Kas VPN pārejai jāsaglabā no privātas līnijas

Privātas līnijas ir viegli aprakstīt un grūti aizstāt, jo līgums aptvēra vairāk nekā kabeli. Tā nesa nodošanu, adrešu plānu, latentuma gaidu un atbalsta vienošanos, un to aizstājošais tunelis manto visus četrus, neatkarīgi no tā, vai kāds tos pierakstīja. Pārejas neizdodas, kad komanda nokopē maršrutēšanas konfigurāciju un pārējo nosauc par ekspluatācijas problēmu. Sāciet ar prasībām, tad pierādiet katru jaunajā ceļā, pirms vecais tiek atcelts.

Pārvērtiet līniju īpašību sarakstā

Pirmais jautājums ir, ko vecais pakalpojums patiešām nodeva: maršrutētu savienojumu ar mazu apakštīklu vai 2-slāņa segmentu, kas tiek koplietots starp vietām. Šī atšķirība nosaka, vai IP tunelis to vispār var atveidot, jo tunelis pārvieto paketes starp divām adresēm un nepārvieto apraides atklāšanu vai patvaļīgus EtherTypes. Līnija, kas sevi pasniedza kā komutatora portu, ir cita pāreja nekā līnija, kas pasniedza /30.

Pierakstiet vietu prefiksus, vārtejas adreses, lietojumprogrammas, kas iekļauj adreses savā konfigurācijā, un prefiksus, kas kaut kur citur vidē pārklājas. Adrešu plāns, kas pārdzīvo pāreju, ir projektēšanas rezultāts, nevis pieņēmums. Šie četri saraksti vēlāk kļūst arī par pieņemšanas kritērijiem, tāpēc turiet tos tur, kur testētāji var tos izlasīt.

Maršrutējiet jauno ceļu abos virzienos

Tunelis, kas paceļas, ir tikai puse ceļa. Attālajai pusei vajag atgriešanās maršrutu uz katru vietējo prefiksu, un vietējai pusei jādod priekšroka tunelim šiem prefiksiem, nezogot trafiku, kam vēl jāiziet caur internetu. Asimetriska pāradresācija ir parastais simptoms, ka viena no šīm pusēm ir izdarīta pareizi. Pārbaudiet attālās puses tabulu tikpat rūpīgi kā savējo, jo atgriešanās ceļš ir tas, ko neviens nav konfigurējis.

ip route get 10.20.0.10

Uz politiku balstīta maršrutēšana padara sadalījumu skaidru: atzīmējiet trafiku, kas pieder vietu pārim, un dodiet tam tabulu, kuras noklusējums ir tunelis. IPsec nodrošina aizsargāto asociāciju un politiku, kas izlemj, kas tajā iekļūst, bet ne maršrutus ap to, kā apraksta IPsec arhitektūra kopumā. Kad atzīme sakrīt pārāk plaši, vietas parastais tīmekļa trafiks arī iekļūst tunelī un iziet pa nepareizo izeju.

Pārslēdzieties ar atritināšanu, ko jau esat pārbaudījuši

Divi dzīvi ceļi ar dažādiem īpašniekiem aicina uz asimetrisku pāradresāciju, tāpēc paceliet jauno noteiktā logā un pārvietojiet prefiksus paziņotā secībā. Atstājiet veco līniju konfigurētu un saglabājiet ārpusjoslas pārvaldības ceļu, kas nav atkarīgs no neviena no abiem tuneļiem. Pārvietojiet vienu prefiksu reizē, kur lietojumprogrammas to atļauj, un starp pārvietošanām vērojiet sesiju tabulu.

Iepriekš izlemiet, kādi pierādījumi atļauj pārslēgšanu un kāds nosacījums izraisa atritināšanu. Atritināšana, kas prasa salabot jauno VPN caur neizdevušos savienojumu, nav atritināšana. Formulējiet aktivizētāju kā izmērāmu nosacījumu, nevis kā sajūtu telpā.

Pieņemiet ar trafiku, ko līnija patiešām nesa

Ping pierāda sasniedzamību un maz ko citu. Pārbaudiet vārdu izšķiršanu, ilgstošās sesijas, noraidītās plūsmas un pakešu izmērus, ko vecais ceļš apstrādāja bez fragmentācijas. MTU ir vieta, kur tuneļi visbiežāk atšķiras no līnijas, jo iekapsulēšana patērē baitus, ko lietojumprogramma uzskatīja par pieejamiem. Izmēriet lielāko lietderīgo slodzi, kas iziet bez fragmentācijas abos virzienos, ne tikai uz serveri.

ping -M do -s 1400 -c 3 10.20.0.10

Ja 1400 baitu slodze iziet un 1472 neiziet, ceļa maksimums ir mazāks, nekā lietojumprogrammas gaida, un jūs esat atraduši īstu regresiju, nevis kosmētisku. Salīdziniet šo rezultātu ar pirmajā solī pierakstītajām prasībām un līniju izņemiet no ekspluatācijas tikai tad, kad šo lietojumprogrammu īpašnieki pieņem mērījumu. Tieši šis paraksts pārvērš veiksmīgu testu pieņemtā pārejā.