Наета линия за VPN? Първо преведете изискването

Предложението посочва конкретна наета линия за офис VPN, а числото идва без обяснение. Преди да подпишете, разделете изречението на четирите изисквания, които то всъщност крие: физическото предаване, схемата за доставка на IP, капацитета в двете посоки и ангажимента за поддръжка зад линията. Прекарайте ги като порти в този ред, защото линия, която се проваля при предаването, не може да бъде спасена от по-голяма цифра за честотна лента. След това проверете доставеното срещу това, което сте записали.

Преведете изискването, а не името на продукта

IPsec защитава трафика на IP ниво и оставя преноса на каквато линия купите. Архитектурата на IPsec описва как трафикът се защитава между партньори; тя не казва нищо за типа предаване, ангажираните скорости или прозорците за ремонт. Това са свойства на договор за услуга.

Това разграничение е цялата причина едно изискване за линия да е законно и пак да не е изискване за VPN. Шлюз само със сериен интерфейс наистина се нуждае от серийно предаване и това е ограничение на хардуера, а не на протокола. Сменете устройството и ограничението изчезва. Записвайте всяко изискване във формата "шлюзът се нуждае от X, защото Y", и отхвърляйте всеки ред, който не може да бъде довършен.

Назовете предаването, преди да назовете скоростта

Предаването е физическата връзка и връзката на каналния слой в точката на разграничаване: меден Ethernet, оптика с конкретен трансивър, сериен интерфейс или нещо по-старо, което съществува само защото текущото устройство го има. Грешката тук е скъпа по начин, по който честотната лента никога не е, защото обикновено означава нов хардуер в двата края. Липсващата оптика не е проблем с капацитета и никакво надграждане не я оправя.

Потвърдете конектора, договарянето на скоростта и кой доставя медийния конвертор или рутера. След това потвърдете къде свършва вашата отговорност, защото точката на разграничаване решава кой има право да докосва какво, когато връзката падне в 03:00. Запишете тази граница в записа до идентификатора на линията. Това е единственият ред, който превръща обаждане до поддръжката в петминутен разговор вместо час прехвърляне.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Потвърдете доставката на IP, не само адреса

Питайте какъв адрес или префикс услугата всъщност доставя и дали е статичен. Линия, която раздава динамичен адрес, не подхожда на шлюз сайт-към-сайт, защото конфигурацията на партньора трябва да преживее промяна, която не сте планирали. Потвърдете и дължината на префикса, защото един адрес и маршрутизиран /29 са различни продукти.

След това питайте дали нещо превежда адреса, преди да стигне до вас. NAT от страна на доставчика или NAT на ниво оператор пред услугата чупи входящите сесии, така че шлюз, който очаква да приема IPsec от отдалечени сайтове, не може да бъде достигнат. Скоростта не компенсира: бърза връзка зад преводач, който не контролирате, пак не може да приеме входяща връзка на порт, който никой не пренасочва.

Запишете кой притежава рутера и DNS. Ако доставчикът осигурява рутера, вие наследявате неговия фърмуер, поведението му на NAT и представата му за маршрут по подразбиране, и всяка следваща промяна минава през заявка. Накарайте някого извън вашата мрежа да опита входяща връзка към порта, който очаквате да е достъпен, защото това е единственият тест, който доказва историята с превода.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Оразмерете капацитета от натоварването, в двете посоки

Капацитетът трябва да се описва с работа, а не с число на потребител. Масовият достъп до файлове, интерактивната администрация и нощното архивиране създават различни модели на трафик и само едно от тях го интересува устойчивата изходяща скорост. Числото за честотна лента на място е удобство за продажби, а не модел.

Оценете двете посоки, добавете разходите за капсулиране и отбележете дали трафикът е импулсен или устойчив. След това проверете ангажираната скорост на договора, а не рекламната, защото разрешение за импулси, което изтича след няколко секунди, не помага на нощно архивиране. Дръжте собствените граници на шлюза в същия бюджет, защото обработката на шифроване и броят на едновременните сесии могат да станат тясно място много преди линията. По-бърза линия няма да оправи наситен шлюз.

Фиксирайте оперативните ангажименти

Наличност, реакция при ремонт, път за ескалация и известие за поддръжка трябва да са писмено, с посочен метод на измерване. Рекламната скорост на интернет не установява нито едно от тези свойства, нито маркетингова страница, която обещава надеждност, без да дефинира прекъсване. Питайте как започва часовникът, защото време за реакция, измерено от собственото потвърждение на доставчика, не е същото число като измерено от вашия сигнал за мониторинг. Тези две дефиниции могат да се различават с часове, без някой да лъже.

Запишете и границата на поддръжката. Ако отговорността на доставчика свършва при предаване, което вашият рутер прекратява, първият час от всеки инцидент отива за решаване кой притежава повредата и никой часовник на SLA не го покрива.

Проверете линията срещу писмените условия

Щом услугата заработи, измервайте свойствата, за които наистина сте сключили договор, а не тези, които монтажникът е демонстрирал. Пропускателната способност, закъснението и загубите по реалния път са доказателството и трябва да бъдат записани по време и от място, които можете да назовете. Повторете измерването в натоварен час, не само при предаването. Приемен тест, проведен в 10:00 в спокоен ден, ви казва много малко за връзката в 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Пазете резултатите с договора, защото разговор за производителност без базова линия е спор за впечатления. Ако измерване не покрива ангажимента, повдигнете го, докато доказателството е свежо и докато услугата е още в какъвто и да е приемен прозорец, който договорът дава. Назован хост в заявката също пази TLS ръкостискането валидно, така че предупреждение за сертификат не се приема за повредена линия.

Накрая, прочетете отново четирите порти срещу доставеното. Предаването, доставката на IP, капацитетът и условията за поддръжка имат по един ред в записа и до всеки ред има име.