Remplacer un Publisher par une New machine virtuelle Publisher

Netskope met automatiquement à jour les éditeurs, y compris les mises à niveau du système d’exploitation hôte. Si un éditeur exécute une ancienne version logicielle ou un ancien système d’exploitation, le remplacement de la machine virtuelle (VM) de l’éditeur par une New VM est souvent plus rapide et plus prévisible qu’une mise à niveau sur place, qui nécessite plusieurs redémarrages.

Lorsque vous remplacez un éditeur, la New VM conserve l’adresse IP de l’éditeur actuel et reprend l’entrée de l’éditeur existant dans l’interface utilisateur de Netskope. Toutes les définitions d’applications, applications privées et stratégies qui font référence à l’éditeur continuent de fonctionner, et Netskope pousse la configuration de l’éditeur à partir du cloud après l’enregistrement. Aucun changement n’est nécessaire sur votre réseau ni sur vos applications. Selon votre environnement, la transition prend entre 30 secondes et 5 minutes si elle est bien coordonnée.

Cet article comporte deux parties :

• Remplacer un Publisher : la procédure de base qui migre l’adresse IP et les paramètres DNS, ce qui suffit pour la plupart des Publishers.
• Migrer les paramètres supplémentaires : cochez cette section si vous avez modifié d’autres paramètres sur l’éditeur actuel, tels qu’un proxy, un serveur Syslog ou le mode NoNAT.

Conditions préalables

Pour compléter cette procédure, vous avez besoin de :

• La dernière image Publisher pour votre plateforme. Pour en savoir plus, consultez Publisher Auto-Reconnect.
• Accès SSH à l’éditeur actuel et à la New machine virtuelle Publisher avec un compte disposant des autorisations sudo.
• Une fenêtre de maintenance pour la transition.
• Recommandé : accès à la console de la New machine virtuelle (par exemple, la console VMware vSphere, Hyper-V ou KVM). Avec l'accès à la console, vous pouvez préparer la New machine virtuelle avec sa carte réseau déconnectée, ce qui garantit la transition la plus rapide.

Remplacer un éditeur

Étape 1 : enregistrer les paramètres réseau de l'éditeur actuel

1. Accédez à l'Éditeur actuel via SSH et exécutez l'assistant de l'Éditeur :

   sudo ./npa_publisher_wizard

   L'écran principal affiche les paramètres réseau du Publisher :

   

2. Quittez l'assistant et enregistrez l'interface, l'adresse IP avec la longueur du préfixe, la passerelle et le MTU :

   ip -br addr
   ip route show default
   ip link show

3. Enregistrez les serveurs DNS utilisés par l'éditeur. L'éditeur lit les serveurs DNS de l'hôte lors de son démarrage et les utilise pour résoudre les noms d'hôte des applications privées :

   docker exec $(docker ps -q --filter ancestor=new_edge_access) grep -A4 forwarders /etc/bind/named.conf.options

   

4. Indiquez si l’adresse IP est statique ou attribuée par DHCP. Si ip route default affiche proto dhcp, l’adresse est attribuée par DHCP.
5. Sur Ubuntu, enregistrez toute configuration DNS personnalisée :

   ls -l /etc/netplan/
   sudo cat /etc/netplan/*.yaml

Étape 2 : Déployer la New machine virtuelle Publisher

1. Déployez une New machine virtuelle à partir de la dernière image de Publisher. Pour en savoir plus, consultez la page Deploy a Publisher. N'enregistrez pas encore Publisher.
   Sur AWS, n'ajoutez pas de jeton d'enregistrement aux données utilisateur de l'instance. L'éditeur s'enregistre automatiquement si un jeton est présent.
2. Préparez la machine virtuelle pour la transition :

• With console access: Déconnectez l'adaptateur réseau de la New machine virtuelle dans votre hyperviseur (par exemple, dans VMware vSphere, décochez Connected pour l'adaptateur réseau) et ouvrez la console de la machine virtuelle.
• Without console access: connectez la machine virtuelle au réseau avec une adresse IP temporaire et accédez-y via SSH.

Étape 3 : Configurez l'adresse IP et le DNS sur le New Publisher

Appliquez les paramètres que vous avez enregistrés à l'étape 1.

Static IP Address

1. Utilisez le magicien éditeur :

   sudo ./npa_publisher_wizard

2. Select Network settings > Use Static IP, puis saisissez le nom d'interface, l'adresse IP au format CIDR, la passerelle, les serveurs DNS et les domaines de recherche DNS. L'assistant applique la configuration et redémarre le moteur de conteneur.

   Note

   Sans accès à la console, la New machine virtuelle perd son adresse IP temporaire lorsque vous appliquez l'adresse IP statique. Appliquez l'adresse IP statique lors du basculement, après avoir arrêté le Publisher actuel.

DHCP

1. Mettez à jour la réservation DHCP afin que la New machine virtuelle reçoive l'adresse IP du Publisher actuel. Dans un cloud public, attribuez l'adresse IP ou l'interface réseau à la new instance.
2. Si l'éditeur actuel utilise des serveurs DNS différents de ceux fournis par le DHCP, créez un fichier Netplan qui remplace les serveurs DNS du DHCP. Utilisez le nom d'interface de la New machine virtuelle (affiché par le lien ip -br) et les serveurs DNS que vous avez enregistrés à l'étape 1 :

   sudo tee /etc/netplan/99-custom-dns.yaml > /dev/null <<'EOF'
   network:
     version: 2
     ethernets:
       ens5:
         dhcp4-overrides:
           use-dns: false
         dhcp6-overrides:
           use-dns: false
         nameservers:
           addresses:
             - 172.31.20.232
   EOF
   sudo chmod 600 /etc/netplan/99-custom-dns.yaml
   sudo netplan apply

3. L'éditeur lit les serveurs DNS lorsque le conteneur de l'éditeur démarre. Redémarrer le conteneur :

   docker restart $(docker ps -q --filter ancestor=new_edge_access)

La New VM possède désormais les mêmes paramètres réseau que l'éditeur actuel et est prête à être enregistrée. Si vous avez modifié d'autres paramètres sur l'éditeur actuel, appliquez-les maintenant. Pour en savoir plus, consultez Migrer des paramètres supplémentaires.

Étape 4 : Passer au New Publisher

1. Arrêtez la VM de l’éditeur actuel. Ne la supprimez pas tant que vous n’avez pas terminé la vérification.

2. Mettez la New machine virtuelle en ligne avec l'adresse IP du Publisher actuel :
   • With console access: Reconnectez la carte réseau de la new machine virtuelle dans votre hyperviseur.
   • Without console access: appliquez l'adresse IP statique (étape 3), déplacez l'adresse IP vers la New machine virtuelle et reconnectez-vous via SSH.
3. Dans l'interface utilisateur de Netskope, accédez à Settings > Security Cloud Platform > Publishers et confirmez que l'éditeur affiche Disconnected.

   

4. Cliquez sur le Publisher pour ouvrir Publisher Details, puis cliquez sur Generate Token.

   

5. Cliquez sur Copy pour copier le jeton d'enregistrement. Le jeton expire au bout de 24 heures.

   

6. Sur le New Publisher, exécutez l'assistant de l'éditeur, sélectionnez 1 (Register) et collez le jeton :

   sudo ./npa_publisher_wizard

   Lorsque l’enregistrement réussit, l’assistant affiche :

   Publisher registered successfully.
   
   Verifying connectivity to the Netskope Dataplane...
   Connectivity to the Netskope Dataplane was successfully verified.

Étape 5 : Vérifier le New Publisher

1. Dans l’interface utilisateur de Netskope, accédez à Settings > Security Cloud Platform > Publishers. Vérifiez que l’éditeur indique Connected, que l’adresse IP est inchangée, que la version correspond à la dernière version et que le nombre d’applications connectées est le même qu’avant.
2. Sur le New Publisher, vérifiez qu'il utilise les bons serveurs DNS :

   docker exec $(docker ps -q --filter ancestor=new_edge_access) grep -A4 forwarders /etc/bind/named.conf.options

3. Depuis un périphérique équipé de Netskope Client, accédez à plusieurs applications privées qui utilisent cet éditeur.
4. Lorsque vous êtes satisfait du New Éditeur, supprimez l'ancienne machine virtuelle.

Migrer les paramètres supplémentaires

La plupart des éditeurs ont uniquement besoin de l'adresse IP et des paramètres DNS. Si vous avez modifié d'autres paramètres sur l'éditeur actuel, vérifiez-les sur celui-ci et appliquez-les au New éditeur avant de l'enregistrer (étape 3), sauf indication contraire dans le tableau.

Exécutez les vérifications sur l'éditeur actuel à partir du répertoire de l'assistant (généralement /home/ubuntu). Pour lister les fichiers de configuration locaux, exécutez :

ls -la ~/resources

Setting	Check on the current Publisher	Apply on the new Publisher
Proxy explicite	grep -E 'PROXY' /etc/environment	Assistant : Network settings > Configure proxy settings
Syslog	Écran principal de l'assistant, Syslog settings	Assistant : Syslog settings > Configure syslog
EDNS	Écran principal de l’assistant, Network settings > EDNS	Assistant : Network settings > Enable EDNS ou Disable EDNS
Mode NoNAT et TCP keepalive	ls ~/resources/.nonat	Créer le fichier d’indicateurs, puis l’assistant : Network settings > Setup TCP keepalive for NoNAT mode
Niveau de journalisation	cat ~/resources/loglevel	Assistant : Log settings
Auto-reconnect	Écran principal de l'assistant, Auto-reconnect settings	Assistant : Auto-reconnect settings, après l'enregistrement
Browser Access AnyApp	Écran principal de l'assistant, Browser Access AnyApp	Assistant : Browser Access AnyApp settings, après l'enregistrement
Dépôt d'artefacts privés sécurisé	Écran principal de l'assistant, Private Repo	sudo ./npa_publisher_wizard --enable_private_repo
Mise en miroir des ports	Assistant : Port mirroring settings	Assistant : Port mirroring settings > Enable port mirroring
Autres fichiers locaux	ls -la ~/resources	Copier le fichier

Proxy explicite

Si l'éditeur actuel se connecte à Netskope via un proxy, configurez le même proxy sur le New éditeur avant de l'enregistrer. Sinon, l'enregistrement échoue. Pour en savoir plus, consultez Explicit Proxy for a Publisher.

Syslog

L'écran principal de l'assistant de Publisher actuel affiche l'hôte du serveur syslog et le port UDP. Sur le New Publisher, sélectionnez Syslog settings > Configure syslog et saisissez les mêmes valeurs.

EDNS

EDNS est activé par défaut. Si l’éditeur actuel affiche EDNS: Disabled, sélectionnez Network settings > Disable EDNS sur le New Publisher.

NoNAT Mode

Le mode NoNAT est activé lorsque le fichier ~/resources/.nonat existe. Ce fichier est créé automatiquement sur GCP. Si le fichier existe sur l'éditeur actuel et non sur le New Publisher, créez-le et redémarrez le conteneur Publisher :

touch ~/resources/.nonat
docker restart $(docker ps -q --filter ancestor=new_edge_access)

Si l'écran principal de l'assistant de l'éditeur actuel affiche NoNAT mode TCP keepalive: Enabled, sélectionnez Network settings > Setup TCP keepalive for NoNAT mode sur le New éditeur, puis entrez les mêmes valeurs.

Niveau de journalisation

Le niveau de journalisation par défaut est 3 (Info). Si l'éditeur actuel utilise un niveau de journalisation différent, sélectionnez Log settings sur le New éditeur et sélectionnez le même niveau.

Auto-reconnect

Si le Publisher actuel utilise des paramètres de reconnexion automatique personnalisés, sélectionnez Auto-reconnect settings sur le New Publisher après l'enregistrement et entrez les mêmes valeurs. Le menu est disponible une fois que le Publisher a reçu sa configuration de Netskope. Pour en savoir plus, consultez Publisher Auto-Reconnect.

Browser Access AnyApp

Si Browser Access AnyApp est activé sur l'éditeur actuel, sélectionnez Browser Access AnyApp settings > Enable Browser Access AnyApp sur le New éditeur après l'enregistrement.

Dépôt d'artefacts privés sécurisé

Si l'éditeur actuel utilise un dépôt d'artefacts privés sécurisé, copiez ~/resources/private_repo_config.json sur le New éditeur et activez le dépôt. Pour en savoir plus, consultez Dépôt d'artefacts privés sécurisé pour les éditeurs.

Mise en miroir de ports

Si la mise en miroir des ports est activée sur l'éditeur actuel, sélectionnez Port mirroring settings > Enable port mirroring sur le New Publisher. Le menu est uniquement disponible sur les machines virtuelles qui prennent en charge la mise en miroir des ports.

Autres fichiers locaux

Si l'un de ces fichiers existe dans ~/resources sur l'éditeur actuel, copiez-le au même emplacement sur le New Publisher, puis redémarrez le conteneur de l'éditeur :

Fichier	Objectif
nsconfig.local.json	Remplacements locaux de la configuration de l'éditeur
edns_service_host.txt	Hôte de service EDNS personnalisé
.noproxy	Masque les paramètres du proxy dans l’assistant
.disable_bypass_systemd-resolved	Conserve le résolveur de stub systemd-resolved
.disablediaglogcollection	Désactive la collecte des journaux de diagnostic

Si vous utilisez des miroirs de registre Docker, comparez /etc/docker/daemon.json sur les deux éditeurs, ajoutez l'entrée registry-mirrors au New éditeur, puis redémarrez Docker.