Kalimi i një makine nga VPN në punishte pa e humbur

Një makinë largohet nga vendi i klientit, arrin në një punishte dhe mban të njëjtin identitet aktivi ndërsa vendndodhja e saj në rrjet ndryshon plotësisht. Sa planifikim kërkon ky kalim e vendosin tre kushte. Nëse klienti ripërdor adresa që përdor edhe ti brenda, nëse segmenti i punishtes është i izoluar nga rrjetet e stafit dhe nëse rruga e vjetër mund të shtypet e jo thjesht të tejkalohet. Nëse gabon të parën, do të korrigjosh defektet në një makinë që është në rregull.

Identiteti nuk është adresë

Inventari dhe emërtimi duhet të mbajnë aktivin, klientin dhe punën. Adresa mban se ku është lidhur makina tani, një fakt që ndryshon kur ajo lëviz. Përzierja e të dyjave prodhon gabimin klasik të leximit të kuptimit në shifra.

Një numër serial i koduar në oktetin e fundit duket i rregullt dhe nuk i provon asgjë një ruteri. Gjatësitë e prefiksit vendosin çfarë e konsideron një host lokale, dhe asnjë sasi numërimi i mbamendhëm nuk e ndryshon atë aritmetikë.

Nëse dëshiron që adresa të lë të kuptohet klienti, kjo është një konventë, dhe konventat janë në rregull përderisa askush nuk ndërton politikë mbi to. Kërko aktivin në inventar, jo adresën, dhe kalimi në punishte pushon së qeni gjueti thesari. Ai i mbijeton edhe rinumerimit që herët a vonë vjen në çdo vend.

Numri serial nuk është gjatësi prefiksi

Pajisjet që përdorin një maskë të gjerë si 10.0.0.0/8 do t'i trajtojnë të gjitha adresat në atë interval si të lidhura drejtpërdrejt, prandaj trafiku drejt makinës së një klienti dy rrjete larg nuk arrin kurrë në një ruter. Makina thjesht transmeton duke kërkuar një fqinj që nuk mund të përgjigjet.

RFC 4632 i përcakton prefikset sipas gjatësisë dhe jo sipas asaj që sugjerojnë shifrat me pika. Plani yt ka nevojë për gjatësi të shprehura për çdo grup lidhjeje: një segment shërbimi, një kontekst klienti, një tavolinë punishteje. Emërtimi i këtyre grupeve së pari i bën gjatësitë të dukshme.

Rregulli praktik është të projektohet prefiksi më i vogël që mbulon një grup lidhjeje dhe të përdoret kudo në atë grup. Teksti i adresës është për njerëzit; maska është ajo mbi të cilën vepron kerneli.

Kur dy klientë ripërdorin të njëjtat adresa

Klienti A dhe klienti B mund të dy të drejtojnë 192.168.10.0/24, dhe të dy do të kenë të drejtë në ndërtesat e tyre. Ky nuk është problem që zgjidhet duke rinumeruar impiantin e dikujt tjetër.

Mbaji kontekstet të ndara, ose ofro pseudonime të qëllimshme përmes një dizajni që dokumenton cila adresë i përket cilit klient në cilin moment. Një inventar global është mjeti i duhur për të dalluar makinat; nuk është provë se adresat janë unike globalisht. Rruga e pseudonimeve ka nevojë për një rregull të shkruar skadimi, përndryshe i mbijeton punës që e krijoi.

Ajo që duhet shmangur është që të dy kontekstet të jenë të arritshme njëkohësisht pa asnjë shënues. Dy adresa identike në dy rrugë të gjalla është mënyra e dështimit që dërgon një përditësim firmware në makinën e gabuar. Simptoma rrallë duket si gabim; duket si një pajisje që dikush tjetër e rikonfiguroi. Së pari shënuesi, pastaj arritshmëria.

Jepi punishtes kufirin e vet

Pajisja e klientit që vjen për servis i përket një segmenti shërbimi me akses të lejuar shprehimisht, jo e futur në një rrjet stafi sepse një port në tavolinë ishte i lirë.

Trajto një pajisje industriale të panjohur si një domen tjetër besimi. Regjistro cili host inxhinierik mund ta arrijë, çfarë shërbimesh i nevojiten atij hosti dhe cilat kredenciale i përkasin punës. Mbaj skedarët e klientit bashkë me punën e klientit dhe jo në një disk të përbashkët që të gjithë mund ta lexojnë.

Izolimi duhet t'i mbijetojë edhe mesit të mërzitshëm të punës: ndërsa përditësohet, ndërsa qëndron gjatë natës dhe ndërsa pret një korrier.

Dorëzo rrugën si hap pune

Zakonisht ruteri qendror e arrin makinën përmes tunelit të klientit. Kur makina është në tavolinë, rruga e punishtes bëhet pronari i atij prefiksi, ose i një destinacioni më të ngushtë nëse të duhet vetëm një shërbim.

Shkruaj tri gjëra përpara kalimit: rrugën e vjetër, rrugën e re dhe si kthehet mbrapsht ndryshimi. Një dorëzim që ekziston vetëm në kujtesën e dikujt nuk është dorëzim.

Kujdes me metrikat. Një metrikë më e ulët ka rëndësi vetëm midis rrugëve që procesi i përzgjedhjes i krahason vërtet, dhe një prefiks më specifik ose një rregull politike mund ta vendosin rezultatin përpara se metrikat të merren fare parasysh.

Përfshi në plan edhe sesionet e vjetruara. Një lidhje e ngritur përmes rrugës së vjetër mund të vazhdojë të dorëzojë komanda pasi rruga ndryshon, dhe pikërisht kjo është situata ku dy kopje të një adrese shkaktojnë dëm real. Mbyll rrugën e vjetër shprehimisht në vend që të presësh të skadojë.

Mbyll qarkun kur makina dërgohet

Rikthe rrugën e synuar në distancë, hiq lejet e përkohshme dhe konfirmo aktivin në pikën fundore që mendon se është zgjedhur. Pastaj verifiko nga ana e klientit dhe jo vetëm nga punishtja.

Zgjidhja e emrave dhe inventari e bëjnë këtu punën e drejtuar nga operatori: një emër i qëndrueshëm dhe një regjistrim aktivi i kërkueshëm e bëjnë detyrën të parashikueshme, ndërsa plani i rrjetit mbetet i sinqertë për vendndodhjen e makinës sot.

Testi i një dorëzimi të mirë është që një koleg që nuk e ka parë kurrë punën të mund të lexojë shënimet e tua dhe të përgjigjet një pyetjeje: nëse kjo makinë përgjigjet tani, nga cila rrugë erdhi përgjigja? Nëse shënimet nuk mund t'i përgjigjen kësaj, dorëzimi është dokumentuar por nuk është përfunduar.