Kion VPN-transiro devas konservi el privata cirkvito

Privataj cirkvitoj facile priskribeblas kaj malfacile anstataŭigeblas, ĉar la kontrakto kovris pli ol kablon. Ĝi portis transdonon, adresplanon, atendon pri kaŝanco kaj subteninterkonsenton, kaj la tunelo, kiu anstataŭas ĝin, heredas ĉiujn kvar, ĉu iu skribis ilin aŭ ne. Transiroj malsukcesas, kiam la teamo kopias la enkursigan agordon kaj nomas la reston operacia problemo. Komencu de la postuloj, poste pruvu ĉiun sur la nova vojo antaŭ ol la malnova estos nuligita.

Turnu la cirkviton en liston de ecoj

La unua demando estas, kion la malnova servo efektive transdonis: enkursigitan ligon kun malgranda subreto, aŭ tavolon 2-segmenton dividatan inter ejoj. Tiu distingo decidas, ĉu IP-tunelo entute povas reprodukti ĝin, ĉar tunelo portas pakaĵojn inter du adresoj kaj ne portas dissendan malkovron nek arbitrajn EtherTypes. Cirkvito, kiu prezentis sin kiel ŝaltilan pordon, estas alia migrado ol unu, kiu prezentis /30.

Skribu la ejajn prefiksojn, la enpordajn adresojn, la aplikaĵojn, kiuj enigas adresojn en sian propran agordon, kaj la prefiksojn, kiuj koincidas aliloke en la medio. Adresplano, kiu postvivas la migradon, estas projektorezulto, ne supozo. Tiuj kvar listoj ankaŭ fariĝos akceptokriterioj poste, do tenu ilin tie, kie la testantoj povas legi ilin.

Enkursigu la novan vojon en ambaŭ direktoj

Tunelo, kiu leviĝas, estas nur duona vojo. La fora flanko bezonas revenan vojon al ĉiu loka prefikso, kaj la loka flanko devas preferi la tunelon por tiuj prefiksoj sen ŝteli trafikon, kiu ankoraŭ devus eliri tra la interreto. Nesimetria plusendado estas la kutima simptomo de tio, ke unu el tiuj duonoj estas farita ĝuste. Inspektu la tabelon de la fora flanko same zorgeme kiel vian propran, ĉar la reena vojo estas tiu, kiun neniu agordis.

ip route get 10.20.0.10

Politika enkursigado faras la dividon eksplicita: marku la trafikon, kiu apartenas al la eja paro, kaj donu al ĝi tabelon, kies defaŭlto estas la tunelo. IPsec provizas la protektitan asocion kaj la politikon, kiu decidas, kio eniras ĝin, sed ne la vojojn ĉirkaŭ ĝi, kiel la IPsec-arkitekturo priskribas. Kiam la marko kongruas tro vaste, ordinara reta trafiko de la ejo ankaŭ eniras la tunelon kaj eliras tra la malĝusta elirejo.

Transiru kun retroigo, kiun vi jam testis

Du vivantaj vojoj kun malsamaj posedantoj invitas nesimetrian plusendadon, do levu la novan ene de difinita fenestro kaj movu prefiksojn laŭ anoncita ordo. Lasu la malnovan cirkviton agordita kaj tenu eksterkanalan administran vojon, kiu dependas de neniu el la du tuneloj. Movu unu prefikson samtempe, kie la aplikaĵoj permesas, kaj observu la seanctabelon inter la movoj.

Decidu anticipe, kiuj pruvoj rajtigas la transiron kaj kiu kondiĉo ekigas la retroigon. Retroigo, kiu postulas ripari la novan VPN tra la malsukcesinta konekto, ne estas retroigo. Esprimu la ekigilon kiel mezureblan kondiĉon, ne kiel senton en la ĉambro.

Akceptu per la trafiko, kiun la cirkvito efektive portis

Ping pruvas atingeblon kaj malmulton alian. Testu nomrezolucion, la longedaŭrajn seancojn, la rifuzitajn fluojn kaj la pakaĵgrandojn, kiujn la malnova vojo traktis sen fragmentado. MTU estas kie tuneloj plej ofte diferencas de cirkvito, ĉar enkapsuligo konsumas bajtojn, kiujn la aplikaĵo supozis haveblaj. Mezuru la plej grandan utilan ŝarĝon, kiu pasas sen fragmentado en ambaŭ direktoj, ne nur al la servilo.

ping -M do -s 1400 -c 3 10.20.0.10

Se ŝarĝo de 1400 bajtoj pasas kaj 1472 ne, la maksimumo de la vojo estas pli malgranda ol la aplikaĵoj atendas, kaj vi trovis realan regreson, ne kosmetikan. Komparu tiun rezulton kun la postuloj skribitaj en la unua paŝo, kaj retiru la cirkviton nur kiam la posedantoj de tiuj aplikaĵoj akceptos la mezuradon. Tiu subskribo estas tio, kio igas sukcesan teston akceptita migrado.