Що має зберегти перехід на VPN від виділеної лінії

Виділені лінії легко описати й важко замінити, бо контракт охоплював більше, ніж кабель. Вона несла передачу, план адрес, очікування затримки й домовленість про підтримку, і тунель, що її замінює, успадковує всі чотири, записав їх хтось чи ні. Переходи провалюються, коли команда копіює конфігурацію маршрутизації й називає решту експлуатаційною проблемою. Почніть із вимог, потім доведіть кожну на новому шляху до вимкнення старого.

Перетворіть лінію на список властивостей

Перше питання — що стара послуга справді передала: маршрутизований канал із невеликою підмережею чи сегмент рівня 2, спільний для майданчиків. Ця різниця вирішує, чи IP-тунель узагалі може його відтворити, бо тунель переносить пакети між двома адресами й не переносить виявлення через широкомовлення чи довільні EtherTypes. Лінія, що подавала себе як порт комутатора, — це інша міграція, ніж лінія з /30.

Запишіть префікси майданчиків, адреси шлюзів, застосунки, які вбудовують адреси у власну конфігурацію, і префікси, що десь інде в середовищі перетинаються. План адрес, що переживе міграцію, — це результат проєктування, а не припущення. Ці чотири списки згодом стануть і критеріями приймання, тому тримайте їх там, де тестувальники зможуть їх прочитати.

Спрямуйте новий шлях в обидва боки

Піднятий тунель — це лише половина шляху. Далекій стороні потрібен маршрут назад до кожного локального префікса, а локальна сторона має віддавати перевагу тунелю для цих префіксів, не крадучи трафік, який досі повинен виходити через інтернет. Асиметричне пересилання — звична ознака того, що одну з цих половин зроблено правильно. Перегляньте таблицю далекої сторони так само уважно, як свою, бо зворотний шлях — це той, який ніхто не налаштував.

ip route get 10.20.0.10

Маршрутизація за політикою робить поділ явним: позначте трафік, що належить парі майданчиків, і дайте йому таблицю, у якій типовим є тунель. IPsec надає захищену асоціацію і політику, яка вирішує, що до неї входить, але не маршрути навколо неї, як архітектура IPsec описує. Коли позначка збігається надто широко, звичайний веб-трафік із майданчика також входить у тунель і виходить через хибний вихід.

Перемкніться з відкатом, який ви вже перевірили

Два живі шляхи з різними власниками запрошують асиметричне пересилання, тому підніміть новий у визначеному вікні й переносьте префікси в оголошеному порядку. Залиште стару лінію налаштованою й тримайте позасмуговий шлях керування, що не залежить від жодного тунелю. Переносьте по одному префіксу там, де застосунки це дозволяють, і стежте за таблицею сеансів між перенесеннями.

Заздалегідь вирішіть, які докази дозволяють перемикання і яка умова запускає відкат. Відкат, що вимагає полагодити новий VPN через збійне з'єднання, — це не відкат. Сформулюйте тригер як вимірювану умову, а не як відчуття в кімнаті.

Прийміть із тим трафіком, який лінія справді несла

Ping доводить доступність і мало що інше. Перевірте розв'язання імен, тривалі сеанси, відхилені потоки й розміри пакетів, які старий шлях обробляв без фрагментації. MTU — це місце, де тунелі найчастіше відрізняються від лінії, бо інкапсуляція витрачає байти, які застосунок вважав доступними. Виміряйте найбільше корисне навантаження, що проходить без фрагментації в обидва боки, а не лише до сервера.

ping -M do -s 1400 -c 3 10.20.0.10

Якщо навантаження у 1400 байтів проходить, а 1472 ні, максимум шляху менший, ніж очікують застосунки, і ви знайшли справжню регресію, а не косметичну. Порівняйте результат із вимогами, записаними на першому кроці, і виведіть лінію з експлуатації лише коли власники цих застосунків приймуть вимірювання. Саме цей підпис перетворює успішний тест на прийняту міграцію.