Premještanje jedne podmreže na novi VPN tunel bez prekida

Podignite novi tunel, premjestite jednu podmrežu i ta podmreža sada povremeno pada dok je sve ostalo potpuno ispravno. Polovično premješteni VPN-ovi padaju upravo tako, jer tunel nikada nije bio teški dio. Putanja uključuje i to koja ruta pobjeđuje, koji selektori se poklapaju, šta pravila pristupa dozvoljavaju, kako se odgovori vraćaju i svako prevođenje koje je stari dizajn primjenjivao. Premjestite samo tunel i niste premjestili ništa od toga.

Tunel je laka polovina putanje

Povremeni prekidi nakon djelimičnog premještanja obično znače da su dvije putanje istovremeno moguće. Neki tokovi biraju novi tunel, neki zadržavaju stari, a uređaj koji pamti stanje tada vidi odgovor koji stiže putanjom koju zahtjev nikada nije koristio. Dvije putanje nisu automatski sigurnije od jedne; to su dvije stvari koje se mogu razilaziti. Gledajte izvještaje o titranju, a ne brojače tunela, jer će brojači izgledati zdravo cijelo vrijeme.

Korisno prvo pitanje nije koji je tunel bolji. Nego koji tokovi danas biraju koju putanju i da li zahtjev i odgovor dobijaju isti odgovor.

Izgradite odredište prije nego što ga preferirate

Potvrdite da su partneri kompatibilni i da novi tunel nosi opseg adresa koji namjeravate. Dodajte prosljeđivanje i dozvole za usluge koje su mu potrebne dok je još nepreferirana putanja, tako da samo prebacivanje mijenja izbor i ništa drugo.

Pitajte udaljenu lokaciju kako će vraćati saobraćaj. Ako odgovori još izlaze kroz stari tunel, nova lokalna ruta stvara asimetriju ili pada na filteru koji pamti stanje. Prevođenje pripada dizajnu iz istog razloga: promijenjena izvorna adresa mijenja i povratnu putanju.

Prebacite usko i znajte put nazad

Imenujte tačnu podmrežu i mehanizam koji podržava platforma i koji preferira njenu novu rutu ili selektor. Definicije zasnovane na politikama ne ponašaju se uvijek kao metrike ruta, zato pročitajte pravila o preklapajućim politikama za svoju implementaciju prije nego pretpostavite da pobjeđuje konkretnije poklapanje.

Premjestite jednu podmrežu, ne jednu lokaciju. Držite upravljanje na putanji koju ne dirate i zapišite vraćanje unazad prije nego što bilo šta primijenite: koja ruta ili politika se vraća, ko to radi i kako ostaju povezani dok to rade.

Asimetrija i zaostalo stanje

Vatrozidi i NAT uređaji pamte interfejs koji je tok koristio. Kada zahtjev i odgovor idu različitim tunelima, uređaj može odbaciti odgovor iako svaka putanja radi sama za sebe. Testirajte tokom koji otvorite nakon promjene, jer uspostavljena sesija može satima nastaviti koristiti staru putanju.

Ako se posmatrana izvorna adresa promijenila, pronađite svaku politiku koja imenuje staru. Premještanje koje tiho mijenja izvor krši pravila koja niko nije klasifikovao kao dio VPN dizajna.

Dokažite oba odgovora, pa povucite staru politiku

Sa običnog hosta u premještenoj podmreži dođite do željene usluge i provjerite posmatrani izvor i interfejs odgovora. Zatim testirajte mrežu koja treba da ostane na starom tunelu, jer je premještanje završeno tek kada su oba odgovora tačna. Drugi test je onaj koji ljudi preskaču, i on hvata selektor širi od namjeravanog.

Povucite zastarjelu politiku tek kada nijedna preostala podmreža ne zavisi od nje, i zabilježite konačnu rutu sa njenim vlasnikom u inventaru selektora. Završetak nije to što novi tunel javlja da je podignut; to je da svaka mreža slijedi svoju predviđenu putanju.