Una línia llogada per a la VPN? Primer traduïu el requisit

La proposta anomena una línia llogada concreta per a la VPN de l’oficina, i el número arriba sense cap explicació. Abans de signar-la, dividiu la frase en els quatre requisits que realment amaga: el lliurament físic, l’arranjament de lliurament d’IP, la capacitat en les dues direccions i el compromís de suport darrere del circuit. Passeu-los com a portes en aquest ordre, perquè un circuit que falla el lliurament no es pot salvar amb una xifra més gran d’amplada de banda. Després verifiqueu el que s’ha lliurat contra el que heu escrit.

Traduïu el requisit, no el nom del producte

IPsec protegeix el trànsit a la capa IP i deixa el transport al circuit que compreu. L’arquitectura IPsec descriu com es protegeix el trànsit entre parells; no diu res sobre el tipus de lliurament, les velocitats compromeses o les finestres de reparació. Aquestes són propietats d’un contracte de servei.

Aquesta distinció és tota la raó per la qual un requisit de circuit pot ser legítim i tot i així no ser un requisit de VPN. Una passarel·la amb només una interfície sèrie realment necessita un lliurament sèrie, i això és una restricció de maquinari, no de protocol. Substituïu l’aparell i la restricció desapareix. Escriviu cada requisit en la forma "la passarel·la necessita X perquè Y", i rebutgeu qualsevol línia que no es pugui completar.

Anomeneu el lliurament abans d’anomenar la velocitat

El lliurament és la connexió física i d’enllaç al punt de demarcació: Ethernet de coure, fibra amb un transceptor concret, una interfície sèrie o alguna cosa més antiga que només existeix perquè l’aparell actual la té. Equivocar-se aquí és car d’una manera que l’amplada de banda mai no ho és, perquè normalment significa maquinari nou als dos extrems. Una òptica que falta no és un problema de capacitat i cap actualització ho arregla.

Confirmeu el connector, la negociació de velocitat i qui subministra el convertidor de mitjans o l’encaminador. Després confirmeu on acaba la vostra responsabilitat, perquè el punt de demarcació decideix qui pot tocar què quan l’enllaç cau a les 03:00. Escriviu aquesta frontera al registre al costat de l’identificador del circuit. És l’única línia que converteix una trucada de suport en una conversa de cinc minuts en lloc d’una hora de transferència.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Confirmeu el lliurament d’IP, no només l’adreça

Pregunteu quina adreça o prefix lliura realment el servei, i si és estàtic. Un circuit que assigna una adreça dinàmica encaixa malament en una passarel·la de lloc a lloc, perquè la configuració del parell ha de sobreviure a un canvi que no heu planificat. Confirmeu també la longitud del prefix, perquè una adreça i un /29 encaminat són productes diferents.

Després pregunteu si alguna cosa tradueix l’adreça abans que us arribi. Un NAT del costat del proveïdor o un NAT de nivell d’operador davant del servei trenca les sessions entrants, així que no es pot arribar a una passarel·la que espera acceptar IPsec de llocs remots. La velocitat no compensa: un enllaç ràpid darrere d’un traductor que no controleu encara no pot acceptar una connexió entrant en un port que ningú no reenvia.

Registreu qui posseeix l’encaminador i el DNS. Si el proveïdor subministra l’encaminador, hereteu el seu firmware, el seu comportament NAT i la seva idea de ruta per defecte, i cada canvi posterior passa per un tiquet. Feu que algú fora de la vostra xarxa intenti una connexió entrant al port que espereu que sigui accessible, perquè és l’única prova que demostra la història de la traducció.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimensioneu la capacitat a partir de la càrrega de treball, en les dues direccions

La capacitat s’ha de descriure en termes de treball, no en termes d’un número per usuari. L’accés massiu a fitxers, l’administració interactiva i una còpia de seguretat nocturna produeixen patrons de trànsit diferents, i només un d’ells es preocupa pel rendiment ascendent sostingut. Una xifra d’amplada de banda per seient és una comoditat comercial, no un model.

Estimeu les dues direccions, afegiu la sobrecàrrega d’encapsulació i anoteu si el trànsit és a esclats o sostingut. Després comproveu la velocitat compromesa del contracte i no la velocitat de titular, perquè una assignació d’esclats que caduca al cap de pocs segons no ajuda una còpia nocturna. Manteniu els límits propis de la passarel·la en el mateix pressupost, perquè el processament de xifratge i el nombre de sessions concurrents poden limitar molt abans que el circuit. Una línia més ràpida no arreglarà una passarel·la saturada.

Fixeu els compromisos operatius

Disponibilitat, resposta de reparació, camí d’escalada i avís de manteniment han de ser per escrit, amb el mètode de mesura anomenat. Una velocitat d’internet de titular no estableix cap d’aquestes propietats, i una pàgina de màrqueting que promet fiabilitat sense definir una caiguda tampoc. Pregunteu com comença el rellotge, perquè un temps de resposta mesurat des del propi reconeixement del proveïdor no és el mateix número que un mesurat des de la vostra alerta de monitoratge. Aquestes dues definicions poden diferir hores sense que ningú menteixi.

Registreu també la frontera de suport. Si la responsabilitat del proveïdor acaba en un lliurament que el vostre propi encaminador termina, la primera hora de cada incident se’n va a decidir qui posseeix la falla, i cap rellotge d’SLA ho cobreix.

Verifiqueu el circuit contra els termes escrits

Un cop el servei és viu, mesureu les propietats per les quals realment heu contractat, no les que l’instal·lador ha demostrat. El rendiment, la latència i la pèrdua al camí real són l’evidència, i s’han de capturar en un moment i des d’un lloc que pugueu anomenar. Repetiu el mesurament en una hora punta, no només en el lliurament. Una prova d’acceptació feta a les 10:00 un dia tranquil us diu molt poc sobre l’enllaç a les 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Guardeu els resultats amb el contracte, perquè una discussió de rendiment sense línia de base és una discussió sobre impressions. Si un mesurament incompleix el compromís, plantegeu-lo mentre l’evidència és fresca i mentre el servei encara és dins de qualsevol finestra d’acceptació que el contracte proporcioni. Un amfitrió anomenat a la petició també manté vàlid l’encaixada de mans TLS, perquè un avís de certificat no es confongui amb un circuit fallit.

Finalment, rellegiu les quatre portes contra el que s’ha lliurat. El lliurament, el lliurament d’IP, la capacitat i els termes de suport tenen cadascun una línia al registre, i cada línia té un nom al costat.