Перанос адной падсеткі ў новы тунель VPN без прастою

Падніміце новы тунель, перанясіце адну падсетку, і гэтая падсетка цяпер час ад часу адмаўляе, хоць усё астатняе цалкам спраўнае. Напалову перанесеныя VPN адмаўляюць менавіта так, бо тунель ніколі не быў складанай часткай. Шлях уключае таксама тое, які маршрут перамагае, якія селектары супадаюць, што дазваляюць правілы доступу, як вяртаюцца адказы і які пераклад прымяніў стары дызайн. Перанясіце толькі тунель — і вы не перанеслі нічога з гэтага.

Тунель — гэта лёгкая палова шляху

Перапынкі пасля частковага пераносу звычайна азначаюць, што два шляхі абодва магчымыя. Некаторыя патокі выбіраюць новы тунель, некаторыя застаюцца на старым, і прылада, якая захоўвае стан, бачыць адказ, што прыходзіць па шляху, які запыт ніколі не выкарыстоўваў. Два шляхі не аўтаматычна бяспечнейшыя за адзін; гэта дзве рэчы, якія могуць разыходзіцца. Назірайце за справаздачамі аб дрыжанні, а не за лічыльнікамі тунеля, бо лічыльнікі будуць выглядаць здаровымі ўвесь час.

Карыснае першае пытанне — не які тунель лепей. Яно ў тым, якія патокі сёння выбіраюць які шлях і ці атрымліваюць запыт і адказ аднолькавы адказ.

Пабудуйце пункт прызначэння, перш чым аддаць яму перавагу

Пераканайцеся, што партнёры сумяшчальныя і што новы тунель нясе ахоп адрасоў, які вы маеце на ўвазе. Дадайце перасыланне і дазволы сэрвісаў, якія яму патрэбныя, пакуль ён яшчэ непрыярытэтны шлях, каб само пераключэнне змяняла толькі выбар і нічога больш.

Спытайце ўдалы бок, як ён будзе вяртаць трафік. Калі адказы ўсё яшчэ выходзяць праз стары тунель, новы лакальны маршрут стварае асіметрыю або не праходзіць фільтр, што захоўвае стан. Пераклад належыць у дызайн з той жа прычыны: зменены адрас крыніцы змяняе і шлях вяртання.

Пераключыце вузка і ведайце шлях назад

Назавіце дакладную падсетку і падтрыманы платформай механізм, які аддае перавагу яе новаму маршруту або селектару. Вызначэнні на аснове палітык не заўсёды паводзяць сябе як метрыкі маршрутаў, таму прачытайце правілы перакрыжаваных палітык вашай рэалізацыі, перш чым меркаваць, што перамагае больш дакладнае супадзенне.

Перанясіце адну падсетку, а не адзін сайт. Трымайце кіраванне на шляху, які вы не чапаеце, і запішыце адкат да таго, як нешта ўжывяце: які маршрут або палітыка вяртаецца, хто гэта робіць і як яны застаюцца на сувязі, пакуль робяць.

Асіметрыя і састарэлы стан

Брандмаўэры і прылады NAT запомнілі інтэрфейс, які выкарыстоўваў паток. Калі запыт і адказ ідуць рознымі тунелямі, прылада можа скінуць адказ, нават калі кожны шлях працуе сам па сабе. Тэстуйце патокам, які адкрыеце пасля змены, бо ўсталяваная сесія можа гадзінамі карыстацца старым шляхам.

Калі назіраны адрас крыніцы змяніўся, знайдзіце кожную палітыку, якая называе стары. Перанос, што ціха змяняе крыніцу, ламае правілы, якія ніхто не аднёс да дызайну VPN.

Давядзіце абодва адказы, затым адклічце старую палітыку

З звычайнага хоста ў перанесенай падсетцы дасягніце патрэбнага сэрвісу і праверце назіраную крыніцу і інтэрфейс адказу. Затым праверце сетку, якая павінна застацца на старым тунелі, бо перанос завершаны толькі тады, калі абодва адказы правільныя. Другі тэст — той, які людзі прапускаюць, і менавіта ён ловіць селектар шырэйшы, чым вы хацелі.

Адклічце састарэлую палітыку толькі тады, калі ад яе не залежыць ні адна падсетка, і запішыце канчатковы маршрут разам з яго ўладальнікам у інвентар селектараў. Завяршэнне — гэта не новы тунель, што дакладвае пра сябе; гэта кожная сетка, што ідзе сваім належным шляхам.