Kudy vlastně vychází internetový výstup vaší spravované VPN
„Internet v ceně“ nic neříká o tom, kudy vychází veřejný provoz, kdo ho filtruje a co přežije výpadek. Vystopujte cestu a pak napište oba scénáře výpadku.
Nemůžete říct, kdo filtruje veřejný provoz pobočky, dokud návrh neukáže, kudy tento provoz opouští síť poskytovatele. Přístup k internetu zabudovaný do spravované VPN je druhá služba, která jde po cestě s vlastními branami, vlastním překladem adres a vlastní frontou eskalace. Většina smluv podrobně popisuje soukromou stranu a veřejnou stranu nechává na jedné větě. Kontroly níže promění tuto větu v diagram, který dokážete obhájit.
Vystopujte jeden veřejný cíl na lokalitu
Vyberte hostitele v pobočce a vystopujte jeden veřejný cíl, přičemž si poznamenejte poslední adresu, která patří poskytovateli, a první, která patří internetu. Skok mezi těmito dvěma adresami je výstup a často nesedí nikde blízko lokality, která paket odeslala. Označte zařízení, které přechod provádí, protože právě toto zařízení drží filtr, který rozhoduje, co vyjde ven. Zopakujte trasování z druhé lokality a porovnejte výstupní adresy, protože dvě pobočky, které na faktuře vypadají stejně, mohou vycházet přes různé brány v různých městech.
Poznamenejte si také zdrojovou adresu, kterou cíl skutečně vidí, protože překlad může nastat na skoku, který jste nikdy nenakreslili. Napište pozorované odpovědi vedle nakreslených a mezera mezi nimi je místo, odkud přijde první incident. Inženýr poskytovatele, který nedokáže dodat výstupní adresu pro danou lokalitu, vám už řekl něco užitečného o návrhu.
Tři uspořádání výstupu a co každé koncentruje
Centrální výstup, který provozujete sami, přitahuje veřejný provoz k vaší vlastní bráně, což vám dává filtrační politiku a logy, ale soustředí zátěž všech lokalit na jeden okruh. Výstup provozovaný poskytovatelem přesouvá politiku a logy za hranici smlouvy, což zjednodušuje provoz a zároveň vás zbavuje viditelnosti. Výstup na každé lokalitě drží veřejný provoz lokálně a násobí počet politických povrchů, které musí zůstat totožné.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Zeptejte se, kterou ze tří poskytovatel skutečně nabízí, než seznam začnete brát jako menu, a zeptejte se, zda lokalita může mezi nimi přecházet bez nového okruhu. Odpověď o migraci odděluje smluvní od pouhého technického. Poznamenejte si také, kdo vlastní překlad zdrojových adres, protože to určuje, co musí partner povolit. Sdílené brány znamenají i sdílenou kapacitu a někdy sdílenou reputaci, což mění, jak partneři zacházejí s vašimi adresami. Kapacita si zaslouží vlastní otázku, protože sdílená brána v tu chvíli obsluhuje jiné zákazníky.
Filtrování, překlad a šifrování mají oddělené vlastníky
Trasa vytváří dostupnost a o inspekci neříká nic, takže obojí berte jako různé otázky s různými vlastníky. U každé inzerované výchozí trasy pojmenujte zařízení, které filtruje, zařízení, které ověřuje identitu, zařízení, které překládá, a zařízení, které inspektuje, a potom pojmenujte, kdo spravuje které. Oddělení tras u poskytovatele neříká, kde končí šifrování, a soukromá služba může ukončit svůj tunel na jedné hranici, zatímco veřejný výstup končí na jiné. Zeptejte se, zda překlad probíhá na okraji poskytovatele, na sdílené bráně nebo na vašem vlastním výstupu, a zda existují protokoly relací a jak dlouho. Spočítejte vlastníky v odpovědích, protože smlouva, která jmenuje jednu stranu pro čtyři úlohy, obvykle nechává tři z nich nedokumentované.
Široká výchozí trasa importovaná do kontextu soukromého směrování si zaslouží stejnou kontrolu, protože import je záměrná dohoda, nikoli neškodná výhoda. Oddíl 11 RFC 4364 prochází několika uspořádáními přístupu k internetu pro sítě BGP/MPLS VPN a výměnu tras mezi kontextem VPN a výchozím předávacím kontextem poskytovatele bere přesně jako takovou dohodu. Zeptejte se, co brání tomu, aby se veřejný provoz omylem vydal soukromou cestou, a odpověď si vyžádejte u politik tras, ne na prezentaci.
Dva scénáře výpadku, na kterých se dohodnout před podpisem
Napište do smlouvy dva testy: ztráta internetového výstupu a ztráta jednoho soukromého propojení. U každého vyjmenujte vnitřní zdroje, lokální internetové služby a cesty správy, které musí dál fungovat. Pak vyjmenujte záložní cestu, která musí zůstat zablokovaná, protože cesta kolem centrálních kontrol je horší než čistý výpadek. Dejte oba testy poskytovateli a vyžádejte si jejich očekávaný výsledek písemně, včetně detekce a oznámení.
Spusťte stejné testy z pilotní lokality a porovnejte je s touto písemnou odpovědí. Kde se obojí rozchází, smlouva popisuje jinou síť, než jakou jste koupili. Dva příkazy pokrývají běžné případy: jeden ukazuje cestu, kterou se veřejný cíl vydává, druhý ukazuje adresu, kterou vidí.
traceroute -n 203.0.113.10
curl -s https://example.net/ipZávazky dostupnosti važte na segment, který jste změřili, ne na název služby. Lokální okruh, páteř poskytovatele a sdílená brána nesou oddělené povinnosti a oddělené eskalační týmy. Písmena L2VPN, L3VPN a MPLS popisují mechanismus předávání, nikoli záruku od konce ke konci.
Důkazy porážejí přídavná jména v návrhu
Slova jako redundantní, bezpečný a odolný popisují záměr, ne návrh. Místo toho si vyžádejte seznam zařízení, umístění výstupů, schéma překladu a cestu oznámení. Poskytovatel, který dokáže dodat tyto čtyři položky, má návrh; ten, kdo ne, má prezentaci. Držte odpovědi v dokumentaci služby, ne v e-mailovém vlákně, a při každé změně smlouvy je projděte znovu.
Uspořádání výstupu se tiše mění, jak poskytovatelé slučují brány, takže diagram starý tři roky je přítěž. Když partner nahlásí neznámou zdrojovou adresu, měli byste během minut říct, zda pochází z vašeho návrhu, nebo ze změny, kterou nikdo neohlásil. Právě tato schopnost, a ne přídavná jména, přežije první výpadek.