რა უნდა შეინარჩუნოს VPN-ზე გადასვლამ კერძო ხაზიდან

კერძო ხაზების აღწერა ადვილია და მათი ჩანაცვლება რთული, რადგან ხელშეკრულება კაბელზე მეტს მოიცავდა. ის ატარებდა გადაცემას, მისამართების გეგმას, შეყოვნების მოლოდინს და მხარდაჭერის შეთანხმებას, და მისი შემცვლელი გვირაბი ოთხივეს მემკვიდრეობით იღებს, ჩაწერა ეს ვინმემ თუ არა. გადასვლები მარცხდება მაშინ, როცა გუნდი აკოპირებს მარშრუტიზაციის კონფიგურაციას და დანარჩენს ოპერაციულ პრობლემას უწოდებს. დაიწყეთ მოთხოვნებიდან, შემდეგ დაამტკიცეთ თითოეული ახალ გზაზე, სანამ ძველი გაუქმდება.

აქციეთ ხაზი თვისებების სიად

პირველი კითხვაა, რა გადასცა ძველმა სერვისმა სინამდვილეში: მარშრუტიზებული კავშირი პატარა ქვექსელით, თუ მე-2 დონის სეგმენტი, რომელიც საიტებს შორის იზიარება. ეს განსხვავება წყვეტს, შეუძლია თუ არა IP გვირაბს მისი რეპროდუცირება საერთოდ, რადგან გვირაბი პაკეტებს ორ მისამართს შორის გადააქვს და არ გადააქვს მაუწყებლობითი აღმოჩენა ან თვითნებური EtherTypes. ხაზი, რომელიც თავს კომუტატორის პორტად წარმოადგინა, სხვა მიგრაციაა, ვიდრე ხაზი, რომელმაც /30 წარმოადგინა.

ჩაწერეთ საიტების პრეფიქსები, კარიბჭის მისამართები, აპლიკაციები, რომლებიც მისამართებს საკუთარ კონფიგურაციაში ათავსებენ, და პრეფიქსები, რომლებიც გარემოში სხვაგან ემთხვევა. მიგრაციას გადარჩენილი მისამართების გეგმა დიზაინის შედეგია და არა ვარაუდი. ეს ოთხი სია მოგვიანებით მიღების კრიტერიუმებიც ხდება, ამიტომ შეინახეთ ისინი იქ, სადაც ტესტირების სპეციალისტები წაიკითხავენ.

გაამარშრუტეთ ახალი გზა ორივე მიმართულებით

გვირაბი, რომელიც ადის, გზის მხოლოდ ნახევარია. შორეულ მხარეს სჭირდება დაბრუნების მარშრუტი ყოველ ლოკალურ პრეფიქსზე, ხოლო ლოკალურმა მხარემ უნდა უპირატესობა მისცეს გვირაბს ამ პრეფიქსებისთვის, ისე რომ არ მოიპაროს ტრაფიკი, რომელიც ჯერ კიდევ ინტერნეტიდან უნდა გავიდეს. ასიმეტრიული გადაგზავნა ჩვეულებრივი სიმპტომია იმისა, რომ ამ ნახევრებიდან ერთი სწორადაა გაკეთებული. შეამოწმეთ შორეული მხარის ცხრილი ისე ყურადღებით, როგორც თქვენი, რადგან დაბრუნების გზა ის არის, რომელიც არავის დაუკონფიგურებია.

ip route get 10.20.0.10

პოლიტიკაზე დაფუძნებული მარშრუტიზაცია გაყოფას ცხადს ხდის: მონიშნეთ საიტების წყვილის ტრაფიკი და მიეცით ცხრილი, რომლის ნაგულისხმევი გვირაბია. IPsec უზრუნველყოფს დაცულ ასოციაციას და პოლიტიკას, რომელიც წყვეტს, რა შედის მასში, მაგრამ არა მის გარშემო არსებულ მარშრუტებს, როგორც აღწერს IPsec არქიტექტურა მთლიანობაში. როცა ნიშანი ძალიან ფართოდ ემთხვევა, საიტის ჩვეულებრივი ვებ-ტრაფიკიც გვირაბში შედის და არასწორი გასასვლელით გადის.

გადადით უკვე გამოცდილი უკუგორებით

სხვადასხვა მფლობელის მქონე ორი ცოცხალი გზა ასიმეტრიულ გადაგზავნას იწვევს, ამიტომ აწიეთ ახალი განსაზღვრულ ფანჯარაში და გადაიტანეთ პრეფიქსები გამოცხადებული რიგით. დატოვეთ ძველი ხაზი კონფიგურირებული და შეინარჩუნეთ ზოლგარე მართვის გზა, რომელიც არც ერთ გვირაბზე არ არის დამოკიდებული. გადაიტანეთ თითო პრეფიქსი, სადაც აპლიკაციები იძლევიან საშუალებას, და დააკვირდით სესიების ცხრილს გადატანებს შორის.

წინასწარ გადაწყვიტეთ, რა მტკიცებულება ანიჭებს უფლებას გადასვლას და რა პირობა იწვევს უკუგორებას. უკუგორება, რომელიც ახალი VPN-ის შეკეთებას წარუმატებელი კავშირის გავლით მოითხოვს, უკუგორება არ არის. ჩამოაყალიბეთ გამომწვევი როგორც გაზომვადი პირობა და არა როგორც ოთახში არსებული განცდა.

მიიღეთ იმ ტრაფიკით, რომელსაც ხაზი რეალურად ატარებდა

Ping ამტკიცებს ხელმისაწვდომობას და ცოტა სხვას. შეამოწმეთ სახელების გარჩევა, ხანგრძლივი სესიები, უარყოფილი ნაკადები და პაკეტის ზომები, რომლებსაც ძველი გზა ფრაგმენტაციის გარეშე ამუშავებდა. MTU არის ის ადგილი, სადაც გვირაბები ყველაზე ხშირად განსხვავდებიან ხაზისგან, რადგან ინკაფსულაცია ხარჯავს ბაიტებს, რომლებიც აპლიკაციამ ხელმისაწვდომად ჩათვალა. გაზომეთ ყველაზე დიდი სასარგებლო დატვირთვა, რომელიც ფრაგმენტაციის გარეშე გადის ორივე მიმართულებით და არა მხოლოდ სერვერისკენ.

ping -M do -s 1400 -c 3 10.20.0.10

თუ 1400 ბაიტის დატვირთვა გადის, 1472 კი არა, გზის მაქსიმუმი ნაკლებია, ვიდრე აპლიკაციები ელიან, და თქვენ იპოვეთ რეალური რეგრესია და არა კოსმეტიკური. შეადარეთ ეს შედეგი პირველ ნაბიჯში ჩაწერილ მოთხოვნებს და ხაზი გაიყვანეთ ექსპლუატაციიდან მხოლოდ მაშინ, როცა ამ აპლიკაციების მფლობელები გაზომვას მიიღებენ. სწორედ ეს ხელმოწერა აქცევს წარმატებულ ტესტს მიღებულ მიგრაციად.