Што павінен захаваць пераход на VPN ад прыватнага канала

Прыватныя каналы лёгка апісаць і цяжка замяніць, бо кантракт ахопліваў не толькі кабель. Ён нёс пункт перадачы, план адрасоў, чаканне затрымкі і дамоўленасць аб падтрымцы, і тунель, які яго замяняе, атрымлівае ў спадчыну ўсе чатыры, незалежна ад таго, ці хтосьці іх запісаў. Пераходы правальваюцца, калі каманда капіюе канфігурацыю маршрутызацыі і называе астатняе эксплуатацыйнай праблемай. Пачніце з патрабаванняў, затым дакажыце кожнае на новым шляху, перш чым стары будзе адменены.

Ператварыце канал у спіс уласцівасцей

Першае пытанне — што старая паслуга насамрэч перадала: маршрутызаванае злучэнне з невялікай падсеткай ці сегмент узроўню 2, агучаны паміж пляцоўкамі. Гэта адрозненне вырашае, ці можа IP-тунель наогул яго ўзнавіць, бо тунель пераносіць пакеты паміж двума адрасамі і не пераносіць шырокавяшчальнае выяўленне ці адвольныя EtherTypes. Канал, які прадставіў сябе як порт камутатара, — гэта іншая міграцыя, чым канал, які прадставіў /30.

Запішыце прэфіксы пляцовак, адрасы шлюзаў, праграмы, якія ўбудоўваюць адрасы ў сваю канфігурацыю, і прэфіксы, якія перакрываюцца дзесьці іншым у асяроддзі. План адрасоў, які перажыве міграцыю, — гэта вынік праектавання, а не дапушчэнне. Гэтыя чатыры спісы пазней стануць крытэрыямі прыёмкі, таму трымайце іх там, дзе тэсціроўшчыкі змогуць іх прачытаць.

Пракладзіце новы шлях у абодва бакі

Тунель, які падняўся, — гэта толькі палова шляху. Далейшаму боку патрэбны маршрут назад да кожнага лакальнага прэфікса, а лакальнаму боку трэба аддаваць перавагу тунелю для гэтых прэфіксаў, не крадучы трафік, які павінен па-ранейшаму выходзіць праз інтэрнэт. Асіметрычная перадача — звычайны сімптом таго, што адна з гэтых палоў зроблена правільна. Агледзьце табліцу далейшага боку так жа ўважліва, як сваю, бо зваротны шлях — гэта той, які ніхто не наладзіў.

ip route get 10.20.0.10

Палітычная маршрутызацыя робіць падзел яўным: пазначце трафік, які належыць пары пляцовак, і дайце яму табліцу, у якой тунель з'яўляецца маршрутам па змаўчанні. IPsec забяспечвае абароненае аб'яднанне і палітыку, якая вырашае, што ў яго ўваходзіць, але не маршруты вакол яго, як архітэктура IPsec апісвае. Калі метка супадае занадта шырока, звычайны вэб-трафік з пляцоўкі таксама ўваходзіць у тунель і выходзіць праз няправільны выхад.

Пераключыцеся з адкатам, які вы ўжо праверылі

Два жывыя шляхі з рознымі ўласнікамі запрашаюць асіметрычную перадачу, таму падніміце новы ў межах вызначанага акна і перамяшчайце прэфіксы ў заяўленым парадку. Пакіньце стары канал наладжаным і пакіньце пазапалосны шлях кіравання, які не залежыць ні ад аднаго тунеля. Перамяшчайце па адным прэфіксе, дзе дазваляюць праграмы, і назірайце за табліцай сеансаў паміж перамяшчэннямі.

Зараней вырашыце, якія доказы дазваляюць пераключэнне і якая ўмова запускае адкат. Адкат, які патрабуе рамонту новага VPN праз зламанае злучэнне, — гэта не адкат. Сфармулюйце трыгер як вымяральную ўмову, а не як адчуванне ў пакоі.

Прыміце з тым трафікам, які канал насамрэч нёс

Ping даказвае дасягальнасць і мала што яшчэ. Праверце развязанне імёнаў, доўгія сеансы, адхіленыя патокі і памеры пакетаў, якія стары шлях апрацоўваў без фрагментацыі. MTU — гэта месца, дзе тунелі найчасцей адрозніваюцца ад канала, бо інкапсуляцыя спажывае байты, якія праграма лічыла даступнымі. Вымерайце найбольшую карысную нагрузку, якая праходзіць без фрагментацыі ў абодва бакі, а не толькі да сервера.

ping -M do -s 1400 -c 3 10.20.0.10

Калі нагрузка ў 1400 байт праходзіць, а 1472 не, то максімум шляху меншы, чым чакаюць праграмы, і вы знайшлі рэальную рэгрэсію, а не касметычную. Параўнайце гэты вынік з патрабаваннямі, запісанымі на першым кроку, і вывадзіце канал з эксплуатацыі толькі тады, калі ўласнікі гэтых праграм прымуць вымярэнне. Менавіта гэты подпіс ператварае паспяховы тэст у прынятую міграцыю.