Wo der Internet-Ausgang Ihrer verwalteten VPN wirklich endet

Sie können nicht sagen, wer den öffentlichen Verkehr einer Filiale filtert, solange der Entwurf nicht zeigt, wo dieser Verkehr das Netz des Anbieters verlässt. Der in eine verwaltete VPN eingebundene Internetzugang ist ein zweiter Dienst, der auf einem Pfad mit eigenen Gateways, eigener Adressübersetzung und eigener Eskalationswarteschlange läuft. Die meisten Verträge beschreiben die private Seite ausführlich und lassen die öffentliche Seite in einem Satz ab. Die folgenden Prüfungen machen aus diesem Satz ein Diagramm, das Sie verteidigen können.

Verfolgen Sie ein öffentliches Ziel pro Standort

Wählen Sie einen Host in einer Filiale und verfolgen Sie ein öffentliches Ziel, wobei Sie die letzte Adresse notieren, die dem Anbieter gehört, und die erste, die dem Internet gehört. Der Sprung zwischen diesen beiden Adressen ist der Ausgang, und er liegt oft weit entfernt von dem Standort, der das Paket gesendet hat. Markieren Sie das Gerät, das den Übergang vollzieht, denn genau dieses Gerät hält den Filter, der entscheidet, was hinausgeht. Wiederholen Sie die Verfolgung von einem zweiten Standort und vergleichen Sie die Ausgangsadressen, denn zwei Filialen, die auf der Rechnung identisch aussehen, können über verschiedene Gateways in verschiedenen Städten hinausgehen.

Notieren Sie auch die Quelladresse, die das Ziel tatsächlich sieht, denn die Übersetzung kann an einem Sprung geschehen, den Sie nie gezeichnet haben. Schreiben Sie die beobachteten Antworten neben die gezeichneten, und die Lücke dazwischen ist der Ort, aus dem der erste Vorfall kommen wird. Ein Anbietermitarbeiter, der die Ausgangsadresse für einen bestimmten Standort nicht nennen kann, hat Ihnen bereits etwas Nützliches über das Design gesagt.

Drei Ausgangsarrangements und was jedes bündelt

Ein zentraler Ausgang, den Sie selbst betreiben, zieht den öffentlichen Verkehr auf ein eigenes Gateway, was Ihnen Filterrichtlinie und Protokolle gibt, aber die Last aller Standorte auf eine Leitung bündelt. Ein anbieterbetriebener Ausgang verlagert Richtlinie und Protokolle über die Vertragsgrenze, was den Betrieb vereinfacht und Ihnen im selben Zug die Sicht nimmt. Ein Ausgang an jedem Standort hält den öffentlichen Verkehr lokal und vervielfacht die Zahl der Richtlinienflächen, die gleich bleiben müssen.

Fragen Sie, welches der drei der Anbieter tatsächlich anbietet, bevor Sie die Liste als Menü behandeln, und fragen Sie, ob ein Standort ohne neue Leitung zwischen ihnen wechseln kann. Die Antwort zur Migration trennt das Vertragliche vom bloß Technischen. Halten Sie auch fest, wer die Quellübersetzung besitzt, denn das entscheidet, was ein Partner auf die Freigabeliste setzen muss. Geteilte Gateways bedeuten auch geteilte Kapazität und mitunter geteilten Ruf, was ändert, wie Partner Ihre Adressen behandeln. Die Kapazität verdient ihre eigene Frage, denn ein geteiltes Gateway bedient im selben Moment andere Kunden.

Filterung, Übersetzung und Verschlüsselung haben getrennte Eigentümer

Eine Route stellt Erreichbarkeit her und sagt nichts über die Inspektion, also behandeln Sie beides als verschiedene Fragen mit verschiedenen Eigentümern. Benennen Sie für jede angekündigte Standardroute das Gerät, das filtert, das Gerät, das authentifiziert, das Gerät, das übersetzt, und das Gerät, das inspiziert, und nennen Sie dann, wer jedes davon administriert. Die Routentrennung des Anbieters sagt nicht, wo die Verschlüsselung endet, und ein privater Dienst kann seinen Tunnel an einer Grenze beenden, während der öffentliche Ausgang an einer anderen endet. Fragen Sie, ob die Übersetzung am Rand des Anbieters, an einem geteilten Gateway oder an Ihrem eigenen Ausgang geschieht, und ob Sitzungsprotokolle existieren und wie lange. Zählen Sie die Eigentümer in den Antworten, denn ein Vertrag, der eine Partei für vier Aufgaben nennt, lässt drei davon meist undokumentiert.

Eine breite Standardroute in den privaten Routing-Kontext importiert verdient dieselbe Prüfung, denn ein Import ist eine bewusste Vereinbarung und keine harmlose Bequemlichkeit. Abschnitt 11 von RFC 4364 geht mehrere Internetzugangsarrangements für BGP/MPLS-VPNs durch und behandelt den Routenaustausch zwischen dem VPN-Kontext und dem Standard-Weiterleitungskontext des Anbieters als genau diese Art Vereinbarung. Fragen Sie, was verhindert, dass öffentlicher Verkehr versehentlich einen privaten Pfad nimmt, und holen Sie die Antwort neben der Routenrichtlinie statt in einer Präsentation.

Zwei Ausfallszenarien, die vor der Unterschrift zu klären sind

Schreiben Sie zwei Tests in den Vertrag: den Internetausgang verlieren und eine private Anbindung verlieren. Listen Sie für beide die internen Ressourcen, die lokalen Internetdienste und die Verwaltungswege auf, die weiter funktionieren müssen. Listen Sie dann den Ausweichweg auf, der blockiert bleiben muss, denn ein Weg um die zentralen Kontrollen ist schlimmer als ein sauberer Ausfall. Geben Sie beide Tests dem Anbieter und verlangen Sie das erwartete Ergebnis schriftlich, einschließlich Erkennung und Benachrichtigung.

Führen Sie dieselben Prüfungen von einem Pilotstandort aus durch und vergleichen Sie sie mit dieser schriftlichen Antwort. Wo die beiden nicht übereinstimmen, beschreibt der Vertrag ein anderes Netz als das gekaufte. Zwei Befehle decken die üblichen Fälle ab: einer zeigt den Pfad, den ein öffentliches Ziel nimmt, der andere die Adresse, die es sieht.

traceroute -n 203.0.113.10
curl -s https://example.net/ip

Binden Sie Verfügbarkeitszusagen an das Segment, das Sie gemessen haben, statt an den Dienstnamen. Eine lokale Leitung, ein Anbieter-Backbone und ein geteiltes Gateway tragen getrennte Pflichten und getrennte Eskalationsteams. Die Buchstaben L2VPN, L3VPN und MPLS beschreiben einen Weiterleitungsmechanismus, keine Ende-zu-Ende-Garantie.

Belege schlagen die Adjektive im Angebot

Wörter wie redundant, sicher und belastbar beschreiben eine Absicht statt ein Design. Verlangen Sie stattdessen die Geräteliste, die Ausgangsstandorte, das Übersetzungsschema und den Benachrichtigungsweg. Ein Anbieter, der diese vier Punkte liefern kann, hat ein Design; einer, der es nicht kann, hat eine Präsentation. Halten Sie die Antworten in der Dienstdokumentation fest statt in einem E-Mail-Verlauf, und sehen Sie sie bei jeder Vertragsänderung erneut durch.

Ausgangsarrangements verschieben sich leise, während Anbieter Gateways konsolidieren, daher ist ein Diagramm von vor drei Jahren eine Belastung. Wenn ein Partner eine unbekannte Quelladresse meldet, sollten Sie innerhalb von Minuten sagen können, ob sie aus Ihrem Design stammt oder aus einer Änderung, die niemand angekündigt hat. Genau diese Fähigkeit, nicht die Adjektive, übersteht den ersten Ausfall.