stroj, ktorý je v poriadku.

Identita nie je adresa

Inventár a pomenovanie majú niesť aktívum, zákazníka a zákazku. Adresa nesie to, kam je stroj práve pripojený, čo je fakt, ktorý sa pri presune mení. Zlievanie oboch vedie ku klasickej chybe hľadať význam v čísliciach.

Sériové číslo zakódované v poslednom oktete vyzerá úhľadne a routeru nič nedokazuje. Dĺžky prefixov určujú, čo hostiteľ považuje za lokálne, a žiadne množstvo zapamätateľného číslovania túto aritmetiku nezmení.

Ak chcete, aby adresa napovedala zákazníka, je to konvencia a konvencie sú v poriadku, kým na nich nikto nestavia politiku. Hľadajte aktívum v inventári, nie adresu, a presun do dielne prestane byť honbou za pokladom. Prežije aj prečíslovanie, ktoré skôr či neskôr dorazí na každé pracovisko.

Sériové číslo nie je dĺžka prefixu

Zariadenia, ktoré používajú širokú masku ako 10.0.0.0/8, budú každú adresu v tomto rozsahu považovať za priamo prepojenú, takže prevádzka k stroju zákazníka o dve siete ďalej sa k routeru vôbec nedostane. Stroj jednoducho vysiela a hľadá suseda, ktorý nemôže odpovedať.

RFC 4632 definuje prefixy podľa dĺžky, nie podľa toho, čo naznačujú číslice s bodkami. Váš plán potrebuje explicitné dĺžky pre každú skupinu pripojenia: segment služieb, kontext zákazníka, dielenský stôl. Keď tie skupiny najprv pomenujete, dĺžky budú zrejmé.

Praktické pravidlo znie: navrhnite najmenší prefix, ktorý pokrýva jednu skupinu pripojenia, a používajte ho všade v tejto skupine. Text adresy je pre ľudí; maska je to, na čo koná jadro.

Keď dvaja zákazníci znova používajú rovnaké adresy

Zákazník A aj zákazník B môžu obaja prevádzkovať 192.168.10.0/24 a obaja budú mať vo svojich budovách pravdu. To nie je problém, ktorý by sa riešil prečíslovaním cudzej prevádzky.

Držte kontexty oddelené, alebo poskytnite zámerné aliasy prostredníctvom návrhu, ktorý dokumentuje, ktorá adresa patrí ktorému zákazníkovi v ktorom okamihu. Globálny inventár je správny nástroj na rozlíšenie strojov; nie je dôkazom, že adresy sú globálne jedinečné. Cesta aliasov potrebuje písomné pravidlo vypršania, inak prežije zákazku, ktorá ju vytvorila.

Čomu sa musíte vyhnúť, je stav, keď sú oba kontexty dostupné súčasne bez akéhokoľvek markera. Dve identické adresy na dvoch živých cestách sú režim zlyhania, ktorý pošle aktualizáciu firmvéru do nesprávneho stroja. Príznak málokedy vyzerá ako chyba; vyzerá ako zariadenie, ktoré niekto iný prekonfiguroval. Najprv marker, potom dostupnosť.

Dajte dielni vlastnú hranicu

Zákaznícke zariadenia prichádzajúce na servis patria do servisného segmentu s výslovne povoleným prístupom, nie do siete zamestnancov len preto, že bol voľný port na stole.

K neznámemu priemyselnému zariadeniu pristupujte ako k inej doméne dôvery. Zaznamenajte, ktorý inžiniersky hostiteľ sa k nemu môže dostať, ktoré služby tento hostiteľ potrebuje a ktoré prihlasovacie údaje patria zákazke. Uchovávajte súbory zákazníka pri zákazke zákazníka, nie na zdieľanom disku, ktorý môže čítať ktokoľvek.

Izolácia musí vydržať aj nudnú strednú časť zákazky: kým sa zariadenie aktualizuje, kým cez noc stojí a kým čaká na kuriéra.

Odovzdajte trasu ako krok práce

Centrálny router zvyčajne dosiahne stroj tunelom zákazníka. Keď je stroj na stole, stáva sa dielenska cesta vlastníkom tohto prefixu, alebo užšieho cieľa, ak potrebujete len jednu službu.

Pred presunom si zapíšte tri veci: starú cestu, novú cestu a ako sa zmena vracia späť. Odovzdanie, ktoré existuje len v niekoho pamäti, nie je odovzdanie.

Buďte opatrní s metrikami. Nižšia metrika záleží len medzi trasami, ktoré proces výberu skutočne porovnáva, a konkrétnejší prefix alebo pravidlo politiky môžu rozhodnúť výsledok skôr, než sa metriky vôbec vezmú do úvahy.

Zahrňte do plánu aj zastarané relácie. Spojenie nadviazané cez starú cestu môže ďalej doručovať príkazy po zmene trasy, a to je presne situácia, keď dve kópie jednej adresy napáchajú skutočnú škodu. Zatvorte starú cestu výslovne, namiesto toho, aby ste čakali, kým vyprší.

Uzavrite slučku, keď sa stroj odosiela

Obnovte zamýšľanú vzdialenú trasu, odstráňte dočasné oprávnenia a potvrďte aktívum v koncovom bode, o ktorom si myslíte, že je vybraný. Potom overte zo strany zákazníka, nie len z dielne.

Preklad mien a inventár tu robia prácu obrátenú k operátorovi: stabilné meno a prehľadávateľný záznam aktíva robia úlohu predvídateľnou, zatiaľ čo sieťový plán zostáva čestný v tom, kde sa stroj dnes nachádza.

Test dobrého odovzdania je, že kolega, ktorý zákazku nikdy nevidel, si prečíta vaše poznámky a odpovie na jednu otázku: ak tento stroj teraz odpovie, ktorou cestou odpoveď prišla? Ak na to poznámky nedokážu odpovedať, odovzdanie je zdokumentované, ale nie dokončené.