Шта прелазак на VPN мора да сачува од приватног вода

Приватне водове је лако описати и тешко заменити, јер је уговор покривао више од кабла. Носио је предају, адресни план, очекивање кашњења и договор о подршци, а тунел који га замењује наслеђује сва четири, без обзира на то да ли их је ико записао. Прелази пропадају када тим копира конфигурацију рутирања и остатак назове оперативним проблемом. Пођите од захтева, па докажите сваки на новом путу пре него стари буде укинут.

Претворите вод у списак својстава

Прво питање је шта је стара услуга заиста предала: рутирану везу са малом подмрежом или сегмент слоја 2 који деле локације. Та разлика одлучује може ли IP тунел то уопште да репродукује, јер тунел преноси пакете између две адресе и не преноси broadcast откривање ни произвољне EtherTypes. Вод који се представио као порт прекидача је друга миграција од вода који је представио /30.

Запишите префиксе локација, адресе приступника, апликације које уграђују адресе у сопствену конфигурацију и префиксе који се преклапају негде другде у окружењу. Адресни план који преживи миграцију је резултат пројектовања, а не претпоставка. Те четири листе касније постају и критеријуми прихватања, па их држите тамо где их тестери могу прочитати.

Усмерите нови пут у оба смера

Тунел који се подигне је само пола пута. Другој страни треба рута назад до сваког локалног префикса, а локална страна мора да преферира тунел за те префиксе без отимања саобраћаја који и даље треба да излази кроз интернет. Асиметрично прослеђивање је уобичајен симптом да је једна од тих половина урађена како треба. Прегледајте табелу друге стране једнако пажљиво као своју, јер повратни пут је онај који нико није конфигурисао.

ip route get 10.20.0.10

Рутирање по политици чини поделу експлицитном: означите саобраћај који припада пару локација и дајте му табелу чији је подразумевани излаз тунел. IPsec пружа заштићену асоцијацију и политику која одлучује шта у њу улази, али не и руте око ње, како архитектура IPsec-а описује. Када се ознака подудара прешироко, обичан веб саобраћај са локације такође улази у тунел и излази кроз погрешан излаз.

Пребаците се са враћањем које сте већ тестирали

Два жива пута са различитим власницима позивају асиметрично прослеђивање, па подигните нови унутар дефинисаног прозора и премештајте префиксе у објављеном реду. Оставите стари вод конфигурисан и задржите ванпојасни пут управљања који не зависи ни од једног тунела. Премештајте по један префикс где апликације дозвољавају и гледајте табелу сесија између премештања.

Унапред одлучите који докази одобравају пребацивање и који услов покреће враћање. Враћање које захтева поправку новог VPN-а кроз неуспелу везу није враћање. Наведите окидач као мерљив услов, а не као осећај у соби.

Прихватите са саобраћајем који је вод заиста носио

Ping доказује доступност и мало шта друго. Тестирајте разрешавање имена, дуготрајне сесије, одбијене токове и величине пакета које је стари пут обрађивао без фрагментације. MTU је место где се тунели најчешће разликују од вода, јер инкапсулација троши бајтове које је апликација претпостављала доступним. Измерите највећи корисни терет који пролази без фрагментације у оба смера, не само према серверу.

ping -M do -s 1400 -c 3 10.20.0.10

Ако терет од 1400 бајтова пролази, а 1472 не, максимум пута је мањи од онога што апликације очекују и нашли сте стварну регресију, а не козметичку. Упоредите тај резултат са захтевима записаним у првом кораку и укините вод тек када власници тих апликација прихвате мерење. Тај потпис је оно што успешан тест претвара у прихваћену миграцију.