העברת תת־רשת אחת למנהרת VPN חדשה בלי הפסקה
העבירו את כל המסלול של תת־רשת אחת: נתיב, בוררים, כללי גישה, תעבורת חזור ונסיגה. הקימו קודם את המנהרה ואז חתכו באופן צר.
הקימו את המנהרה החדשה, העבירו תת־רשת אחת, ועכשיו אותה תת־רשת נכשלת לסירוגין בעוד כל השאר תקין לחלוטין. כך בדיוק נכשלות VPN שהועברו למחצה, מפני שהמנהרה מעולם לא הייתה החלק הקשה. המסלול כולל גם איזה נתיב מנצח, אילו בוררים מתאימים, מה כללי הגישה מתירים, איך חוזרות התשובות, וכל תרגום שהעיצוב הישן הפעיל. העבירו רק את המנהרה ולא העברתם דבר מזה.
המנהרה היא החצי הקל של המסלול
כשלים לסירוגין אחרי העברה חלקית בדרך כלל אומרים ששני נתיבים אפשריים כאחד. חלק מהזרימות בוחרות במנהרה החדשה, אחרות נשארות בישנה, והתקן שזוכר מצב רואה אז תשובה מגיעה בנתיב שהבקשה מעולם לא השתמשה בו. שני נתיבים אינם בטוחים יותר מאחד באופן אוטומטי; הם שני דברים שיכולים לחלוק. הביטו בדוחות התנודה ולא במוני המנהרה, מפני שהמונים ייראו תקינים כל הזמן.
השאלה הראשונה המועילה אינה איזו מנהרה טובה יותר. היא אילו זרימות בוחרות איזה נתיב היום, והאם הבקשה והתשובה מקבלות את אותה תשובה.
בנו את היעד לפני שאתם מעדיפים אותו
ודאו שהעמיתים תואמים ושהמנהרה החדשה נושאת את טווח הכתובות שאתם מתכוונים אליו. הוסיפו את ההעברה ואת הרשאות השירות שהיא זקוקה להן בעודה הנתיב הלא מועדף, כדי שהמעבר עצמו ישנה רק את הבחירה ולא דבר אחר.
שאלו את האתר המרוחק איך יחזיר תעבורה. אם התשובות עדיין יוצאות דרך המנהרה הישנה, נתיב מקומי חדש יוצר אי־סימטריה או נכשל במסנן שזוכר מצב. גם התרגום שייך לעיצוב מאותה סיבה: כתובת מקור שהשתנתה משנה גם את נתיב החזרה.
חתכו באופן צר, ודעו את הדרך חזרה
נקבו בשם תת־הרשת המדויקת ובמנגנון הנתמך בפלטפורמה שמעדיף את הנתיב או הבורר החדשים שלה. הגדרות מבוססות מדיניות לא תמיד מתנהגות כמו מדדי נתיב, לכן קראו את כללי המדיניות החופפים של המימוש שלכם לפני שאתם מניחים שההתאמה הספציפית יותר מנצחת.
העבירו תת־רשת אחת, לא אתר אחד. השאירו גישת ניהול בנתיב שאינכם נוגעים בו, ורשמו את הנסיגה לפני שאתם מיישמים משהו: איזה נתיב או מדיניות חוזרים, מי עושה זאת, ואיך הם נשארים מחוברים בזמן שהם עושים זאת.
אי־סימטריה ומצב מיושן
חומות אש והתקני NAT זוכרים את הממשק שבו השתמשה זרימה. כשבקשה ותשובה עוברות במנהרות שונות, ההתקן עלול להשליך את התשובה אף שכל נתיב עובד בפני עצמו. בדקו בזרימה שאתם פותחים אחרי השינוי, מפני שסשן מבוסס עלול להמשיך להשתמש בנתיב הישן שעות.
אם כתובת המקור הנצפית זזה, מצאו כל מדיניות שמציינת את הישנה. העברה שמשנה את המקור בשקט שוברת כללים שאיש לא סיווג כחלק מעיצוב ה-VPN.
הוכיחו את שתי התשובות, ואז פרשו את המדיניות הישנה
ממארח רגיל בתת־הרשת המועברת, הגיעו לשירות המיועד ובדקו את המקור הנצפה ואת ממשק התשובה. אחר כך בדקו רשת שאמורה להישאר במנהרה הישנה, מפני שהעברה מסתיימת רק כששתי התשובות נכונות. הבדיקה השנייה היא זו שאנשים מדלגים עליה, והיא זו שתופסת בורר רחב מכפי שהתכוונתם.
פרשו את המדיניות המיושנת רק כשאין עוד תת־רשת שנשענת עליה, ותעדו את הנתיב הסופי עם הבעלים שלו במלאי הבוררים. סיום אינו שהמנהרה החדשה מדווחת שהיא למעלה; סיום הוא שכל רשת עוקבת אחרי הנתיב שיועד לה.