Chuyển sang VPN phải giữ lại gì từ một kênh riêng

Kênh riêng dễ mô tả nhưng khó thay thế, vì hợp đồng bao trùm nhiều hơn một sợi cáp. Nó mang theo một bàn giao, một quy hoạch địa chỉ, một kỳ vọng độ trễ và một thỏa thuận hỗ trợ, và đường hầm thay thế nó thừa hưởng cả bốn, dù có ai ghi chúng ra hay không. Việc chuyển đổi thất bại khi nhóm sao chép cấu hình định tuyến và gọi phần còn lại là vấn đề vận hành. Hãy bắt đầu từ các yêu cầu, rồi chứng minh từng yêu cầu trên đường mới trước khi kênh cũ bị hủy.

Biến kênh thành một danh sách thuộc tính

Câu hỏi đầu tiên là dịch vụ cũ thực sự đã bàn giao gì: một liên kết có định tuyến với mạng con nhỏ, hay một phân đoạn lớp 2 dùng chung giữa các site. Sự khác biệt đó quyết định liệu đường hầm IP có thể tái tạo nó hay không, vì đường hầm chở gói giữa hai địa chỉ và không chở khám phá bằng quảng bá hay EtherTypes tùy ý. Một kênh tự nhận là cổng chuyển mạch là một cuộc di trú khác với kênh tự nhận là /30.

Ghi lại các tiền tố site, địa chỉ cổng, các ứng dụng nhúng địa chỉ vào cấu hình của chính chúng và các tiền tố chồng lấn ở nơi khác trong môi trường. Một quy hoạch địa chỉ sống sót qua di trú là kết quả thiết kế, không phải giả định. Bốn danh sách đó sau này cũng thành tiêu chí nghiệm thu, nên hãy giữ chúng ở nơi người kiểm thử có thể đọc.

Định tuyến đường mới theo cả hai chiều

Một đường hầm dựng lên chỉ là nửa đường. Phía xa cần tuyến quay về mọi tiền tố cục bộ, và phía cục bộ phải ưu tiên đường hầm cho những tiền tố đó mà không đánh cắp lưu lượng vẫn phải đi ra qua internet. Chuyển tiếp bất đối xứng là triệu chứng thường gặp của việc làm đúng một trong hai nửa đó. Hãy kiểm tra bảng của phía xa kỹ như bảng của bạn, vì tuyến quay về là tuyến không ai cấu hình.

ip route get 10.20.0.10

Định tuyến theo chính sách làm rõ sự phân tách: đánh dấu lưu lượng thuộc cặp site và cấp cho nó một bảng có mặc định là đường hầm. IPsec cung cấp kết hợp được bảo vệ và chính sách quyết định cái gì đi vào đó, nhưng không cung cấp các tuyến xung quanh, như kiến trúc IPsec mô tả. Khi dấu khớp quá rộng, lưu lượng web thông thường từ site cũng đi vào đường hầm và ra bằng cổng ra sai.

Chuyển bằng một lần khôi phục mà bạn đã kiểm thử

Hai đường đang sống với chủ sở hữu khác nhau mời gọi chuyển tiếp bất đối xứng, nên hãy dựng đường mới trong một cửa sổ xác định và chuyển tiền tố theo thứ tự đã công bố. Giữ kênh cũ vẫn được cấu hình và giữ một đường quản trị ngoài băng không phụ thuộc vào đường hầm nào. Chuyển từng tiền tố một ở nơi ứng dụng cho phép, và theo dõi bảng phiên giữa các lần chuyển.

Quyết định trước bằng chứng nào cho phép chuyển đổi và điều kiện nào kích hoạt khôi phục. Một lần khôi phục đòi hỏi sửa VPN mới qua kết nối đã hỏng không phải là khôi phục. Hãy phát biểu điều kiện kích hoạt như một điều kiện đo được, không phải cảm giác trong phòng.

Nghiệm thu bằng chính lưu lượng mà kênh đã mang

Ping chứng minh khả năng tiếp cận và ít hơn thế. Hãy kiểm thử phân giải tên, các phiên dài hạn, các luồng bị từ chối và kích thước gói mà đường cũ xử lý được không cần phân mảnh. MTU là nơi đường hầm khác kênh thường xuyên nhất, vì đóng gói tiêu tốn byte mà ứng dụng cho là có sẵn. Hãy đo tải trọng lớn nhất đi qua mà không phân mảnh ở cả hai chiều, không chỉ về phía máy chủ.

ping -M do -s 1400 -c 3 10.20.0.10

Nếu tải trọng 1400 byte đi qua còn 1472 thì không, mức tối đa của đường nhỏ hơn mức ứng dụng mong đợi và bạn đã tìm ra một thoái triển thật sự, không phải bề ngoài. So sánh kết quả đó với các yêu cầu đã ghi ở bước đầu tiên, và chỉ cho kênh nghỉ hưu khi chủ sở hữu những ứng dụng đó chấp nhận phép đo. Chính chữ ký đó biến một bài kiểm thử thành công thành một cuộc di trú được chấp nhận.