ما الذي يجب أن يحافظ عليه الانتقال إلى VPN من دائرة خاصة

يسهل وصف الدوائر الخاصة ويصعب استبدالها، لأن العقد كان يغطي أكثر من كبل. كان يحمل نقطة تسليم وخطة عناوين وتوقعاً لزمن الاستجابة وترتيباً للدعم، والنفق الذي يحل محله يرث الأربعة جميعاً سواء كتبها أحد أم لا. تفشل عمليات الانتقال عندما تنسخ الفرقة إعدادات التوجيه وتصف الباقي بأنه مشكلة تشغيلية. ابدأ من المتطلبات، ثم أثبت كل واحد منها على المسار الجديد قبل إلغاء القديم.

حوّل الدائرة إلى قائمة من الخصائص

السؤال الأول هو ما الذي سلّمته الخدمة القديمة فعلاً: وصلة موجّهة بشبكة فرعية صغيرة، أم مقطع من الطبقة 2 مشترك بين المواقع. هذا التمييز يحدد ما إذا كان نفق IP قادراً على إعادة إنتاجه أصلاً، لأن النفق ينقل الحزم بين عنوانين ولا ينقل اكتشاف البث أو أنواع EtherTypes الاعتباطية. الدائرة التي قدّمت نفسها كمنفذ محوّل هي ترحيل مختلف عن دائرة قدّمت /30.

اكتب بادئات الموقع، وعناوين البوابات، والتطبيقات التي تضمّن العناوين في إعداداتها، والبادئات التي تتداخل في مكان آخر من البيئة. خطة العناوين التي تصمد بعد الترحيل هي ناتج تصميم، لا افتراض. تلك القوائم الأربع تصبح أيضاً معايير القبول لاحقاً، فاحفظها حيث يستطيع المختبرون قراءتها.

وجّه المسار الجديد في الاتجاهين

النفق الذي يعمل ليس إلا نصف مسار. يحتاج الطرف البعيد إلى مسار عودة إلى كل بادئة محلية، ويحتاج الطرف المحلي إلى تفضيل النفق لتلك البادئات دون سرقة حركة يجب أن تخرج عبر الإنترنت. إعادة التوجيه غير المتماثلة هي العَرَض المعتاد عند إنجاز أحد هذين النصفين بشكل صحيح. افحص جدول الطرف البعيد بالعناية نفسها التي تفحص بها جدولك، لأن مسار العودة هو الذي لم يضبطه أحد.

ip route get 10.20.0.10

التوجيه القائم على السياسة يجعل الانقسام صريحاً: ضع علامة على الحركة التي تنتمي إلى زوج الموقعين وأعطها جدولاً يكون النفق مساره الافتراضي. يوفّر IPsec الارتباط المحمي إلى جانب السياسة التي تحدد ما يدخل إليه، لكنه لا يوفّر المسارات من حوله، كما توضح بنية IPsec ذلك. عندما تكون العلامة واسعة جداً، تدخل حركة الويب العادية من الموقع إلى النفق أيضاً وتخرج عبر المخرج الخطأ.

بدّل مع خطة تراجع سبق أن اختبرتها

مساران حيّان بمالكين مختلفين يستدعيان إعادة توجيه غير متماثلة، لذا شغّل الجديد داخل نافذة محددة وانقل البادئات بترتيب معلن. أبقِ الدائرة القديمة مهيأة وأبقِ مسار إدارة خارج النطاق لا يعتمد على أي من النفقين. انقل بادئة واحدة في كل مرة حيث تسمح التطبيقات بذلك، وراقب جدول الجلسات بين النقلات.

قرّر مسبقاً أي الأدلة يخوّل التبديل وأي شرط يستدعي التراجع. التراجع الذي يتطلب إصلاح VPN الجديد عبر الاتصال الفاشل ليس تراجعاً. صِغ الشرط كحالة قابلة للقياس لا كإحساس في الغرفة.

اقبل النفق بالحركة التي كانت الدائرة تحملها فعلاً

يثبت Ping إمكانية الوصول وقليلاً غير ذلك. اختبر تحليل الأسماء، والجلسات الطويلة العمر، والتدفقات المرفوضة، وأحجام الحزم التي كانت تعالجها الطريقة القديمة دون تجزئة. MTU هو الموضع الذي تختلف فيه الأنفاق عن الدائرة أكثر من غيره، لأن التغليف يستهلك بايتات افترض التطبيق توفرها. قِس أكبر حِمل يمر دون تجزئة في الاتجاهين، لا نحو الخادم فقط.

ping -M do -s 1400 -c 3 10.20.0.10

إذا مرّ حِمل من 1400 بايت وفشل 1472، فالحد الأقصى للمسار أصغر مما تتوقعه التطبيقات، وقد وجدت انحداراً حقيقياً لا شكلياً. قارن تلك النتيجة بالمتطلبات المكتوبة في الخطوة الأولى، ولا تُخرج الدائرة من الخدمة إلا عندما يقبل أصحاب تلك التطبيقات القياس. هذا التوقيع هو ما يحوّل اختباراً ناجحاً إلى ترحيل مقبول.