PPP asosidagi VPN'dan uning taxminlarini ko'chirmasdan o'tish

VPN migratsiyasi foydalanuvchilar, manzillar, nomlarni aniqlash va xato paytidagi xatti-harakatlar hali ham to'g'ri bo'lganda tugaydi, yangi mijoz yashil belgi ko'rsatganda emas. Eski PPP asosidagi joylashtirishlar hech qachon yozilmagan taxminlarni olib yuradi: yagona identifikatsiya tekshiruvi bo'lib xizmat qilgan umumiy sir, xavfsizlik devori ruxsat etilganlar ro'yxatida saqlaydigan qat'iy manzil hovuzi va server yuboradigan DNS qo'shimchasi. Ushbu taxminlarni inventarizatsiya qilmasdan protokolni almashtirish qo'l siqishni bajaradigan tunnel va mavjud bo'lmagan chegara beradi. Quyidagi tartib — men ishlatadigan tartib, oxirgi qadam esa jamoalar o'tkazib yuboradigan qadam.

1-qadam: eski ulanish nima berishini inventarizatsiya qiling

Inventar yodda saqlanmaydi, yoziladi. Qo'llab-quvvatlanadigan mijozlar, autentifikatsiya rollari, manzil hovuzlari, himoyalangan tarmoqlar, DNS talablari va har bir foydalanuvchi guruhiga kerak bo'ladigan xizmat ruxsatlarini yozib qo'ying.

L2TP/IPsec uchun ikkala qatlamni aniq ajrating. IPsec hamkorining identifikatori mashinalarni autentifikatsiya qiladi; PPP foydalanuvchini autentifikatsiya qiladi, odatda CHAP yoki MSCHAPv2 bilan.

Eski joylashtirishlar o'z taxminlarini aynan shu ajratishda yashiradi. Har bir mijoz ulashadigan oldindan umumiy kalit qurilmani emas, guruhni autentifikatsiya qiladi va ko'pincha bu hech qachon almashtirilgan yagona narsadir. Agar PPP hisobi haqiqiy foydalanuvchi bo'yicha nazorat bo'lsa, shuni ayting, chunki o'rinbosar bu nazoratni umumiy satr bo'lmagan narsa bilan qayta ishlab chiqishi kerak. Qat'iy manba manzillari va mahalliy tarmoq istisnolarini ham yozing, chunki bular buzilmaguncha hech kim hujjatlashtirmaydigan bog'liqliklardir.

2-qadam: o'rinbosarni ataylab loyihalashtiring

O'rinbosarni tanlash — talab bo'yicha talab moslashtirish: tashkilot qo'llab-quvvatlaydigan protokol va xizmat ko'rsatiladigan mijoz, har bir identifikatsiya va kirish talabi haqiqiy mexanizmga tushadi. Umumiy sir avtomatik ravishda qurilma bo'yicha kalit yoki sertifikatga teng emas, foydalanuvchi bo'yicha PPP hisobi esa qurilma sertifikatiga teng emas.

Manzil diapazonlarini hamma narsadan oldin kelishib oling, chunki uy yoki ofis LAN bilan ustma-ust tushadigan o'rinbosar hovuz shifr kuchiga aloqasi bo'lmagan nosozlik tug'diradi. Hovuzni eski xizmat uchun tuzgan o'sha ro'yxatga, shuningdek yangi mijoz sukut bo'yicha taxmin qiladigan narsalarga qarab tekshiring. Himoyalangan tarmoqlar uchun qaytish marshrutini tasdiqlang va yangi mijoz eski yuborgan DNS qo'shimchasini yuborishi yoki hujjatlashtirishi mumkinligini tasdiqlang. Aynan shu ikki band protokol o'zgarishidan ko'ra ko'proq migratsiya chiptalarini keltiradi.

3-qadam: bosqichma-bosqich joriy eting va ruxsat hamda rad etishni tekshiring

Bitta vakil foydalanuvchi va bitta vakil ilova bilan joriy eting. Sinovga shaxsiy DNS aniqlashni qo'shing, chunki manzilga yetib boradigan, lekin ichki nomni aniqlay olmaydigan tunnel faqat yarmi ko'chirilgan. Kutilayotgan mavjud bo'lmagan holatni ham qo'shing: tunnel yiqilganda nima bo'lishi kerak va mijoz buni majburlaydimi.

So'ngra rad etilgan holda qolishi kerak bo'lgan manzilni sinab ko'ring. Keng vaqtincha ruxsat qoidasi yangi tunnelni sog'lom ko'rsatishi mumkin, shu bilan birga eski xizmat joriy etgan avtorizatsiya chegarasini jimgina olib tashlaydi, va buni auditgacha hech kim sezmaydi. Ruxsat va rad etish natijalarini yonma-yon solishtiring, o'sha mijozdan, o'sha sessiyada. Ikkala ustun ham loyihaga mos kelguncha eski xizmatni ishlatib turing.

Administrator kirishini ko'chirishdan oldin, o'zgartirayotgan tunnelga bog'liq bo'lmagan ruxsat etilgan tiklash yo'li borligini tasdiqlang.

4-qadam: eski identifikatorni iste'foga chiqaring

Eski identifikatorni to'g'ri iste'foga chiqarish — eskirgan foydalanuvchilar va qurilma hisob ma'lumotlarini ularga egalik qiluvchi xizmat orqali bekor qilish, so'ngra bog'liqlik qolmaganda eski profillar va tinglovchilarni olib tashlash. Mahalliy faylni o'chirish boshqa joydagi nusxani bekor qilmaydi, eski umumiy sirni hali ham qabul qiladigan eski tinglovchi esa kuzatuvsiz eshikdir.

Bu nuqtada sekinlashishga arziydi. Noutbukdagi iste'foga chiqarilgan mijoz profili bekor qilingan hisob ma'lumoti emas; hisob ma'lumoti serverda yashaydi va server uni qabul qilishni to'xtatguncha amal qiladi. Eski konfiguratsiyaning boshqa nusxalarini qidiring — sinov qurilmalari, unutilgan telefon, kimdir saqlab qo'ygan o'rnatuvchi — va tinglovchini o'chirishni eski xizmat haqiqatan tugaydigan lahza deb biling. Ungacha migratsiyaning ikkita old eshigi bor.

Qabul yozuvi — birinchi qadamning inventariga ustun qo'shilgani: yangi loyiha har bir satr uchun nima qiladi va siz buni qanday tekshirdingiz. Bu protokol yangilanishini dalilli xizmat talabiga aylantiradi.

Natijani protokol nomiga emas, xizmatga kerak bo'ladigan narsaga bog'lab turing, chunki eski taxminlar ko'chirilgan zamonaviy protokol yaxshiroq ramka bilan o'sha xavfdir. RFC 3193 L2TP qanday qilib IPsec ustida tashilishini tavsiflaydi, bu esa ikki qatlam doim alohida qarorlar bo'lganini eslatadi. Agar inventarda tushuntira olmaydigan satr bo'lsa, to'xtang va unga nima bog'liqligini aniqlang. Ro'yxat zerikarli bo'lganda migratsiya tugaydi.