Co musí přechod na VPN zachovat z privátního okruhu

Privátní okruhy se snadno popisují a těžko nahrazují, protože smlouva pokrývala víc než kabel. Nesl předání, adresní plán, očekávané zpoždění a dohodu o podpoře a tunel, který ho nahrazuje, dědí všechny čtyři, ať je někdo zapsal, nebo ne. Přechody selhávají, když tým zkopíruje konfiguraci směrování a zbytek nazve provozním problémem. Začněte od požadavků a pak každý dokažte na nové cestě, než bude stará zrušena.

Přeměňte okruh na seznam vlastností

První otázka je, co stará služba skutečně předala: směrovaný spoj s malou podsítí, nebo segment vrstvy 2 sdílený mezi lokalitami. Toto rozlišení rozhoduje, zda to IP tunel vůbec dokáže reprodukovat, protože tunel přenáší pakety mezi dvěma adresami a nepřenáší broadcastové objevování ani libovolné EtherTypes. Okruh, který se představil jako port přepínače, je jiná migrace než okruh, který představil /30.

Zapište prefixy lokalit, adresy bran, aplikace, které vkládají adresy do vlastní konfigurace, a prefixy, které se někde jinde v prostředí překrývají. Adresní plán, který migraci přežije, je výstup návrhu, ne předpoklad. Tyto čtyři seznamy se později stanou akceptačními kritérii, proto je držte tam, kde je testeři mohou číst.

Nasměrujte novou cestu oběma směry

Tunel, který se zvedne, je jen polovina cesty. Vzdálená strana potřebuje trasu zpět ke každému místnímu prefixu a místní strana musí pro tyto prefixy upřednostnit tunel, aniž by ukradla provoz, který má stále odcházet přes internet. Asymetrické předávání je obvyklým příznakem toho, že jedna z těchto polovin je udělaná správně. Prohlédněte si tabulku vzdálené strany stejně pečlivě jako svou, protože zpětná cesta je ta, kterou nikdo nenakonfiguroval.

ip route get 10.20.0.10

Směrování podle politiky činí rozdělení explicitním: označte provoz, který patří dvojici lokalit, a dejte mu tabulku, jejímž výchozím bodem je tunel. IPsec dodává chráněnou asociaci a politiku, která rozhoduje, co do ní vstoupí, ale ne trasy kolem ní, jak architektura IPsec popisuje. Když se značka shoduje příliš široce, běžný webový provoz z lokality také vstoupí do tunelu a odejde špatným výstupem.

Přepněte s návratem, který jste už otestovali

Dvě živé cesty s různými vlastníky zvou k asymetrickému předávání, proto novou zprovozněte v rámci definovaného okna a přesouvejte prefixy v oznámeném pořadí. Ponechte starý okruh nakonfigurovaný a zachovejte mimosíťovou cestu správy, která nezávisí na žádném z tunelů. Přesouvejte po jednom prefixu tam, kde to aplikace dovolí, a mezi přesuny sledujte tabulku relací.

Předem rozhodněte, jaké důkazy přepnutí povolují a jaká podmínka spustí návrat. Návrat, který vyžaduje opravit nové VPN přes selhané spojení, není návrat. Uveďte spouštěč jako měřitelnou podmínku, nikoli jako pocit v místnosti.

Přijměte s provozem, který okruh skutečně nesl

Ping dokazuje dostupnost a málo co jiného. Otestujte překlad jmen, dlouhotrvající relace, odmítnuté toky a velikosti paketů, které stará cesta zvládala bez fragmentace. MTU je místo, kde se tunely nejčastěji liší od okruhu, protože zapouzdření spotřebovává bajty, které aplikace považovala za dostupné. Změřte největší užitečné zatížení, které projde bez fragmentace v obou směrech, ne jen k serveru.

ping -M do -s 1400 -c 3 10.20.0.10

Pokud projde zátěž 1400 bajtů a 1472 ne, maximum cesty je menší, než aplikace očekávají, a našli jste skutečnou regresi, ne kosmetickou. Porovnejte výsledek s požadavky zapsanými v prvním kroku a okruh vyřaďte teprve tehdy, až vlastníci těchto aplikací měření přijmou. Právě tento podpis promění úspěšný test v přijatou migraci.