Перенос одной подсети в новый туннель VPN без простоя

Поднимите новый туннель, перенесите одну подсеть, и эта подсеть теперь периодически сбоит, хотя всё остальное в полном порядке. Наполовину перенесённые VPN сбоят именно так, потому что туннель никогда не был трудной частью. Путь включает и то, какой маршрут побеждает, какие селекторы совпадают, что разрешают правила доступа, как возвращаются ответы и любое преобразование, которое применял старый дизайн. Перенесите только туннель — и вы не перенесли ничего из этого.

Туннель — лёгкая половина пути

Периодические сбои после частичного переноса обычно означают, что оба пути правдоподобны. Одни потоки выбирают новый туннель, другие остаются на старом, и устройство, помнящее состояние, видит ответ, приходящий по пути, который запрос никогда не использовал. Два пути не безопаснее одного автоматически; это две вещи, которые могут расходиться. Смотрите отчёты о колебаниях, а не счётчики туннеля, потому что счётчики будут выглядеть здоровыми всё время.

Полезный первый вопрос — не какой туннель лучше. А какие потоки сегодня выбирают какой путь и получают ли запрос и ответ одинаковый ответ.

Постройте пункт назначения, прежде чем предпочитать его

Убедитесь, что партнёры совместимы и что новый туннель несёт задуманный диапазон адресов. Добавьте пересылку и разрешения служб, которые ему нужны, пока он ещё неприоритетный путь, чтобы само переключение меняло только выбор и ничего больше.

Спросите удалённую площадку, как она будет возвращать трафик. Если ответы всё ещё уходят через старый туннель, новый локальный маршрут создаёт асимметрию или не проходит фильтр, помнящий состояние. Преобразование тоже входит в дизайн по той же причине: изменённый адрес источника меняет и обратный путь.

Переключите узко и знайте дорогу назад

Назовите точную подсеть и поддерживаемый платформой механизм, который предпочитает её новый маршрут или селектор. Определения на основе политик ведут себя не всегда как метрики маршрутов, поэтому прочитайте правила перекрывающихся политик в вашей реализации, прежде чем предполагать, что побеждает более точное совпадение.

Переносите одну подсеть, а не одну площадку. Оставьте управление на пути, который вы не трогаете, и запишите откат до того, как что-либо примените: какой маршрут или политика возвращаются, кто это делает и как они остаются на связи, пока это делают.

Асимметрия и устаревшее состояние

Межсетевые экраны и устройства NAT помнят интерфейс, который использовал поток. Когда запрос и ответ идут разными туннелями, устройство может отбросить ответ, хотя каждый путь работает сам по себе. Проверяйте потоком, который откроете после изменения, потому что установленная сессия может часами продолжать использовать старый путь.

Если наблюдаемый адрес источника сместился, найдите каждую политику, которая называет старый. Перенос, который тихо меняет источник, ломает правила, которые никто не отнёс к дизайну VPN.

Докажите оба ответа, затем отзовите старую политику

С обычного хоста в перенесённой подсети дойдите до нужной службы и проверьте наблюдаемый источник и интерфейс ответа. Затем проверьте сеть, которая должна остаться на старом туннеле, потому что перенос завершён только тогда, когда оба ответа верны. Второй тест — тот, который люди пропускают, и именно он ловит селектор шире задуманного.

Отзывайте устаревшую политику только когда ни одна оставшаяся подсеть от неё не зависит, и запишите итоговый маршрут с его владельцем в описи селекторов. Завершение — это не новый туннель, сообщающий, что он поднят, а каждая сеть, идущая своим задуманным путём.