Waar jou bestuurde VPN se internet-uitgang werklik uitgaan

Jy kan nie sê wie ’n tak se openbare verkeer filtreer voordat die voorstel wys waar daardie verkeer die diensverskaffer se netwerk verlaat nie. Internettoegang wat by ’n bestuurde VPN ingesluit is, is ’n tweede diens wat op ’n pad met sy eie gateways, sy eie adresvertaling en sy eie eskaleringsry ry. Die meeste kontrakte beskryf die private kant in detail en laat die openbare kant aan een sin oor. Die kontrole hieronder verander daardie sin in ’n diagram wat jy kan verdedig.

Volg een openbare bestemming per perseel

Kies ’n takgasheer en volg een openbare bestemming, en let op die laaste adres wat aan die diensverskaffer behoort en die eerste wat aan die internet behoort. Die hop tussen daardie twee adresse is die uitgang, en dit sit dikwels nêrens naby die perseel wat die pakket gestuur het nie. Merk die toestel wat die oorgang doen, want daardie toestel hou die filter wat besluit wat uitgaan. Herhaal die naspeuring vanaf ’n tweede perseel en vergelyk uitgangsadresse, want twee takke wat op die faktuur identies lyk, kan deur verskillende gateways in verskillende stede uitgaan.

Let ook op die bronadres wat die bestemming werklik sien, want vertaling kan by ’n hop gebeur wat jy nooit geteken het nie. Skryf die waargenome antwoorde langs die getekende antwoorde, en die gaping tussen hulle is waar die eerste voorval vandaan sal kom. ’n Ingenieur by die diensverskaffer wat nie die uitgangsadres vir ’n gegewe perseel kan gee nie, het jou reeds iets nuttigs oor die ontwerp vertel.

Drie uitgangsreëlings en wat elkeen konsentreer

’n Sentrale uitgang wat jy self bedryf, trek openbare verkeer na ’n gateway van jou eie, wat jou die filterbeleid en die logboeke gee terwyl dit elke perseel se las op een kring konsentreer. ’n Uitgang wat die diensverskaffer bedryf, skuif beleid en logboeke oor die kontrakgrens, wat bedryf vereenvoudig en jou sigbaarheid in dieselfde beweging wegneem. ’n Uitgang per perseel hou openbare verkeer plaaslik en vermenigvuldig die aantal beleidsoppervlakke wat identies moet bly.

Vra watter van die drie die diensverskaffer werklik bied voordat jy die lys as ’n spyskaart behandel, en vra of ’n perseel tussen hulle kan skuif sonder ’n nuwe kring. Die migrasie-antwoord skei wat kontraktueel is van wat bloot tegnies is. Teken ook aan wie die bronvertaling besit, want dit bepaal wat ’n vennoot op die toelaatlys moet plaas. Gedeelde gateways beteken ook gedeelde kapasiteit en soms gedeelde reputasie, wat verander hoe vennote jou adresse behandel. Kapasiteit verdien ook sy eie vraag, want ’n gedeelde gateway bedien op dieselfde oomblik ander kliënte.

Filtering, vertaling en versleuteling het aparte eienaars

’n Roete vestig bereikbaarheid en sê niks oor inspeksie nie, so behandel die twee as verskillende vrae met verskillende eienaars. Noem vir elke geadverteerde standaardroete die toestel wat filtreer, die toestel wat verifieer, die toestel wat vertaal en die toestel wat inspekteer, en noem dan wie elkeen administreer. Die diensverskaffer se roeteskeiding sê nie waar versleuteling eindig nie, en ’n private diens kan sy tonnel by een grens beëindig terwyl die openbare uitgang by ’n ander een eindig. Vra of vertaling by die diensverskaffer se rand, by ’n gedeelde gateway of by jou eie uitgang gebeur, en of sessielogboeke bestaan en vir hoe lank. Tel die eienaars in die antwoorde, want ’n kontrak wat een party vir vier take noem, laat gewoonlik drie daarvan ongedokumenteer.

’n Breë standaardroete ingevoer in die private roetekonteks verdien dieselfde ondersoek, want ’n invoer is ’n doelbewuste ooreenkoms eerder as ’n onskadelike gerief. RFC 4364 afdeling 11 beskryf verskeie internettoegang-reëlings vir BGP/MPLS VPN's en behandel roete-uitruiling tussen die VPN-konteks en die diensverskaffer se standaardaanstuurkonteks as presies daardie soort ooreenkoms. Vra wat verhoed dat openbare verkeer per ongeluk ’n private pad neem, en kry die antwoord langs die roetebeleid eerder as in ’n skyfie.

Twee foutgevalle om voor ondertekening ooreen te kom

Skryf twee toetse in die kontrak: verloor die internetuitgang, en verloor een private aanhegting. Lys vir elkeen die interne hulpbronne, die plaaslike internetdienste en die bestuurspaaie wat moet aanhou werk. Lys dan die terugvalpad wat geblokkeer moet bly, want ’n pad om die sentrale kontroles is slegter as ’n skoon onderbreking. Gee albei toetse aan die diensverskaffer en vra hulle verwagte resultaat skriftelik, insluitend opsporing en kennisgewing.

Voer dieselfde ondersoeke vanaf ’n proefperseel uit en vergelyk hulle met daardie skriftelike antwoord. Waar die twee verskil, beskryf die kontrak ’n ander netwerk as die een wat jy gekoop het. Twee opdragte dek die algemene gevalle: een wys die pad wat ’n openbare bestemming neem, die ander wys die adres wat dit sien.

traceroute -n 203.0.113.10
curl -s https://example.net/ip

Heg beskikbaarheidsverbintenisse aan die segment wat jy gemeet het eerder as aan die diensnaam. ’n Plaaslike kring, ’n diensverskaffer-ruggraat en ’n gedeelde gateway dra aparte verpligtinge en aparte eskalasiespanne. Die letters L2VPN, L3VPN en MPLS beskryf ’n aanstuurmeganisme, nie ’n end-tot-end-waarborg nie.

Bewyse klop die byvoeglike naamwoorde in die voorstel

Woorde soos redundant, veilig en veerkragtig beskryf ’n bedoeling eerder as ’n ontwerp. Vra eerder na die toestellys, die uitgangslokasies, die vertalingskema en die kennisgewingpad. ’n Diensverskaffer wat daardie vier items kan lewer, het ’n ontwerp; een wat dit nie kan nie, het ’n skyfie. Hou die antwoorde in die diensdokumentasie eerder as in ’n e-posdraad, en hersien hulle by elke kontrakverandering.

Uitgangsreëlings skuif stilweg namate diensverskaffers gateways konsolideer, so ’n diagram van drie jaar gelede is ’n las. Wanneer ’n vennoot ’n onbekende bronadres rapporteer, moet jy binne minute kan sê of dit uit jou ontwerp kom of uit ’n verandering wat niemand aangekondig het nie. Daardie vermoë, eerder as die byvoeglike naamwoorde, is wat die eerste onderbreking oorleef.