Netwerk-, DNS- en firewallcutover van VMware naar STACKIT

Wat de run voor de netwerkzijde schrijft

Een demo-omgeving die voor deze pagina is geschreven en op 4 november 2026 door StackToIT is beoordeeld: acht VM's, vier port groups, één loadbalancer-VM op twee ervan. Links: de volledige vNetwork-sheet. Rechts: het netwerk dat de run voor de port group PG-DMZ opstelt; de DNS-zin boven het blok wordt hieronder aangehaald.

VM,NIC label,Adapter,Network,Switch,Connected,IPv4 Address,VM UUID
lb01,Network adapter 1,Vmxnet3,PG-DMZ,dvs-prod,True,10.60.0.10,4206-f018-0001
lb01,Network adapter 2,Vmxnet3,PG-App,dvs-prod,True,10.60.1.10,4206-f018-0001
web01,Network adapter 1,Vmxnet3,PG-DMZ,dvs-prod,True,10.60.0.11,4206-f018-0002
web02,Network adapter 1,Vmxnet3,PG-DMZ,dvs-prod,True,10.60.0.12,4206-f018-0003
app01,Network adapter 1,Vmxnet3,PG-App,dvs-prod,True,10.60.1.21,4206-f018-0004
app02,Network adapter 1,Vmxnet3,PG-App,dvs-prod,True,10.60.1.22,4206-f018-0005
db01,Network adapter 1,Vmxnet3,PG-DB,dvs-prod,True,10.60.2.31,4206-f018-0006
dns01,Network adapter 1,Vmxnet3,PG-Infra,dvs-prod,True,10.60.3.5,4206-f018-0007
batch01,Network adapter 1,Vmxnet3,PG-App,dvs-prod,True,10.60.1.61,4206-f018-0008

resource "stackit_network" "network_PG_DMZ" {
  project_id       = var.project_id
  name             = "pg-dmz"
  ipv4_prefix      = var.network_PG_DMZ_ipv4_prefix
  ipv4_nameservers = var.network_PG_DMZ_ipv4_nameservers
}

• Prefix en nameservers zijn aan u

  RVTools exporteert geen subnetmaskers, zoals het rapport van de run meldt, en toont niet welke DNS-servers de VM's van de port group gebruiken, zoals de opmerking boven het blok zegt. Beide zijn variabelen zonder standaardwaarde: het prefix en de nameservers van het nieuwe netwerk.

• Namen worden herschreven

  De port group PG-DMZ wordt het netwerk pg-dmz. Alles wat naar de oude naam verwijst, zoals scripts of documentatie, heeft de nieuwe naam nodig; de run noemt de naam als een instelling om te bevestigen.

De loadbalancer met twee netwerken en de cutoveropmerking

Links: de interfaces en de server die de run voor lb01 opstelt, zonder de commentaarregels. Rechts: de volgorde van de eenheden en de cutoversectie van het plan, uit migration/technical-sequencing.md (regels 9 tot 33, waarbij golf 2 acht eenheden bevat).

resource "stackit_network_interface" "vm_lb01_nic1" {
  project_id = var.project_id
  network_id = stackit_network.network_PG_DMZ.network_id
  ipv4       = "10.60.0.10"
}

resource "stackit_network_interface" "vm_lb01_nic2" {
  project_id = var.project_id
  network_id = stackit_network.network_PG_App.network_id
  ipv4       = "10.60.1.10"
}

resource "stackit_server" "vm_lb01" {
  project_id        = var.project_id
  name              = "lb01"
  machine_type      = var.vm_lb01_machine_type
  availability_zone = var.availability_zone
  boot_volume = {
    source_type = "image"
    source_id   = var.vm_lb01_image_id
    size        = 60
  }
  network_interfaces = [stackit_network_interface.vm_lb01_nic1.network_interface_id, stackit_network_interface.vm_lb01_nic2.network_interface_id]
}

## Wave 1 — 4 unit(s)

| Unit | Class | Target |
|---|---|---|
| `network.PG-App` | RECONFIGURE / MEDIUM | STACKIT network |
| `network.PG-DB` | RECONFIGURE / MEDIUM | STACKIT network |
| `network.PG-DMZ` | RECONFIGURE / MEDIUM | STACKIT network |
| `network.PG-Infra` | RECONFIGURE / MEDIUM | STACKIT network |

## Wave 2 — 8 unit(s)

| Unit | Class | Target |
|---|---|---|
| `vm.app01` | RECONFIGURE / MEDIUM | STACKIT Compute Engine |
| `vm.app02` | RECONFIGURE / MEDIUM | STACKIT Compute Engine |
| `vm.batch01` | RECONFIGURE / MEDIUM | STACKIT Compute Engine |
| `vm.db01` | RECONFIGURE / MEDIUM | STACKIT Compute Engine |
| `vm.dns01` | RECONFIGURE / MEDIUM | STACKIT Compute Engine |
| `vm.lb01` | RECONFIGURE / MEDIUM | STACKIT Compute Engine |
| `vm.web01` | RECONFIGURE / MEDIUM | STACKIT Compute Engine |
| `vm.web02` | RECONFIGURE / MEDIUM | STACKIT Compute Engine |

## Cutover (decision support — performed by the customer)

No cutover facts: the scan and the draft established no DNS record set whose value the draft re-binds to a generated address, no public address re-binding, no DNS record unit, no certificate unit and no open cutover decision. That is not a statement that nothing has to be cut over: a name, an address or a certificate outside the scanned source is not seen, and a unit that exists only if OpenTofu decides so at plan time is not read here. StackToIT performs no cutover and gives no time estimate.

• Adressen blijven behouden

  Elke interface krijgt het adres van de bronadapter als vast IPv4-adres: 10.60.0.10 aan de DMZ-zijde en 10.60.1.10 aan de applicatiezijde. Alleen het eerste adres van een adapter wordt geschreven; verdere adressen zijn een beslissing.

• Eerst netwerken, dan servers

  Golf 1 bevat de vier netwerken, golf 2 de acht servers, omdat een server op zijn netwerk wacht. Eenheden in één golf kunnen parallel worden verplaatst, zegt het plan, dus de volgorde binnen golf 2 bepaalt u zelf.

• De cutoversectie is met opzet leeg

  Het plan meldt dat het geen DNS-recordset, geen herkoppeling van publieke adressen en geen te verhuizen certificaat heeft gevonden, en dat dit niet betekent dat er niets omgeschakeld hoeft te worden. Het voert geen cutover uit en geeft geen tijdschatting.

Het runbook in volgorde

Eigenaren met de namen Network Architect en Platform Architect zijn de rollen die de run aan zijn open instellingen toewijst; de andere eigenaren zijn suggesties. Stappen met de aanduiding praktijk zijn algemene methode, geen uitvoer van de run.

Het plan van de run telt 53 stappen voor deze omgeving, 21 geautomatiseerd en 32 handmatig. De cutovergolf van dat plan bevat er geen, en daarom vallen stap 3 en stap 7 tot en met 13 voor uw rekening.

Wat het netwerk van STACKIT u hier biedt

Uit de STACKIT-pagina's over core networking en netwerkinterfaces.

• Security groups

  Stateful, toegepast per netwerkinterface, inkomend verkeer standaard geweigerd en uitgaand verkeer standaard toegestaan. Eén groep kan op meerdere interfaces gelden.

• Interfaces en adressen

  Een server kan tot vijf interfaces hebben; een vast IPv4-adres wordt ingesteld wanneer de interface wordt aangemaakt. NIC security, tegen IP- en MAC-spoofing, staat standaard aan wanneer u een interface aanmaakt; de CLI-handleiding van STACKIT zegt dat de vlag --nic-security uit staat tenzij u die instelt, dus stel die in scripts expliciet in.

• Publieke adressen

  Een floating IP is een publiek IPv4-adres dat via NAT is gekoppeld aan het privéadres van een VM; het gastsysteem ziet dat niet. Het routeradres geeft gedeelde uitgaande toegang zodra een floating IP in het project is toegewezen.

• DNS-records

  Records worden in de portal aangemaakt, en alleen in primaire zones. Een verwijderd record wordt niet meer omgezet zodra de TTL is verstreken.

De DNS-instellingen die de run teruggeeft

Uit de actielijst van dezelfde run: twee instellingen van een VM, beide voor de Network Architect.

  - `ip-address` (Network Architect)
    - Why: The mapping rule for this kind of unit recognises the unit but only passes this setting to a person; it does not decide its value. The rehost case asks whether the VM keeps its address; the draft sets only the first address of an adapter as ipv4 (stackit_network_interface.ipv4).
    - Done when: A person decides whether the VM must keep its addresses and how any further address of an adapter is provided, since the draft sets only the first address of each adapter as the ipv4 of the network interface.
  - `dns-name` (Network Architect)
    - Why: The mapping rule for this kind of unit recognises the unit but only passes this setting to a person; it does not decide its value. DNS records are not migrated; the draft creates no stackit_dns_record_set.
    - Done when: A person confirms the value against the target, or the knowledge base gains a rule that decides this setting.

Rollback

De rollback hangt af van hoe ver u bent. Voor de handmatige stappen meldt het plan van de run dat het niet weet hoe die ongedaan worden gemaakt, dus de stappen hieronder zijn praktijk.

• Vóór stap 8

  De bron is onaangeroerd. Stop de doelservers en los de oorzaak op. Bij DNS hoeft niets ongedaan te worden gemaakt.

• Na stap 8, vóór stap 11

  Zet de bron-VM's weer aan, schakel de doelinterfaces uit of stop de servers en bevestig dat de bron antwoordt. Wat er tussentijds op het doel is geschreven, gaat verloren tenzij u het terugkopieert.

• Na stap 11

  Laat de records weer naar de oude adressen wijzen, geef het publieke IP van lb01 vrij en zet de bron aan. De verlaagde TTL uit stap 3 maakt dit snel. Beslis eerst wat er gebeurt met de data die sinds de omschakeling op STACKIT is geschreven.

• Bewaar de brondisks

  Verwijder bron-VM's of -disks pas na stap 13. Ze vormen de rollback.

Vragen over de netwerkcutover

Bronnen

• STACKIT-documentatie: concepten van core networking
• STACKIT-documentatie: netwerkinterfaces aanmaken en beheren
• STACKIT-documentatie: DNS-records beheren
• STACKIT-documentatie: netwerkinterfaces, concepten