OpenVPN'ni TAP'dan TUN'ga ko'chirish: ishlaydigan migratsiya tartibi

dev tap o'rniga dev tun ishlatish tunnel nima tashishini o'zgartiradi, faqat nomini emas. TAP interfeysi Ethernet kadrlarini ko'prikka topshiradi, shuning uchun mijozlar ofis kommutatoriga ulangandek tutadi. TUN interfeysi IP paketlarni tashiydi, shuning uchun mijozlarga marshrutlar, narigi tomonga esa qaytish yo'li kerak. Mijozlar, manzillar rejasi va LAN'ning qaytish marshruti bu o'zgarish bilan birga ko'chishi kerak.

Migratsiya tunnel bilan bog'langan tarmoqni qayta loyihalashdir va quyidagi tartib uni qaytariladigan qilib saqlaydi.

Aslida nima Ethernet'ga bog'liq ekanini ro'yxatga oling

Xostlarni emas, ilovalarni sanang. Har biri yo'naltirilgan TCP yoki UDP xizmatlarini, translyatsiya orqali aniqlashni, ofis LAN'idan DHCP'ni, IP bo'lmagan Ethernet protokolini yoki ikkala uchi ham bir subnetda degan taxminni ishlatishini aniqlang. Oddiy IP kirish yo'naltirilgan loyihada omon qoladi. Xom Ethernet kadrlarini talab qiladigan protokol omon qolmaydi va hech qanday yo'naltirish buni tuzatmaydi. Aniqlashga bog'liq ilovalarga o'tishdan oldin hal qilingan muqobil mexanizm kerak, uning davomida emas.

Bu ro'yxat ayni paytda qabul ro'yxatidir. Ko'chira olmaydigan har bir yozuv hujjatlashtirilgan istisno yoki faqat shu ish yuki uchun kichik TAP segmentini saqlab qolish sababiga aylanadi.

Manzillar va qaytish marshrutlari rejasini tuzing

LAN, eski ko'prik diapazoni yoki mijoz allaqachon yetib boradigan tarmoq bilan kesishmaydigan mijoz prefiksini tanlang. Subnet topologiyali serverga dev tun, topology subnet va server 10.78.0.0 255.255.255.0 kabi parcha kerak, lekin bu parcha, ishlaydigan profil emas. Uning atrofida tasdiqlangan TLS, identifikatsiya, transport va kirish siyosatini saqlang va bo'sh ekanini tekshirgan prefiksdan foydalaning.

So'ng mijozlar yetib borishi kerak bo'lgan manzillar va qaytish yo'lini kim ta'minlashini yozing. Serverga yoqilgan yo'naltirish va ruxsat etilgan keyingi yo'l kerak. LAN routerlariga yangi prefiksga qaytish marshruti kerak, yoki loyihaga u bilan keladigan ko'rinish xarajati bilan manba tarjimasi kerak. Mijozga surib berilgan marshrut mijozni sozlaydi, LAN'ning javob yo'lini emas.

Alohida tinglovchida sinab ko'ring

Yangi xizmatni ishlab turgan yagona kirish nuqtasini almashtirish o'rniga eskisining yonida, o'z porti va o'z manzil diapazonida ko'taring. Migratsiya uchun hech kim CA'ni qayta qurmasligi uchun pilot profillarni mavjud ro'yxatga olish jarayoni orqali bering. Faqat pilot yo'l faol bo'lganda bitta vakil mijozni ulang, so'ng berilgan manzillar, shaxsiy DNS, ro'yxatdagi ilovalar va bloklangan qolishi kerak yo'llarni solishtiring.

Qayta ulanish va qaytish trafigi sinovini qo'shing. Tugallangan qo'l siqish narigi tomon javob bera olishi haqida hech narsa demaydi.

Mijozlarni qaytarish bilan guruhlarga ko'chiring

Muvaffaqiyatsizlik uzilish emas, qo'llab-quvvatlash vazifasi bo'ladigan darajada kichik guruhlarga migratsiya qiling. Eski xizmatni har bir guruhning haqiqiy ish oqimlari o'tgunga qadar ishlab va hujjatlashtirilgan holda saqlang, qaytarishni esa qayta qurish emas, avvalgi profilga qaytish deb yozing. Har bir guruh ko'chgan sari manzilga asoslangan xavfsizlik devori qoidalarini, monitoringni va server boshlaydigan har qanday kirishni yangi prefiks uchun yangilang.

Guruhlar hech kim aytmagan ilovani topish uchun joy ham beradi, eski yo'l hali solishtirish uchun mavjud bo'lganda.

Ko'prikni faqat qabuldan keyin olib tashlang

TAP qurilmasini olib tashlash birinchi emas, oxirgi qadam. Biror narsani o'chirishdan oldin ko'prik hali ham serverning boshqaruv manzilini, monitoring yo'lini yoki aloqasiz ish yukini tashiyaptimi tekshiring. Ishga tushish bog'liqliklari, ko'prik a'zoligi va DHCP rezervatsiyalarini ularning egalari orqali, shu tartibda, nima olib tashlangani haqida eslatma bilan olib tashlang.

Migratsiya yo'naltirilgan kirish modeli ro'yxat uchun ishlaganda tugaydi, ip link chiqishidan TAP interfeysi yo'qolganda emas.