VPN-ге көшу жеке желіден нені сақтауы керек

Жеке желілерді сипаттау оңай, ал ауыстыру қиын, өйткені шарт кабельден көбірек нәрсені қамтыды. Ол өткізу нүктесін, мекенжай жоспарын, кідіріс күтуін және қолдау келісімін алып жүрді, ал оны алмастыратын туннель төртеуін де мұраға алады, біреу оларды жазды ма, жоқ па, оған қарамастан. Ауысулар команда маршруттау конфигурациясын көшіріп, қалғанын операциялық мәселе деп атағанда сәтсіз болады. Талаптардан бастаңыз, содан кейін ескісі тоқтатылмай тұрып, әрқайсысын жаңа жолда дәлелдеңіз.

Желіні қасиеттер тізіміне айналдырыңыз

Бірінші сұрақ — ескі қызмет шын мәнінде нені тапсырды: шағын ішкі желісі бар маршрутталған байланыс па, әлде сайттар арасында бөлісетін 2-қабат сегменті ме. Бұл айырмашылық IP туннелі оны мүлдем қайта жаңғырта алатынын шешеді, өйткені туннель пакеттерді екі мекенжай арасында тасымалдайды және тарату арқылы табуды немесе ерікті EtherTypes тасымалдамайды. Өзін коммутатор порты ретінде ұсынған желі /30 ұсынған желіден өзгеше көші-қон болып табылады.

Сайт префикстерін, шлюз мекенжайларын, мекенжайларды өз конфигурациясына енгізетін қолданбаларды және ортаның басқа жерінде қабаттасатын префикстерді жазыңыз. Көші-қоннан аман қалған мекенжай жоспары — дизайн нәтижесі, болжам емес. Осы төрт тізім кейін қабылдау критерийлеріне де айналады, сондықтан оларды тексерушілер оқи алатын жерде ұстаңыз.

Жаңа жолды екі бағытта да маршруттаңыз

Көтерілген туннель — жолдың жартысы ғана. Алыс жаққа әрбір жергілікті префикске қайту маршруты керек, ал жергілікті жақ интернет арқылы шығуы тиіс трафикті ұрламай, сол префикстер үшін туннельді артық көруі керек. Асимметриялық жіберу — осы жартылардың бірі дұрыс жасалғанының әдеттегі белгісі. Алыс жақтың кестесін өзіңіздікіндей мұқият тексеріңіз, өйткені қайту жолы — ешкім конфигурацияламаған жол.

ip route get 10.20.0.10

Саясатқа негізделген маршруттау бөлуді айқын етеді: сайт жұбына жататын трафикті белгілеп, оған әдепкісі туннель болатын кесте беріңіз. IPsec қорғалған ассоциацияны және оған не кіретінін шешетін саясатты ұсынады, бірақ оның айналасындағы маршруттарды емес, IPsec архитектурасы түгел сипаттағандай. Белгі тым кең сәйкес келгенде, сайттың қарапайым веб-трафигі де туннельге кіріп, қате шығу жолымен шығады.

Сіз бұрын сынаған кері қайтарумен ауысыңыз

Әр түрлі иелері бар екі тірі жол асимметриялық жіберуді шақырады, сондықтан жаңасын белгіленген терезе ішінде көтеріп, префикстерді жарияланған ретпен жылжытыңыз. Ескі желіні конфигурацияланған күйде қалдырыңыз және екі туннельге де тәуелді емес жолақтан тыс басқару жолын ұстаңыз. Қолданбалар рұқсат еткен жерде бір уақытта бір префиксті жылжытыңыз және жылжытулар арасында сессиялар кестесін қараңыз.

Қандай дәлел ауысуды рұқсат ететінін және қандай шарт кері қайтаруды іске қосатынын алдын ала шешіңіз. Жаңа VPN-ді сәтсіз қосылым арқылы жөндеуді талап ететін кері қайтару — кері қайтару емес. Триггерді бөлмедегі сезім ретінде емес, өлшенетін шарт ретінде тұжырымдаңыз.

Желі шын мәнінде алып жүрген трафикпен қабылдаңыз

Ping қолжетімділікті дәлелдейді, одан басқаны аз. Атауларды шешуді, ұзақ сессияларды, қабылданбаған ағындарды және ескі жол фрагментациясыз өңдеген пакет өлшемдерін сынаңыз. MTU — туннельдер желіден жиі ерекшеленетін жер, өйткені инкапсуляция қолданба қолжетімді деп есептеген байттарды жұмсайды. Екі бағытта да фрагментациясыз өтетін ең үлкен пайдалы жүктемені өлшеңіз, тек серверге қарай емес.

ping -M do -s 1400 -c 3 10.20.0.10

Егер 1400 байттық жүктеме өтіп, 1472 өтпесе, жолдың максимумы қолданбалар күткеннен кіші, және сіз косметикалық емес, нақты регрессия таптыңыз. Бұл нәтижені бірінші қадамда жазылған талаптармен салыстырыңыз және желіні тек сол қолданбалардың иелері өлшеуді қабылдағанда ғана пайдаланудан шығарыңыз. Дәл сол қолтаңба сәтті тесті қабылданған көші-қонға айналдырады.