Što prelazak na VPN mora sačuvati od privatnog voda

Privatne vodove lako je opisati, a teško zamijeniti, jer je ugovor pokrivao više od kabela. Nosio je predaju, adresni plan, očekivanje kašnjenja i dogovor o podršci, a tunel koji ga zamjenjuje nasljeđuje sva četiri, bez obzira na to je li ih itko zapisao. Prelasci propadaju kada tim kopira konfiguraciju usmjeravanja i ostatak nazove operativnim problemom. Pođite od zahtjeva, pa dokažite svaki na novom putu prije nego stari bude ukinut.

Pretvorite vod u popis svojstava

Prvo pitanje je što je stara usluga doista predala: usmjerenu vezu s malom podmrežom ili segment sloja 2 koji dijele lokacije. Ta razlika odlučuje može li IP tunel to uopće reproducirati, jer tunel prenosi pakete između dvije adrese i ne prenosi broadcast otkrivanje ni proizvoljne EtherTypes. Vod koji se predstavio kao port preklopnika je druga migracija od voda koji je predstavio /30.

Zapišite prefikse lokacija, adrese pristupnika, aplikacije koje ugrađuju adrese u vlastitu konfiguraciju i prefikse koji se preklapaju negdje drugdje u okruženju. Adresni plan koji preživi migraciju rezultat je projektiranja, a ne pretpostavka. Ta četiri popisa kasnije postaju i kriteriji prihvaćanja, pa ih držite tamo gdje ih testeri mogu pročitati.

Usmjerite novi put u oba smjera

Tunel koji se podigne samo je pola puta. Drugoj strani treba ruta natrag do svakog lokalnog prefiksa, a lokalna strana mora preferirati tunel za te prefikse bez otimanja prometa koji i dalje treba izlaziti kroz internet. Asimetrično prosljeđivanje uobičajen je simptom da je jedna od tih polovica napravljena kako treba. Pregledajte tablicu druge strane jednako pažljivo kao svoju, jer povratni put je onaj koji nitko nije konfigurirao.

ip route get 10.20.0.10

Usmjeravanje po politici čini podjelu eksplicitnom: označite promet koji pripada paru lokacija i dajte mu tablicu čiji je zadani izlaz tunel. IPsec pruža zaštićenu asocijaciju i politiku koja odlučuje što u nju ulazi, ali ne i rute oko nje, kako arhitektura IPsec-a opisuje. Kada se oznaka podudara preširoko, običan web promet s lokacije također ulazi u tunel i izlazi kroz pogrešan izlaz.

Prebacite se s vraćanjem koje ste već testirali

Dva živa puta s različitim vlasnicima pozivaju asimetrično prosljeđivanje, pa podignite novi unutar definiranog prozora i premještajte prefikse u objavljenom redu. Ostavite stari vod konfiguriran i zadržite izvanpojasni put upravljanja koji ne ovisi ni o jednom tunelu. Premještajte po jedan prefiks gdje aplikacije dopuštaju i gledajte tablicu sesija između premještanja.

Unaprijed odlučite koji dokazi odobravaju prebacivanje i koji uvjet pokreće vraćanje. Vraćanje koje zahtijeva popravak novog VPN-a kroz neuspjelu vezu nije vraćanje. Navedite okidač kao mjerljiv uvjet, a ne kao osjećaj u sobi.

Prihvatite s prometom koji je vod doista nosio

Ping dokazuje dostupnost i malo što drugo. Testirajte razrješavanje imena, dugotrajne sesije, odbijene tokove i veličine paketa koje je stari put obrađivao bez fragmentacije. MTU je mjesto gdje se tuneli najčešće razlikuju od voda, jer inkapsulacija troši bajtove koje je aplikacija pretpostavljala dostupnima. Izmjerite najveći korisni teret koji prolazi bez fragmentacije u oba smjera, ne samo prema poslužitelju.

ping -M do -s 1400 -c 3 10.20.0.10

Ako teret od 1400 bajtova prolazi, a 1472 ne, maksimum puta manji je od onoga što aplikacije očekuju i našli ste stvarnu regresiju, a ne kozmetičku. Usporedite taj rezultat sa zahtjevima zapisanima u prvom koraku i ukinite vod tek kada vlasnici tih aplikacija prihvate mjerenje. Taj potpis je ono što uspješan test pretvara u prihvaćenu migraciju.