מה חייבת העברה ל-VPN לשמר מקו פרטי

קווים פרטיים קלים לתיאור וקשים להחלפה, משום שהחוזה כיסה יותר מכבל. הוא נשא מסירה, תוכנית כתובות, ציפיית השהיה והסדר תמיכה, והמנהרה שמחליפה אותו יורשת את כל הארבעה, בין אם מישהו כתב אותם ובין אם לא. העברות נכשלות כשהצוות מעתיק את תצורת הניתוב וקורא לשאר בעיית תפעול. התחילו מהדרישות, ואז הוכיחו כל אחת מהן בנתיב החדש לפני שהנתיב הישן מבוטל.

הפכו את הקו לרשימת מאפיינים

השאלה הראשונה היא מה השירות הישן מסר בפועל: קישור מנותב עם תת-רשת קטנה, או מקטע שכבה 2 המשותף בין אתרים. ההבחנה הזו קובעת אם מנהרת IP יכולה לשחזר אותו בכלל, משום שמנהרה נושאת מנות בין שתי כתובות ואינה נושאת גילוי שידור או EtherTypes שרירותיים. קו שהציג את עצמו כפורט מתג הוא העברה אחרת מקו שהציג /30.

רשמו את קידומות האתר, את כתובות השער, את היישומים שמטמיעים כתובות בתצורה שלהם ואת הקידומות שחופפות במקום אחר בסביבה. תוכנית כתובות ששורדת את ההעברה היא תוצר תכנון, לא הנחה. ארבעת הרשימות האלה גם הופכות מאוחר יותר לקריטריוני קבלה, אז שמרו אותן במקום שבו הבודקים יכולים לקרוא אותן.

נתבו את הנתיב החדש בשני הכיוונים

מנהרה שעולה היא רק חצי נתיב. הצד המרוחק זקוק לנתיב חזרה לכל קידומת מקומית, והצד המקומי צריך להעדיף את המנהרה עבור הקידומות האלה בלי לגנוב תעבורה שאמורה עדיין לצאת דרך האינטרנט. העברה א-סימטרית היא הסימפטום הרגיל לכך שאחד מהחצאים האלה נעשה נכון. בדקו את הטבלה של הצד המרוחק באותה זהירות כמו שלכם, משום שנתיב החזרה הוא זה שאיש לא תצר.

ip route get 10.20.0.10

ניתוב לפי מדיניות הופך את הפיצול למפורש: סמנו את התעבורה ששייכת לזוג האתרים ותנו לה טבלה שברירת המחדל שלה היא המנהרה. IPsec מספק את האגודה המוגנת ואת המדיניות שמחליטה מה נכנס אליה, אבל לא את הנתיבים שסביבה, כפי שמתארת ארכיטקטורת IPsec את כל התמונה. כאשר הסימון תואם רחב מדי, תעבורת אינטרנט רגילה מהאתר נכנסת גם היא למנהרה ויוצאת ביציאה הלא נכונה.

החליפו עם חזרה אחורה שכבר בדקתם

שני נתיבים חיים עם בעלים שונים מזמינים העברה א-סימטרית, אז העלו את החדש בתוך חלון מוגדר והעבירו קידומות בסדר מוצהר. השאירו את הקו הישן בתצורה ושמרו נתיב ניהול מחוץ לפס שאינו תלוי באף אחת מהמנהרות. העבירו קידומת אחת בכל פעם היכן שהיישומים מאפשרים, וצפו בטבלת הסשנים בין ההעברות.

החליטו מראש אילו ראיות מאשרות את ההחלפה ואיזה תנאי מפעיל את החזרה. חזרה אחורה שמחייבת תיקון של ה-VPN החדש דרך החיבור שנכשל אינה חזרה אחורה. נסחו את הטריגר כתנאי מדיד ולא כתחושה בחדר.

קבלו עם התעבורה שהקו נשא באמת

Ping מוכיח נגישות ומעט מאוד מעבר לכך. בדקו פתרון שמות, את הסשנים הארוכים, את הזרימות שנדחו ואת גדלי המנות שהנתיב הישן טיפל בהם בלי פיצול. MTU הוא המקום שבו מנהרות נבדלות מקו לעתים הקרובות ביותר, משום שהעמלה צורכת בתים שהיישום הניח שזמינים. מדדו את המטען הגדול ביותר שעובר בלי פיצול בשני הכיוונים, לא רק לכיוון השרת.

ping -M do -s 1400 -c 3 10.20.0.10

אם מטען של 1400 בתים עובר ו-1472 לא, המקסימום של הנתיב קטן ממה שהיישומים מצפים לו ומצאתם רגרסיה אמיתית, לא קוסמטית. השוו את התוצאה לדרישות שנכתבו בשלב הראשון, ופרשו את הקו רק כשהבעלים של אותם יישומים מקבלים את המדידה. החתימה הזו היא מה שהופך בדיקה מוצלחת להגירה מקובלת.