Què ha de preservar una migració a VPN d'un circuit privat

Els circuits privats són fàcils de descriure i difícils de substituir, perquè el contracte cobria més que un cable. Portava un lliurament, un pla d'adreces, una expectativa de latència i un acord de suport, i el túnel que el substitueix n'hereta els quatre, tant si algú els va escriure com si no. Les migracions fallen quan l'equip copia la configuració d'encaminament i anomena la resta un problema d'operacions. Comenceu pels requisits i després demostreu cadascun al camí nou abans que es cancel·li el vell.

Convertiu el circuit en una llista de propietats

La primera pregunta és què va lliurar realment el servei antic: un enllaç encaminat amb una subxarxa petita o un segment de capa 2 compartit entre seus. Aquesta distinció decideix si un túnel IP el pot reproduir, perquè un túnel transporta paquets entre dues adreces i no transporta descobriment per broadcast ni EtherTypes arbitraris. Un circuit que es presentava com un port de commutador és una migració diferent d'un que presentava una /30.

Escriviu els prefixos de les seus, les adreces de porta d'enllaç, les aplicacions que incrusten adreces a la seva pròpia configuració i els prefixos que se solapen en algun altre lloc de l'entorn. Un pla d'adreces que sobreviu a la migració és un resultat de disseny, no una suposició. Aquestes quatre llistes també es converteixen més endavant en els criteris d'acceptació, així que guardeu-les on els provadors les puguin llegir.

Encamineu el camí nou en tots dos sentits

Un túnel que s'aixeca és només mig camí. El costat remot necessita una ruta de tornada a cada prefix local, i el costat local ha de preferir el túnel per a aquests prefixos sense robar trànsit que encara ha de sortir per internet. L'encaminament asimètric és el símptoma habitual d'encertar una d'aquestes meitats. Reviseu la taula del costat remot amb la mateixa cura que la vostra, perquè la ruta de tornada és la que ningú no ha configurat.

ip route get 10.20.0.10

L'encaminament per política fa explícita la divisió: marqueu el trànsit que pertany al parell de seus i doneu-li una taula el valor per defecte de la qual és el túnel. IPsec forneix l'associació protegida i la política que decideix què hi entra, però no les rutes del seu voltant, com l'arquitectura IPsec descriu. Quan la marca coincideix massa àmpliament, el trànsit web ordinari de la seu també entra al túnel i surt per la sortida equivocada.

Canvieu amb una reversió que ja hàgiu provat

Dos camins vius amb propietaris diferents conviden a l'encaminament asimètric, així que poseu el nou en marxa dins d'una finestra definida i moveu els prefixos en un ordre declarat. Manteniu el circuit vell configurat i conserveu una via de gestió fora de banda que no depengui de cap dels dos túnels. Moveu un prefix alhora on les aplicacions ho permetin i observeu la taula de sessions entre moviments.

Decidiu per endavant quines proves autoritzen el canvi i quina condició desencadena la reversió. Una reversió que requereix reparar el VPN nou a través de la connexió fallida no és una reversió. Enuncieu el desencadenant com una condició mesurable i no com una sensació a la sala.

Accepteu amb el trànsit que el circuit portava realment

Ping demostra abastabilitat i poca cosa més. Proveu la resolució de noms, les sessions de llarga durada, els fluxos denegats i les mides de paquet que el camí vell gestionava sense fragmentació. L'MTU és on els túnels més sovint difereixen d'un circuit, perquè l'encapsulament consumeix bytes que l'aplicació donava per disponibles. Mesureu la càrrega útil més gran que passa sense fragmentació en tots dos sentits, no només cap al servidor.

ping -M do -s 1400 -c 3 10.20.0.10

Si una càrrega de 1400 bytes passa i 1472 no, el màxim del camí és més petit del que les aplicacions esperen i heu trobat una regressió real, no cosmètica. Compareu aquest resultat amb els requisits escrits al primer pas i retireu el circuit només quan els propietaris d'aquestes aplicacions acceptin la mesura. Aquesta signatura és el que converteix una prova reeixida en una migració acceptada.