Apa yang harus dipertahankan migrasi VPN dari sirkuit privat

Sirkuit privat mudah dijelaskan dan sulit diganti, karena kontraknya mencakup lebih dari sekadar kabel. Sirkuit itu membawa handoff, rencana alamat, ekspektasi latensi, dan kesepakatan dukungan, dan terowongan yang menggantikannya mewarisi keempatnya, entah ada yang menuliskannya atau tidak. Migrasi gagal ketika tim menyalin konfigurasi perutean dan menyebut sisanya sebagai masalah operasional. Mulailah dari persyaratan, lalu buktikan masing-masing di jalur baru sebelum yang lama dihentikan.

Ubah sirkuit menjadi daftar properti

Pertanyaan pertama adalah apa yang sebenarnya diserahkan layanan lama: tautan yang dirutekan dengan subnet kecil, atau segmen lapis 2 yang dibagi antar situs. Perbedaan itu menentukan apakah terowongan IP dapat mereproduksinya sama sekali, karena terowongan membawa paket antara dua alamat dan tidak membawa penemuan siaran atau EtherTypes sembarang. Sirkuit yang menampilkan dirinya sebagai porta sakelar adalah migrasi yang berbeda dari yang menampilkan /30.

Catat prefiks situs, alamat gateway, aplikasi yang menyematkan alamat dalam konfigurasinya sendiri, dan prefiks yang bertumpang tindih di tempat lain di lingkungan. Rencana alamat yang bertahan melewati migrasi adalah keluaran desain, bukan asumsi. Keempat daftar itu juga menjadi kriteria penerimaan nanti, jadi simpanlah di tempat yang bisa dibaca penguji.

Rutekan jalur baru di kedua arah

Terowongan yang menyala hanyalah separuh jalur. Sisi jauh memerlukan rute balik ke setiap prefiks lokal, dan sisi lokal harus memilih terowongan untuk prefiks itu tanpa mencuri lalu lintas yang masih harus keluar lewat internet. Penerusan asimetris adalah gejala biasa dari benar untuk salah satu separuh itu. Periksa tabel sisi jauh sama telitinya dengan tabel Anda, karena jalur balik adalah yang tidak dikonfigurasi siapa pun.

ip route get 10.20.0.10

Perutean berbasis kebijakan membuat pemisahan eksplisit: tandai lalu lintas milik pasangan situs dan beri tabel yang defaultnya adalah terowongan. IPsec menyediakan asosiasi terlindungi dan kebijakan yang memutuskan apa yang masuk ke dalamnya, tetapi bukan rute di sekitarnya, sebagaimana arsitektur IPsec menjelaskannya. Ketika tanda cocok terlalu luas, lalu lintas web biasa dari situs juga masuk ke terowongan dan keluar lewat egress yang salah.

Beralihlah dengan rollback yang sudah Anda uji

Dua jalur hidup dengan pemilik berbeda mengundang penerusan asimetris, jadi naikkan yang baru di dalam jendela yang ditetapkan dan pindahkan prefiks dalam urutan yang diumumkan. Biarkan sirkuit lama tetap terkonfigurasi dan pertahankan jalur manajemen out-of-band yang tidak bergantung pada salah satu terowongan. Pindahkan satu prefiks setiap kali bila aplikasi mengizinkan, dan pantau tabel sesi di antara perpindahan.

Putuskan lebih dulu bukti apa yang mengesahkan peralihan dan kondisi apa yang memicu rollback. Rollback yang menuntut perbaikan VPN baru melalui koneksi yang gagal bukanlah rollback. Nyatakan pemicunya sebagai kondisi terukur, bukan sebagai perasaan di ruangan.

Terimalah dengan lalu lintas yang benar-benar dibawa sirkuit

Ping membuktikan keterjangkauan dan sedikit lagi. Uji resolusi nama, sesi berumur panjang, aliran yang ditolak, dan ukuran paket yang ditangani jalur lama tanpa fragmentasi. MTU adalah tempat terowongan paling sering berbeda dari sirkuit, karena enkapsulasi memakan bita yang dianggap tersedia oleh aplikasi. Ukur muatan terbesar yang lolos tanpa fragmentasi di kedua arah, bukan hanya menuju server.

ping -M do -s 1400 -c 3 10.20.0.10

Jika muatan 1400 bita lolos dan 1472 tidak, maksimum jalur lebih kecil daripada yang diharapkan aplikasi dan Anda menemukan regresi nyata, bukan kosmetik. Bandingkan hasil itu dengan persyaratan yang ditulis pada langkah pertama, dan hentikan sirkuit hanya ketika pemilik aplikasi tersebut menerima pengukuran. Tanda tangan itulah yang mengubah uji yang berhasil menjadi migrasi yang diterima.