Што мора да сочува преминот на VPN од приватна линија

Приватните линии лесно се опишуваат и тешко се заменуваат, зашто договорот покриваше повеќе од кабел. Носеше предавање, план за адреси, очекување за доцнење и договор за поддршка, а тунелот што го заменува наследува сите четири, без разлика дали некој ги запишал. Премините пропаѓаат кога тимот ја копира конфигурацијата за рутирање и остатокот го нарекува оперативен проблем. Започнете од барањата, потоа докажете го секое на новиот пат пред стариот да биде откажан.

Претворете ја линијата во список на својства

Првото прашање е што старата услуга всушност предала: рутирана врска со мала подмрежа или сегмент од ниво 2 што се дели меѓу локациите. Таа разлика одлучува дали IP тунелот воопшто може да го репродуцира, зашто тунелот пренесува пакети меѓу две адреси и не пренесува откривање преку broadcast ниту произволни EtherTypes. Линија што се претставила како порта на комутатор е друга миграција од линија што претставила /30.

Запишете ги префиксите на локациите, адресите на портите, апликациите што вградуваат адреси во сопствената конфигурација и префиксите што се преклопуваат некаде другде во околината. Планот за адреси што ја преживува миграцијата е резултат од проектирање, а не претпоставка. Тие четири списоци подоцна стануваат и критериуми за прифаќање, затоа чувајте ги таму каде тестувачите можат да ги прочитаат.

Насочете го новиот пат во двата правци

Тунел што се крева е само половина пат. Далечната страна има потреба од рута назад до секој локален префикс, а локалната страна треба да го претпочита тунелот за тие префикси без да краде сообраќај што треба се уште да излезе преку интернет. Асиметричното препраќање е вообичаениот симптом дека една од тие половини е направена правилно. Прегледајте ја табелата на далечната страна исто толку внимателно како својата, зашто повратниот пат е тој што никој не го конфигурирал.

ip route get 10.20.0.10

Рутирањето по политика го прави разделувањето експлицитно: означете го сообраќајот што ѝ припаѓа на двојката локации и дајте му табела чие стандардно одредиште е тунелот. IPsec ја обезбедува заштитената асоцијација и политиката што одлучува што влегува во неа, но не и рутите околу неа, како што архитектурата на IPsec опишува. Кога ознаката се совпаѓа премногу широко, обичниот веб-сообраќај од локацијата исто така влегува во тунелот и излегува низ погрешниот излез.

Префрлете се со враќање што веќе сте го тестирале

Два живи пата со различни сопственици покануваат асиметрично препраќање, затоа кренете го новиот во определен прозорец и преместувајте префикси во објавен ред. Оставете ја старата линија конфигурирана и задржете вонпојасен пат за управување што не зависи од ниту еден од двата тунели. Преместувајте по еден префикс каде апликациите дозволуваат и набљудувајте ја табелата на сесии меѓу преместувањата.

Одлучете однапред кои докази го одобруваат префрлањето и кој услов го активира враќањето. Враќање што бара поправка на новиот VPN преку неуспешната врска не е враќање. Формулирајте го активаторот како мерлив услов, а не како чувство во просторијата.

Приемете го со сообраќајот што линијата навистина го носеше

Ping докажува достапност и малку друго. Тестирајте разрешување на имиња, долготрајните сесии, одбиените текови и големините на пакетите што стариот пат ги обработуваше без фрагментација. MTU е местото каде тунелите најчесто се разликуваат од линија, зашто инкапсулацијата троши бајти што апликацијата ги сметаше за достапни. Измерете го најголемиот корисен товар што поминува без фрагментација во двата правци, не само кон серверот.

ping -M do -s 1400 -c 3 10.20.0.10

Ако товар од 1400 бајти поминува, а 1472 не, максимумот на патот е помал отколку што апликациите очекуваат и најдовте вистинска регресија, а не козметичка. Споредете го тој резултат со барањата запишани во првиот чекор и повлечете ја линијата само кога сопствениците на тие апликации ќе го прифатат мерењето. Токму тој потпис го претвора успешниот тест во прифатена миграција.