Lejet linje til VPN’en? Oversæt først kravet

Tilbuddet nævner en bestemt lejet linje til kontor-VPN’en, og tallet kommer uden en forklaring. Før du skriver under, så del sætningen op i de fire krav, den faktisk skjuler: den fysiske overdragelse, aftalen om IP-levering, kapaciteten i begge retninger og supportforpligtelsen bag forbindelsen. Kør dem som gates i den rækkefølge, for en forbindelse, der fejler overdragelsen, kan ikke reddes af et større båndbreddetal. Kontroller derefter det leverede mod det, du skrev ned.

Oversæt kravet, ikke produktnavnet

IPsec beskytter trafik på IP-laget og overlader transporten til den forbindelse, du køber. IPsec-arkitekturen beskriver, hvordan trafik beskyttes mellem parter; den siger intet om overdragelsestype, aftalte hastigheder eller reparationsvinduer. Det er egenskaber ved en servicekontrakt.

Den forskel er hele årsagen til, at et krav til en forbindelse kan være legitimt og stadig ikke være et VPN-krav. En gateway med kun en seriel grænseflade har virkelig brug for en seriel overdragelse, og det er en hardwarebegrænsning snarere end en protokolbegrænsning. Udskift apparatet, og begrænsningen forsvinder. Skriv hvert krav i formen "gatewayen har brug for X, fordi Y", og afvis enhver linje, der ikke kan færdiggøres.

Navngiv overdragelsen, før du navngiver hastigheden

Overdragelsen er den fysiske forbindelse og linklagsforbindelsen ved afgrænsningspunktet: kobber-Ethernet, fiber med en bestemt transceiver, en seriel grænseflade eller noget ældre, som kun findes, fordi det nuværende apparat har det. At tage fejl her er dyrt på en måde, som båndbredde aldrig er, fordi det normalt betyder ny hardware i begge ender. En manglende optik er ikke et kapacitetsproblem, og ingen opgradering løser det.

Bekræft connector, hastighedsforhandling og hvem der leverer mediekonverteren eller routeren. Bekræft derefter, hvor dit ansvar slutter, for afgrænsningspunktet afgør, hvem der må røre hvad, når forbindelsen går ned klokken 03:00. Skriv den grænse ind i registret ved siden af forbindelsens identifikator. Det er den ene linje, der gør et supportopkald til en fem minutters samtale i stedet for en times viderestilling.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Bekræft IP-leveringen, ikke bare adressen

Spørg, hvilken adresse eller præfiks tjenesten faktisk leverer, og om den er statisk. En forbindelse, der uddeler en dynamisk adresse, passer dårligt til en gateway mellem to steder, fordi peer-konfigurationen skal overleve en ændring, du ikke har planlagt. Bekræft også præfiksets længde, for én adresse og et routet /29 er forskellige produkter.

Spørg derefter, om noget oversætter adressen, før den når dig. En NAT på udbyderens side eller en carrier-grade NAT foran tjenesten ødelægger indgående sessioner, så en gateway, der forventer at modtage IPsec fra fjernsteder, kan ikke nås. Hastighed kompenserer ikke: en hurtig forbindelse bag en oversætter, du ikke kontrollerer, kan stadig ikke acceptere en indgående forbindelse på en port, som ingen videresender.

Noter, hvem der ejer routeren og DNS’en. Hvis udbyderen leverer routeren, arver du dens firmware, dens NAT-adfærd og dens idé om en standardrute, og enhver senere ændring går gennem en ticket. Lad nogen uden for dit netværk forsøge en indgående forbindelse til den port, du forventer er tilgængelig, for det er den eneste test, der beviser oversættelseshistorien.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimensionér kapaciteten ud fra arbejdsbelastningen, i begge retninger

Kapacitet skal beskrives i arbejde, ikke i et tal pr. bruger. Massefiladgang, interaktiv administration og en nattlig backup giver hver et forskelligt trafikmønster, og kun én af dem interesserer sig for vedvarende upstream-gennemstrømning. Et båndbreddetal pr. plads er en salgsbekvemmelighed, ikke en model.

Anslå begge retninger, læg indkapslingsomkostningerne til, og noter, om trafikken er bygevis eller vedvarende. Kontroller derefter kontraktens aftalte hastighed frem for dens overskriftshastighed, for en bygetilladelse, der udløber efter få sekunder, hjælper ikke en nattlig backup. Hold gatewayens egne grænser i samme budget, for krypteringsbehandling og antallet af samtidige sessioner kan blive flaskehalsen længe før forbindelsen. En hurtigere linje løser ikke en mættet gateway.

Fastlæg de operationelle forpligtelser

Tilgængelighed, reparationsrespons, eskaleringsvej og vedligeholdelsesvarsel hører til på skrift med den anvendte målemetode nævnt. En internethastighed i overskriften fastslår ingen af disse egenskaber, og en marketingside, der lover pålidelighed uden at definere et udfald, gør det heller ikke. Spørg, hvordan uret starter, for en responstid målt fra udbyderens egen bekræftelse er ikke det samme tal som en målt fra din overvågningsalarm. De to definitioner kan afvige med timer, uden at nogen lyver.

Noter også supportgrænsen. Hvis udbyderens ansvar slutter ved en overdragelse, som din egen router afslutter, går den første time af hver hændelse til at afgøre, hvem der ejer fejlen, og ingen SLA-ur dækker det.

Kontroller forbindelsen mod de skriftlige vilkår

Når tjenesten er i drift, så mål de egenskaber, du faktisk har kontraheret om, frem for dem, installatøren demonstrerede. Gennemstrømning, latenstid og tab på den rigtige vej er beviset, og de skal optages på et tidspunkt og fra et sted, du kan navngive. Gentag målingen i en travl time, ikke kun ved overdragelsen. En accepttest kørt klokken 10:00 på en stille dag fortæller dig meget lidt om forbindelsen klokken 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Gem resultaterne sammen med kontrakten, for en drøftelse af ydeevne uden en baseline er en diskussion om indtryk. Hvis en måling ikke opfylder forpligtelsen, så rejs det, mens beviset er frisk, og mens tjenesten stadig er inden for det acceptvindue, kontrakten giver. En navngivet vært i anmodningen holder også TLS-håndtrykket gyldigt, så en certifikatadvarsel ikke forveksles med en fejlende forbindelse.

Til sidst, læs de fire gates igen mod det, der blev leveret. Overdragelsen, IP-leveringen, kapaciteten og supportvilkårene har hver en linje i registret, og hver linje har et navn ved siden af.