Премештање једне подмреже на нови VPN тунел без прекида

Подигните нови тунел, преместите једну подмрежу, и та подмрежа сада повремено отказује док је све остало потпуно у реду. Половично премештени VPN-ови отказују управо тако, јер тунел никада није био тешки део. Путања укључује и то која рута побеђује, који селектори се поклапају, шта правила приступа дозвољавају, како се одговори враћају и свако превођење које је примењивао стари дизајн. Преместите само тунел и нисте преместили ништа од тога.

Тунел је лака половина путање

Повремени прекиди после делимичног премештања обично значе да су обе путање могуће. Неки токови бирају нови тунел, неки остају на старом, а уређај који памти стање тада види одговор који стиже путем који захтев никада није користио. Две путање нису аутоматски безбедније од једне; то су две ствари које могу да се разилазе. Гледајте извештаје о треперењу, а не бројаче тунела, јер ће бројачи изгледати здраво цело време.

Корисно прво питање није који је тунел бољи. То је који токови данас бирају који пут, и да ли захтев и одговор добијају исти одговор.

Изградите одредиште пре него што га преферирате

Потврдите да су партнери компатибилни и да нови тунел носи опсег адреса који намеравате. Додајте прослеђивање и дозволе за услуге које су му потребне док је још непожељна путања, тако да само пребацивање мења само избор и ништа друго.

Питајте удаљену локацију како ће враћати саобраћај. Ако одговори још излазе кроз стари тунел, нова локална рута ствара асиметрију или не пролази кроз филтер који памти стање. Превођење припада дизајну из истог разлога: промењена изворна адреса мења и повратну путању.

Пребаците уско и знајте пут назад

Именујте тачну подмрежу и механизам који подржава платформа и који преферира њену нову руту или селектор. Дефиниције засноване на политици не понашају се увек као метрике рута, зато прочитајте правила за политике које се преклапају у вашој имплементацији пре него што претпоставите да побеђује конкретније поклапање.

Преместите једну подмрежу, а не једну локацију. Држите приступ за управљање на путањи коју не дирате, и запишите враћање пре него што било шта примените: која рута или политика се враћа, ко то ради и како остају повезани док то раде.

Асиметрија и заостало стање

Заштитни зидови и NAT уређаји памте интерфејс који је ток користио. Када захтев и одговор иду различитим тунелима, уређај може да одбаци одговор иако свака путања ради сама. Тестирајте током који отворите после промене, јер успостављена сесија може сатима да настави да користи стару путању.

Ако се посматрана изворна адреса померила, пронађите сваку политику која именује стару. Премештање које тихо мења извор крши правила која нико није класификовао као део VPN дизајна.

Докажите оба одговора, затим повуците стару политику

Са обичног хоста у премештеној подмрежи дођите до жељене услуге и проверите посматрани извор и интерфејс одговора. Затим тестирајте мрежу која треба да остане на старом тунелу, јер је премештање завршено само када су оба одговора тачна. Други тест је онај који људи прескачу, и он хвата селектор шири од намераваног.

Повуците застарелу политику само када ниједна преостала подмрежа не зависи од ње, и запишите коначну руту са њеним власником у попису селектора. Завршетак није то да нови тунел извештава да је подигнут; то је да свака мрежа следи своју намеравану путању.