ย้ายซับเน็ตหนึ่งรายการไปยังอุโมงค์ VPN ใหม่โดยไม่เกิดการหยุดชะงัก

ยกอุโมงค์ใหม่ขึ้น ย้ายซับเน็ตหนึ่งรายการ แล้วซับเน็ตนั้นก็เริ่มล้มเหลวเป็นระยะในขณะที่ส่วนอื่นทำงานสมบูรณ์ VPN ที่ย้ายไปได้ครึ่งเดียวล้มเหลวแบบนี้เสมอ เพราะอุโมงค์ไม่เคยเป็นส่วนที่ยาก เส้นทางยังรวมถึงเส้นทางใดจะชนะ ตัวเลือกใดจะตรงกัน กฎการเข้าถึงอนุญาตอะไร คำตอบกลับมาอย่างไร และการแปลงใดก็ตามที่การออกแบบเดิมใช้ ย้ายแต่อุโมงค์ก็เท่ากับยังไม่ได้ย้ายสิ่งเหล่านั้นเลย

อุโมงค์เป็นครึ่งที่ง่ายของเส้นทาง

การล้มเหลวเป็นระยะหลังการย้ายบางส่วนมักหมายความว่าเส้นทางทั้งสองเป็นไปได้ทั้งคู่ บางโฟลว์เลือกอุโมงค์ใหม่ บางส่วนยังใช้ของเดิม และอุปกรณ์ที่จำสถานะจะเห็นคำตอบมาจากเส้นทางที่คำขอไม่เคยใช้ ดูรายงานการแกว่งไปมาไม่ใช่ตัวนับของอุโมงค์ เพราะตัวนับจะดูปกติตลอดเวลา

คำถามแรกที่มีประโยชน์ไม่ใช่อุโมงค์ไหนดีกว่า แต่เป็นวันนี้โฟลว์ใดเลือกเส้นทางใด และคำขอกับคำตอบได้ผลลัพธ์เดียวกันหรือไม่

สร้างปลายทางก่อนที่จะไปให้ความสำคัญกับมัน

ยืนยันว่าคู่ปลายทางเข้ากันได้และอุโมงค์ใหม่พาช่วงแอดเดรสที่คุณตั้งใจ เพิ่มการส่งต่อและสิทธิ์ของบริการที่ต้องใช้ในขณะที่ยังเป็นเส้นทางที่ไม่ถูกเลือก เพื่อให้การสลับเปลี่ยนเฉพาะการเลือกและไม่มีอะไรอื่น

ถามไซต์ปลายทางว่าจะส่งทราฟฟิกกลับอย่างไร ถ้าคำตอบยังออกทางอุโมงค์เดิม เส้นทางภายในใหม่จะทำให้เกิดความไม่สมมาตรหรือไปติดตัวกรองที่จำสถานะ การแปลงจึงอยู่ในดีไซน์ด้วยเหตุผลเดียวกัน คือ แอดเดรสต้นทางที่เปลี่ยนไปย่อมเปลี่ยนเส้นทางขากลับด้วย

ตัดสลับแบบแคบ และรู้ทางกลับ

ระบุซับเน็ตให้ชัดและกลไกที่แพลตฟอร์มรองรับซึ่งเลือกเส้นทางหรือตัวเลือกใหม่นั้น กฎที่อิงนโยบายไม่ได้ทำงานเหมือนเมตริกของเส้นทางเสมอไป จึงควรอ่านกฎของนโยบายที่ทับซ้อนกันในระบบของคุณก่อนจะสรุปว่าการจับคู่ที่เฉพาะเจาะจงกว่าจะชนะ

ย้ายซับเน็ตหนึ่งรายการ ไม่ใช่ทั้งไซต์ รักษาการเข้าถึงเพื่อบริหารจัดการไว้บนเส้นทางที่คุณไม่แตะ และเขียนการย้อนกลับไว้ก่อนลงมืออะไรก็ตาม ว่าเส้นทางหรือนโยบายใดจะย้อนกลับ ใครเป็นคนทำ และระหว่างนั้นพวกเขายังเชื่อมต่อได้อย่างไร

ความไม่สมมาตรและสถานะค้างเก่า

ไฟร์วอลล์และอุปกรณ์ NAT จำอินเทอร์เฟซที่โฟลว์หนึ่งเคยใช้ เมื่อคำขอกับคำตอบไปคนละอุโมงค์ อุปกรณ์อาจทิ้งคำตอบทั้งที่แต่ละเส้นทางทำงานได้ด้วยตัวเอง ทดสอบด้วยโฟลว์ที่คุณเปิดหลังการเปลี่ยนแปลง เพราะเซสชันที่ตั้งไว้แล้วอาจใช้เส้นทางเดิมต่อไปได้หลายชั่วโมง

ถ้าแอดเดรสต้นทางที่สังเกตเห็นย้ายไปแล้ว ให้หาทุกนโยบายที่ระบุของเดิม การย้ายที่เปลี่ยนต้นทางอย่างเงียบ ๆ จะทำให้กฎที่ไม่มีใครจัดว่าเป็นส่วนหนึ่งของดีไซน์ VPN แตก

พิสูจน์ทั้งสองคำตอบ แล้วจึงปลดระวางนโยบายเดิม

จากโฮสต์ธรรมดาบนซับเน็ตที่ย้ายแล้ว ให้เข้าถึงบริการที่ตั้งใจและตรวจแอดเดรสต้นทางที่สังเกตเห็นกับอินเทอร์เฟซของคำตอบ จากนั้นทดสอบเครือข่ายที่ควรอยู่บนอุโมงค์เดิม เพราะการย้ายจะเสร็จก็ต่อเมื่อคำตอบทั้งสองถูกต้อง การทดสอบที่สองคือสิ่งที่คนมักข้าม และเป็นสิ่งที่จับตัวเลือกที่กว้างเกินเจตนาได้

ปลดระวางนโยบายที่ล้าสมัยก็ต่อเมื่อไม่มีซับเน็ตที่เหลือพึ่งพาอยู่ และบันทึกเส้นทางสุดท้ายพร้อมเจ้าของไว้ในทะเบียนตัวเลือก ความสำเร็จไม่ใช่อุโมงค์ใหม่รายงานว่าขึ้นแล้ว แต่คือทุกเครือข่ายเดินตามเส้นทางที่ตั้งใจ