Was eine VPN-Migration von einer Standleitung bewahren muss

Standleitungen lassen sich leicht beschreiben und schwer ersetzen, denn der Vertrag deckte mehr als ein Kabel. Er trug eine Übergabe, einen Adressplan, eine Latenzerwartung und eine Supportvereinbarung, und der Tunnel, der sie ersetzt, erbt alle vier, ob jemand sie aufgeschrieben hat oder nicht. Migrationen scheitern, wenn das Team die Routing-Konfiguration kopiert und den Rest zum Betriebsproblem erklärt. Beginnen Sie mit den Anforderungen und weisen Sie dann jede einzelne auf dem neuen Pfad nach, bevor der alte gekündigt wird.

Machen Sie aus der Leitung eine Liste von Eigenschaften

Die erste Frage ist, was der alte Dienst tatsächlich übergeben hat: eine geroutete Strecke mit kleinem Subnetz oder ein Layer-2-Segment, das sich Standorte teilen. Diese Unterscheidung entscheidet, ob ein IP-Tunnel sie überhaupt nachbilden kann, denn ein Tunnel befördert Pakete zwischen zwei Adressen und trägt weder Broadcast-Erkennung noch beliebige EtherTypes. Eine Leitung, die sich als Switch-Port präsentierte, ist eine andere Migration als eine, die ein /30 präsentierte.

Notieren Sie die Standortpräfixe, die Gateway-Adressen, die Anwendungen, die Adressen in ihrer eigenen Konfiguration einbetten, und die Präfixe, die sich anderswo in der Umgebung überschneiden. Ein Adressplan, der die Migration übersteht, ist ein Design-Ergebnis, keine Annahme. Diese vier Listen werden später auch zu Abnahmekriterien, halten Sie sie also dort, wo die Tester sie lesen können.

Routen Sie den neuen Pfad in beide Richtungen

Ein Tunnel, der hochkommt, ist nur ein halber Pfad. Die Gegenseite braucht eine Route zurück zu jedem lokalen Präfix, und die lokale Seite muss den Tunnel für diese Präfixe bevorzugen, ohne Verkehr zu stehlen, der weiterhin über das Internet hinausgehen soll. Asymmetrische Weiterleitung ist das übliche Symptom dafür, dass eine dieser Hälften stimmt. Prüfen Sie die Tabelle der Gegenseite so sorgfältig wie Ihre eigene, denn der Rückweg ist der, den niemand konfiguriert hat.

ip route get 10.20.0.10

Policy-Routing macht die Aufteilung explizit: Markieren Sie den Verkehr, der zum Standortpaar gehört, und geben Sie ihm eine Tabelle, deren Standard der Tunnel ist. IPsec liefert die geschützte Assoziation und die Richtlinie, die entscheidet, was in sie hineinkommt, aber nicht die Routen darum herum, wie die IPsec-Architektur beschreibt. Wenn die Markierung zu breit passt, gelangt auch gewöhnlicher Webverkehr des Standorts in den Tunnel und verlässt ihn über den falschen Ausgang.

Wechseln Sie mit einem Rollback, den Sie bereits getestet haben

Zwei lebende Pfade mit unterschiedlichen Verantwortlichen laden zu asymmetrischer Weiterleitung ein, bringen Sie den neuen deshalb innerhalb eines definierten Fensters hoch und verschieben Sie Präfixe in einer angekündigten Reihenfolge. Lassen Sie die alte Leitung konfiguriert und halten Sie einen Out-of-Band-Managementpfad, der von keinem der beiden Tunnel abhängt. Verschieben Sie jeweils ein Präfix, wo die Anwendungen es zulassen, und beobachten Sie die Sitzungstabelle zwischen den Verschiebungen.

Entscheiden Sie vorab, welche Nachweise den Wechsel autorisieren und welche Bedingung den Rollback auslöst. Ein Rollback, der die Reparatur des neuen VPN über die ausgefallene Verbindung verlangt, ist kein Rollback. Formulieren Sie den Auslöser als messbare Bedingung und nicht als Gefühl im Raum.

Nehmen Sie mit dem Verkehr ab, den die Leitung tatsächlich trug

Ping beweist Erreichbarkeit und wenig mehr. Testen Sie Namensauflösung, die langlebigen Sitzungen, die abgelehnten Flüsse und die Paketgrößen, die der alte Pfad ohne Fragmentierung bewältigte. MTU ist der Punkt, an dem Tunnel sich am häufigsten von einer Leitung unterscheiden, weil Kapselung Bytes verbraucht, die die Anwendung als verfügbar annahm. Messen Sie die größte Nutzlast, die ohne Fragmentierung in beide Richtungen durchgeht, nicht nur zum Server.

ping -M do -s 1400 -c 3 10.20.0.10

Wenn eine Nutzlast von 1400 Byte durchgeht und 1472 nicht, ist das Pfadmaximum kleiner, als die Anwendungen erwarten, und Sie haben eine echte Regression gefunden, keine kosmetische. Vergleichen Sie das Ergebnis mit den im ersten Schritt notierten Anforderungen und ziehen Sie die Leitung erst ab, wenn die Verantwortlichen dieser Anwendungen die Messung akzeptieren. Diese Signatur macht aus einem erfolgreichen Test eine abgenommene Migration.