Migreer een subnet na 'n nuwe VPN-tonnel sonder onderbreking

Bring die nuwe tonnel op, skuif een subnet, en daardie subnet misluk nou met tussenposes terwyl alles anders heeltemal reg werk. Half-gemigreerde VPN's misluk presies so, want die tonnel was nooit die moeilike deel nie. Die pad sluit ook in watter roete wen, watter selektors pas, wat die toegangsreels toelaat, hoe antwoorde terugkom, en enige vertaling wat die ou ontwerp toegepas het. Skuif net die tonnel en jy het niks daarvan geskuif nie.

Die tonnel is die maklike helfte van die pad

Tussenpose-mislukking na 'n gedeeltelike migrasie beteken gewoonlik dat twee paaie albei moontlik is. Sommige vloei kies die nuwe tonnel, ander hou die oue, en 'n toestel wat toestand hou, sien dan 'n antwoord op 'n pad aankom wat die versoek nooit gebruik het nie. Twee paaie is nie outomaties veiliger as een nie; dit is twee dinge wat kan verskil. Kyk na die verslae oor wisselvalligheid eerder as die tonneltellers, want die tellers sal die hele tyd gesond lyk.

Die nuttige eerste vraag is nie watter tonnel beter is nie. Dit is watter vloei vandag watter pad kies, en of die versoek en die antwoord dieselfde antwoord kry.

Bou die bestemming voordat jy dit verkies

Bevestig dat die ewekniee versoenbaar is en dat die nuwe tonnel die adresomvang dra wat jy bedoel. Voeg die deurgee en die dienstoestemmings by wat dit nodig het terwyl dit nog die onverkose pad is, sodat die oorskakeling self net die seleksie verander en niks anders nie.

Vra die remote terrein hoe dit verkeer sal terugstuur. As antwoorde steeds deur die ou tonnel vertrek, veroorsaak 'n nuwe plaaslike roete asimmetrie of faal dit 'n toestandsfilter. Vertaling hoort om dieselfde rede in die ontwerp: 'n veranderde bronadres verander ook die terugpad.

Sny smal oor, en weet wat die weg terug is

Noem die presiese subnet en die platform-ondersteunde meganisme wat sy nuwe roete of selektor verkies. Beleidsgebaseerde definisies gedra hulle nie altyd soos roetemetrieke nie, so lees die reels vir oorvleuelende beleide vir jou implementering voordat jy aanneem die meer spesifieke passing wen.

Skuif een subnet, nie een terrein nie. Hou bestuurstoegang op 'n pad wat jy nie aanraak nie, en skryf die terugrol neer voordat jy enigiets toepas: watter roete of beleid terugkeer, wie dit doen, en hoe hulle verbind bly terwyl hulle dit doen.

Asimmetrie en verouderde toestand

Firewalls en NAT-toestelle onthou die koppelvlak wat 'n vloei gebruik het. Wanneer versoek en antwoord verskillende tonnels neem, kan die toestel die antwoord laat val, selfs al werk elke pad op sy eie. Toets met 'n vloei wat jy na die verandering oopmaak, want 'n gevestigde sessie kan ure lank die ou pad bly gebruik.

As die waargenome bronadres geskuif het, vind elke beleid wat die oue noem. 'n Migrasie wat die bron stilweg verander, breek reels wat niemand as deel van die VPN-ontwerp geklassifiseer het nie.

Bewys albei antwoorde, en trek dan die ou beleid terug

Vanaf 'n gewone gasheer op die gemigreerde subnet, bereik die bedoelde diens en kontroleer die waargenome bron en die antwoord-koppelvlak. Toets dan 'n netwerk wat veronderstel is om op die ou tonnel te bly, want 'n migrasie is eers klaar wanneer albei antwoorde reg is. Die tweede toets is die een wat mense oorslaan, en dit is die een wat 'n selektor vang wat wyer is as wat jy bedoel het.

Trek die verouderde beleid eers terug wanneer geen oorblywende subnet daarvan afhanklik is nie, en teken die finale roete met sy eienaar in die selektor-inventaris aan. Voltooiing is nie die nuwe tonnel wat op rapporteer nie; dit is elke netwerk wat sy bedoelde pad volg.