Какво трябва да запази преминаването към VPN от частна верига

Частните вериги се описват лесно и се заменят трудно, защото договорът покриваше повече от кабел. Той носеше точка на предаване, адресен план, очакване за закъснение и уговорка за поддръжка, а тунелът, който го замества, наследява и четирите, независимо дали някой ги е записал. Преминаванията се провалят, когато екипът копира конфигурацията на маршрутизацията и нарече останалото оперативен проблем. Започнете от изискванията, после докажете всяко едно по новия път, преди старият да бъде прекратен.

Превърнете веригата в списък от свойства

Първият въпрос е какво всъщност е предала старата услуга: маршрутизирана връзка с малка подмрежа или сегмент от ниво 2, споделен между площадките. Това разграничение решава дали IP тунел може изобщо да го възпроизведе, защото тунелът пренася пакети между два адреса и не пренася откриване чрез broadcast или произволни EtherTypes. Верига, която се е представила като порт на комутатор, е друга миграция от верига, която е представила /30.

Запишете префиксите на площадките, адресите на шлюзовете, приложенията, които вграждат адреси в собствената си конфигурация, и префиксите, които се застъпват някъде другаде в средата. Адресен план, който оцелее след миграцията, е резултат от проектиране, а не допускане. Тези четири списъка по-късно стават и критерии за приемане, затова ги дръжте там, където тестващите могат да ги прочетат.

Насочете новия път в двете посоки

Тунел, който се вдигне, е само половината път. Отсрещната страна се нуждае от маршрут обратно към всеки локален префикс, а локалната страна трябва да предпочита тунела за тези префикси, без да открадва трафик, който все още трябва да излиза през интернет. Асиметричното препращане е обичайният симптом, че една от тези половини е направена правилно. Прегледайте таблицата на отсрещната страна толкова внимателно, колкото своята, защото обратният път е този, който никой не е конфигурирал.

ip route get 10.20.0.10

Маршрутизацията по политика прави разделянето явно: маркирайте трафика, който принадлежи на двойката площадки, и му дайте таблица, в която по подразбиране е тунелът. IPsec осигурява защитената асоциация и политиката, която решава какво влиза в нея, но не и маршрутите около нея, както архитектурата на IPsec описва. Когато маркировката съвпада твърде широко, обикновеният уеб трафик от площадката също влиза в тунела и излиза през грешния изход.

Превключете с връщане назад, което вече сте тествали

Два живи пътя с различни собственици канят асиметрично препращане, затова вдигнете новия в рамките на определен прозорец и местете префиксите в обявен ред. Оставете старата верига конфигурирана и задръжте извънлентов път за управление, който не зависи от нито един от тунелите. Местете по един префикс, където приложенията позволяват, и наблюдавайте таблицата на сесиите между преместванията.

Решете предварително какви доказателства разрешават превключването и какво условие задейства връщането назад. Връщане назад, което изисква поправяне на новия VPN през провалената връзка, не е връщане назад. Формулирайте задействащото условие като измеримо условие, а не като усещане в стаята.

Приемете с трафика, който веригата всъщност е носила

Ping доказва достижимост и малко друго. Тествайте разрешаването на имена, дълготрайните сесии, отказаните потоци и размерите на пакетите, които старият път е обработвал без фрагментация. MTU е мястото, където тунелите най-често се различават от веригата, защото инкапсулацията изразходва байтове, които приложението е смятало за налични. Измерете най-големия полезен товар, който преминава без фрагментация в двете посоки, не само към сървъра.

ping -M do -s 1400 -c 3 10.20.0.10

Ако товар от 1400 байта преминава, а 1472 не, максимумът на пътя е по-малък от очакваното от приложенията и сте открили истинска регресия, а не козметична. Сравнете резултата с изискванията, записани в първата стъпка, и изведете веригата от експлоатация само когато собствениците на тези приложения приемат измерването. Именно този подпис превръща успешния тест в приета миграция.