Hvad en VPN-overgang skal bevare fra et privat kredsløb

Private kredsløb er nemme at beskrive og svære at erstatte, fordi kontrakten dækkede mere end et kabel. Det bar en overdragelse, en adresseplan, en forventning om latenstid og en supportaftale, og den tunnel, der erstatter det, arver alle fire, uanset om nogen skrev dem ned. Overgange fejler, når teamet kopierer rutekonfigurationen og kalder resten et driftsproblem. Start med kravene, og bevis derefter hvert enkelt på den nye vej, før den gamle opsiges.

Gør kredsløbet til en liste af egenskaber

Det første spørgsmål er, hvad den gamle tjeneste faktisk overdrog: et routet link med et lille subnet eller et lag 2-segment, der deles mellem lokationer. Den forskel afgør, om en IP-tunnel overhovedet kan genskabe det, fordi en tunnel bærer pakker mellem to adresser og ikke bærer broadcast-opdagelse eller vilkårlige EtherTypes. Et kredsløb, der præsenterede sig som en switchport, er en anden migrering end et, der præsenterede et /30.

Skriv lokationernes præfikser ned, gateway-adresserne, de applikationer, der indlejrer adresser i deres egen konfiguration, og de præfikser, der overlapper et andet sted i miljøet. En adresseplan, der overlever migreringen, er et designresultat, ikke en antagelse. De fire lister bliver også acceptkriterier senere, så opbevar dem, hvor testerne kan læse dem.

Rut den nye vej i begge retninger

En tunnel, der kommer op, er kun en halv vej. Den fjerne side skal have en rute tilbage til hvert lokalt præfiks, og den lokale side skal foretrække tunnelen for de præfikser uden at stjæle trafik, der stadig skal ud gennem internettet. Asymmetrisk videresendelse er det sædvanlige symptom på at få en af de halvdele rigtigt. Undersøg den fjerne sides tabel lige så omhyggeligt som din egen, fordi returvejen er den, ingen konfigurerede.

ip route get 10.20.0.10

Policy routing gør opdelingen eksplicit: markér den trafik, der hører til lokationsparret, og giv den en tabel, hvis standard er tunnelen. IPsec leverer den beskyttede association og den politik, der afgør, hvad der kommer ind i den, men ikke ruterne omkring den, som IPsec-arkitekturen beskriver. Når mærket matcher for bredt, går almindelig webtrafik fra lokationen også ind i tunnelen og forlader den gennem den forkerte udgang.

Skift med en tilbagerulning, du allerede har testet

To levende veje med forskellige ejere inviterer til asymmetrisk videresendelse, så bring den nye op inden for et defineret vindue, og flyt præfikser i en angivet rækkefølge. Hold det gamle kredsløb konfigureret, og hold en out-of-band-administrationsvej, der ikke afhænger af nogen af tunnelerne. Flyt ét præfiks ad gangen, hvor applikationerne tillader det, og hold øje med sessionstabellen mellem flytningerne.

Beslut på forhånd, hvilke beviser der autoriserer skiftet, og hvilken betingelse der udløser tilbagerulningen. En tilbagerulning, der kræver, at den nye VPN repareres gennem den fejlede forbindelse, er ikke en tilbagerulning. Angiv udløseren som en målbar betingelse i stedet for som en fornemmelse i lokalet.

Acceptér med den trafik, kredsløbet faktisk bar

Ping beviser nåbarhed og lidt andet. Test navneopløsning, de langvarige sessioner, de afviste flows og de pakkestørrelser, den gamle vej klarede uden fragmentering. MTU er der, hvor tunneler oftest adskiller sig fra et kredsløb, fordi indkapsling bruger bytes, som applikationen antog var tilgængelige. Mål den største nyttelast, der passerer uden fragmentering i begge retninger, ikke kun mod serveren.

ping -M do -s 1400 -c 3 10.20.0.10

Hvis en nyttelast på 1400 bytes passerer, og 1472 ikke gør, er vejens maksimum mindre, end applikationerne forventer, og du har fundet en reel regression, ikke en kosmetisk. Sammenlign resultatet med kravene skrevet i første trin, og nedlæg kun kredsløbet, når ejerne af disse applikationer accepterer målingen. Den signatur er det, der gør en vellykket test til en accepteret migrering.