Flytta en maskin från VPN:en till verkstaden utan att tappa den

En maskin lämnar en kundplats, anländer till en verkstad och behåller samma tillgångsidentitet medan dess nätverksplats ändras helt. Tre villkor avgör hur mycket planering flytten kräver. Om kunden återanvänder adresser som du också använder internt, om verkstadssegmentet är isolerat från personalnät och om den gamla vägen kan undertryckas i stället för bara övertrumfas. Tar du fel på det första felsöker du en maskin som är i ordning.

Identitet är inte en adress

Inventarium och namngivning bör bära tillgången, kunden och jobbet. Adressen bär var maskinen är ansluten just nu, ett faktum som ändras när den flyttas. Att blanda de två ger det klassiska felet att läsa in mening i siffror.

Ett serienummer kodat i sista oktetten känns prydligt och bevisar ingenting för en router. Prefixlängder avgör vad en värd betraktar som lokalt, och ingen mängd minnesvärd numrering ändrar den aritmetiken.

Om du vill att adressen ska antyda kunden är det en konvention, och konventioner är okej så länge ingen bygger policy på dem. Sök efter tillgången i inventariet, inte adressen, och flytten till verkstaden slutar vara en skattjakt. Den överlever också omnumreringen som förr eller senare kommer till varje anläggning.

Ett serienummer är inte en prefixlängd

Enheter som använder en bred mask som 10.0.0.0/8 behandlar varje adress i det intervallet som direkt ansluten, så trafik till en kunds maskin två nät bort når aldrig en router. Maskinen sänder bara ut en förfrågan efter en granne som inte kan svara.

RFC 4632 definierar prefix efter längd och inte efter vad de punktade siffrorna antyder. Din plan behöver uttryckliga längder för varje anslutningsgrupp: ett tjänstesegment, en kundkontext, en verkstadsbänk. Att namnge grupperna först gör längderna självklara.

Den praktiska regeln är att designa det minsta prefix som täcker en anslutningsgrupp och använda det överallt i den gruppen. Adresstext är för människor; masken är det kärnan agerar på.

När två kunder återanvänder samma adresser

Kund A och kund B kan båda köra 192.168.10.0/24, och båda kommer att ha rätt i sina egna byggnader. Det är inte ett problem som löses genom att omnumrera någon annans anläggning.

Håll kontexterna åtskilda, eller erbjud medvetna alias genom en design som dokumenterar vilken adress som tillhör vilken kund vid vilken tidpunkt. Ett globalt inventarium är rätt verktyg för att skilja maskinerna åt; det är inte bevis för att adresserna är globalt unika. Aliasvägen behöver en skriftlig utgångsregel, annars överlever den jobbet som skapade den.

Det du måste undvika är att båda kontexterna är nåbara samtidigt utan någon markör. Två identiska adresser på två levande vägar är det felfall som skickar en firmwareuppdatering till fel maskin. Symtomet ser sällan ut som ett fel; det ser ut som en enhet som någon annan har konfigurerat om. Markör först, sedan nåbarhet.

Ge verkstaden sin egen gräns

Kundens utrustning som anländer för service hör hemma i ett tjänstesegment med uttryckligen tillåten åtkomst, inte instoppad i ett personalnät för att en bänkport var ledig.

Behandla en okänd industrienhet som en annan förtroendedomän. Notera vilken engineering-värd som får nå den, vilka tjänster den värden behöver och vilka inloggningsuppgifter som hör till jobbet. Förvara kundens filer tillsammans med kundens jobb i stället för på en delad disk som alla kan läsa.

Isoleringen måste också överleva den tråkiga mitten av jobbet: medan den uppdateras, medan den står över natten och medan den väntar på en kurir.

Lämna över rutten som ett arbetssteg

Normalt når den centrala routern maskinen genom kundens tunnel. När maskinen står på bänken blir verkstadsvägen ägare till det prefixet, eller till en smalare destination om du bara behöver en tjänst.

Skriv ned tre saker före flytten: den gamla vägen, den nya vägen och hur ändringen backas. En överlämning som bara finns i någons minne är ingen överlämning.

Var försiktig med metriker. En lägre metrik spelar bara roll bland rutter som urvalsprocessen faktiskt jämför, och ett mer specifikt prefix eller en policyregel kan avgöra utfallet innan metrikerna ens beaktas.

Ta med inaktuella sessioner i planen. En anslutning som etablerades över den gamla vägen kan fortsätta leverera kommandon efter att rutten ändrats, och det är precis den situation där två kopior av en adress gör verklig skada. Stäng den gamla vägen uttryckligen i stället för att vänta på att den löper ut.

Slut cirkeln när maskinen skickas

Återställ den avsedda fjärrrutten, ta bort de tillfälliga behörigheterna och bekräfta tillgången vid den ändpunkt du tror är vald. Verifiera sedan från kundsidan och inte bara från verkstaden.

Namnuppslagning och inventarium gör här det operatörsriktade arbetet: ett stabilt namn och en sökbar tillgångspost gör uppgiften förutsägbar medan nätverksplanen förblir ärlig om var maskinen finns i dag.

Testet på en bra överlämning är att en kollega som aldrig sett jobbet kan läsa dina anteckningar och svara på en fråga: om den här maskinen svarar nu, vilken väg kom svaret från? Om anteckningarna inte kan svara på det är överlämningen dokumenterad men inte klar.