Migrace jedné podsítě na nový tunel VPN bez výpadku

Zvedněte nový tunel, přesuňte jednu podsíť a ta podsíť teď občas selhává, zatímco všechno ostatní je naprosto v pořádku. Napůl migrované VPN selhávají přesně takhle, protože tunel nikdy nebyl ta těžká část. Cesta zahrnuje i to, která trasa vyhraje, které selektory odpovídají, co pravidla přístupu dovolí, jak se vracejí odpovědi a jaký překlad starý návrh uplatňoval. Přesuňte jen tunel a nepřesunuli jste nic z toho.

Tunel je snadná polovina cesty

Občasná selhání po částečné migraci obvykle znamenají, že obě cesty jsou možné. Některé toky volí nový tunel, jiné zůstávají u starého a zařízení, které si pamatuje stav, pak vidí odpověď přicházet po cestě, kterou požadavek nikdy nepoužil. Dvě cesty nejsou automaticky bezpečnější než jedna; jsou to dvě věci, které se mohou rozcházet. Sledujte zprávy o kmitání, ne počítadla tunelu, protože počítadla budou celou dobu vypadat zdravě.

Užitečná první otázka není, který tunel je lepší. Je to, které toky dnes volí kterou cestu a zda požadavek i odpověď dostanou stejnou odpověď.

Postavte cíl dřív, než mu dáte přednost

Ověřte, že partneři jsou kompatibilní a že nový tunel nese rozsah adres, který zamýšlíte. Přidejte přesměrování a oprávnění služeb, která potřebuje, dokud je ještě nepreferovanou cestou, aby samotné přepnutí měnilo jen volbu a nic jiného.

Zeptejte se vzdáleného webu, jak bude vracet provoz. Pokud odpovědi stále odcházejí starým tunelem, nová místní trasa vytváří asymetrii nebo neprojde filtrem, který si pamatuje stav. Překlad patří do návrhu ze stejného důvodu: změněná zdrojová adresa mění i cestu zpět.

Přepněte úzce a vězte, kudy zpět

Pojmenujte přesnou podsíť a platformou podporovaný mechanismus, který upřednostňuje její novou trasu nebo selektor. Definice založené na zásadách se nechovají vždy jako metriky tras, proto předpokládejte, že vyhraje konkrétnější shoda, až po přečtení pravidel pro překrývající se zásady ve vaší implementaci.

Přesuňte jednu podsíť, ne jeden web. Nechte správu na cestě, které se nedotýkáte, a napište návrat dřív, než cokoli použijete: která trasa nebo zásada se vrátí, kdo to udělá a jak zůstanou připojení, když to dělají.

Asymetrie a zastaralý stav

Firewally a zařízení NAT si pamatují rozhraní, které tok použil. Když požadavek a odpověď jdou různými tunely, zařízení může odpověď zahodit, i když každá cesta funguje sama o sobě. Testujte tokem, který otevřete po změně, protože navázaná relace může starou cestu používat hodiny.

Pokud se sledovaná zdrojová adresa pohnula, najděte každou zásadu, která jmenuje tu starou. Migrace, která tiše změní zdroj, rozbíjí pravidla, která nikdo nezařadil do návrhu VPN.

Dokažte obě odpovědi a pak zrušte starou zásadu

Z běžného hostitele v migrované podsíti dosáhněte zamýšlené služby a zkontrolujte sledovaný zdroj a rozhraní odpovědi. Pak otestujte síť, která má zůstat na starém tunelu, protože migrace je hotová jen tehdy, když jsou obě odpovědi správné. Druhý test je ten, který lidé vynechávají, a právě on zachytí selektor širší, než jste chtěli.

Zrušte zastaralou zásadu až tehdy, když na ní nezávisí žádná zbývající podsíť, a zapište konečnou trasu s jejím vlastníkem do inventáře selektorů. Dokončení není to, že nový tunel hlásí, že je nahoře; je to každá síť, která jde svou zamýšlenou cestou.