Chuyển OpenVPN từ TAP sang TUN: một trình tự di trú hiệu quả

Đổi dev tap thành dev tun thay đổi thứ mà đường hầm vận chuyển, không chỉ tên gọi của nó. Giao diện TAP chuyển khung Ethernet cho cầu nối, nên máy khách hành xử như thể được cắm vào switch của văn phòng. Giao diện TUN mang gói IP, nên máy khách cần tuyến và phía xa cần đường quay về. Máy khách, kế hoạch địa chỉ và tuyến quay về của LAN đều phải chuyển theo thay đổi đó.

Di trú là một lần thiết kế lại mạng với đường hầm gắn kèm, và trình tự dưới đây giữ cho nó có thể đảo ngược.

Kiểm kê thứ thực sự phụ thuộc vào Ethernet

Liệt kê ứng dụng, không phải máy chủ. Xác định xem mỗi ứng dụng dùng dịch vụ TCP hay UDP có định tuyến, khám phá bằng phát sóng, DHCP từ LAN văn phòng, giao thức Ethernet không phải IP, hay giả định rằng hai đầu nằm cùng một mạng con. Truy cập IP thông thường sống sót trong thiết kế có định tuyến. Giao thức cần khung Ethernet thô thì không, và không lượng định tuyến nào làm nó chạy được. Ứng dụng phụ thuộc khám phá cần một cơ chế thay thế được quyết định trước khi chuyển, không phải trong lúc chuyển.

Bản kiểm kê đó cũng là danh sách nghiệm thu. Mỗi mục bạn không thể di trú trở thành một ngoại lệ có tài liệu hoặc lý do giữ một phân đoạn TAP nhỏ chỉ cho khối lượng công việc đó.

Lập kế hoạch địa chỉ và tuyến quay về

Chọn tiền tố máy khách không chồng lấn với LAN, dải cầu cũ hay bất kỳ mạng nào máy khách đã tới được. Máy chủ có cấu trúc liên kết mạng con cần một mảnh như dev tun, topology subnet và server 10.78.0.0 255.255.255.0, nhưng đó là mảnh, không phải một hồ sơ hoạt động. Giữ chính sách TLS, danh tính, vận chuyển và truy cập đã được phê duyệt xung quanh nó, và dùng tiền tố bạn đã xác minh là trống.

Sau đó ghi lại các đích máy khách phải tới và ai cung cấp đường quay về. Máy chủ cần chuyển tiếp được bật và một đường đi tiếp được phép. Router LAN cần tuyến quay lại tiền tố mới, hoặc thiết kế cần dịch nguồn với chi phí khả kiến mà nó kéo theo. Tuyến đẩy xuống máy khách cấu hình máy khách, không phải đường trả lời của LAN.

Chạy thử trên một listener riêng

Dựng dịch vụ mới bên cạnh dịch vụ cũ trên cổng riêng và dải địa chỉ riêng, thay vì thay thế điểm vào duy nhất đang hoạt động. Phát hồ sơ thử qua quy trình đăng ký hiện có để không ai phải dựng lại CA cho một lần di trú. Kết nối một máy khách đại diện khi chỉ đường thử đang hoạt động, rồi so sánh địa chỉ được cấp, DNS riêng, các ứng dụng trong bản kiểm kê và những đường phải tiếp tục bị chặn.

Bao gồm cả bài kiểm tra kết nối lại và lưu lượng quay về. Một bắt tay hoàn tất không nói gì về việc phía xa có trả lời được hay không.

Chuyển máy khách theo nhóm kèm khả năng hoàn tác

Di trú theo nhóm đủ nhỏ để sự cố là một việc hỗ trợ chứ không phải gián đoạn. Giữ dịch vụ cũ chạy và có tài liệu cho tới khi quy trình làm việc thật của từng nhóm đi qua, và viết phần hoàn tác như một lần chuyển lại hồ sơ trước đó, không phải dựng lại. Cập nhật quy tắc tường lửa dựa trên địa chỉ, giám sát và mọi truy cập do máy chủ khởi tạo cho tiền tố mới khi từng nhóm dịch chuyển.

Nhóm cũng cho bạn một chỗ để phát hiện ứng dụng mà không ai nhắc tới, trong khi đường cũ vẫn còn để so sánh.

Chỉ gỡ cầu nối sau khi nghiệm thu

Gỡ thiết bị TAP là bước cuối, không phải bước đầu. Kiểm tra xem cầu nối còn mang địa chỉ quản trị của máy chủ, một đường giám sát hay khối lượng công việc không liên quan trước khi xóa bất cứ thứ gì. Gỡ các phụ thuộc khởi động, tư cách thành viên cầu nối và đặt trước DHCP thông qua chủ sở hữu của chúng, theo thứ tự đó, kèm ghi chú về những gì đã gỡ.

Di trú hoàn tất khi mô hình truy cập có định tuyến chạy được cho bản kiểm kê, không phải khi giao diện TAP biến mất khỏi đầu ra của ip link.