Hva en VPN-overgang må bevare fra en privat linje

Private linjer er enkle å beskrive og vanskelige å erstatte, fordi kontrakten dekket mer enn en kabel. Den bar en overlevering, en adresseplan, en forventning om latenstid og en støtteavtale, og tunnelen som erstatter den arver alle fire, uansett om noen skrev dem ned. Overganger feiler når teamet kopierer rutekonfigurasjonen og kaller resten et driftsproblem. Start med kravene, og bevis deretter hvert enkelt på den nye veien før den gamle sies opp.

Gjør linjen om til en liste over egenskaper

Det første spørsmålet er hva den gamle tjenesten faktisk overleverte: en rutet lenke med et lite subnett, eller et lag 2-segment som deles mellom steder. Den forskjellen avgjør om en IP-tunnel i det hele tatt kan gjenskape den, fordi en tunnel frakter pakker mellom to adresser og ikke frakter kringkastingssøk eller vilkårlige EtherTypes. En linje som presenterte seg som en svitsjport, er en annen migrering enn en som presenterte et /30.

Skriv ned stedsprefiksene, gateway-adressene, applikasjonene som legger inn adresser i sin egen konfigurasjon, og prefiksene som overlapper et annet sted i miljøet. En adresseplan som overlever migreringen er et designresultat, ikke en antakelse. De fire listene blir også akseptansekriterier senere, så oppbevar dem der testene kan lese dem.

Rut den nye veien i begge retninger

En tunnel som kommer opp er bare halve veien. Den fjerne siden trenger en rute tilbake til hvert lokale prefiks, og den lokale siden må foretrekke tunnelen for disse prefiksene uten å stjele trafikk som fortsatt skal ut via internett. Asymmetrisk videresending er det vanlige symptomet på at en av de halvdelene er riktig. Undersøk tabellen på den fjerne siden like nøye som din egen, fordi returveien er den ingen konfigurerte.

ip route get 10.20.0.10

Policy-ruting gjør delingen eksplisitt: merk trafikken som hører til stedsparet og gi den en tabell der standarden er tunnelen. IPsec leverer den beskyttede assosiasjonen og policyen som avgjør hva som kommer inn i den, men ikke rutene rundt den, slik IPsec-arkitekturen beskriver. Når merket treffer for bredt, går vanlig webtrafikk fra stedet også inn i tunnelen og ut gjennom feil utgang.

Bytt med en tilbakerulling du allerede har testet

To levende veier med ulike eiere inviterer til asymmetrisk videresending, så ta den nye opp innenfor et definert vindu og flytt prefikser i en oppgitt rekkefølge. Hold den gamle linjen konfigurert og hold en utenombånds administrasjonsvei som ikke avhenger av noen av tunnelene. Flytt ett prefiks om gangen der applikasjonene tillater det, og følg med på sesjonstabellen mellom flyttingene.

Bestem på forhånd hvilke bevis som autoriserer byttet og hvilken betingelse som utløser tilbakerullingen. En tilbakerulling som krever at den nye VPN-en repareres gjennom den mislykkede forbindelsen, er ikke en tilbakerulling. Formuler utløseren som en målbar betingelse og ikke som en følelse i rommet.

Godta med trafikken linjen faktisk bar

Ping beviser nåbarhet og lite annet. Test navneoppslag, de langvarige sesjonene, de avviste strømmene og pakkestørrelsene den gamle veien håndterte uten fragmentering. MTU er der tunnelene oftest skiller seg fra en linje, fordi innkapsling bruker byte applikasjonen antok var tilgjengelige. Mål den største nyttelasten som passerer uten fragmentering i begge retninger, ikke bare mot serveren.

ping -M do -s 1400 -c 3 10.20.0.10

Hvis en nyttelast på 1400 byte passerer og 1472 ikke, er maksimumet på veien mindre enn applikasjonene forventer, og du har funnet en reell regresjon, ikke en kosmetisk. Sammenlign resultatet med kravene som ble skrevet i første trinn, og nedlegg linjen bare når eierne av disse applikasjonene godtar målingen. Den signaturen er det som gjør en vellykket test om til en godkjent migrering.