Kaj mora migracija na VPN ohraniti iz najete linije

Najete linije je enostavno opisati in težko nadomestiti, ker je pogodba pokrivala več kot kabel. Nosila je predajo, načrt naslovov, pričakovanje zakasnitve in dogovor o podpori, tunel, ki jo nadomešča, pa podeduje vse štiri, ne glede na to, ali jih je kdo zapisal. Migracije spodletijo, ko ekipa kopira konfiguracijo usmerjanja in preostanek imenuje obratovalno težavo. Začnite z zahtevami in nato vsako dokažite na novi poti, preden je stara odpovedana.

Spremenite linijo v seznam lastnosti

Prvo vprašanje je, kaj je stara storitev v resnici predala: usmerjeno povezavo z majhno podomrežjem ali segment sloja 2, ki si ga delijo lokacije. Ta razlika odloča, ali lahko IP tunel to sploh poustvari, ker tunel prenaša pakete med dvema naslovoma in ne prenaša zaznavanja z razširjanjem ali poljubnih EtherTypes. Linija, ki se je predstavila kot vrata stikala, je druga migracija kot linija, ki je predstavila /30.

Zapišite predpone lokacij, naslove prehodov, aplikacije, ki vgrajujejo naslove v svojo konfiguracijo, in predpone, ki se drugje v okolju prekrivajo. Načrt naslovov, ki migracijo preživi, je rezultat načrtovanja, ne predpostavka. Ti štirje seznami pozneje postanejo tudi merila sprejemljivosti, zato jih hranite tam, kjer jih lahko preberejo preizkuševalci.

Usmerite novo pot v obe smeri

Tunel, ki se dvigne, je le polovica poti. Oddaljena stran potrebuje pot nazaj do vsake lokalne predpone, lokalna stran pa mora dati tunelu prednost za te predpone, ne da bi ukradla promet, ki mora še vedno oditi prek interneta. Asimetrično posredovanje je običajen simptom, da je ena od teh polovic narejena pravilno. Preglejte tabelo oddaljene strani enako skrbno kot svojo, ker je povratna pot tista, ki je ni nihče konfiguriral.

ip route get 10.20.0.10

Usmerjanje po pravilih naredi razdelitev izrecno: označite promet, ki pripada paru lokacij, in mu dajte tabelo, katere privzeta vrednost je tunel. IPsec zagotavlja zaščiteno povezavo in pravilo, ki odloča, kaj vstopi vanjo, ne pa poti okoli nje, kot arhitektura IPsec opisuje. Ko se oznaka ujema preširoko, tudi običajen spletni promet z lokacije vstopi v tunel in odide skozi napačen izhod.

Preklopite s povrnitvijo, ki ste jo že preizkusili

Dve živi poti z različnimi lastniki vabita k asimetričnemu posredovanju, zato novo dvignite znotraj določenega okna in premikajte predpone v objavljenem vrstnem redu. Pustite staro linijo konfigurirano in ohranite zunajpasovno pot upravljanja, ki ni odvisna od nobenega od obeh tunelov. Premikajte eno predpono naenkrat, kjer aplikacije to dovolijo, in med premiki opazujte tabelo sej.

Vnaprej odločite, kateri dokazi dovolijo preklop in kateri pogoj sproži povrnitev. Povrnitev, ki zahteva popravilo novega VPN prek neuspele povezave, ni povrnitev. Sprožilec navedite kot merljiv pogoj in ne kot občutek v sobi.

Sprejmite s prometom, ki ga je linija v resnici nosila

Ping dokazuje dosegljivost in malo drugega. Preizkusite razreševanje imen, dolgotrajne seje, zavrnjene tokove in velikosti paketov, ki jih je stara pot obvladala brez razdrobljenosti. MTU je mesto, kjer se tuneli najpogosteje razlikujejo od linije, ker kapsuliranje porabi bajte, ki jih je aplikacija imela za razpoložljive. Izmerite največji koristni tovor, ki gre brez razdrobljenosti v obe smeri, ne le proti strežniku.

ping -M do -s 1400 -c 3 10.20.0.10

Če tovor 1400 bajtov gre skozi in 1472 ne, je največja vrednost poti manjša, kot pričakujejo aplikacije, in našli ste resnično regresijo, ne kozmetično. Primerjajte rezultat z zahtevami, zapisanimi v prvem koraku, in linijo umaknite šele, ko lastniki teh aplikacij sprejmejo meritev. Ta podpis je tisto, kar uspešen preizkus spremeni v sprejeto migracijo.