Çfarë duhet të ruajë një migrim VPN nga një qark privat

Qarqet private janë të lehta për t'u përshkruar dhe të vështira për t'u zëvendësuar, sepse kontrata mbulonte më shumë se një kabllo. Ai mbante një dorëzim, një plan adresash, një pritshmëri vonese dhe një marrëveshje mbështetjeje, dhe tuneli që e zëvendëson trashëgon të katër, pavarësisht nëse dikush i shkroi apo jo. Migrimet dështojnë kur ekipi kopjon konfigurimin e rrugëzimit dhe pjesën tjetër e quan problem operacional. Filloni nga kërkesat, pastaj provoni secilën në rrugën e re përpara se e vjetra të anulohet.

Kthejeni qarkun në një listë vetish

Pyetja e parë është çfarë dorëzoi vërtet shërbimi i vjetër: një lidhje e rrugëzuar me një nënrrjet të vogël, apo një segment i shtresës 2 i ndarë midis vendeve. Ky dallim vendos nëse një tunel IP mund ta riprodhojë fare, sepse tuneli transporton paketa midis dy adresave dhe nuk transporton zbulim përmes transmetimit ose EtherTypes arbitrare. Një qark që paraqitej si port komutatori është një migrim tjetër nga ai që paraqiste një /30.

Shkruani prefikset e vendit, adresat e portës, aplikacionet që inkorporojnë adresa në konfigurimin e tyre dhe prefikset që mbivendosen diku tjetër në mjedis. Një plan adresash që i mbijeton migrimit është rezultat i projektimit, jo supozim. Ato katër lista bëhen më vonë edhe kritere pranimi, prandaj mbajini aty ku testuesit mund t'i lexojnë.

Drejtoni rrugën e re në të dy drejtimet

Një tunel që ngrihet është vetëm gjysma e rrugës. Ana e largët ka nevojë për një rrugë kthimi drejt çdo prefiksi lokal, dhe ana lokale duhet ta preferojë tunelin për ato prefikse pa vjedhur trafikun që duhet të dalë ende përmes internetit. Përcjellja asimetrike është simptoma e zakonshme e kryerjes së saktë të njërës prej këtyre gjysmave. Inspektoni tabelën e anës së largët po aq kujdesshëm sa tuajën, sepse rruga e kthimit është ajo që askush nuk e konfiguroi.

ip route get 10.20.0.10

Rrugëzimi me politikë e bën ndarjen eksplicite: shënoni trafikun që i përket çiftit të vendeve dhe jepini një tabelë që parazgjedhja e së cilës është tuneli. IPsec siguron shoqërimin e mbrojtur dhe politikën që vendos çfarë hyn në të, por jo rrugët përreth tij, siç arkitektura IPsec e përshkruan. Kur shënimi përputhet shumë gjerësisht, trafiku normal i uebit nga vendi hyn gjithashtu në tunel dhe del përmes daljes së gabuar.

Kaloni me një kthim prapa që e keni testuar tashmë

Dy rrugë të gjalla me pronarë të ndryshëm ftojnë përcjellje asimetrike, prandaj ngrijeni të renë brenda një dritareje të përcaktuar dhe lëvizni prefikset në një rend të shpallur. Lëreni qarkun e vjetër të konfiguruar dhe mbani një rrugë administrimi jashtë brezit që nuk varet nga asnjë prej tuneleve. Lëvizni një prefiks në një herë aty ku aplikacionet e lejojnë, dhe shikoni tabelën e sesioneve midis lëvizjeve.

Vendosni paraprakisht çfarë dëshmie autorizon kalimin dhe çfarë kushti shkakton kthimin prapa. Një kthim prapa që kërkon riparimin e VPN-së të re përmes lidhjes së dështuar nuk është kthim prapa. Formuloni nxitësin si kusht të matshëm dhe jo si ndjenjë në dhomë.

Pranojeni me trafikun që qarku mbante vërtet

Ping dëshmon arritshmërinë dhe pak gjë tjetër. Testoni zgjidhjen e emrave, sesionet afatgjata, rrjedhat e refuzuara dhe madhësitë e paketave që rruga e vjetër trajtonte pa fragmentim. MTU është vendi ku tunelat ndryshojnë më shpesh nga një qark, sepse kapsulimi konsumon bajt që aplikacioni i supozonte të disponueshëm. Matni ngarkesën më të madhe të dobishme që kalon pa fragmentim në të dy drejtimet, jo vetëm drejt serverit.

ping -M do -s 1400 -c 3 10.20.0.10

Nëse një ngarkesë prej 1400 bajtësh kalon dhe 1472 nuk kalon, maksimumi i rrugës është më i vogël sesa presin aplikacionet dhe keni gjetur një regresion real, jo kozmetik. Krahasoni atë rezultat me kërkesat e shkruara në hapin e parë dhe tërhiqni qarkun vetëm kur pronarët e atyre aplikacioneve e pranojnë matjen. Ai nënshkrim është ai që e kthen një test të suksesshëm në një migrim të pranuar.