Šta prelaz na VPN mora sačuvati od privatnog voda

Privatne vodove je lako opisati i teško zameniti, jer je ugovor pokrivao više od kabela. Nosio je predaju, adresni plan, očekivanje kašnjenja i dogovor o podršci, a tunel koji ga zamenjuje nasleđuje sva četiri, bez obzira na to da li ih je iko zapisao. Prelazi propadaju kada tim kopira konfiguraciju rutiranja i ostatak nazove operativnim problemom. Pođite od zahteva, pa dokažite svaki na novom putu pre nego stari bude ukinut.

Pretvorite vod u spisak svojstava

Prvo pitanje je šta je stara usluga zaista predala: rutiranu vezu sa malom podmrežom ili segment sloja 2 koji dele lokacije. Ta razlika odlučuje može li IP tunel to uopšte reprodukovati, jer tunel prenosi pakete između dve adrese i ne prenosi broadcast otkrivanje ni proizvoljne EtherTypes. Vod koji se predstavio kao port prekidača je druga migracija od voda koji je predstavio /30.

Zapišite prefikse lokacija, adrese pristupnika, aplikacije koje ugrađuju adrese u sopstvenu konfiguraciju i prefikse koji se preklapaju negde drugde u okruženju. Adresni plan koji preživi migraciju je rezultat projektovanja, a ne pretpostavka. Te četiri liste kasnije postaju i kriterijumi prihvatanja, pa ih držite tamo gde ih testeri mogu pročitati.

Usmerite novi put u oba smera

Tunel koji se podigne je samo pola puta. Drugoj strani treba ruta natrag do svakog lokalnog prefiksa, a lokalna strana mora preferirati tunel za te prefikse bez otimanja saobraćaja koji i dalje treba izlaziti kroz internet. Asimetrično prosleđivanje je uobičajen simptom da je jedna od tih polovina urađena kako treba. Pregledajte tabelu druge strane jednako pažljivo kao svoju, jer povratni put je onaj koji niko nije konfigurisao.

ip route get 10.20.0.10

Rutiranje po politici čini podelu eksplicitnom: označite saobraćaj koji pripada paru lokacija i dajte mu tabelu čiji je podrazumevani izlaz tunel. IPsec pruža zaštićenu asocijaciju i politiku koja odlučuje šta u nju ulazi, ali ne i rute oko nje, kako arhitektura IPsec-a opisuje. Kada se oznaka podudara preširoko, običan web saobraćaj sa lokacije takođe ulazi u tunel i izlazi kroz pogrešan izlaz.

Prebacite se sa vraćanjem koje ste već testirali

Dva živa puta sa različitim vlasnicima pozivaju asimetrično prosleđivanje, pa podignite novi unutar definisanog prozora i premeštajte prefikse u objavljenom redu. Ostavite stari vod konfigurisan i zadržite vanpojasni put upravljanja koji ne zavisi ni od jednog tunela. Premeštajte po jedan prefiks gde aplikacije dozvoljavaju i gledajte tabelu sesija između premeštanja.

Unapred odlučite koji dokazi odobravaju prebacivanje i koji uslov pokreće vraćanje. Vraćanje koje zahteva popravku novog VPN-a kroz neuspesnu vezu nije vraćanje. Navedite okidač kao merljiv uslov, a ne kao osećaj u sobi.

Prihvatite sa saobraćajem koji je vod zaista nosio

Ping dokazuje dostupnost i malo šta drugo. Testirajte razrešavanje imena, dugotrajne sesije, odbijene tokove i veličine paketa koje je stari put obrađivao bez fragmentacije. MTU je mesto gde se tuneli najčešće razlikuju od voda, jer inkapsulacija troši bajtove koje je aplikacija pretpostavljala dostupnim. Izmerite najveći korisni teret koji prolazi bez fragmentacije u oba smera, ne samo prema serveru.

ping -M do -s 1400 -c 3 10.20.0.10

Ako teret od 1400 bajtova prolazi, a 1472 ne, maksimum puta je manji od onoga što aplikacije očekuju i našli ste stvarnu regresiju, a ne kozmetičku. Uporedite taj rezultat sa zahtevima zapisanim u prvom koraku i ukinite vod tek kada vlasnici tih aplikacija prihvate merenje. Taj potpis je ono što uspešan test pretvara u prihvaćenu migraciju.