Прехвърляне на една подмрежа към нов VPN тунел без прекъсване

Вдигнете новия тунел, преместете една подмрежа и тази подмрежа вече отказва на пресекулки, докато всичко останало е напълно наред. Наполовина прехвърлените VPN мрежи се провалят точно така, защото тунелът никога не е бил трудната част. Пътят включва също кой маршрут печели, кои селектори съвпадат, какво позволяват правилата за достъп, как се връщат отговорите и всяко преобразуване, което старият дизайн е прилагал. Преместете само тунела и не сте преместили нищо от това.

Тунелът е лесната половина от пътя

Прекъсванията след частично прехвърляне обикновено означават, че два пътя са едновременно възможни. Някои потоци избират новия тунел, други остават на стария, и устройство, което помни състояние, вижда отговор, пристигащ по път, който заявката никога не е използвала. Два пътя не са автоматично по-безопасни от един; те са две неща, които могат да се разминават. Гледайте отчетите за разклащане, а не броячите на тунела, защото броячите ще изглеждат здрави през цялото време.

Полезният първи въпрос не е кой тунел е по-добър. А кой потоци избират кой път днес и дали заявката и отговорът получават един и същ отговор.

Изградете дестинацията, преди да я предпочетете

Потвърдете, че партньорите са съвместими и че новият тунел носи обхвата от адреси, който възнамерявате. Добавете препращането и разрешенията за услуги, които му трябват, докато той е още непреферираният път, така че самото превключване да променя само избора и нищо друго.

Попитайте отдалечения сайт как ще връща трафика. Ако отговорите все още излизат през стария тунел, нов локален маршрут създава асиметрия или не минава през филтър, който помни състояние. Преобразуването принадлежи в дизайна по същата причина: промененият адрес на източника променя и пътя на връщане.

Превключете тясно и знайте пътя назад

Назовете точната подмрежа и поддържания от платформата механизъм, който предпочита новия ѝ маршрут или селектор. Дефинициите на база политики не винаги се държат като метрики на маршрути, затова прочетете правилата за припокриващи се политики във вашата реализация, преди да приемете, че по-конкретното съвпадение печели.

Преместете една подмрежа, не един сайт. Дръжте управлението на път, който не пипате, и запишете връщането назад, преди да приложите каквото и да е: кой маршрут или политика се връща, кой го прави и как остават свързани, докато го правят.

Асиметрия и застояло състояние

Защитните стени и устройствата за NAT помнят интерфейса, който потокът е използвал. Когато заявката и отговорът минават през различни тунели, устройството може да изхвърли отговора, дори всеки път да работи сам по себе си. Тествайте с поток, който отваряте след промяната, защото установена сесия може да продължи да използва стария път с часове.

Ако наблюдаваният адрес на източника се е преместил, намерете всяка политика, която назовава стария. Прехвърляне, което тихо сменя източника, чупи правила, които никой не е класифицирал като част от VPN дизайна.

Докажете и двата отговора, после оттеглете старата политика

От обикновен хост в прехвърлената подмрежа достигнете до желаната услуга и проверете наблюдавания източник и интерфейса на отговора. После тествайте мрежа, която трябва да остане на стария тунел, защото прехвърлянето е готово само когато и двата отговора са верни. Вторият тест е този, който хората пропускат, и той хваща селектор, по-широк от предвиденото.

Оттеглете остарялата политика само когато нито една останала подмрежа не зависи от нея, и запишете крайния маршрут с неговия собственик в описа на селекторите. Завършването не е новият тунел да докладва, че е вдигнат; то е всяка мрежа да следва своя път.