Дзе насамрэч выходзіць інтэрнэт-трафік вашай кіраванай VPN

Вы не можаце сказаць, хто фільтруе публічны трафік філіяла, пакуль прапанова не пакажа, дзе гэты трафік пакідае сетку пастаўшчыка. Доступ да інтэрнэту, уключаны ў кіраваную VPN, — гэта другая паслуга, якая ідзе па шляху са сваімі шлюзамі, сваім перастварэннем адрасоў і сваёй чаргой эскалацыі. Большасць кантрактаў падрабязна апісваюць прыватны бок і пакідаюць публічны бок на адзін сказ. Праверкі ніжэй ператвараюць гэты сказ у схему, якую вы можаце абараніць.

Прасачыце адзін публічны пункт прызначэння на пляцоўку

Выберыце хост у філіяле і прасачыце адзін публічны пункт прызначэння, адзначыўшы апошні адрас, які належыць пастаўшчыку, і першы, які належыць інтэрнэту. Пераход паміж гэтымі двума адрасамі — гэта выхад, і ён часта знаходзіцца зусім не побач з пляцоўкай, якая адправіла пакет. Пазначце прыладу, якая выконвае пераход, бо менавіта гэтая прылада трымае фільтр, што вырашае, што выйдзе. Паўтарыце трасіроўку з другой пляцоўкі і параўнайце адрасы выхаду, бо дзве філіі, якія выглядаюць аднолькава ў рахунку, могуць выходзіць праз розныя шлюзы ў розных гарадах.

Адзначце таксама адрас крыніцы, які пункт прызначэння фактычна бачыць, бо перастварэнне можа адбывацца на пераходзе, якога вы ніколі не малявалі. Запішыце назіраныя адказы побач з намаляванымі, і розніца паміж імі — гэта месца, адкуль прыйдзе першы інцыдэнт. Інжынер пастаўшчыка, які не можа даць адрас выхаду для пэўнай пляцоўкі, ужо паведаміў вам нешта карыснае пра праект.

Тры схемы выхаду і што кожная канцэнтруе

Цэнтральны выхад, якім кіруеце вы, цягне публічны трафік да вашага ўласнага шлюза, што дае вам палітыку фільтрацыі і журналы, але збірае нагрузку ўсіх пляцовак на адну лінію. Выхад, якім кіруе пастаўшчык, пераносіць палітыку і журналы за мяжу кантракта, што спрашчае эксплуатацыю і адначасова пазбаўляе вас бачнасці. Выхад на кожнай пляцоўцы пакідае публічны трафік лакальным і памнажае колькасць паверхняў палітыкі, якія павінны заставацца аднолькавымі.

Спытайце, якую з трох схем пастаўшчык фактычна прапануе, перш чым разглядаць спіс як меню, і спытайце, ці можа пляцоўка перайсці паміж імі без новай лініі. Адказ пра міграцыю аддзяляе кантрактнае ад чыста тэхнічнага. Запішыце таксама, хто валодае перастварэннем адрасоў крыніцы, бо гэта вызначае, што партнёр павінен унесці ў белы спіс. Агульныя шлюзы азначаюць таксама агульную ёмістасць і часам агульную рэпутацыю, што змяняе стаўленне партнёраў да вашых адрасоў. Ёмістасць заслугоўвае асобнага пытання, бо агульны шлюз у гэты ж момант абслугоўвае іншых кліентаў.

Фільтрацыя, перастварэнне і шыфраванне маюць розных уладальнікаў

Маршрут забяспечвае дасяжнасць і нічога не кажа пра інспекцыю, таму разглядайце гэта як два розныя пытанні з рознымі ўладальнікамі. Для кожнага абвешчанага маршруту па змаўчанні назвіце прыладу, якая фільтруе, прыладу, якая аўтэнтыфікуе, прыладу, якая пераўтварае, і прыладу, якая інспектуе, а затым назвіце таго, хто кіруе кожнай. Падзел маршрутаў у пастаўшчыка не ўказвае, дзе сканчаецца шыфраванне, і прыватная паслуга можа скончыць свой тунель на адной мяжы, а публічны выхад — на другой. Спытайце, ці адбываецца перастварэнне на краі пастаўшчыка, на агульным шлюзе ці на вашым уласным выхадзе, і ці існуюць журналы сеансаў і як доўга. Падлічыце ўладальнікаў у адказах, бо кантракт, які называе адзін бок для чатырох задач, звычайна пакідае тры з іх без дакументацыі.

Шырокі маршрут па змаўчанні імпартаваны ў кантэкст прыватнай маршрутызацыі заслугоўвае такой жа ўвагі, бо імпарт — гэта наўмысная дамова, а не бясшкодная зручнасць. раздзел 11 RFC 4364 разглядае некалькі схем доступу да інтэрнэту для BGP/MPLS VPN і трактуе абмен маршрутамі паміж кантэкстам VPN і кантэкстам перасылкі па змаўчанні пастаўшчыка менавіта як такую дамову. Спытайце, што перашкаджае публічнаму трафіку выпадкова пайсці прыватным шляхам, і атрымайце адказ побач з маршрутнай палітыкай, а не ў прэзентацыі.

Два выпадкі збою, якія трэба ўзгадніць да подпісу

Упішыце ў кантракт два тэсты: страта выхаду ў інтэрнэт і страта аднаго прыватнага далучэння. Для кожнага пералічыце ўнутраныя рэсурсы, лакальныя інтэрнэт-паслугі і шляхі кіравання, якія павінны працягваць працаваць. Затым пералічыце рэзервовы шлях, які павінен застацца заблакаваным, бо шлях у абыход цэнтральных сродкаў кантролю горш за чысты перабой. Дайце абодва тэсты пастаўшчыку і папрасіце іх чаканы вынік у пісьмовай форме, уключаючы выяўленне і апавяшчэнне.

Правядзіце тыя ж праверкі з пілотнай пляцоўкі і параўнайце іх з гэтым пісьмовым адказам. Там, дзе яны разыходзяцца, кантракт апісвае іншую сетку, чым тая, якую вы купілі. Дзве каманды пакрываюць звычайныя выпадкі: адна паказвае шлях, які праходзіць публічны пункт прызначэння, другая — адрас, які ён бачыць.

traceroute -n 203.0.113.10
curl -s https://example.net/ip

Прывязвайце абавязацельствы даступнасці да сегмента, які вы вымералі, а не да назвы паслугі. Лакальная лінія, магістраль пастаўшчыка і агульны шлюз нясуць асобныя абавязацельствы і асобныя каманды эскалацыі. Літары L2VPN, L3VPN і MPLS апісваюць механізм перасылкі, а не гарантыю ад канца да канца.

Доказы мацнейшыя за прыметнікі ў прапанове

Словы накшталт рэзервовы, бяспечны і ўстойлівы апісваюць намер, а не праект. Замест гэтага папрасіце спіс прылад, месцы выхаду, схему перастварэння і шлях апавяшчэння. Пастаўшчык, які можа даць гэтыя чатыры пункты, мае праект; той, хто не можа, мае прэзентацыю. Трымайце адказы ў дакументацыі паслугі, а не ў пошце, і пераглядайце іх пры кожнай змене кантракта.

Схемы выхаду мяняюцца незаўважна, бо пастаўшчыкі аб'ядноўваюць шлюзы, таму схема трохгадовай даўніны — гэта рызыка. Калі партнёр паведамляе пра незнаёмы адрас крыніцы, вы павінны за хвіліны сказаць, ці прыйшоў ён з вашага праекта, ці з змены, якую ніхто не абвяшчаў. Менавіта гэтая здольнасць, а не прыметнікі, застаецца пасля першага перабою.