Ką VPN perkėlimas turi išsaugoti iš privačios linijos

Privačias linijas lengva aprašyti ir sunku pakeisti, nes sutartis apėmė daugiau nei kabelį. Ji nešė perdavimą, adresų planą, delsos lūkestį ir palaikymo susitarimą, o ją pakeičiantis tunelis paveldi visus keturis, nesvarbu, ar kas nors juos užrašė. Perkėlimai žlunga, kai komanda nukopijuoja maršrutizavimo konfigūraciją ir likusią dalį pavadina eksploatavimo problema. Pradėkite nuo reikalavimų, tada įrodykite kiekvieną naujame kelyje, kol senasis dar neatšauktas.

Paverskite liniją savybių sąrašu

Pirmas klausimas – ką senoji paslauga iš tikrųjų perdavė: maršrutizuotą jungtį su nedideliu potinkliu, ar 2-ojo sluoksnio segmentą, bendrinamą tarp vietovių. Šis skirtumas nulemia, ar IP tunelis apskritai gali tai atkurti, nes tunelis perduoda paketus tarp dviejų adresų ir neperduoda transliacijos aptikimo ar savavališkų EtherTypes. Linija, kuri prisistatė kaip komutatoriaus prievadas, yra kitas perkėlimas nei linija, kuri prisistatė /30.

Užrašykite vietovių prefiksus, šliuzų adresus, programas, kurios įterpia adresus į savo konfigūraciją, ir prefiksus, kurie kažkur kitur aplinkoje persidengia. Adresų planas, kuris išlieka po perkėlimo, yra projektavimo rezultatas, o ne prielaida. Tie keturi sąrašai vėliau taps ir priėmimo kriterijais, todėl laikykite juos ten, kur testuotojai gali juos perskaityti.

Nukreipkite naują kelią abiem kryptimis

Pakilęs tunelis yra tik pusė kelio. Tolimajai pusei reikia grįžimo maršruto į kiekvieną vietinį prefiksą, o vietinė pusė turi teikti pirmenybę tuneliui tiems prefiksams, nevogdama srauto, kuris vis dar turi išeiti per internetą. Asimetriškas persiuntimas yra įprastas simptomas, kad viena iš tų pusių padaryta teisingai. Patikrinkite tolimosios pusės lentelę taip pat kruopščiai kaip savąją, nes grįžimo kelias yra tas, kurio niekas nesukonfigūravo.

ip route get 10.20.0.10

Politika pagrįstas maršrutizavimas padaro atskyrimą aiškų: pažymėkite srautą, priklausantį vietovių porai, ir duokite jam lentelę, kurios numatytoji reikšmė yra tunelis. IPsec teikia apsaugotą asociaciją ir politiką, kuri nusprendžia, kas į ją patenka, bet ne maršrutus aplink ją, kaip aprašo IPsec architektūra apskritai. Kai žymė sutampa per plačiai, įprastas vietovės žiniatinklio srautas taip pat patenka į tunelį ir išeina per netinkamą išėjimą.

Perjunkite su atsukimu, kurį jau išbandėte

Du gyvi keliai su skirtingais savininkais kviečia asimetrinį persiuntimą, todėl naująjį pakelkite apibrėžtame lange ir perkelkite prefiksus nurodyta tvarka. Palikite senąją liniją sukonfigūruotą ir turėkite už juostos esantį valdymo kelią, nepriklausantį nė nuo vieno tunelio. Perkelkite po vieną prefiksą ten, kur leidžia programos, ir tarp perkėlimų stebėkite sesijų lentelę.

Iš anksto nuspręskite, kokie įrodymai leidžia perjungti ir kokia sąlyga sukelia atsukimą. Atsukimas, kuris reikalauja suremontuoti naują VPN per nepavykusį ryšį, nėra atsukimas. Suformuluokite suaktyvinimo sąlygą kaip išmatuojamą sąlygą, o ne kaip jausmą patalpoje.

Priimkite su srautu, kurį linija iš tikrųjų nešė

Ping įrodo pasiekiamumą ir nedaug ką daugiau. Išbandykite vardų skiriamąją gebą, ilgalaikes sesijas, atmestus srautus ir paketų dydžius, kuriuos senasis kelias apdorodavo be fragmentacijos. MTU yra vieta, kur tuneliai dažniausiai skiriasi nuo linijos, nes inkapsuliavimas sunaudoja baitus, kuriuos programa laikė prieinamais. Išmatuokite didžiausią naudingąją apkrovą, kuri praeina be fragmentacijos abiem kryptimis, ne tik link serverio.

ping -M do -s 1400 -c 3 10.20.0.10

Jei 1400 baitų apkrova praeina, o 1472 ne, kelio maksimumas mažesnis, nei tikisi programos, ir radote tikrą regresiją, o ne kosmetinę. Palyginkite šį rezultatą su pirmame žingsnyje užrašytais reikalavimais ir linijos atsisakykite tik tada, kai tų programų savininkai priims matavimą. Būtent šis parašas paverčia sėkmingą testą priimtu perkėlimu.