Wat een VPN-overgang van een particuliere lijn moet behouden

Particuliere lijnen zijn makkelijk te beschrijven en moeilijk te vervangen, omdat het contract meer dan een kabel dekte. De lijn droeg een overdracht, een adresplan, een latentieverwachting en een supportafspraak, en de tunnel die hem vervangt erft alle vier, of iemand ze nu opschreef of niet. Overgangen mislukken wanneer het team de routingconfiguratie kopieert en de rest een operationeel probleem noemt. Begin bij de eisen en bewijs ze daarna elk op het nieuwe pad voordat het oude wordt opgezegd.

Maak van de lijn een lijst met eigenschappen

De eerste vraag is wat de oude dienst werkelijk overdroeg: een gerouteerde verbinding met een klein subnet, of een layer 2-segment dat tussen locaties wordt gedeeld. Dat onderscheid bepaalt of een IP-tunnel het helemaal kan nabootsen, want een tunnel draagt pakketten tussen twee adressen en draagt geen broadcast-ontdekking of willekeurige EtherTypes. Een lijn die zich presenteerde als een switchpoort is een andere migratie dan een die een /30 presenteerde.

Noteer de locatieprefixen, de gatewayadressen, de applicaties die adressen in hun eigen configuratie opnemen en de prefixen die elders in de omgeving overlappen. Een adresplan dat de migratie overleeft is een ontwerpresultaat, geen aanname. Die vier lijsten worden later ook acceptatiecriteria, dus bewaar ze waar de testers ze kunnen lezen.

Routeer het nieuwe pad in beide richtingen

Een tunnel die opkomt is maar de helft van een pad. De andere kant heeft een route terug nodig naar elk lokaal prefix, en de lokale kant moet de tunnel voor die prefixen verkiezen zonder verkeer te stelen dat nog via het internet naar buiten moet. Asymmetrische doorsturing is het gebruikelijke symptoom van het goed doen van een van die helften. Inspecteer de tabel van de andere kant net zo zorgvuldig als de uwe, want de retourroute is degene die niemand configureerde.

ip route get 10.20.0.10

Beleidsroutering maakt de splitsing expliciet: markeer het verkeer dat bij het locatiepaar hoort en geef het een tabel waarvan de standaard de tunnel is. IPsec levert de beschermde associatie en het beleid dat bepaalt wat erin komt, maar niet de routes eromheen, zoals de IPsec-architectuur beschrijft. Wanneer de markering te breed overeenkomt, komt ook gewoon webverkeer van de locatie in de tunnel en verlaat die via de verkeerde uitgang.

Schakel over met een terugdraai die u al heeft getest

Twee levende paden met verschillende eigenaren nodigen uit tot asymmetrische doorsturing, dus breng het nieuwe binnen een vastgesteld venster op en verplaats prefixen in een aangekondigde volgorde. Laat de oude lijn geconfigureerd en houd een out-of-band beheerpad aan dat van geen van beide tunnels afhangt. Verplaats één prefix tegelijk waar de applicaties het toelaten, en kijk tussen de verplaatsingen naar de sessietabel.

Bepaal vooraf welk bewijs de omschakeling autoriseert en welke voorwaarde de terugdraai activeert. Een terugdraai die vereist dat het nieuwe VPN via de mislukte verbinding wordt gerepareerd, is geen terugdraai. Formuleer de trigger als een meetbare voorwaarde en niet als een gevoel in de ruimte.

Accepteer met het verkeer dat de lijn werkelijk droeg

Ping bewijst bereikbaarheid en weinig meer. Test naamresolutie, de langdurige sessies, de geweigerde stromen en de pakketgroottes die het oude pad zonder fragmentatie aankon. MTU is waar tunnels het vaakst van een lijn verschillen, omdat inkapseling bytes verbruikt die de applicatie als beschikbaar aannam. Meet de grootste payload die zonder fragmentatie in beide richtingen doorkomt, niet alleen naar de server.

ping -M do -s 1400 -c 3 10.20.0.10

Als een payload van 1400 bytes doorkomt en 1472 niet, is het maximum van het pad kleiner dan de applicaties verwachten en heeft u een echte regressie gevonden, geen cosmetische. Vergelijk dat resultaat met de eisen die in de eerste stap zijn opgeschreven, en neem de lijn alleen uit gebruik wanneer de eigenaren van die applicaties de meting accepteren. Die signatuur is wat een geslaagde test in een geaccepteerde migratie verandert.