Kva ein VPN-overgang må ta vare på frå ei privat linje

Private linjer er enkle å skildre og vanskelege å erstatte, fordi kontrakten dekte meir enn ein kabel. Ho bar ei overlevering, ein adresseplan, ei forventing om latenstid og ein støtteavtale, og tunnelen som erstattar henne arvar alle fire, same kven som skreiv dei ned. Overgangar fell når teamet kopierer rutekonfigurasjonen og kallar resten eit driftsproblem. Start med krava, og prov deretter kvart einskilt på den nye vegen før den gamle blir sagd opp.

Gjer linja om til ei liste over eigenskapar

Det første spørsmålet er kva den gamle tenesta faktisk overleverte: ei rutta lenkje med eit lite subnett, eller eit lag 2-segment som blir delt mellom stader. Den skilnaden avgjer om ein IP-tunnel i det heile kan gjenskape henne, fordi ein tunnel fraktar pakkar mellom to adresser og fraktar ikkje kringkastingssøk eller vilkårlege EtherTypes. Ei linje som presenterte seg som ein svitsjport, er ein annan migrasjon enn ei som presenterte eit /30.

Skriv ned stadsprefiksa, gateway-adressene, applikasjonane som legg inn adresser i sin eigen konfigurasjon, og prefiksa som overlappar ein annan stad i miljøet. Ein adresseplan som overlever migreringa er eit designresultat, ikkje ei antaking. Dei fire listene blir også akseptkriterium seinare, så oppbevar dei der testarane kan lese dei.

Rutt den nye vegen i begge retningar

Ein tunnel som kjem opp er berre halve vegen. Den fjerne sida treng ei rute tilbake til kvart lokale prefiks, og den lokale sida må føretrekkje tunnelen for desse prefiksa utan å stele trafikk som framleis skal ut via internett. Asymmetrisk vidaresending er det vanlege symptomet på at ein av dei halvdelane er riktig. Undersøk tabellen på den fjerne sida like nøye som din eigen, fordi returvegen er den ingen konfigurerte.

ip route get 10.20.0.10

Policy-ruting gjer delinga eksplisitt: merk trafikken som høyrer til stadsparet og gi han ein tabell der standarden er tunnelen. IPsec leverer den verna assosiasjonen og policyen som avgjer kva som kjem inn i han, men ikkje rutene rundt han, slik IPsec-arkitekturen skildrar. Når merket treff for breitt, går vanleg netttrafikk frå staden også inn i tunnelen og ut gjennom feil utgang.

Byt med ei tilbakerulling du allereie har testa

To levande vegar med ulike eigarar inviterer til asymmetrisk vidaresending, så ta den nye opp innanfor eit definert vindauge og flytt prefiks i ei oppgitt rekkjefølgje. Hald den gamle linja konfigurert og hald ein utanombands administrasjonsveg som ikkje er avhengig av nokon av tunnelane. Flytt eitt prefiks om gongen der applikasjonane tillèt det, og følg med på sesjonstabellen mellom flyttingane.

Avgjer på førehand kva bevis som autoriserer bytet og kva vilkår som utløyser tilbakerullinga. Ei tilbakerulling som krev at den nye VPN-en blir reparert gjennom den mislukka sambindinga, er ikkje ei tilbakerulling. Formuler utløysaren som eit målbart vilkår og ikkje som ei kjensle i rommet.

Godta med trafikken linja faktisk bar

Ping beviser nåbarheit og lite anna. Test namneoppslag, dei langvarige sesjonane, dei avviste straumane og pakkestorleikane den gamle vegen handterte utan fragmentering. MTU er der tunnelane oftast skil seg frå ei linje, fordi innkapsling brukar byte applikasjonen antok var tilgjengelege. Mål den største nyttelasta som passerer utan fragmentering i begge retningar, ikkje berre mot tenaren.

ping -M do -s 1400 -c 3 10.20.0.10

Viss ei nyttelast på 1400 byte passerer og 1472 ikkje, er maksimumet på vegen mindre enn applikasjonane ventar, og du har funne ein reell regresjon, ikkje ein kosmetisk. Samanlikn resultatet med krava som vart skrivne i første trinn, og legg ned linja berre når eigarane av desse applikasjonane godtar målinga. Den signaturen er det som gjer ein vellukka test om til ein godkjend migrasjon.