Čo musí migrácia na VPN zachovať z prenajatého okruhu

Prenajaté okruhy sa ľahko opisujú a ťažko nahrádzajú, pretože zmluva pokrývala viac ako kábel. Niesol odovzdanie, adresný plán, očakávanie latencie a dohodu o podpore, a tunel, ktorý ho nahrádza, dedí všetky štyri, či ich niekto zapísal alebo nie. Migrácie zlyhávajú, keď tím skopíruje konfiguráciu smerovania a zvyšok nazve prevádzkovým problémom. Začnite požiadavkami a potom každú dokážte na novej ceste pred zrušením starej.

Premeňte okruh na zoznam vlastností

Prvá otázka je, čo stará služba skutočne odovzdala: smerovaný spoj s malou podsietkou, alebo segment vrstvy 2 zdieľaný medzi lokalitami. Tento rozdiel rozhoduje, či to IP tunel vôbec dokáže reprodukovať, pretože tunel prenáša pakety medzi dvoma adresami a neprenáša broadcastové objavovanie ani ľubovoľné EtherTypes. Okruh, ktorý sa predstavil ako port prepínača, je iná migrácia ako okruh, ktorý predstavil /30.

Zapíšte prefixy lokalít, adresy brán, aplikácie, ktoré vkladajú adresy do vlastnej konfigurácie, a prefixy, ktoré sa inde v prostredí prekrývajú. Adresný plán, ktorý migráciu prežije, je výstup návrhu, nie predpoklad. Tieto štyri zoznamy sa neskôr stanú aj akceptačnými kritériami, preto ich držte tam, kde ich testéri môžu čítať.

Nasmerujte novú cestu oboma smermi

Tunel, ktorý sa zdvihne, je len polovica cesty. Vzdialená strana potrebuje trasu späť ku každému lokálnemu prefixu a lokálna strana musí pre tieto prefixy uprednostniť tunel bez toho, aby ukradla prevádzku, ktorá má stále odchádzať cez internet. Asymetrické preposielanie je obvyklým príznakom toho, že jedna z tých polovíc je urobená správne. Preskúmajte tabuľku vzdialenej strany rovnako starostlivo ako svoju, pretože spiatočná cesta je tá, ktorú nikto nenakonfiguroval.

ip route get 10.20.0.10

Smerovanie podľa politiky robí rozdelenie explicitným: označte prevádzku, ktorá patrí dvojici lokalít, a dajte jej tabuľku, ktorej predvolená hodnota je tunel. IPsec dodáva chránenú asociáciu a politiku, ktorá rozhoduje, čo do nej vstúpi, ale nie trasy okolo nej, ako architektúra IPsec opisuje. Keď sa značka zhoduje príliš široko, bežná webová prevádzka z lokality tiež vstúpi do tunela a odíde nesprávnym výstupom.

Prepnete s návratom, ktorý ste už otestovali

Dve živé cesty s rôznymi vlastníkmi pozývajú k asymetrickému preposielaniu, preto novú spustite v rámci definovaného okna a presúvajte prefixy v oznámenom poradí. Ponechajte starý okruh nakonfigurovaný a zachovajte mimosieťovú cestu správy, ktorá nezávisí od žiadneho z tunelov. Presúvajte po jednom prefixe tam, kde to aplikácie dovolia, a medzi presunmi sledujte tabuľku relácií.

Vopred rozhodnite, aké dôkazy povoľujú prepnutie a aká podmienka spustí návrat. Návrat, ktorý vyžaduje opravu nového VPN cez zlyhané spojenie, nie je návrat. Uveďte spúšťač ako merateľnú podmienku, nie ako pocit v miestnosti.

Prijmite s prevádzkou, ktorú okruh skutočne niesol

Ping dokazuje dostupnosť a málo čo iné. Otestujte preklad mien, dlhotrvajúce relácie, odmietnuté toky a veľkosti paketov, ktoré stará cesta zvládala bez fragmentácie. MTU je miesto, kde sa tunely najčastejšie líšia od okruhu, pretože zapuzdrenie spotrebúva bajty, ktoré aplikácia považovala za dostupné. Zmerajte najväčšiu užitočnú záťaž, ktorá prejde bez fragmentácie v oboch smeroch, nielen k serveru.

ping -M do -s 1400 -c 3 10.20.0.10

Ak záťaž 1400 bajtov prejde a 1472 nie, maximum cesty je menšie, než aplikácie očakávajú, a našli ste skutočnú regresiu, nie kozmetickú. Porovnajte výsledok s požiadavkami zapísanými v prvom kroku a okruh vyraďte až vtedy, keď vlastníci týchto aplikácií meranie prijmú. Práve tento podpis mení úspešný test na prijatú migráciu.