Eine Standleitung für das VPN? Erst die Anforderung übersetzen

Das Angebot nennt eine konkrete Standleitung für das Büro-VPN, und die Zahl kommt ohne Erklärung. Bevor Sie unterschreiben, zerlegen Sie den Satz in die vier Anforderungen, die er tatsächlich verbirgt: die physische Übergabe, die Regelung zur IP-Lieferung, die Kapazität in beide Richtungen und die Support-Zusage hinter der Leitung. Prüfen Sie sie als Tore in dieser Reihenfolge, denn eine Leitung, die die Übergabe nicht schafft, rettet keine größere Bandbreitenzahl. Vergleichen Sie dann das Gelieferte mit dem, was Sie aufgeschrieben haben.

Übersetzen Sie die Anforderung, nicht den Produktnamen

IPsec schützt den Verkehr auf der IP-Ebene und überlässt die Übertragung der Leitung, die Sie kaufen. Die IPsec-Architektur beschreibt, wie Verkehr zwischen Partnern geschützt wird; sie sagt nichts über Übergabeart, zugesagte Raten oder Reparaturfenster. Das sind Eigenschaften eines Dienstvertrags.

Genau dieser Unterschied ist der Grund, warum eine Leitungsanforderung berechtigt sein kann und trotzdem keine VPN-Anforderung ist. Ein Gateway mit nur einer seriellen Schnittstelle braucht wirklich eine serielle Übergabe, und das ist eine Hardware- und keine Protokollbeschränkung. Tauschen Sie das Gerät, und die Beschränkung verschwindet. Schreiben Sie jede Anforderung in der Form "Das Gateway braucht X, weil Y", und lehnen Sie jede Zeile ab, die sich nicht vervollständigen lässt.

Benennen Sie die Übergabe, bevor Sie die Geschwindigkeit benennen

Die Übergabe ist die physische Verbindung und die Verbindung auf der Sicherungsschicht am Demarkationspunkt: Kupfer-Ethernet, Glasfaser mit einem bestimmten Transceiver, eine serielle Schnittstelle oder etwas Älteres, das nur existiert, weil das aktuelle Gerät es hat. Ein Fehler hier ist teuer auf eine Weise, wie Bandbreite es nie ist, weil er meist neue Hardware an beiden Enden bedeutet. Eine fehlende Optik ist kein Kapazitätsproblem, und kein Upgrade behebt sie.

Bestätigen Sie den Stecker, die Geschwindigkeitsaushandlung und wer den Medienkonverter oder Router liefert. Bestätigen Sie dann, wo Ihre Verantwortung endet, denn der Demarkationspunkt entscheidet, wer was anfassen darf, wenn die Verbindung um 03:00 ausfällt. Schreiben Sie diese Grenze im Datensatz neben die Leitungs-Kennung. Es ist die eine Zeile, die aus einem Support-Anruf ein fünfminütiges Gespräch statt einer Stunde Weiterleitung macht.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Bestätigen Sie die IP-Lieferung, nicht nur die Adresse

Fragen Sie, welche Adresse oder welches Präfix der Dienst tatsächlich liefert und ob es statisch ist. Eine Leitung, die eine dynamische Adresse vergibt, passt schlecht zu einem Site-to-Site-Gateway, weil die Partnerkonfiguration eine Änderung überstehen muss, die Sie nicht eingeplant haben. Bestätigen Sie auch die Präfixlänge, denn eine Adresse und ein geroutetes /29 sind verschiedene Produkte.

Fragen Sie dann, ob etwas die Adresse übersetzt, bevor sie bei Ihnen ankommt. Ein NAT auf Anbieterseite oder ein Carrier-Grade-NAT vor dem Dienst bricht eingehende Sitzungen, sodass ein Gateway, das IPsec von entfernten Standorten annehmen will, nicht erreichbar ist. Geschwindigkeit gleicht das nicht aus: Eine schnelle Leitung hinter einem Übersetzer, den Sie nicht kontrollieren, kann trotzdem keine eingehende Verbindung auf einem Port annehmen, den niemand weiterleitet.

Halten Sie fest, wem der Router und das DNS gehören. Liefert der Anbieter den Router, erben Sie seine Firmware, sein NAT-Verhalten und seine Vorstellung von einer Standardroute, und jede spätere Änderung läuft über ein Ticket. Lassen Sie jemanden außerhalb Ihres Netzes eine eingehende Verbindung zu dem Port versuchen, den Sie als erreichbar erwarten, denn das ist der einzige Test, der die Übersetzungsgeschichte belegt.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Bemessen Sie die Kapazität an der Arbeitslast, in beide Richtungen

Kapazität muss in Arbeit beschrieben werden, nicht in einer Zahl pro Nutzer. Massenhafter Dateizugriff, interaktive Verwaltung und eine nächtliche Sicherung erzeugen jeweils ein anderes Verkehrsmuster, und nur eines davon kümmert sich um anhaltenden Upstream-Durchsatz. Eine Bandbreitenzahl pro Platz ist eine Verkaufserleichterung, kein Modell.

Schätzen Sie beide Richtungen, addieren Sie den Kapselungsaufwand und notieren Sie, ob der Verkehr stoßweise oder anhaltend ist. Prüfen Sie dann die zugesagte Rate des Vertrags statt seiner Schlagzeilenrate, denn eine Stoßzulage, die nach wenigen Sekunden abläuft, hilft einer nächtlichen Sicherung nicht. Halten Sie die eigenen Grenzen des Gateways im selben Budget, denn Verschlüsselungsverarbeitung und gleichzeitige Sitzungszahl können lange vor der Leitung zum Engpass werden. Eine schnellere Leitung behebt kein ausgelastetes Gateway.

Legen Sie die operativen Zusagen fest

Verfügbarkeit, Reparaturreaktion, Eskalationsweg und Wartungsankündigung gehören schriftlich festgehalten, mit benannter Messmethode. Eine Schlagzeilen-Internetrate belegt keine dieser Eigenschaften, und eine Marketingseite, die Zuverlässigkeit verspricht, ohne einen Ausfall zu definieren, auch nicht. Fragen Sie, wie die Uhr startet, denn eine Reaktionszeit ab der eigenen Bestätigung des Anbieters ist nicht dieselbe Zahl wie eine ab Ihrem Monitoring-Alarm. Diese beiden Definitionen können sich um Stunden unterscheiden, ohne dass jemand lügt.

Halten Sie auch die Support-Grenze fest. Endet die Verantwortung des Anbieters an einer Übergabe, die Ihr eigener Router abschließt, geht die erste Stunde jedes Vorfalls dafür drauf, zu klären, wem der Fehler gehört, und keine SLA-Uhr deckt das ab.

Prüfen Sie die Leitung gegen die schriftlichen Bedingungen

Sobald der Dienst läuft, messen Sie die Eigenschaften, die Sie tatsächlich vertraglich vereinbart haben, statt derer, die der Installateur vorgeführt hat. Durchsatz, Latenz und Verlust auf dem realen Pfad sind der Beleg, und sie sollten zu einem Zeitpunkt und von einem Ort erfasst werden, den Sie benennen können. Wiederholen Sie die Messung zur Stoßzeit, nicht nur bei der Übergabe. Ein Abnahmetest um 10:00 an einem ruhigen Tag sagt Ihnen sehr wenig über die Leitung um 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Bewahren Sie die Ergebnisse beim Vertrag auf, denn eine Leistungsdiskussion ohne Vergleichsbasis ist ein Streit über Eindrücke. Verfehlt eine Messung die Zusage, bringen Sie es vor, solange der Beleg frisch ist und der Dienst noch innerhalb jedes Abnahmefensters liegt, das der Vertrag vorsieht. Ein benannter Host in der Anfrage hält außerdem den TLS-Handshake gültig, damit eine Zertifikatswarnung nicht für eine ausgefallene Leitung gehalten wird.

Lesen Sie schließlich die vier Tore noch einmal gegen das Gelieferte. Übergabe, IP-Lieferung, Kapazität und Supportbedingungen haben jeweils eine Zeile im Datensatz, und neben jeder Zeile steht ein Name.