Mida peab VPN-üleminek privaatliinilt säilitama

Privaatliine on lihtne kirjeldada ja raske asendada, sest leping kattis rohkem kui kaabli. See kandis üleandmist, aadressiplaani, latentsuse ootust ja tugikokkulepet ning asendav tunnel pärib kõik neli, olenemata sellest, kas keegi need kirja pani. Üleminekud ebaõnnestuvad, kui meeskond kopeerib marsruutimise konfiguratsiooni ja nimetab ülejäänu operatsiooniprobleemiks. Alustage nõuetest ja tõestage seejärel igaüks uuel teel enne, kui vana tühistatakse.

Muutke liin omaduste loendiks

Esimene küsimus on, mida vana teenus tegelikult üle andis: marsruuditud link väikese alavõrguga või saidiüleselt jagatud kihi 2 segment. See erinevus otsustab, kas IP-tunnel suudab seda üldse taastoota, sest tunnel kannab pakette kahe aadressi vahel ega kanna broadcast-tuvastust ega suvalisi EtherTypes-e. Liin, mis esitles end lüliti pordina, on teistsugune migratsioon kui liin, mis esitas /30.

Kirjutage üles saidi prefiksid, lüüsi aadressid, rakendused, mis põimivad aadresse oma konfiguratsiooni, ja prefiksid, mis kattuvad kusagil mujal keskkonnas. Migratsiooni üle elav aadressiplaan on projekteerimise tulemus, mitte eeldus. Need neli loendit saavad hiljem ka vastuvõtukriteeriumiteks, seega hoidke neid seal, kus testijad saavad neid lugeda.

Suunake uus tee mõlemas suunas

Tunnel, mis üles tuleb, on vaid pool teed. Kaugpool vajab tagasiteed igasse kohalikku prefiksisse ja kohalik pool peab nende prefiksite jaoks tunnelit eelistama, ilma et varastaks liiklust, mis peaks ikka veel interneti kaudu väljuma. Asümmeetriline edastamine on tavaline sümptom sellest, et üks neist pooltest on õigesti tehtud. Uurige kaugpoole tabelit sama hoolikalt kui oma, sest tagasitee on see, mida keegi ei konfigureerinud.

ip route get 10.20.0.10

Poliitikapõhine marsruutimine teeb jaotuse selgesõnaliseks: märgistage liiklus, mis kuulub saidipaarile, ja andke sellele tabel, mille vaikeväärtus on tunnel. IPsec annab kaitstud assotsiatsiooni ja poliitika, mis otsustab, mis sellesse siseneb, kuid mitte marsruudid selle ümber, nagu IPsec-arhitektuur kirjeldab. Kui märgis sobib liiga laialt, siseneb saidi tavaline veebiliiklus samuti tunnelisse ja väljub vale väljapääsu kaudu.

Lülituge tagasipööramisega, mida olete juba testinud

Kaks elavat teed erinevate omanikega kutsuvad esile asümmeetrilise edastamise, seega tõstke uus kindlaksmääratud akna sees üles ja liigutage prefikseid teatatud järjekorras. Jätke vana liin konfigureerituks ja hoidke ribavälist haldusteed, mis ei sõltu kummastki tunnelist. Liigutage üks prefiks korraga, kus rakendused seda lubavad, ja jälgige liigutuste vahel sessioonitabelit.

Otsustage ette, millised tõendid muudatuse volitavad ja milline tingimus tagasipööramise käivitab. Tagasipööramine, mis nõuab uue VPN-i parandamist ebaõnnestunud ühenduse kaudu, ei ole tagasipööramine. Sõnastage päästik mõõdetava tingimusena, mitte toas valitseva tundena.

Võtke vastu liiklusega, mida liin tegelikult kandis

Ping tõestab kättesaadavust ja vähe muud. Testige nimelahendust, pikaajalisi sessioone, keeldutud vooge ja paketisuurusi, mida vana tee käsitles ilma fragmenteerimiseta. MTU on koht, kus tunnelid kõige sagedamini liinist erinevad, sest kapseldamine kulutab baite, mida rakendus pidas kättesaadavaks. Mõõtke suurim kasulik koormus, mis läbib fragmenteerimiseta mõlemas suunas, mitte ainult serveri poole.

ping -M do -s 1400 -c 3 10.20.0.10

Kui 1400-baidine koormus läbib ja 1472 ei läbi, on tee maksimum väiksem, kui rakendused eeldavad, ja te leidsite tõelise regressiooni, mitte kosmeetilise. Võrrelge tulemust esimeses sammus kirja pandud nõuetega ja võtke liin kasutusest välja alles siis, kui nende rakenduste omanikud mõõtmise heaks kiidavad. Just see allkiri muudab edukat testi vastuvõetud migratsiooniks.