VPN 전환이 전용 회선에서 지켜야 할 것

전용 회선은 계약이 케이블보다 많은 것을 담고 있었기에 설명하기 쉽고 교체하기 어렵습니다. 회선은 인계 지점, 주소 계획, 지연 시간에 대한 기대, 지원 체계를 실어 날랐고, 이를 대체하는 터널은 누가 그것을 적어 두었든 아니든 네 가지를 모두 물려받습니다. 전환이 실패하는 것은 팀이 라우팅 구성을 복사하고 나머지를 운영 문제라고 부를 때입니다. 요구 사항에서 시작하고, 기존 회선을 해지하기 전에 새 경로에서 하나씩 증명하십시오.

회선을 속성 목록으로 바꾸십시오

첫 번째 질문은 기존 서비스가 실제로 무엇을 인계했는가, 즉 작은 서브넷을 가진 라우팅 링크인지 사이트 간에 공유되는 2계층 세그먼트인지입니다. 터널은 두 주소 사이로 패킷을 실어 나르고 브로드캐스트 탐색이나 임의의 EtherTypes는 실어 나르지 않으므로, 이 차이가 IP 터널이 그것을 재현할 수 있는지를 결정합니다. 스스로 스위치 포트로 제시한 회선은 /30을 제시한 회선과 다른 마이그레이션입니다.

사이트 프리픽스, 게이트웨이 주소, 자체 구성에 주소를 내장하는 애플리케이션, 환경 어딘가에서 겹치는 프리픽스를 적어 두십시오. 마이그레이션을 견디는 주소 계획은 설계 결과물이지 가정이 아닙니다. 그 네 목록은 나중에 수용 기준이 되므로 테스터가 읽을 수 있는 곳에 보관하십시오.

새 경로를 양방향으로 라우팅하십시오

올라오는 터널은 경로의 절반일 뿐입니다. 반대편에는 모든 로컬 프리픽스로 돌아가는 경로가 필요하고, 로컬 쪽은 인터넷으로 나가야 할 트래픽을 빼앗지 않으면서 그 프리픽스에 대해 터널을 우선해야 합니다. 비대칭 포워딩은 그 절반 중 하나만 제대로 했을 때 나타나는 전형적인 증상입니다. 돌아오는 경로는 아무도 구성하지 않았으므로 반대편의 테이블도 자기 것만큼 주의 깊게 확인하십시오.

ip route get 10.20.0.10

정책 라우팅은 사이트 쌍에 속한 트래픽을 표시하고 기본값이 터널인 테이블을 주는 방식으로 분리를 명시적으로 만듭니다. IPsec은 보호된 연결과 무엇이 그 안으로 들어가는지를 결정하는 정책을 제공하지만 그 주변의 경로는 제공하지 않으며, 이 점은 IPsec 아키텍처가 설명하는 바와 같습니다. 표시가 너무 넓게 일치하면 사이트의 일반 웹 트래픽도 터널로 들어가 잘못된 출구로 나갑니다.

이미 시험한 롤백과 함께 전환하십시오

소유자가 다른 두 개의 살아 있는 경로는 비대칭 포워딩을 부르므로 새 경로를 정해진 창 안에서 올리고 프리픽스를 선언된 순서로 옮기십시오. 기존 회선은 구성을 유지하고 두 터널 어느 쪽에도 의존하지 않는 대역 외 관리 경로를 확보하십시오. 애플리케이션이 허용하는 범위에서 한 번에 하나의 프리픽스를 옮기고, 옮길 때마다 세션 테이블을 보십시오.

어떤 증거가 전환을 승인하고 어떤 조건이 롤백을 촉발하는지 미리 정하십시오. 실패한 연결을 통해 새 VPN을 수리해야 하는 롤백은 롤백이 아닙니다. 촉발 조건은 방 안의 느낌이 아니라 측정 가능한 조건으로 서술하십시오.

회선이 실제로 실어 날랐던 트래픽으로 검수하십시오

Ping은 도달 가능성만 증명하고 그 밖에는 거의 증명하지 못합니다. 이름 해석, 장시간 세션, 거부된 흐름, 그리고 기존 경로가 단편화 없이 처리했던 패킷 크기를 시험하십시오. 터널이 회선과 가장 자주 달라지는 지점은 MTU이며, 캡슐화가 애플리케이션이 사용 가능하다고 가정한 바이트를 소비하기 때문입니다. 서버 방향만이 아니라 양방향에서 단편화 없이 통과하는 가장 큰 페이로드를 측정하십시오.

ping -M do -s 1400 -c 3 10.20.0.10

1400바이트 페이로드가 통과하고 1472가 통과하지 않는다면 경로 최대값이 애플리케이션이 기대하는 것보다 작으며, 미용상의 문제가 아니라 실제 회귀를 찾은 것입니다. 그 결과를 첫 단계에서 적은 요구 사항과 비교하고, 해당 애플리케이션 소유자가 측정을 받아들일 때에만 회선을 폐기하십시오. 그 서명이 성공한 시험을 승인된 마이그레이션으로 바꿉니다.