من أين يخرج ترافيك الإنترنت فعليًا في شبكة VPN التي يديرها مزوّدك
عبارة «الإنترنت مشمول» لا تقول شيئًا عن المكان الذي يخرج منه الترافيك العام، ولا عن الجهة التي تصفيه، ولا عمّا يبقى صامدًا عند الفشل. تتبّع المسار، ثم اكتب حالتي الفشل كلتيهما.
لا يمكنك أن تقول مَن يصفّي الترافيك العام لفرع ما حتى يُظهر العرض المقترح من أين يخرج ذلك الترافيك من شبكة المزوّد. الوصول إلى الإنترنت المضمَّن في شبكة VPN مُدارة هو خدمة ثانية، تسير على مسار له بوّاباته الخاصة وترجمته الخاصة وقائمة تصعيده الخاصة. معظم العقود تصف الجانب الخاص بالتفصيل وتترك الجانب العام في جملة واحدة. الفحوص أدناه تحوّل تلك الجملة إلى مخطط يمكنك الدفاع عنه.
تتبّع وجهة عامة واحدة لكل موقع
اختر مضيفًا في أحد الفروع وتتبّع وجهة عامة واحدة، مع ملاحظة آخر عنوان يخصّ المزوّد وأول عنوان يخصّ الإنترنت. القفزة بين هذين العنوانين هي المخرج، وهي غالبًا لا تقع قرب الموقع الذي أرسل الحزمة إطلاقًا. حدّد الجهاز الذي ينفّذ الانتقال، لأن ذلك الجهاز يحمل المرشّح الذي يقرّر ما يخرج. أعد التتبّع من موقع ثانٍ وقارن عناوين الخروج، لأن فرعين يبدوان متطابقين على الفاتورة قد يخرجان عبر بوّابتين مختلفتين في مدينتين مختلفتين.
لاحظ أيضًا عنوان المصدر الذي تراه الوجهة فعليًا، لأن الترجمة قد تحدث عند قفزة لم ترسمها قط. اكتب الأجوبة المرصودة بجانب الأجوبة المرسومة، والفجوة بينهما هي مصدر أول حادثة. مهندس لدى المزوّد لا يستطيع تقديم عنوان الخروج لموقع معيّن قد أخبرك بالفعل بشيء مفيد عن التصميم.
ثلاثة ترتيبات للمخرج وما يركّزه كل منها
المخرج المركزي الذي تديره أنت يسحب الترافيك العام إلى بوّابة تملكها، فيمنحك سياسة التصفية والسجلات بينما يركّز حِمل كل موقع على دائرة واحدة. المخرج الذي يديره المزوّد ينقل السياسة والسجلات عبر حدود العقد، ما يبسّط العمليات ويزيل رؤيتك في الحركة نفسها. المخرج لكل موقع يُبقي الترافيك العام محليًا ويضاعف عدد أسطح السياسة التي يجب أن تبقى متطابقة.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
اسأل أيّ الثلاثة يقدّمه المزوّد فعلاً قبل أن تتعامل مع القائمة كقائمة طعام، واسأل إن كان موقع ما يستطيع الانتقال بينها دون دائرة جديدة. جواب الترحيل يفصل ما هو تعاقدي عمّا هو تقني محض. سجّل أيضًا مَن يملك ترجمة المصدر، لأن ذلك يحدّد ما يجب أن يُدرجه الشريك في قائمة السماح. البوّابات المشتركة تعني أيضًا سعة مشتركة، وأحيانًا سمعة مشتركة، وهذا يغيّر طريقة تعامل الشركاء مع عناوينك. السعة تستحق سؤالها الخاص أيضًا، لأن البوّابة المشتركة تخدم عملاء آخرين في اللحظة نفسها.
التصفية والترجمة والتشفير لها مالكّون منفصلون
المسار يثبت قابلية الوصول ولا يقول شيئًا عن الفحص، لذا تعامل مع الأمرين كسؤالين مختلفين بمالكين مختلفين. لكل مسار افتراضي معلن، سمِّ الجهاز الذي يصفّي، والجهاز الذي يوثّق الهوية، والجهاز الذي يترجم، والجهاز الذي يفحص، ثم سمِّ مَن يدير كلًّا منها. فصل المسارات لدى المزوّد لا يذكر أين ينتهي التشفير، والخدمة الخاصة قد تُنهي نفقها عند حدّ ما بينما ينتهي المخرج العام عند حدّ آخر. اسأل هل تحدث الترجمة عند طرف المزوّد، أم عند بوّابة مشتركة، أم عند مخرجك أنت، وهل توجد سجلات جلسات ولأي مدة. عُدّ المالكين في الأجوبة، لأن عقدًا يسمّي طرفًا واحدًا لأربع مهام يترك ثلاثًا منها عادة بلا توثيق.
مسار افتراضي عريض مستورد إلى سياق التوجيه الخاص يستحق التدقيق نفسه، لأن الاستيراد اتفاق متعمّد لا تسهيل غير ضار. القسم 11 من RFC 4364 يشرح عدة ترتيبات للوصول إلى الإنترنت في شبكات BGP/MPLS VPN ويعامل تبادل المسارات بين سياق VPN وسياق التحويل الافتراضي لدى المزوّد باعتباره بالضبط ذلك النوع من الاتفاق. اسأل ما الذي يمنع الترافيك العام من سلوك مسار خاص بالخطأ، واحصل على الجواب بجانب سياسة المسارات لا في عرض تقديمي.
حالتا فشل يجب الاتفاق عليهما قبل التوقيع
اكتب اختبارين في العقد: فقدان مخرج الإنترنت، وفقدان ارتباط خاص واحد. لكل منهما، اسرد الموارد الداخلية وخدمات الإنترنت المحلية ومسارات الإدارة التي يجب أن تبقى عاملة. ثم اسرد المسار الاحتياطي الذي يجب أن يبقى محظورًا، لأن مسارًا يلتف حول الضوابط المركزية أسوأ من انقطاع نظيف. أعطِ الاختبارين للمزوّد واطلب نتيجتهما المتوقعة كتابةً، بما في ذلك الاكتشاف والإشعار.
نفّذ الفحوص نفسها من موقع تجريبي وقارنها بذلك الجواب المكتوب. حيث يختلف الاثنان، فإن العقد يصف شبكة مختلفة عن التي اشتريتها. أمران يغطيان الحالات الشائعة: أحدهما يُظهر المسار الذي تسلكه وجهة عامة، والآخر يُظهر العنوان الذي تراه.
traceroute -n 203.0.113.10
curl -s https://example.net/ipاربط التزامات التوافر بالجزء الذي قِسته لا باسم الخدمة. الدائرة المحلية والعمود الفقري للمزوّد والبوّابة المشتركة تحمل التزامات منفصلة وفرق تصعيد منفصلة. الأحرف L2VPN وL3VPN وMPLS تصف آلية تحويل، لا ضمانًا من الطرف إلى الطرف.
الأدلة تتغلب على الصفات في العرض المقترح
كلمات مثل زائد عن الحاجة وآمن وصامد تصف نية لا تصميمًا. اطلب بدلاً من ذلك قائمة الأجهزة ومواقع الخروج ومخطط الترجمة ومسار الإشعار. المزوّد الذي يستطيع تقديم تلك البنود الأربعة لديه تصميم؛ ومن لا يستطيع لديه عرض تقديمي. احفظ الأجوبة في وثائق الخدمة لا في سلسلة بريد، وراجعها عند كل تغيير في العقد.
ترتيبات المخرج تتحرك بهدوء مع دمج المزوّدين للبوّابات، لذا مخطط عمره ثلاث سنوات يصبح عبئًا. عندما يبلّغ شريك عن عنوان مصدر غير مألوف، يجب أن تستطيع القول خلال دقائق هل جاء من تصميمك أم من تغيير لم يعلن عنه أحد. تلك القدرة، لا الصفات، هي ما يبقى بعد أول انقطاع.