Migrasi satu subnet ke terowong VPN baharu tanpa gangguan

Naikkan terowong baharu, alihkan satu subnet, dan subnet itu kini gagal berselang-seli sementara segala-galanya dalam keadaan sempurna. VPN yang separuh dimigrasikan gagal tepat begini, kerana terowong tidak pernah menjadi bahagian yang sukar. Laluan itu juga merangkumi laluan mana yang menang, pemilih mana yang sepadan, apa yang dibenarkan peraturan akses, bagaimana balasan kembali, dan sebarang terjemahan yang digunakan oleh reka bentuk lama. Alihkan terowong sahaja dan anda belum mengalihkan apa-apa daripadanya.

Terowong ialah separuh laluan yang mudah

Kegagalan berselang-seli selepas migrasi separa biasanya bermakna kedua-dua laluan sama-sama munasabah. Sesetengah aliran memilih terowong baharu, yang lain kekal dengan yang lama, dan peranti yang mengingati keadaan kemudian melihat balasan tiba melalui laluan yang tidak pernah digunakan oleh permintaan itu. Dua laluan tidak lebih selamat daripada satu secara automatik; ia dua perkara yang boleh tidak bersetuju. Perhatikan laporan goyangan dan bukan pembilang terowong, kerana pembilang akan kelihatan sihat sepanjang masa.

Soalan pertama yang berguna bukan terowong mana yang lebih baik. Iaitu aliran mana memilih laluan mana hari ini, dan sama ada permintaan dan balasan mendapat jawapan yang sama.

Bina destinasi sebelum anda mengutamakannya

Sahkan rakan sebaya serasi dan terowong baharu membawa skop alamat yang anda maksudkan. Tambah penghantaran dan kebenaran perkhidmatan yang diperlukannya semasa ia masih laluan yang tidak diutamakan, supaya pemotongan itu sendiri hanya mengubah pemilihan dan tiada yang lain.

Tanya tapak jauh bagaimana ia akan memulangkan trafik. Jika balasan masih keluar melalui terowong lama, laluan tempatan baharu menghasilkan asimetri atau gagal pada penapis yang mengingati keadaan. Terjemahan juga masuk dalam reka bentuk atas sebab yang sama: alamat sumber yang berubah turut mengubah laluan balik.

Potong secara sempit, dan ketahui jalan pulang

Namakan subnet yang tepat dan mekanisme yang disokong platform yang mengutamakan laluan atau pemilih baharunya. Definisi berasaskan dasar tidak sentiasa berkelakuan seperti metrik laluan, jadi baca peraturan dasar bertindih dalam pelaksanaan anda sebelum menganggap padanan yang lebih khusus menang.

Alihkan satu subnet, bukan satu tapak. Kekalkan akses pengurusan pada laluan yang tidak anda sentuh, dan tulis penggulungan sebelum anda menggunakan apa-apa: laluan atau dasar mana yang kembali, siapa yang melakukannya, dan bagaimana mereka kekal bersambung semasa melakukannya.

Asimetri dan keadaan basi

Tembok api dan peranti NAT mengingati antara muka yang digunakan oleh sesuatu aliran. Apabila permintaan dan balasan mengambil terowong berbeza, peranti boleh membuang balasan walaupun setiap laluan berfungsi sendiri. Uji dengan aliran yang anda buka selepas perubahan, kerana sesi yang telah terbentuk mungkin terus menggunakan laluan lama berjam-jam.

Jika alamat sumber yang diperhatikan telah berganjak, cari setiap dasar yang menamakan yang lama. Migrasi yang diam-diam menukar sumber melanggar peraturan yang tidak pernah dikelaskan oleh sesiapa sebagai sebahagian daripada reka bentuk VPN.

Buktikan kedua-dua jawapan, kemudian tarik balik dasar lama

Dari hos biasa pada subnet yang dimigrasikan, capai perkhidmatan yang dimaksudkan dan periksa sumber yang diperhatikan serta antara muka balasan. Kemudian uji rangkaian yang sepatutnya kekal pada terowong lama, kerana migrasi hanya selesai apabila kedua-dua jawapan betul. Ujian kedua itulah yang dilepaskan orang, dan itulah yang menangkap pemilih yang lebih luas daripada yang dimaksudkan.

Tarik balik dasar usang hanya apabila tiada lagi subnet yang bergantung padanya, dan catat laluan akhir bersama pemiliknya dalam inventori pemilih. Selesai bukanlah terowong baharu melaporkan ia hidup; selesai ialah setiap rangkaian mengikut laluan yang dimaksudkan.