Къде всъщност излиза интернет изходът на управляваната ви VPN
„Интернет включен“ не казва нищо за това откъде излиза публичният трафик, кой го филтрира и какво оцелява при отказ. Проследете пътя и после опишете двата случая на отказ.
Не можете да кажете кой филтрира публичния трафик на един клон, докато предложението не покаже откъде този трафик напуска мрежата на доставчика. Достъпът до интернет, включен в управлявана VPN, е втора услуга, която върви по път със свои собствени шлюзове, свое собствено преобразуване на адреси и своя собствена опашка за ескалация. Повечето договори описват подробно частната страна и оставят публичната страна на едно изречение. Проверките по-долу превръщат това изречение в диаграма, която можете да защитите.
Проследете една публична дестинация на обект
Изберете хост в клона и проследете една публична дестинация, като отбележите последния адрес, който принадлежи на доставчика, и първия, който принадлежи на интернет. Преходът между тези два адреса е изходът и често се намира далеч от обекта, който е изпратил пакета. Отбележете устройството, което извършва прехода, защото точно това устройство държи филтъра, който решава какво излиза. Повторете проследяването от втори обект и сравнете адресите на изход, защото два клона, които изглеждат еднакви във фактурата, могат да излизат през различни шлюзове в различни градове.
Отбележете и адреса на източника, който дестинацията действително вижда, защото преобразуването може да се случи на преход, който никога не сте начертали. Запишете наблюдаваните отговори до начертаните и разликата между тях е мястото, откъдето ще дойде първият инцидент. Инженер на доставчика, който не може да даде адреса на изход за даден обект, вече ви е казал нещо полезно за проекта.
Три схеми на изход и какво концентрира всяка
Централен изход, който управлявате вие, притегля публичния трафик към ваш собствен шлюз, което ви дава политиката за филтриране и регистрите, но струпва натоварването на всички обекти върху една линия. Изход, управляван от доставчика, премества политиката и регистрите отвъд границата на договора, което опростява експлоатацията и в същото движение ви отнема видимостта. Изход на всеки обект запазва публичния трафик локален и умножава броя на повърхностите за политика, които трябва да останат еднакви.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Попитайте коя от трите схеми доставчикът действително предлага, преди да приемете списъка като меню, и попитайте дали обект може да преминава между тях без нова линия. Отговорът за миграцията разделя договорното от чисто техническото. Запишете и кой притежава преобразуването на адреса на източника, защото това решава какво партньорът трябва да включи в списъка за разрешаване. Споделените шлюзове означават и споделен капацитет, а понякога и споделена репутация, което променя как партньорите се отнасят към вашите адреси. Капацитетът заслужава собствен въпрос, защото споделеният шлюз обслужва други клиенти в същия момент.
Филтрирането, преобразуването и шифроването имат различни собственици
Маршрутът установява достижимост и не казва нищо за инспекцията, затова третирайте двете като различни въпроси с различни собственици. За всеки обявен маршрут по подразбиране назовете устройството, което филтрира, устройството, което удостоверява, устройството, което преобразува, и устройството, което инспектира, после назовете кой администрира всяко от тях. Разделението на маршрути при доставчика не казва къде свършва шифроването и частна услуга може да завърши тунела си на една граница, докато публичният изход завършва на друга. Попитайте дали преобразуването става на ръба на доставчика, на споделен шлюз или на вашия собствен изход, и дали съществуват регистри на сесии и за колко време. Пребройте собствениците в отговорите, защото договор, който посочва една страна за четири задачи, обикновено оставя три от тях без документация.
Широк маршрут по подразбиране внесен в контекста на частното маршрутизиране заслужава същото внимание, защото внасянето е съзнателно споразумение, а не безобидно удобство. раздел 11 на RFC 4364 разглежда няколко схеми за достъп до интернет при BGP/MPLS VPN и третира обмена на маршрути между контекста на VPN и контекста за препращане по подразбиране на доставчика точно като такова споразумение. Попитайте какво пречи публичният трафик случайно да поеме по частен път и вземете отговора до маршрутната политика, а не в презентация.
Два случая на отказ, които да се договорят преди подписване
Впишете два теста в договора: загуба на интернет изхода и загуба на едно частно свързване. За всеки избройте вътрешните ресурси, локалните интернет услуги и пътищата за управление, които трябва да продължат да работят. После избройте резервния път, който трябва да остане блокиран, защото път около централните контроли е по-лош от чисто прекъсване. Дайте двата теста на доставчика и поискайте очаквания им резултат писмено, включително откриване и уведомяване.
Изпълнете същите проверки от пилотен обект и ги сравнете с този писмен отговор. Където двете се разминават, договорът описва друга мрежа, различна от купената. Две команди покриват обичайните случаи: едната показва пътя, който поема публична дестинация, другата показва адреса, който тя вижда.
traceroute -n 203.0.113.10
curl -s https://example.net/ipОбвържете ангажиментите за наличност със сегмента, който измерихте, а не с името на услугата. Локалната линия, гръбнакът на доставчика и споделеният шлюз носят отделни задължения и отделни екипи за ескалация. Буквите L2VPN, L3VPN и MPLS описват механизъм за препращане, а не гаранция от край до край.
Доказателствата побеждават прилагателните в предложението
Думи като резервиран, сигурен и устойчив описват намерение, а не проект. Вместо това поискайте списъка с устройства, местата на изход, схемата за преобразуване и пътя за уведомяване. Доставчик, който може да даде тези четири елемента, има проект; този, който не може, има презентация. Пазете отговорите в документацията на услугата, а не в имейл нишка, и ги преглеждайте при всяка промяна на договора.
Схемите на изход се променят тихо, докато доставчиците обединяват шлюзове, затова диаграма отпреди три години е риск. Когато партньор съобщи непознат адрес на източник, трябва да можете в рамките на минути да кажете дали идва от вашия проект, или от промяна, която никой не е обявил. Тази способност, а не прилагателните, е това, което оцелява след първия отказ.