Wat ’n VPN-oorskakeling van ’n privaatlyn moet behou

Privaatlyne is maklik om te beskryf en moeilik om te vervang, want die kontrak het meer as ’n kabel gedek. Dit het ’n oorhandiging, ’n adresplan, ’n vertragingsverwagting en ’n ondersteuningsreëling gedra, en die tonnel wat dit vervang, erf al vier, of iemand dit neergeskryf het of nie. Oorskakelings misluk wanneer die span die roeteringkonfigurasie kopieer en die res ’n bedryfsprobleem noem. Begin by die vereistes en bewys elkeen op die nuwe pad voordat die ou een gekanselleer word.

Maak van die kring ’n lys van eienskappe

Die eerste vraag is wat die ou diens werklik oorhandig het: ’n geroteerde skakel met ’n klein subnet, of ’n Laag 2-segment wat tussen terreine gedeel word. Daardie onderskeid bepaal of ’n IP-tonnel dit hoegenaamd kan weergee, want ’n tonnel dra pakkette tussen twee adresse en dra nie broadcast-ontdekking of willekeurige EtherTypes nie. ’n Kring wat homself as ’n skakelaarpoort aangebied het, is ’n ander migrasie as een wat ’n /30 aangebied het.

Skryf die terreinvoorvoegsels neer, die poortadresse, die toepassings wat adresse in hul eie konfigurasie inbed, en die voorvoegsels wat elders in die landskap oorvleuel. ’n Adresplan wat die migrasie oorleef, is ’n ontwerpuitkomste, nie ’n aanname nie. Daardie vier lyste word later ook die aanvaardingskriteria, so hou hulle waar die toetsers dit kan lees.

Roeteer die nuwe pad in beide rigtings

’n Tonnel wat opkom, is net ’n halwe pad. Die ander kant het ’n roete terug na elke plaaslike voorvoegsel nodig, en die plaaslike kant moet die tonnel vir daardie voorvoegsels verkies sonder om verkeer te steel wat nog deur die internet moet uitgaan. Asimmetriese aanstuur is die gewone simptoom wanneer ’n mens een van daardie helftes reg kry. Inspekteer die ander kant se tabel net so noukeurig soos jou eie, want die terugpad is die een wat niemand opgestel het nie.

ip route get 10.20.0.10

Beleidsroetering maak die verdeling eksplisiet: merk die verkeer wat aan die terreinpaar behoort en gee dit ’n tabel met die tonnel as verstek. IPsec lewer die beskermde assosiasie en die beleid wat bepaal wat daarin ingaan, maar nie die roetes daaromheen nie, soos die IPsec-argitektuur beskryf. Wanneer die merk te breed pas, gaan gewone webverkeer van die terrein ook in die tonnel en verlaat dit deur die verkeerde uitgang.

Skakel oor met ’n terugrol wat jy reeds getoets het

Twee lewende paaie met verskillende eienaars nooi asimmetriese aanstuur uit, so bring die nuwe een binne ’n bepaalde venster op en skuif voorvoegsels in ’n vasgestelde volgorde. Hou die ou kring opgestel en hou ’n buitebandse bestuurspad wat van geen van die tonnels afhanklik is nie. Skuif een voorvoegsel op ’n slag waar die toepassings dit toelaat, en kyk tussen skuiwe na die sessietabel.

Besluit vooraf watter bewyse die oorskakeling magtig en watter toestand die terugrol veroorsaak. ’n Terugrol wat vereis dat die nuwe VPN deur die mislukte verbinding herstel word, is nie ’n terugrol nie. Stel die sneller as ’n meetbare toestand en nie as ’n gevoel in die vertrek nie.

Aanvaar met die verkeer wat die kring werklik gedra het

Ping bewys bereikbaarheid en min anders. Toets naamoplossing, die langdurige sessies, die geweierde vloei en die pakketgroottes wat die ou pad sonder fragmentering hanteer het. MTU is waar tonnels die meeste van ’n kring verskil, want inkapseling verbruik grepe wat die toepassing as beskikbaar aanvaar het. Meet die grootste nutslading wat sonder fragmentering in beide rigtings deurgaan, nie net na die bediener nie.

ping -M do -s 1400 -c 3 10.20.0.10

As ’n nutslading van 1400 grepe deurgaan en 1472 nie, is die padmaksimum kleiner as wat die toepassings verwag, en het jy ’n werklike regressie gevind, nie ’n kosmetiese een nie. Vergelyk daardie resultaat met die vereistes wat in die eerste stap neergeskryf is, en onttrek die kring eers wanneer die eienaars van daardie toepassings die meting aanvaar. Daardie handtekening is wat ’n geslaagde toets in ’n aanvaarde migrasie omskep.