’n Gehuurde lyn vir die VPN? Vertaal eers die vereiste

Die voorstel noem ’n spesifieke gehuurde lyn vir die kantoor-VPN, en die getal kom sonder enige verduideliking. Voordat jy dit onderteken, deel die sin op in die vier vereistes wat dit eintlik wegsteek: die fisiese oorhandiging, die reëling vir IP-aflewering, die kapasiteit in beide rigtings en die ondersteuningsverbintenis agter die lyn. Werk hulle in daardie volgorde as hekke af, want ’n lyn wat die oorhandiging faal, kan nie deur ’n groter bandwydte-syfer gered word nie. Verifieer dan wat afgelewer is teen wat jy neergeskryf het.

Vertaal die vereiste, nie die produknaam nie

IPsec beskerm verkeer op die IP-laag en laat die vervoer oor aan watter lyn jy ook al koop. Die IPsec-argitektuur beskryf hoe verkeer tussen eweknieë beskerm word; dit sê niks oor oorhandigingstipe, vaste tempo’s of hersteltydvensters nie. Dit is eienskappe van ’n dienskontrak.

Daardie onderskeid is die hele rede waarom ’n lynvereiste geldig kan wees en tog nie ’n VPN-vereiste nie. ’n Gateway met net ’n serie-koppelvlak het werklik ’n serie-oorhandiging nodig, en dit is ’n hardewarebeperking eerder as ’n protokolbeperking. Vervang die toestel en die beperking verdwyn. Skryf elke vereiste in die vorm "die gateway het X nodig omdat Y", en verwerp enige reël wat nie voltooi kan word nie.

Noem die oorhandiging voordat jy die spoed noem

Die oorhandiging is die fisiese en skakellaag-verbinding by die afbakeningspunt: koper-Ethernet, vesel met ’n spesifieke transceiver, ’n serie-koppelvlak, of iets ouer wat net bestaan omdat die huidige toestel dit het. Om dit verkeerd te kry, is duur op ’n manier wat bandwydte nooit is nie, want dit beteken gewoonlik nuwe hardeware aan beide kante. ’n Ontbrekende optiese module is nie ’n kapasiteitsprobleem nie, en geen opgradering maak dit reg nie.

Bevestig die verbinding, die spoedonderhandeling en wie die mediakonverteerder of router verskaf. Bevestig dan waar jou verantwoordelikheid eindig, want die afbakeningspunt bepaal wie toegelaat word om aan wat te raak wanneer die skakel om 03:00 afgaan. Skryf daardie grens in die rekord langs die lynidentifiseerder. Dit is die enkele reël wat ’n ondersteuningsoproep in ’n vyfminuutgesprek verander eerder as ’n uur van oordrag.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Bevestig die IP-aflewering, nie net die adres nie

Vra watter adres of voorvoegsel die diens werklik aflewer, en of dit staties is. ’n Lyn wat ’n dinamiese adres uitdeel, pas swak by ’n werf-tot-werf-gateway, want die eweknie-konfigurasie moet ’n verandering oorleef wat jy nie beplan het nie. Bevestig ook die voorvoegsellengte, want een adres en ’n gerouteerde /29 is verskillende produkte.

Vra dan of enigiets die adres vertaal voordat dit jou bereik. ’n Verskafferkant-NAT of ’n operateur-graad NAT voor die diens breek inkomende sessies, so ’n gateway wat verwag om IPsec van afgeleë werwe te aanvaar, kan nie bereik word nie. Spoed vergoed nie hiervoor nie: ’n vinnige skakel agter ’n vertaler wat jy nie beheer nie, kan steeds nie ’n inkomende verbinding aanvaar op ’n poort wat niemand deurstuur nie.

Teken aan wie die router en die DNS besit. As die verskaffer die router verskaf, erf jy sy firmware, sy NAT-gedrag en sy idee van ’n verstekroete, en elke latere verandering gaan deur ’n kaartjie. Laat iemand buite jou netwerk ’n inkomende verbinding probeer na die poort wat jy verwag bereikbaar moet wees, want dit is die enigste toets wat die vertaalverhaal bewys.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Bepaal kapasiteit uit die werklading, in beide rigtings

Kapasiteit moet in terme van werk beskryf word, nie in terme van ’n getal per gebruiker nie. Grootmaat-lêertoegang, interaktiewe administrasie en ’n oornag-rugsteun lewer elk ’n ander verkeerspatroon, en net een van hulle gee om volgehoue opstroom-deurset. ’n Bandwydte-syfer per setel is ’n verkoopsgerief, nie ’n model nie.

Skat beide rigtings, voeg die inkapselingsbokoste by, en let op of die verkeer uitbarstend of volgehoue is. Kyk dan na die kontrak se vasgelegde tempo eerder as sy kop-tempo, want ’n uitbarstingstoelating wat ná ’n paar sekondes verval, help nie ’n nagtelike rugsteun nie. Hou die gateway se eie grense in dieselfde begroting, want enkripsieverwerking en die aantal gelyktydige sessies kan bind lank voordat die lyn dit doen. ’n Vinniger lyn sal nie ’n versadigde gateway regmaak nie.

Speld die operasionele verbintenisse vas

Beskikbaarheid, herstelreaksie, eskaleringspad en onderhoudskennisgewing hoort op skrif, met die meetmetode genoem. ’n Kop-internettempo vestig nie een van daardie eienskappe nie, en ’n bemarkingsbladsy wat betroubaarheid belowe sonder om ’n onderbreking te definieer, doen dit ook nie. Vra hoe die klok begin, want ’n reaksietyd gemeet vanaf die verskaffer se eie erkenning is nie dieselfde getal as een gemeet vanaf jou moniteringswaarskuwing nie. Daardie twee definisies kan met ure verskil sonder dat iemand lieg.

Teken ook die ondersteuningsgrens aan. As die verskaffer se verantwoordelikheid eindig by ’n oorhandiging wat jou eie router termineer, gaan die eerste uur van elke voorval aan die besluit wie die fout besit, en geen SLA-klok dek dit nie.

Verifieer die lyn teen die geskrewe terme

Sodra die diens lewendig is, meet die eienskappe waarvoor jy werklik gekontrakteer het, eerder as dié wat die installeerder gedemonstreer het. Deurset, latensie en verlies op die werklike pad is die bewyse, en hulle moet op ’n tyd en vanaf ’n plek vasgelê word wat jy kan noem. Herhaal die meting op ’n besige uur, nie net by oorhandiging nie. ’n Aanvaardingstoets wat om 10:00 op ’n stil dag uitgevoer word, vertel jou baie min oor die skakel om 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Hou die resultate by die kontrak, want ’n prestasiegesprek sonder ’n basislyn is ’n argument oor indrukke. As ’n meting die verbintenis mis, lig dit terwyl die bewyse vars is en terwyl die diens nog binne watter aanvaardingsvenster die kontrak ook al bied. ’n Genoemde gasheer in die versoek hou ook die TLS-handskud geldig, sodat ’n sertifikaatwaarskuwing nie as ’n mislukte lyn beskou word nie.

Laastens, lees die vier hekke weer teen wat afgelewer is. Die oorhandiging, die IP-aflewering, die kapasiteit en die ondersteuningsvoorwaardes het elkeen ’n reël in die rekord, en elke reël het ’n naam langs hom.