Site-to-site VPN'i Kesintisiz Taşımak

Site-to-site tünel taşımalarının çoğu geceye planlanır ve tek bir kesme-kurma işlemi olarak yapılır. Bu yöntem çalışır; sorun çıktığında ise geri dönüş, karşı tarafın da müsait olmasına bağlıdır.

Paralel tünel yaklaşımı bu bağımlılığı ortadan kaldırır.

Neden Karşı Taraf Sorun Olur

Tünelin iki ucu vardır ve öbür uç genellikle başka bir kurumdur. Bir tedarikçi, bir müşteri ya da bir hizmet sağlayıcı.

Onların değişiklik penceresi, onay süreci ve müdahale ekibi ayrıdır. Gece yarısı bir parametre değişikliği gerektiğinde ulaşılabilir olmayabilirler.

Bu yüzden taşıma planı, karşı tarafın müdahalesini en aza indirecek şekilde kurulur.

Adım 1. Mevcut Tüneli Belgeleyin

Yeni cihazda tüneli kurabilmek için eskisinin tam parametre listesi gerekir.

Yazılacaklar: IKE sürümü, birinci ve ikinci aşama şifreleme paketleri, kimlik doğrulama yöntemi ve kimlik değeri, trafik seçiciler, DPD ayarları, anahtar yenileme süreleri ve NAT geçişi durumu.

Kimlik değeri özellikle önemlidir. Karşı taraf tünelin hangi kimlikle geldiğini kontrol ediyorsa, yeni cihaz farklı bir adresle çıktığında tanınmayabilir.

Adım 2. Karşı Tarafla Anlaşın

İkinci bir tünelin kurulacağı önceden bildirilir. Bildirilmesi gerekenler: hangi adresten geleceği, hangi kimlikle geleceği ve aynı trafik seçicileri kullanacağı.

Karşı taraf iki tünelin aynı anda ayakta olmasına izin vermeli, ikinci tünelin kimliğini tanımalıdır. Bazı yapılandırmalar aynı eşten ikinci bir anlaşmayı reddeder; bu, planın en başında öğrenilmelidir.

Ön paylaşımlı anahtar kullanılıyorsa aynı anahtar ikinci tünelde de kullanılabilir. Sertifika kullanılıyorsa yeni cihaza sertifika üretilmesi gerekir.

Adım 3. Paralel Tüneli Kurun

Yeni cihazdan ikinci tünel kurulur. Bu aşamada üretim trafiği hâlâ eski tünelden akmaktadır.

Rota tabanlı model burada belirgin bir avantaj sağlar. Tünel arayüzü ayağa kalkar ve üzerinden trafik akmasa da durumu görülebilir; trafik kaydırma işlemi bir rota metriği değişikliğine iner.

Politika tabanlı modelde ikinci tünel kurulabilir ama hangi trafiğin hangi tünelden gideceği daha az esnek belirlenir.

Adım 4. Test Trafiğiyle Doğrulayın

Üretim trafiğine dokunmadan yeni tünelin gerçekten çalıştığı gösterilmelidir.

Yöntem, belirli bir test kaynağını yeni tünele yönlendirmektir. Bir test sunucusu ya da tek bir adres seçilir ve o adres için yeni tünel üzerinden bir rota tanımlanır.

Sınanacaklar: uçtan uca erişim, isim çözümleme, uygulama seviyesinde bir işlem ve büyükçe bir dosya aktarımı. Son madde MTU sorunlarını ortaya çıkarır ve tek başına pek çok sürprizi önler.

Adım 5. Trafiği Kaydırın

Doğrulama tamamsa üretim trafiği kaydırılır.

Rota tabanlı modelde bu, yeni tünel arayüzüne daha iyi bir metrik vermek demektir. Değişiklik anlıktır ve mevcut oturumlar kopar; bu kaçınılmazdır çünkü yeni cihazda o oturumların kaydı yoktur.

Kopma süresi, uygulamaların yeniden bağlanma davranışına bağlıdır. Kullanıcıya duyurulması gereken kesinti budur ve genellikle saniyelerle ölçülür.

Kaydırma kademeli de yapılabilir. Önce bir alt ağ, sonra diğerleri taşınır. Bu, sorunun kapsamını daraltır ve geri dönüşü kolaylaştırır.

Adım 6. İzleyin ve Kapatın

Eski tünel hemen kaldırılmaz. Bir süre ayakta tutulur.

Bu süre boyunca izlenecekler: yeni tünel üzerindeki hata sayaçları, uygulama seviyesindeki şikâyetler ve DPD kaynaklı yeniden kurulumlar.

Sorun çıkarsa geri dönüş, rota metriğini eski haline almaktır. Karşı tarafın müdahalesi gerekmez ve işlem saniyeler sürer. Geri alma planının bu kadar ucuz olması, paralel yaklaşımın asıl kazancıdır.

Bir hafta sorunsuz geçtiğinde eski tünel kaldırılır ve karşı tarafa bildirilir.

Sık Atlanan İki Nokta

Eski cihazdaki tünel kaldırılmalıdır. Ayakta bırakılan bir tünel, ileride bir yönlendirme değişikliğinde beklenmedik şekilde trafiği çekebilir.

Belgeler güncellenmelidir. Taşıma sonrası ağ şemasının ve tünel envanterinin yenilenmemesi, bir sonraki taşımanın belgesiz başlamasına yol açar.