Migrácia z VPN založenej na PPP bez kopírovania jej predpokladov

Migrácia VPN je hotová, keď sú používatelia, ciele, preklad mien a správanie pri výpadku stále správne, nie keď nový klient zobrazí zelenú ikonu. Staré nasadenia na báze PPP nesú predpoklady, ktoré nikdy neboli zapísané: spoločné tajomstvo, ktoré bolo zároveň jedinou kontrolou identity, pevný adresný fond, ktorý má firewall na zozname povolených, a DNS prípona, ktorú posiela server. Nahradenie protokolu bez inventarizácie týchto predpokladov vytvorí tunel, ktorý dokončí handshake, a hranicu, ktorá neexistuje. Poradie nižšie je to, ktoré používam ja, a posledný krok je ten, ktorý tímy preskakujú.

Krok 1: zinventarizujte, čo staré spojenie poskytuje

Inventár sa píše, nie pamätá. Zapíšte podporovaných klientov, roly autentizácie, adresné fondy, chránené siete, požiadavky na DNS a oprávnenia na služby, ktoré každá skupina používateľov potrebuje.

Pri L2TP/IPsec obe vrstvy výslovne oddeľte. Identita IPsec partnera autentizuje stroje; PPP autentizuje používateľa, zvyčajne pomocou CHAP alebo MSCHAPv2.

Práve v tomto oddelení staré nasadenia skrývajú svoje predpoklady. Spoločný predzdieľaný kľúč, ktorý používa každý klient, autentizuje skupinu, nie zariadenie, a často je to jediná vec, ktorá sa kedy rotovala. Ak je PPP konto skutočnou kontrolou na používateľa, povedzte to, pretože náhrada musí túto kontrolu reprodukovať niečím, čo nie je zdieľaný reťazec. Zapíšte aj pevné zdrojové adresy a výnimky pre miestnu sieť, pretože to sú závislosti, ktoré nikto nedokumentuje, kým sa nepokazia.

Krok 2: navrhnite náhradu zámerne

Voľba náhrady je mapovanie požiadavka za požiadavkou: protokol a udržiavaný klient, ktoré organizácia podporuje, pričom každá požiadavka na identitu a prístup končí v skutočnom mechanizme. Spoločné tajomstvo nie je automaticky ekvivalentné kľúču alebo certifikátu pre zariadenie a PPP konto pre používateľa nie je ekvivalentné certifikátu zariadenia.

Adresné rozsahy zosúlaďte pred všetkým ostatným, pretože náhradný fond, ktorý sa prekrýva s domácou alebo kancelárskou LAN, vytvára zlyhanie, ktoré nemá nič spoločné so silou šifry. Skontrolujte fond proti tomu istému zoznamu, ktorý ste zostavili pre starú službu, plus to, čo nový klient predpokladá predvolene. Potvrďte spätné smerovanie pre chránené siete a potvrďte, že nový klient dokáže posielať alebo dokumentovať DNS príponu, ktorú posielal starý. Tieto dve položky spôsobujú viac migračných tiketov než samotná zmena protokolu.

Krok 3: zavádzajte po etapách a overte povolenie aj odmietnutie

Zavádzajte s jedným reprezentatívnym používateľom a jednou reprezentatívnou aplikáciou. Do testu zahrňte preklad súkromných mien cez DNS, pretože tunel, ktorý dosiahne adresu, ale nedokáže preložiť interné meno, je migrovaný len na polovicu. Zahrňte aj očakávaný stav nedostupnosti: čo sa má stať, keď tunel padne, a či to klient vynucuje.

Potom otestujte cieľ, ktorý má zostať odmietnutý. Široké dočasné pravidlo povolenia môže nový tunel vyzerať zdravo, zatiaľ čo potichu odstraňuje autorizačnú hranicu, ktorú stará služba vynucovala, a nikto si to nevšimne do auditu. Porovnajte výsledky povolenia a odmietnutia vedľa seba, z toho istého klienta, v tej istej relácii. Nechajte starú službu bežať, kým sa oba stĺpce nezhodujú s návrhom.

Pred presunom prístupu správcu potvrďte, že máte autorizovanú cestu obnovy, ktorá nezávisí od tunela, ktorý meníte.

Krok 4: vyraďte starú identitu

Správne vyradenie starej identity znamená zrušiť zastaraných používateľov a prihlasovacie údaje zariadení prostredníctvom služby, ktorá ich vlastní, a potom odstrániť staré profily a poslucháče, keď nezostane žiadna závislosť. Odstránenie miestneho súboru nezruší kópiu inde a starý poslucháč, ktorý stále prijíma staré spoločné tajomstvo, sú dvere bez dozoru.

Tento bod si zaslúži spomalenie. Vyradený klientsky profil na notebooku nie je zrušený prihlasovací údaj; údaj žije na serveri a zostáva platný, kým ho server neprestane prijímať. Hľadajte ďalšie kópie starej konfigurácie — testovacie zariadenia, zabudnutý telefón, inštalátor, ktorý si niekto nechal — a vypnutie poslucháča berte ako okamih, keď stará služba skutočne končí. Dovtedy má migrácia dvoje predné dvere.

Záznam o prevzatí je inventár z prvého kroku s pridaným stĺpcom: čo nový návrh robí pre každý riadok a ako ste to overili. To mení upgrade protokolu na požiadavku na službu s dôkazmi.

Držte výsledok zviazaný s tým, čo služba potrebuje, nie s názvom protokolu, pretože moderný protokol s odpísanými starými predpokladmi je to isté riziko s lepším rámcom. RFC 3193 opisuje, ako sa L2TP prenáša cez IPsec, čo je užitočná pripomienka, že tie dve vrstvy boli vždy samostatné rozhodnutia. Ak má inventár riadok, ktorý neviete vysvetliť, zastavte sa a zistite, čo na ňom závisí. Migrácia je hotová, keď je zoznam nudný.