Τι πρέπει να διατηρήσει μια μετάβαση σε VPN από ένα ιδιωτικό κύκλωμα

Τα ιδιωτικά κυκλώματα περιγράφονται εύκολα και αντικαθίστανται δύσκολα, γιατί το συμβόλαιο κάλυπτε περισσότερα από ένα καλώδιο. Μετέφερε μια παράδοση, ένα σχέδιο διευθύνσεων, μια προσδοκία καθυστέρησης και μια ρύθμιση υποστήριξης, και το τούνελ που το αντικαθιστά κληρονομεί και τα τέσσερα, είτε κάποιος τα έγραψε είτε όχι. Οι μεταβάσεις αποτυγχάνουν όταν η ομάδα αντιγράφει τη διαμόρφωση δρομολόγησης και αποκαλεί τα υπόλοιπα λειτουργικό πρόβλημα. Ξεκινήστε από τις απαιτήσεις και μετά αποδείξτε την καθεμία στη νέα διαδρομή πριν ακυρωθεί η παλιά.

Μετατρέψτε το κύκλωμα σε λίστα ιδιοτήτων

Το πρώτο ερώτημα είναι τι παρέδωσε στην πραγματικότητα η παλιά υπηρεσία: ένα δρομολογημένο ζεύγος με μικρό υποδίκτυο ή ένα τμήμα επιπέδου 2 που μοιράζονται οι τοποθεσίες. Αυτή η διάκριση καθορίζει αν ένα τούνελ IP μπορεί να το αναπαράγει καθόλου, γιατί το τούνελ μεταφέρει πακέτα μεταξύ δύο διευθύνσεων και δεν μεταφέρει ανακάλυψη μέσω broadcast ούτε αυθαίρετα EtherTypes. Ένα κύκλωμα που παρουσιάστηκε ως θύρα μεταγωγέα είναι άλλη μετάβαση από ένα που παρουσίασε /30.

Γράψτε τα προθέματα τοποθεσίας, τις διευθύνσεις πύλης, τις εφαρμογές που ενσωματώνουν διευθύνσεις στη δική τους διαμόρφωση και τα προθέματα που επικαλύπτονται κάπου αλλού στο περιβάλλον. Ένα σχέδιο διευθύνσεων που επιβιώνει της μετάβασης είναι αποτέλεσμα σχεδίασης, όχι υπόθεση. Αυτές οι τέσσερις λίστες γίνονται αργότερα και κριτήρια αποδοχής, οπότε κρατήστε τις εκεί όπου οι δοκιμαστές μπορούν να τις διαβάσουν.

Δρομολογήστε τη νέα διαδρομή και προς τις δύο κατευθύνσεις

Ένα τούνελ που σηκώνεται είναι μόνο μισή διαδρομή. Η απέναντι πλευρά χρειάζεται διαδρομή επιστροφής προς κάθε τοπικό πρόθεμα, και η τοπική πλευρά πρέπει να προτιμά το τούνελ για αυτά τα προθέματα χωρίς να κλέβει κίνηση που πρέπει να βγει από το διαδίκτυο. Η ασύμμετρη προώθηση είναι το συνηθισμένο σύμπτωμα του να γίνεται σωστά ένα από αυτά τα μισά. Ελέγξτε τον πίνακα της απέναντι πλευράς εξίσου προσεκτικά με τον δικό σας, γιατί η διαδρομή επιστροφής είναι αυτή που δεν διαμόρφωσε κανείς.

ip route get 10.20.0.10

Η δρομολόγηση βάσει πολιτικής κάνει τον διαχωρισμό ρητό: σημάνετε την κίνηση που ανήκει στο ζεύγος τοποθεσιών και δώστε της έναν πίνακα του οποίου η προεπιλογή είναι το τούνελ. Το IPsec παρέχει τη προστατευμένη συσχέτιση και την πολιτική που αποφασίζει τι μπαίνει σε αυτήν, αλλά όχι τις διαδρομές γύρω της, όπως τις περιγράφει η αρχιτεκτονική του IPsec στο πρότυπο. Όταν η σήμανση ταιριάζει πολύ ευρέως, η συνηθισμένη κίνηση ιστού από την τοποθεσία μπαίνει επίσης στο τούνελ και βγαίνει από τη λάθος έξοδο.

Αλλάξτε με επαναφορά που έχετε ήδη δοκιμάσει

Δύο ζωντανές διαδρομές με διαφορετικούς ιδιοκτήτες προσκαλούν ασύμμετρη προώθηση, οπότε ανεβάστε τη νέα μέσα σε καθορισμένο παράθυρο και μετακινήστε προθέματα με δηλωμένη σειρά. Κρατήστε το παλιό κύκλωμα διαμορφωμένο και κρατήστε μια διαδρομή διαχείρισης εκτός ζώνης που δεν εξαρτάται από κανένα από τα δύο τούνελ. Μετακινείτε ένα πρόθεμα τη φορά όπου το επιτρέπουν οι εφαρμογές και παρακολουθείτε τον πίνακα συνεδριών ανάμεσα στις μετακινήσεις.

Αποφασίστε εκ των προτέρων ποια στοιχεία εξουσιοδοτούν την αλλαγή και ποια συνθήκη πυροδοτεί την επαναφορά. Μια επαναφορά που απαιτεί επισκευή του νέου VPN μέσω της αποτυχημένης σύνδεσης δεν είναι επαναφορά. Διατυπώστε το έναυσμα ως μετρήσιμη συνθήκη και όχι ως αίσθηση στην αίθουσα.

Αποδεχτείτε με την κίνηση που μετέφερε πραγματικά το κύκλωμα

Το ping αποδεικνύει προσβασιμότητα και λίγα άλλα. Δοκιμάστε την επίλυση ονομάτων, τις μακρόβιες συνεδρίες, τις απορριφθείσες ροές και τα μεγέθη πακέτων που η παλιά διαδρομή χειριζόταν χωρίς κατάτμηση. Το MTU είναι εκεί όπου τα τούνελ διαφέρουν συχνότερα από ένα κύκλωμα, γιατί η ενθυλάκωση καταναλώνει byte που η εφαρμογή θεωρούσε διαθέσιμα. Μετρήστε το μεγαλύτερο ωφέλιμο φορτίο που περνά χωρίς κατάτμηση και στις δύο κατευθύνσεις, όχι μόνο προς τον διακομιστή.

ping -M do -s 1400 -c 3 10.20.0.10

Αν ένα ωφέλιμο φορτίο 1400 byte περνά και 1472 όχι, το μέγιστο της διαδρομής είναι μικρότερο από ό,τι περιμένουν οι εφαρμογές και βρήκατε πραγματική παλινδρόμηση, όχι καλλωπιστική. Συγκρίνετε το αποτέλεσμα με τις απαιτήσεις που γράφτηκαν στο πρώτο βήμα και αποσύρετε το κύκλωμα μόνο όταν οι ιδιοκτήτες αυτών των εφαρμογών αποδεχτούν τη μέτρηση. Αυτή η υπογραφή μετατρέπει μια επιτυχημένη δοκιμή σε αποδεκτή μετάβαση.