Арандаваная лінія для VPN? Спачатку перакладзіце патрабаванне

Прапанова называе канкрэтную арандаваную лінію для офіснай VPN, і лік прыходзіць без тлумачэння. Перш чым падпісаць, падзяліце сказ на чатыры патрабаванні, якія ён насамрэч хавае: фізічная перадача, схема дастаўкі IP, ёмістасць у абодвух напрамках і абавязацельства падтрымкі за лініяй. Правядзіце іх як брамы ў гэтым парадку, бо лінію, якая не праходзіць перадачу, не выратуе большая лічба прапускной здольнасці. Затым праверце, што было дастаўлена, супраць таго, што вы запісалі.

Перакладзіце патрабаванне, а не назву прадукту

IPsec абараняе трафік на ўзроўні IP і пакідае перамяшчэнне любой лініі, якую вы купляеце. Архітэктура IPsec апісвае, як трафік абараняецца паміж аднаранговымі бакамі; яна нічога не кажа пра тып перадачы, абавязаныя хуткасці ці акны рамонту. Гэта ўласцівасці дагавора аб абслугоўванні.

Менавіта гэтае адрозненне тлумачыць, чаму патрабаванне да лініі можа быць законным і пры гэтым не быць патрабаваннем да VPN. Шлюз толькі з паслядоўным інтэрфейсам сапраўды патрабуе паслядоўнай перадачы, і гэта абмежаванне апаратнага забеспячэння, а не пратаколу. Замяніце прыладу — і абмежаванне знікне. Запісвайце кожнае патрабаванне ў форме "шлюзу патрэбен X, бо Y", і адхіляйце любы радок, які нельга дапоўніць.

Назавіце перадачу раней, чым назавяце хуткасць

Перадача — гэта фізічнае злучэнне і злучэнне канальнага ўзроўню ў пункце размежавання: меднае Ethernet, оптыка з пэўным трансіверам, паслядоўны інтэрфейс або нешта старэйшае, што існуе толькі таму, што яго мае бягучая прылада. Памылка тут каштуе так, як ніколі не каштуе прапускная здольнасць, бо звычайна гэта азначае новае абсталяванне на абодвух канцах. Адсутная оптыка — гэта не праблема ёмістасці, і ніякае абнаўленне яе не выправіць.

Пацвердзіце раз'ём, узгадненне хуткасці і хто пастаўляе медыяканвертар ці маршрутызатар. Затым пацвердзіце, дзе сканчаецца вашая адказнасць, бо пункт размежавання вырашае, каму дазволена чапаць што, калі злучэнне падае ў 03:00. Запішыце гэтую мяжу ў запіс побач з ідэнтыфікатарам лініі. Гэта адзіны радок, які ператварае званок у падтрымку ў пяціхвілінную размову замест гадзіны перадачы.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Пацвердзіце дастаўку IP, а не толькі адрас

Спытайце, які адрас ці прэфікс паслуга фактычна дастаўляе і ці статычны ён. Лінія, якая выдае дынамічны адрас, дрэнна падыходзіць для шлюза паміж пляцоўкамі, бо канфігурацыя партнёра павінна перажыць змену, якую вы не планавалі. Пацвердзіце таксама даўжыню прэфікса, бо адзін адрас і маршрутызаваны /29 — гэта розныя прадукты.

Затым спытайце, ці нешта перакладае адрас, перш чым ён да вас дайдзе. NAT на баку пастаўшчыка або NAT узроўню аператара перад паслугай ламае ўваходныя сеансы, таму да шлюза, які спадзяецца прымаць IPsec з аддаленых пляцовак, нельга дабрацца. Хуткасць гэтага не кампенсуе: хуткае злучэнне за перакладчыкам, якім вы не кіруеце, усё роўна не можа прыняць уваходнае злучэнне на порт, які ніхто не перасылае.

Запішыце, каму належаць маршрутызатар і DNS. Калі пастаўшчык дае маршрутызатар, вы атрымліваеце яго прашыўку, яго паводзіны NAT і яго ўяўленне пра маршрут па змаўчанні, і кожная наступная змена праходзіць праз заяўку. Папросіце кагосьці па-за вашай сеткай паспрабаваць уваходнае злучэнне да порта, які вы спадзяецеся бачыць даступным, бо гэта адзіны тэст, які даказвае гісторыю перакладу.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Разлічыце ёмістасць ад працоўнай нагрузкі, у абодвух напрамках

Ёмістасць трэба апісваць у тэрмінах працы, а не ў тэрмінах ліку на карыстальніка. Масавы доступ да файлаў, інтэрактыўнае адміністраванне і начное рэзервовае капіраванне ствараюць розныя карціны трафіку, і толькі адна з іх клапоціцца пра ўстойлівую хуткасць уверх. Лічба прапускной здольнасці на месца — гэта зручнасць для продажу, а не мадэль.

Ацаніце абодва напрамкі, дадайце накладныя выдаткі інкапсуляцыі і адзначце, ці трафік рыўкавы ці ўстойлівы. Затым праверце абавязаную хуткасць дагавора, а не яго паказную хуткасць, бо дазвол на рыўкі, які сканчаецца праз некалькі секунд, не дапамагае начнаму рэзерваванню. Трымайце ўласныя межы шлюза ў тым жа бюджэце, бо апрацоўка шыфравання і колькасць адначасовых сеансаў могуць стаць вузкім месцам задоўга да лініі. Хутчэйшая лінія не выправіць перагружаны шлюз.

Замацуйце аперацыйныя абавязацельствы

Даступнасць, рэакцыя на рамонт, шлях эскалацыі і паведамленне пра абслугоўванне павінны быць на паперы, з названым метадам вымярэння. Паказная хуткасць інтэрнэту не ўсталёўвае ніводнай з гэтых уласцівасцей, і маркетынгавая старонка, якая абяцае надзейнасць без вызначэння перапынку, таксама. Спытайце, як пачынаецца гадзіннік, бо час рэакцыі, які вымяраецца ад уласнага пацверджання пастаўшчыка, гэта не той жа лік, што вымяраецца ад вашага сігналу маніторынгу. Гэтыя два вызначэнні могуць адрознівацца на гадзіны, і ніхто не будзе хлусіць.

Запішыце таксама мяжу падтрымкі. Калі адказнасць пастаўшчыка сканчаецца на перадачы, якую спыняе ваш уласны маршрутызатар, першая гадзіна кожнага інцыдэнту ідзе на вызначэнне таго, каму належыць памылка, і ніводзін гадзіннік SLA яе не пакрывае.

Праверце лінію супраць пісьмовых умоў

Калі паслуга запушчана, вымярайце ўласцівасці, на якія вы сапраўды заключылі дагавор, а не тыя, якія прадэманстраваў усталёўшчык. Прапускная здольнасць, затрымка і страты на рэальным шляху — гэта доказы, і іх трэба зафіксаваць у час і з месца, якія вы можаце назваць. Паўтарыце вымярэнне ў пікавую гадзіну, а не толькі пры перадачы. Прыёмачны тэст, праведзены ў 10:00 у спакойны дзень, вельмі мала кажа пра злучэнне ў 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Трымайце вынікі разам з дагаворам, бо размова пра прадукцыйнасць без базавай лініі — гэта спрэчка пра ўражанні. Калі вымярэнне не дасягае абавязацельства, падыміце яго, пакуль доказы свежыя і пакуль паслуга яшчэ ў любым прыёмачным акне, якое дае дагавор. Названы хост у запыце таксама захоўвае рукапоціск TLS сапраўдным, каб папярэджанне пра сертыфікат не прынялі за збой лініі.

Нарэшце, перачытайце чатыры брамы супраць таго, што было дастаўлена. Перадача, дастаўка IP, ёмістасць і ўмовы падтрымкі — кожная мае радок у запісе, і каля кожнага радка ёсць імя.