Šta prelaz na VPN mora sačuvati od privatnog voda

Privatne vodove je lako opisati i teško zamijeniti, jer je ugovor pokrivao više od kabela. Nosio je predaju, adresni plan, očekivanje kašnjenja i dogovor o podršci, a tunel koji ga zamjenjuje nasljeđuje sva četiri, bez obzira na to da li ih je iko zapisao. Prelazi propadaju kada tim kopira konfiguraciju rutiranja i ostatak nazove operativnim problemom. Pođite od zahtjeva, pa dokažite svaki na novom putu prije nego stari bude ukinut.

Pretvorite vod u spisak svojstava

Prvo pitanje je šta je stara usluga zaista predala: rutiranu vezu s malom podmrežom ili segment sloja 2 koji dijele lokacije. Ta razlika odlučuje može li IP tunel to uopće reprodukovati, jer tunel prenosi pakete između dvije adrese i ne prenosi broadcast otkrivanje ni proizvoljne EtherTypes. Vod koji se predstavio kao port prekidača je druga migracija od voda koji je predstavio /30.

Zapišite prefikse lokacija, adrese pristupnika, aplikacije koje ugrađuju adrese u vlastitu konfiguraciju i prefikse koji se preklapaju negdje drugdje u okruženju. Adresni plan koji preživi migraciju je rezultat projektovanja, a ne pretpostavka. Te četiri liste kasnije postaju i kriteriji prihvatanja, pa ih držite tamo gdje ih testeri mogu pročitati.

Usmjerite novi put u oba smjera

Tunel koji se podigne je samo pola puta. Drugoj strani treba ruta natrag do svakog lokalnog prefiksa, a lokalna strana mora preferirati tunel za te prefikse bez otimanja saobraćaja koji i dalje treba izlaziti kroz internet. Asimetrično prosljeđivanje je uobičajen simptom da je jedna od tih polovica urađena kako treba. Pregledajte tablicu druge strane jednako pažljivo kao svoju, jer povratni put je onaj koji niko nije konfigurisao.

ip route get 10.20.0.10

Rutiranje po politici čini podjelu eksplicitnom: označite saobraćaj koji pripada paru lokacija i dajte mu tablicu čiji je zadani izlaz tunel. IPsec pruža zaštićenu asocijaciju i politiku koja odlučuje šta u nju ulazi, ali ne i rute oko nje, kako arhitektura IPsec-a opisuje. Kada se oznaka podudara preširoko, običan web saobraćaj s lokacije također ulazi u tunel i izlazi kroz pogrešan izlaz.

Prebacite se s vraćanjem koje ste već testirali

Dva živa puta s različitim vlasnicima pozivaju asimetrično prosljeđivanje, pa podignite novi unutar definisanog prozora i premještajte prefikse u objavljenom redu. Ostavite stari vod konfigurisan i zadržite vanpojasni put upravljanja koji ne zavisi ni od jednog tunela. Premještajte po jedan prefiks gdje aplikacije dozvoljavaju i gledajte tablicu sesija između premještanja.

Unaprijed odlučite koji dokazi odobravaju prebacivanje i koji uslov pokreće vraćanje. Vraćanje koje zahtijeva popravku novog VPN-a kroz neuspjelu vezu nije vraćanje. Navedite okidač kao mjerljiv uslov, a ne kao osjećaj u sobi.

Prihvatite sa saobraćajem koji je vod zaista nosio

Ping dokazuje dostupnost i malo šta drugo. Testirajte razrješavanje imena, dugotrajne sesije, odbijene tokove i veličine paketa koje je stari put obrađivao bez fragmentacije. MTU je mjesto gdje se tuneli najčešće razlikuju od voda, jer inkapsulacija troši bajtove koje je aplikacija pretpostavljala kao dostupne. Izmjerite najveći korisni teret koji prolazi bez fragmentacije u oba smjera, ne samo prema serveru.

ping -M do -s 1400 -c 3 10.20.0.10

Ako teret od 1400 bajtova prolazi, a 1472 ne, maksimum puta je manji od onoga što aplikacije očekuju i našli ste stvarnu regresiju, a ne kozmetičku. Uporedite taj rezultat sa zahtjevima zapisanim u prvom koraku i ukinite vod tek kada vlasnici tih aplikacija prihvate mjerenje. Taj potpis je ono što uspješan test pretvara u prihvaćenu migraciju.