OpenVPN'i TAP'tan TUN'a taşımak: işleyen bir geçiş sırası

dev tap yerine dev tun kullanmak tünelin ne taşıdığını değiştirir, yalnızca adını değil. Bir TAP arayüzü Ethernet çerçevelerini bir köprüye verir, bu yüzden istemciler ofis anahtarına takılıymış gibi davranır. Bir TUN arayüzü IP paketleri taşır, bu yüzden istemcilerin rotalara, karşı tarafın da geri dönüş yoluna ihtiyacı vardır. İstemciler, adres planı ve LAN'ın dönüş rotası bu değişiklikle birlikte taşınmalıdır.

Geçiş, tünelle birlikte bir ağ yeniden tasarımıdır ve aşağıdaki sıra onu geri alınabilir tutar.

Gerçekte neyin Ethernet'e bağlı olduğunu envanterleyin

Sunucuları değil uygulamaları listeleyin. Her birinin yönlendirilmiş TCP veya UDP hizmetlerini, yayın yoluyla keşfi, ofis LAN'ından DHCP'yi, IP olmayan bir Ethernet protokolünü ya da iki ucun aynı alt ağda olduğu varsayımını kullanıp kullanmadığını belirleyin. Sıradan IP erişimi yönlendirilmiş bir tasarımda ayakta kalır. Ham Ethernet çerçevelerine ihtiyaç duyan bir protokol ayakta kalmaz ve hiçbir yönlendirme miktarı bunu düzeltmez. Keşfe bağlı uygulamalar için geçişten önce kararlaştırılmış bir yedek mekanizma gerekir, geçiş sırasında değil.

Bu envanter aynı zamanda kabul listesidir. Taşıyamadığınız her kayıt belgelenmiş bir istisnaya ya da küçük bir TAP segmentini yalnızca o iş yükü için yaşatma gerekçesine dönüşür.

Adres ve dönüş rotası planını kurun

LAN ile, eski köprü aralığıyla veya bir istemcinin zaten ulaştığı herhangi bir ağla çakışmayan bir istemci öneki seçin. Alt ağ topolojili bir sunucu dev tun, topology subnet ve server 10.78.0.0 255.255.255.0 gibi bir parçaya ihtiyaç duyar, ancak bu bir parçadır, çalışan bir profil değildir. Onaylanmış TLS, kimlik, taşıma ve erişim politikasını çevresinde tutun ve boş olduğunu doğruladığınız bir önek kullanın.

Ardından istemcilerin ulaşması gereken hedefleri ve dönüş yolunu kimin sağladığını yazın. Sunucunun iletmenin etkin olmasına ve izin verilen bir ileri yola ihtiyacı vardır. LAN yönlendiricilerinin yeni öneke geri dönüş rotasına ihtiyacı vardır, ya da tasarımın beraberinde getirdiği görünürlük maliyetiyle kaynak çevirisine ihtiyacı vardır. İstemciye itilen bir rota istemciyi yapılandırır, LAN'ın yanıt yolunu değil.

Ayrı bir dinleyicide pilot uygulama yapın

Yeni hizmeti, çalışan tek giriş noktasını değiştirmek yerine eski hizmetin yanında kendi portunda ve kendi adres aralığında ayağa kaldırın. Kimse bir geçiş için CA'yı yeniden kurmasın diye pilot profilleri mevcut kayıt süreci üzerinden verin. Yalnızca pilot yol etkinken bir temsili istemci bağlayın, sonra atanan adresleri, özel DNS'yi, envanterdeki uygulamaları ve engellenmiş kalması gereken yolları karşılaştırın.

Yeniden bağlanma ve dönüş trafiği testini ekleyin. Tamamlanan bir el sıkışma, karşı tarafın yanıt verip veremeyeceği hakkında hiçbir şey söylemez.

İstemcileri geri almalı gruplar halinde taşıyın

Bir arızanın kesinti değil destek görevi olacağı kadar küçük gruplar halinde geçin. Eski hizmeti, her grubun gerçek iş akışları geçene kadar çalışır ve belgelenmiş tutun, geri almayı ise yeniden kurma değil önceki profile geri dönme olarak yazın. Her grup taşındıkça adres tabanlı güvenlik duvarı kurallarını, izlemeyi ve sunucunun başlattığı her erişimi yeni önek için güncelleyin.

Gruplar ayrıca kimsenin söz etmediği uygulamayı keşfetmek için bir yer verir, eski yol hâlâ karşılaştırma için dururken.

Köprüyü ancak kabulden sonra kaldırın

TAP aygıtını kaldırmak ilk adım değil, son adımdır. Herhangi bir şeyi silmeden önce köprünün hâlâ sunucunun yönetim adresini, bir izleme yolunu veya ilgisiz bir iş yükünü taşıyıp taşımadığını kontrol edin. Başlangıç bağımlılıklarını, köprü üyeliğini ve DHCP rezervasyonlarını sahipleri üzerinden, bu sırayla, neyin kaldırıldığına dair bir notla kaldırın.

Geçiş, yönlendirilmiş erişim modeli envanter için çalıştığında tamamlanır; ip link çıktısından bir TAP arayüzü kaybolduğunda değil.