Не является большим секретом, что формальные сроки действия сертификации ФСБ на ViPNet Administrator и координаторы 4-го поколения (ViPNet Coordinator HW 4) до 29 октября уже истекли. Тем не менее, для многих предприятий миграция на ViPNet Prime остается задачей «со звёздочкой», которую часто откладывают до последнего, ведь координаторы пятого поколения могут управляться только с новой платформы.
Есть два сценария для тех, у кого уже есть своя сеть ViPNet:
1. Развернуть сеть заново на новой лицензии Prime и постепенно переносить туда клиентов.
2. Мигрировать сеть целиком с сохранением лицензии, номера сети и всех межсетевых связей.
Для большинства актуальным будет второй путь, хотя кто-то может выбрать и первый. Мы шли по пути миграции существующей сети с сохранением связей.
Делимся опытом для всех, кто только морально готовится к этому увлекательному процессу.
Подготовка и снапшоты: золотое правило
Делайте снапшоты. Если работаете на «физической» машине — делайте полные копии диска.
Основные этапы для снапшотов/копий:
1. После загрузки и распаковки установочного комплекта.
2. Перед запуском непосредственно установки через deployment-configurator.
3. Ключевой снапшот: после того как вы успешно зашли в Web-интерфейс (да, теперь управление идет через браузер, а сам Prime крутится на Linux, в том числе на Astra Linux), загрузили свою лицензию и подключили модуль VPN (но не инициализировали его!). В случае любых неожиданностей в процессе возвращаться будем именно к этому состоянию.
Пара важных советов на этапе подготовки:
Когда размечаете диск для установки ОС, закладывайте большой корневой раздел. Логи и временные файлы миграции могут занять неожиданно много места.
В качестве машины для управления выбирайте либо ту, на которой у вас есть возможность править /etc/hosts, либо используйте локальный DNS-сервер. На нём нужно будет сделать несколько записей, привязывающих доменные имена, на которых функционирует Prime (например: 192.168.1.10 prime.local vpn.prime.local api.prime.local).
Обновите все межсетевые мастер-ключи (ММК). Это будет критически важно как в процессе миграции, так и после неё.
Раскопайте всю историю межсетевых взаимодействий (особенно удаленных сетей. Дважды особенно — старых сетей с историей). Если встречаются ММК с датами «неизвестно» — миграция не пройдет, хотя формальные проверки в старом ЦУС могут проходить нормально.
Аналогичная проблема возникнет, если встречаются «осиротевшие» ММК: когда межсетевое взаимодействие было удалено в Центре управления сетью (ЦУС), при этом в Удостоверяюще-ключевом центре (УКЦ) ключи не удалялись, но после удаления в ЦУС соответствующая запись пропала.
Если между получением дистрибутива и моментом миграции прошло некоторое время и были обновления лицензии, загрузите их в старый ЦУС и проверьте, чтобы все лицензии сошлись. В идеале должно оставаться хотя бы по 1–2 свободных места. Если в ЦУС загрузка лицензии проходит всегда (просто количество свободных уходит в минус, и можно перераспределить), то в Prime лицензия просто не загрузится и даже не покажет, что именно не так.
Запросите сразу у «Инфотекса» утилиту резервного копирования и восстановления. Она не входит в стандартный установочный комплект и запрашивается отдельно через техподдержку.
Интересные статьи
Интересные статьи
