VPN切り替えで専用線から引き継ぐべきもの

専用線は説明するのは簡単ですが、契約がケーブル以上のものを含んでいたため置き換えるのは困難です。受け渡し点、アドレス計画、遅延の期待値、サポート体制の四つを担っており、それを置き換えるトンネルは、誰が書き留めたかに関わらず四つすべてを引き継ぎます。切り替えが失敗するのは、チームがルーティング設定をコピーし、残りを運用の問題と呼んだときです。要件から始め、古い回線を解約する前に新しい経路で一つずつ証明してください。

回線を特性の一覧に変える

最初の問いは、旧サービスが実際に何を引き渡したか、つまり小さなサブネットを持つルーティング済みリンクか、拠点間で共有されるレイヤー2セグメントかということです。その違いが、トンネルは二つのアドレス間でパケットを運び、ブロードキャストによる検出や任意のEtherTypesは運ばないため、IPトンネルで再現できるかどうかを決めます。自らをスイッチポートとして提示した回線は、/30を提示した回線とは別の移行になります。

拠点のプレフィックス、ゲートウェイアドレス、自らの設定にアドレスを埋め込むアプリケーション、環境のどこかで重複するプレフィックスを書き出します。移行を生き延びるアドレス計画は設計の成果物であり、前提ではありません。この四つの一覧は後に受け入れ基準にもなるので、試験担当者が読める場所に置いてください。

新しい経路を両方向に通す

トンネルが上がるだけでは経路の半分です。遠端には各ローカルプレフィックスへの戻り経路が必要で、ローカル側はインターネットから出るべきトラフィックを奪わずに、それらのプレフィックスでトンネルを優先する必要があります。非対称転送は、その半分部の片方だけが正しいときの典型的な症状です。戻り経路は誰も設定していないものなので、遠端のテーブルも自分の分と同じ注意深さで確認してください。

ip route get 10.20.0.10

ポリシールーティングは、拠点ペアに属するトラフィックをマークし、既定がトンネルであるテーブルを与えることで分割を明示します。IPsecは保護されたアソシエーションと、何がそこに入るかを決めるポリシーを提供しますが、その周りの経路は提供せず、IPsecアーキテクチャが説明するとおりです。マークが広く一致しすぎると、拠点の通常のウェブトラフィックもトンネルに入り、誤った出口から出てしまいます。

すでに試験したロールバックとともに切り替える

所有者の異なる二つの経路が併存すると非対称転送を招くので、新しい経路は決められた時間枠の中で立ち上げ、プレフィックスを宣言した順序で移します。古い回線は設定を残したままにし、どちらのトンネルにも依存しない帯域外の管理経路を確保します。アプリケーションが許す範囲で一度に一つのプレフィックスを移し、移すたびにセッションテーブルを確認してください。

どの証拠が切り替えを承認し、どの条件がロールバックを起こすかを事前に決めます。失敗した接続越しに新しいVPNを修理する必要があるロールバックはロールバックではありません。引き金は室内の感覚ではなく、測定できる条件として述べてください。

回線が実際に運んでいたトラフィックで検収する

Pingが証明するのは到達性とわずかなものです。名前解決、長時間のセッション、拒否されたフロー、そして古い経路が断片化なしで扱っていたパケットサイズを試験します。トンネルが回線と最もよく異なるのはMTUで、カプセル化がアプリケーションの使えると考えていたバイトを消費するからです。サーバー方向だけでなく、両方向で断片化なしに通る最大のペイロードを測ってください。

ping -M do -s 1400 -c 3 10.20.0.10

1400バイトのペイロードが通り、1472が通らないなら、経路の最大値はアプリケーションの期待より小さく、化粧的なものではない実際の回帰を見つけたことになります。その結果を最初の手順で書いた要件と比較し、それらのアプリケーションの所有者が測定を受け入れたときにだけ回線を廃止してください。その署名が、成功した試験を承認された移行に変えます。