İdarə olunan VPN-in internet çıxışı əslində haradan çıxır
«İnternet daxildir» ifadəsi ictimai trafikin haradan çıxdığını, onu kimin filtrlədiyini və nasazlıqdan sonra nəyin qaldığını demir. Yolu izləyin, sonra hər iki nasazlıq halını yazın.
Təklif həmin trafikin provayder şəbəkəsini haradan tərk etdiyini göstərməyincə, filialın ictimai trafikini kimin filtrlədiyini deyə bilməzsiniz. İdarə olunan VPN-ə daxil edilmiş internet çıxışı ikinci bir xidmətdir; öz şlüzələri, öz tərcüməsi və öz eskalasiya növbəsi olan bir yol üzərində işləyir. Müqavilələrin çoxu şəxsi tərəfi təfərrüatı ilə təsvir edir, ictimai tərəfi isə bir cümləyə buraxır. Aşağıdakı yoxlamalar həmin cümləni müdafiə edə biləcəyiniz diaqrama çevirir.
Hər sahə üzrə bir ictimai təyinatı izləyin
Bir filial hostu seçin və bir ictimai təyinatı izləyin; provayderə aid son ünvanı və internetə aid ilk ünvanı qeyd edin. Bu iki ünvan arasındakı hop çıxışdır və çox vaxt paketi göndərən sahədən heç yaxınlıqda yerləşmir. Keçidi həyata keçirən cihazı işarələyin, çünki nəyin çıxdığına dair filtri məhz o cihaz saxlayır. İzi ikinci sahədən təkrarlayın və çıxış ünvanlarını müqayisə edin, çünki hesab-fakturada eyni görünən iki filial müxtəlif şəhərlərdəki fərqli şlüzələrdən çıxa bilər.
Təyinatın həqiqətən gördüyü mənbə ünvanını da qeyd edin, çünki tərcümə heç vaxt çəkmədiyiniz bir hopda baş verə bilər. Müşahidə olunan cavabları diaqramdakı cavabların yanına yazın; aralarındakı fərq ilk insidentin haradan gələcəyini göstərir. Verilən sahə üçün çıxış ünvanını verə bilməyən provayder mühəndisi artıq sizə dizayn haqqında faydalı bir şey deyib.
Üç çıxış sxemi və hər birinin nəyi mərkəzləşdirdiyi
Özünüz idarə etdiyiniz mərkəzi çıxış ictimai trafiki öz şlüzənizə çəkir; bu sizə filtrasiya siyasətini və jurnalları verir, eyni zamanda hər sahənin yükünü bir dövrəyə yığır. Provayderin idarə etdiyi çıxış siyasəti və jurnalları müqavilə sərhədindən o tərəfə keçirir; bu əməliyyatları sadələşdirir və eyni hərəkətlə görünürlüyünüzü aradan qaldırır. Hər sahədə çıxış ictimai trafiki yerli saxlayır və eyni qalmalı olan siyasət səthlərinin sayını artırır.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Siyahı menyu kimi qəbul etməzdən əvvəl provayderin üç variantdan hansını həqiqətən təklif etdiyini soruşun və bir sahənin yeni dövrə olmadan aralarında keçə bilib-bilmədiyini soruşun. Miqrasiya cavabı müqaviləvi olanı sadəcə texniki olandan ayırır. Mənbə tərcüməsinin kimə aid olduğunu da qeyd edin, çünki bu, tərəfdaşın nəyi icazə siyahısına salmalı olduğunu müəyyən edir. Ortaq şlüzələr ortaq tutum və bəzən ortaq reputasiya deməkdir; bu, tərəfdaşların ünvanlarınıza necə yanaşdığını dəyişir. Tutum da öz sualını haqq edir, çünki ortaq şlüzə həmin anda başqa müştərilərə xidmət edir.
Filtrasiya, tərcümə və şifrələmə ayrı sahiblərdir
Marşrut çatımlığı təmin edir və yoxlama haqqında heç nə demir, ona görə ikisini fərqli sahibləri olan fərqli suallar kimi qəbul edin. Hər elan edilmiş default üçün filtrləyən cihazı, autentifikasiya edən cihazı, tərcümə edən cihazı və yoxlayan cihazı adlandırın, sonra hər birini kimin idarə etdiyini göstərin. Provayderin marşrut ayrımı şifrələmənin harada bitdiyini demir və şəxsi xidmət tunelini bir sərhəddə bitirə bilər, ictimai çıxış isə başqa sərhəddə bitər. Tərcümənin provayder kənarında, ortaq şlüzədə, yoxsa öz çıxışınızda baş verdiyini və sessiya jurnallarının olub-olmadığını, nə qədər saxlanıldığını soruşun. Cavablardakı sahibləri sayın, çünki dörd iş üçün bir tərəfi göstərən müqavilə adətən onlardan üçünü sənədsiz qoyur.
Geniş bir default marşrut şəxsi marşrutlaşdırma kontekstinə idxal edilmiş eyni diqqəti haqq edir, çünki idxal zərərsiz bir rahatlıq deyil, qəsdən verilmiş razılıqdır. RFC 4364 sənədinin 11-ci bölməsi BGP/MPLS VPN-lər üçün bir neçə internet-çıxış sxemini nəzərdən keçirir və VPN konteksti ilə provayderin default yönləndirmə konteksti arasındakı marşrut mübadiləsini məhz belə bir razılıq kimi qiymətləndirir. İctimai trafikin təsadüfən şəxsi yola düşməsinin qarşısını nəyin aldığını soruşun və cavabı slaydda deyil, marşrut siyasətinin yanında alın.
İmzalamadan əvvəl razılaşmalı iki nasazlıq halı
Müqaviləyə iki test yazın: internet çıxışını itirin və bir şəxsi qoşulmanı itirin. Hər biri üçün işləməyə davam etməli olan daxili resursları, yerli internet xidmətlərini və idarəetmə yollarını sadalayın. Sonra bloklanmış qalmalı olan ehtiyat yolu sadalayın, çünki mərkəzi nəzarətləri dolanan yol təmiz kəsintidən pisdir. Hər iki testi provayderə verin və gözlənilən nəticəni, aşkarlama və bildiriş daxil olmaqla, yazılı şəkildə istəyin.
Eyni yoxlamaları pilot sahədən keçirin və onları həmin yazılı cavabla müqayisə edin. İkisi ziddiyyət təşkil edirsə, müqavilə aldığınızdan fərqli bir şəbəkəni təsvir edir. İki əmr ümumi halları əhatə edir: biri ictimai təyinatın getdiyi yolu, digəri gördüyü ünvanı göstərir.
traceroute -n 203.0.113.10
curl -s https://example.net/ipƏlçatanlıq öhdəliklərini xidmətin adına deyil, ölçdüyünüz seqmentə bağlayın. Yerli dövrə, provayder onurğası və ortaq şlüzə ayrı öhdəliklər və ayrı eskalasiya komandaları daşıyır. L2VPN, L3VPN və MPLS hərfləri yönləndirmə mexanizmini təsvir edir, başdan-başa zəmanəti deyil.
Sübutlar təklifdəki sifətlərdən üstündür
Ehtiyatlı, təhlükəsiz və davamlı kimi sözlər dizaynı deyil, niyyəti təsvir edir. Əvəzində cihaz siyahısını, çıxış yerlərini, tərcümə sxemini və bildiriş yolunu istəyin. Həmin dörd bəndi təqdim edə bilən provayderin dizaynı var; edə bilməyənin slaydı var. Cavabları e-poçt zəncirində deyil, xidmət sənədlərində saxlayın və hər müqavilə dəyişikliyində onlara yenidən baxın.
Provayderlər şlüzələri birləşdirdikcə çıxış sxemləri səssizcə dəyişir, ona görə üç il əvvəlki diaqram artıq yükdür. Tərəfdaş tanımadıq mənbə ünvanı bildirdikdə, onun sizin dizaynınızdan, yoxsa heç kimin elan etmədiyi dəyişiklikdən gəldiyini dəqiqələr içində deyə bilməlisiniz. Sifətlər deyil, məhz bu qabiliyyət ilk kəsintidən sonra qalan şeydir.