Migrácia jednej podsiete na nový tunel VPN bez výpadku

Zdvihnite nový tunel, presuňte jednu podsieť, a tá podsieť teraz občas zlyháva, zatiaľ čo všetko ostatné je úplne v poriadku. Napoly migrované VPN zlyhávajú presne tak, pretože tunel nikdy nebol tou ťažkou časťou. Cesta zahŕňa aj to, ktorá trasa vyhrá, ktoré selektory sedia, čo pravidlá prístupu dovolia, ako sa vracajú odpovede a aký preklad starý návrh uplatňoval. Presuňte len tunel a nepresunuli ste nič z toho.

Tunel je ľahká polovica cesty

Občasné zlyhania po čiastočnej migrácii zvyčajne znamenajú, že obe cesty sú možné. Niektoré toky volia nový tunel, iné zostávajú pri starom a zariadenie, ktoré si pamätá stav, potom vidí odpoveď prichádzať po ceste, ktorú požiadavka nikdy nepoužila. Dve cesty nie sú automaticky bezpečnejšie ako jedna; sú to dve veci, ktoré sa môžu rozchádzať. Sledujte správy o kmitaní, nie počítadlá tunela, pretože počítadlá budú celý čas vyzerať zdravo.

Užitočná prvá otázka nie je, ktorý tunel je lepší. Je to, ktoré toky si dnes vyberajú ktorú cestu a či požiadavka aj odpoveď dostanú rovnakú odpoveď.

Postavte cieľ skôr, ako mu dáte prednosť

Overte, že partneri sú kompatibilní a že nový tunel nesie zamýšľaný rozsah adries. Pridajte presmerovanie a povolenia služieb, ktoré potrebuje, kým je ešte nepreferovanou cestou, aby samotné prepnutie menilo iba voľbu a nič iné.

Opýtajte sa vzdialeného webu, ako bude vracať prevádzku. Ak odpovede stále odchádzajú starým tunelom, nová miestna trasa vytvára asymetriu alebo neprejde filtrom, ktorý si pamätá stav. Preklad patrí do návrhu z rovnakého dôvodu: zmenená zdrojová adresa mení aj cestu späť.

Prepnite úzko a vedzte, kadiaľ späť

Pomenujte presnú podsieť a platformou podporovaný mechanizmus, ktorý uprednostňuje jej novú trasu alebo selektor. Definície založené na politikách sa nie vždy správajú ako metriky trás, preto si predpoklad, že vyhrá konkrétnejšia zhoda, overte až po prečítaní pravidiel pre prekrývajúce sa politiky vo vašej implementácii.

Presuňte jednu podsieť, nie jeden web. Nechajte správu na ceste, ktorej sa nedotýkate, a vrátenie zapíšte skôr, než čokoľvek použijete: ktorá trasa alebo politika sa vráti, kto to urobí a ako zostanú pripojení, kým to robia.

Asymetria a zastaraný stav

Firewally a zariadenia NAT si pamätajú rozhranie, ktoré tok použil. Keď požiadavka a odpoveď idú rôznymi tunelmi, zariadenie môže odpoveď zahodiť, aj keď každá cesta funguje sama. Testujte tokom, ktorý otvoríte po zmene, pretože nadviazaná relácia môže starú cestu používať ešte hodiny.

Ak sa sledovaná zdrojová adresa pohla, nájdite každú politiku, ktorá menuje tú starú. Migrácia, ktorá potichu zmení zdroj, rozbíja pravidlá, ktoré nikto nezaradil do návrhu VPN.

Dokážte obe odpovede a potom zrušte starú politiku

Z bežného hostiteľa v migrovanej podsieti dosiahnite zamýšľanú službu a skontrolujte sledovaný zdroj a rozhranie odpovede. Potom otestujte sieť, ktorá má zostať na starom tuneli, pretože migrácia je hotová len vtedy, keď sú obe odpovede správne. Druhý test je ten, ktorý ľudia vynechávajú, a práve on zachytí selektor širší, než ste chceli.

Zrušte zastaranú politiku až vtedy, keď na nej nezávisí žiadna zostávajúca podsieť, a zapíšte konečnú trasu s jej vlastníkom do inventára selektorov. Dokončenie nie je to, že nový tunel hlási, že je hore; je to každá sieť, ktorá ide svojou zamýšľanou cestou.