Mitä VPN-siirtymän on säilytettävä yksityiseltä yhteydeltä

Yksityisiä yhteyksiä on helppo kuvata ja vaikea korvata, koska sopimus kattoi enemmän kuin kaapelin. Se kantoi luovutuksen, osoitesuunnitelman, viiveodotuksen ja tukijärjestelyn, ja sen korvaava tunneli perii kaikki neljä, kirjoitettiinpa ne muistiin tai ei. Siirtymät epäonnistuvat, kun tiimi kopioi reitityskokoonpanon ja kutsuu lopun käyttöongelmaksi. Aloita vaatimuksista ja todista sitten jokainen uudella polulla ennen kuin vanha irtisanotaan.

Muuta yhteys ominaisuuksien luetteloksi

Ensimmäinen kysymys on, mitä vanha palvelu todella luovutti: reititetyn linkin pienellä aliverkolla vai toimipaikkojen kesken jaetun kerroksen 2 segmentin. Tämä ero ratkaisee, voiko IP-tunneli ylipäätään toistaa sen, koska tunneli kuljettaa paketteja kahden osoitteen välillä eikä kuljeta lähetystiedustelua tai mielivaltaisia EtherTypes-arvoja. Yhteys, joka esittäytyi kytkinporttina, on eri siirtymä kuin yhteys, joka esitteli /30:n.

Kirjoita muistiin toimipaikkojen etuliitteet, yhdyskäytävien osoitteet, sovellukset, jotka upottavat osoitteita omaan kokoonpanoonsa, ja etuliitteet, jotka menevät päällekkäin jossain muualla ympäristössä. Siirtymän kestävä osoitesuunnitelma on suunnittelun tulos, ei oletus. Noista neljästä luettelosta tulee myöhemmin myös hyväksymiskriteerit, joten pidä ne siellä, missä testaajat voivat lukea ne.

Reititä uusi polku molempiin suuntiin

Nouseva tunneli on vain puoli polkua. Kaukokäsi tarvitsee paluureitin jokaiseen paikalliseen etuliitteeseen, ja paikallisen puolen on suosittava tunnelia näille etuliitteille varastamatta liikennettä, jonka pitäisi edelleen lähteä internetin kautta. Epäsymmetrinen edelleenlähetys on tavallinen oire siitä, että toinen noista puolista on tehty oikein. Tarkastele kaukokäden taulukkoa yhtä huolellisesti kuin omaasi, koska paluureitti on se, jota kukaan ei konfiguroinut.

ip route get 10.20.0.10

Käytäntöperusteinen reititys tekee jaosta eksplisiittisen: merkitse liikenne, joka kuuluu toimipaikkapariin, ja anna sille taulukko, jonka oletus on tunneli. IPsec tarjoaa suojatun assosiaation ja käytännön, joka päättää, mitä siihen tulee, mutta ei reittejä sen ympärillä, kuten IPsec-arkkitehtuuri kuvaa. Kun merkintä osuu liian laajasti, toimipaikan tavallinen verkkoliikenne tulee myös tunneliin ja lähtee väärästä uloskäynnistä.

Vaihda palautuksella, jonka olet jo testannut

Kaksi elävää polkua eri omistajilla houkuttelee epäsymmetristä edelleenlähetystä, joten nosta uusi ylös määritetyssä ikkunassa ja siirrä etuliitteitä ilmoitetussa järjestyksessä. Pidä vanha yhteys konfiguroituna ja pidä hallintayhteys, joka ei riipu kummastakaan tunnelista. Siirrä yksi etuliite kerrallaan siellä, missä sovellukset sallivat, ja seuraa istuntotaulukkoa siirtojen välillä.

Päätä etukäteen, mikä näyttö valtuuttaa vaihdon ja mikä ehto laukaisee palautuksen. Palautus, joka vaatii uuden VPN:n korjaamista epäonnistuneen yhteyden kautta, ei ole palautus. Ilmaise laukaisin mitattavana ehtona eikä huoneessa vallitsevana tunteena.

Hyväksy liikenteellä, jota yhteys todella kantoi

Ping todistaa tavoitettavuuden ja vähän muuta. Testaa nimien selvitys, pitkäikäiset istunnot, hylätyt vuot ja pakettikoot, joita vanha polku käsitteli ilman pirstoutumista. MTU on kohta, jossa tunnelit useimmin eroavat yhteydestä, koska kapselointi kuluttaa tavuja, joita sovellus piti saatavilla. Mittaa suurin hyötykuorma, joka kulkee ilman pirstoutumista molempiin suuntiin, ei vain palvelinta kohti.

ping -M do -s 1400 -c 3 10.20.0.10

Jos 1400 tavun hyötykuorma kulkee ja 1472 ei, polun maksimi on pienempi kuin sovellukset odottavat, ja olet löytänyt todellisen regression, et kosmeettista. Vertaa tulosta ensimmäisessä vaiheessa kirjattuihin vaatimuksiin ja poista yhteys käytöstä vasta, kun noiden sovellusten omistajat hyväksyvät mittauksen. Juuri tuo allekirjoitus tekee onnistuneesta testistä hyväksytyn siirtymän.