VPNге өтүү жеке линиядан эмнени сакташы керек

Жеке линияларды сүрөттөө оңой, ал эми алмаштыруу кыйын, анткени келишим кабелден көбүрөөк нерсени камтыган. Ал өткөрүү пунктун, дарек планын, кечигүү күтүүсүн жана колдоо келишимин алып жүрдү, ал эми аны алмаштырган туннель төртөөнү тең мураска алат, бирөө аларды жазып койдубу же жокпу, ага карабастан. Өтүүлөр команда маршруттоо конфигурациясын көчүрүп, калганын операциялык маселе деп атаганда ийгиликсиз болот. Талаптардан баштаңыз, анан эскиси жокко чыгарылганга чейин ар бирин жаңы жолдо далилдеңиз.

Линияны касиеттер тизмесине айландырыңыз

Биринчи суроо — эски кызмат чындыгында эмнени өткөрүп берди: кичине ички тармагы бар маршрутталган байланышпы, же сайттар ортосунда бөлүшүлгөн 2-катмар сегментиби. Бул айырма IP туннели аны такыр кайра жарата аларын чечет, анткени туннель пакеттерди эки дарек ортосунда ташыйт жана трансляциялык изилдөөнү же каалаган EtherTypes ташыбайт. Өзүн коммутатор порту катары көрсөткөн линия /30 көрсөткөн линиядан башка миграция болуп саналат.

Сайт префикстерин, шлюз даректерин, даректерди өз конфигурациясына киргизген колдонмолорду жана чөйрөнүн башка жеринде кабатташкан префикстерди жазыңыз. Миграциядан аман калган дарек планы — дизайндын натыйжасы, божомол эмес. Ошол төрт тизме кийин кабыл алуу критерийлерине да айланат, ошондуктан аларды текшерүүчүлөр окуй алган жерде сактаңыз.

Жаңы жолду эки багытта тең маршруттаңыз

Көтөрүлгөн туннель — жолдун жарымы гана. Алыскы тарапка ар бир жергиликтүү префикске кайтуу маршруту керек, ал эми жергиликтүү тарап интернет аркылуу чыгуучу трафикти уурдабастан, ошол префикстер үчүн туннелди артык көрүшү керек. Асимметриялык жиберүү — ошол жарымдардын бири туура жасалганынын кадимки белгиси. Алыскы тараптын таблицасын өзүңүздүкүндөй кылдат текшериңиз, анткени кайтуу жолу — эч ким конфигурациялаган жок жол.

ip route get 10.20.0.10

Саясатка негизделген маршруттоо бөлүнүүнү ачык кылат: сайт жубуна таандык трафикти белгилеп, ага демейкиси туннель болгон таблица бериңиз. IPsec корголгон ассоциацияны жана ага эмне кирерин чечүүчү саясатты сунуштайт, бирок анын айланасындагы маршруттарды эмес, IPsec архитектурасы толук сүрөттөгөндөй. Белги өтө кенен дал келгенде, сайттын кадимки веб-трафиги да туннелге кирип, туура эмес чыгуу жолу менен чыгат.

Мурун сынап көргөн артка кайтаруу менен которуңуз

Ар башка ээлери бар эки тирүү жол асимметриялык жиберүүнү чакырат, ошондуктан жаңысын белгиленген терезе ичинде көтөрүп, префикстерди жарыяланган тартипте жылдырыңыз. Эски линияны конфигурацияланган бойдон калтырыңыз жана эки туннелдин бирине да көз каранды эмес тилкеден тышкаркы башкаруу жолун кармаңыз. Колдонмолор уруксат берген жерде бир убакта бир префиксти жылдырыңыз жана жылдыруулардын ортосунда сессиялар таблицасын караңыз.

Кайсы далил которууга укук берерин жана кайсы шарт артка кайтарууну баштаарын алдын ала чечиңиз. Жаңы VPNди ийгиликсиз байланыш аркылуу оңдоону талап кылган артка кайтаруу — артка кайтаруу эмес. Триггерди бөлмөдөгү сезим катары эмес, өлчөнүүчү шарт катары туюндуруңуз.

Линия чындыгында алып жүргөн трафик менен кабыл алыңыз

Ping жеткиликтүүлүктү далилдейт, андан башканы аз. Аттарды чечүүнү, узак сессияларды, четке кагылган агымдарды жана эски жол фрагментациясыз иштеген пакет өлчөмдөрүн сынаңыз. MTU — туннелдер линиядан эң көп айырмаланган жер, анткени инкапсуляция колдонмо жеткиликтүү деп эсептеген байттарды сарптайт. Эки багытта тең фрагментациясыз өткөн эң чоң пайдалуу жүктү өлчөңүз, сервер тарапка гана эмес.

ping -M do -s 1400 -c 3 10.20.0.10

Эгер 1400 байттык жүк өтүп, 1472 өтпөсө, жолдун максимуму колдонмолор күткөндөн кичине, жана сиз косметикалык эмес, реалдуу регрессия таптыңыз. Бул жыйынтыкты биринчи кадамда жазылган талаптар менен салыштырыңыз жана линияны ошол колдонмолордун ээлери өлчөөнү кабыл алганда гана пайдалануудан чыгарыңыз. Дал ошол кол тамга ийгиликтүү тестти кабыл алынган миграцияга айландырат.