Πού βγαίνει πραγματικά το ίντερνετ του διαχειριζόμενου VPN σας
Το «ίντερνετ περιλαμβάνεται» δεν λέει τίποτα για το πού βγαίνει η δημόσια κίνηση, ποιος τη φιλτράρει ή τι αντέχει σε μια βλάβη. Ακολουθήστε τη διαδρομή και μετά γράψτε και τα δύο σενάρια βλάβης.
Δεν μπορείτε να πείτε ποιος φιλτράρει τη δημόσια κίνηση ενός υποκαταστήματος μέχρι η πρόταση να δείξει από πού φεύγει αυτή η κίνηση από το δίκτυο του παρόχου. Η πρόσβαση στο ίντερνετ που είναι ενσωματωμένη σε ένα διαχειριζόμενο VPN είναι δεύτερη υπηρεσία, που κινείται σε διαδρομή με δικές της πύλες, δική της μετάφραση διευθύνσεων και δική της ουρά κλιμάκωσης. Τα περισσότερα συμβόλαια περιγράφουν λεπτομερώς την ιδιωτική πλευρά και αφήνουν τη δημόσια πλευρά σε μία πρόταση. Οι έλεγχοι παρακάτω μετατρέπουν αυτή την πρόταση σε διάγραμμα που μπορείτε να υπερασπιστείτε.
Ακολουθήστε έναν δημόσιο προορισμό ανά τοποθεσία
Διαλέξτε έναν υπολογιστή σε ένα υποκατάστημα και ακολουθήστε έναν δημόσιο προορισμό, σημειώνοντας την τελευταία διεύθυνση που ανήκει στον πάροχο και την πρώτη που ανήκει στο ίντερνετ. Το άλμα ανάμεσα σε αυτές τις δύο διευθύνσεις είναι η έξοδος, και συχνά δεν βρίσκεται καθόλου κοντά στην τοποθεσία που έστειλε το πακέτο. Σημειώστε τη συσκευή που κάνει τη μετάβαση, γιατί αυτή η συσκευή κρατά το φίλτρο που αποφασίζει τι βγαίνει. Επαναλάβετε την ιχνηλάτηση από δεύτερη τοποθεσία και συγκρίνετε τις διευθύνσεις εξόδου, γιατί δύο υποκαταστήματα που φαίνονται ίδια στο τιμολόγιο μπορεί να βγαίνουν από διαφορετικές πύλες σε διαφορετικές πόλεις.
Σημειώστε και τη διεύθυνση προέλευσης που βλέπει στην πραγματικότητα ο προορισμός, γιατί η μετάφραση μπορεί να συμβεί σε ένα άλμα που δεν σχεδιάσατε ποτέ. Γράψτε τις απαντήσεις που παρατηρήσατε δίπλα σε αυτές του σχεδίου, και το κενό ανάμεσά τους είναι από όπου θα έρθει το πρώτο περιστατικό. Ένας μηχανικός του παρόχου που δεν μπορεί να δώσει τη διεύθυνση εξόδου για μια δεδομένη τοποθεσία σας έχει ήδη πει κάτι χρήσιμο για τον σχεδιασμό.
Τρεις διατάξεις εξόδου και τι συγκεντρώνει η καθεμία
Μια κεντρική έξοδος που τη λειτουργείτε εσείς τραβά τη δημόσια κίνηση σε δική σας πύλη, κάτι που σας δίνει την πολιτική φιλτραρίσματος και τα αρχεία καταγραφής, αλλά συγκεντρώνει το φορτίο όλων των τοποθεσιών σε ένα κύκλωμα. Μια έξοδος που τη λειτουργεί ο πάροχος μεταφέρει πολιτική και αρχεία καταγραφής πέρα από τα όρια του συμβολαίου, κάτι που απλοποιεί τη λειτουργία και σας αφαιρεί την ορατότητα με την ίδια κίνηση. Μια έξοδος σε κάθε τοποθεσία κρατά τη δημόσια κίνηση τοπική και πολλαπλασιάζει τον αριθμό των επιφανειών πολιτικής που πρέπει να μείνουν ίδιες.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Ρωτήστε ποια από τις τρεις προσφέρει πραγματικά ο πάροχος πριν αντιμετωπίσετε τη λίστα ως μενού, και ρωτήστε αν μια τοποθεσία μπορεί να περάσει από τη μία στην άλλη χωρίς νέο κύκλωμα. Η απάντηση για τη μετανάστευση χωρίζει το συμβατικό από το απλώς τεχνικό. Καταγράψτε και ποιος κατέχει τη μετάφραση προέλευσης, γιατί αυτό καθορίζει τι πρέπει να βάλει ένας συνεργάτης στη λίστα επιτρεπόμενων. Οι κοινόχρηστες πύλες σημαίνουν και κοινόχρηστη χωρητικότητα και, μερικές φορές, κοινόχρηστη φήμη, κάτι που αλλάζει πώς οι συνεργάτες αντιμετωπίζουν τις διευθύνσεις σας. Η χωρητικότητα αξίζει τη δική της ερώτηση, γιατί μια κοινόχρηστη πύλη εξυπηρετεί άλλους πελάτες την ίδια στιγμή.
Το φιλτράρισμα, η μετάφραση και η κρυπτογράφηση έχουν χωριστούς ιδιοκτήτες
Μια διαδρομή εξασφαλίζει προσβασιμότητα και δεν λέει τίποτα για την επιθεώρηση, άρα αντιμετωπίστε τα δύο ως διαφορετικά ερωτήματα με διαφορετικούς ιδιοκτήτες. Για κάθε ανακοινωμένη προεπιλεγμένη διαδρομή, ονομάστε τη συσκευή που φιλτράρει, τη συσκευή που πιστοποιεί, τη συσκευή που μεταφράζει και τη συσκευή που επιθεωρεί, και μετά πείτε ποιος διαχειρίζεται την καθεμία. Ο διαχωρισμός διαδρομών του παρόχου δεν λέει πού τελειώνει η κρυπτογράφηση, και μια ιδιωτική υπηρεσία μπορεί να τερματίσει τη σήραγγά της σε ένα σύνορο ενώ η δημόσια έξοδος τελειώνει σε άλλο. Ρωτήστε αν η μετάφραση γίνεται στην άκρη του παρόχου, σε μια κοινόχρηστη πύλη ή στη δική σας έξοδο, και αν υπάρχουν αρχεία καταγραφής συνεδριών και για πόσο καιρό. Μετρήστε τους ιδιοκτήτες στις απαντήσεις, γιατί ένα συμβόλαιο που ονομάζει ένα μέρος για τέσσερις εργασίες συνήθως αφήνει τρεις από αυτές χωρίς τεκμηρίωση.
Μια ευρεία προεπιλεγμένη διαδρομή εισηγμένη στο ιδιωτικό περιβάλλον δρομολόγησης αξίζει την ίδια εξέταση, γιατί μια εισαγωγή είναι σκόπιμη συμφωνία και όχι αθώα ευκολία. Η ενότητα 11 του RFC 4364 περνά από αρκετές διατάξεις πρόσβασης στο ίντερνετ για VPN BGP/MPLS και αντιμετωπίζει την ανταλλαγή διαδρομών ανάμεσα στο περιβάλλον VPN και στο προεπιλεγμένο περιβάλλον προώθησης του παρόχου ακριβώς ως τέτοια συμφωνία. Ρωτήστε τι εμποδίζει τη δημόσια κίνηση να πάρει κατά λάθος μια ιδιωτική διαδρομή, και πάρτε την απάντηση δίπλα στην πολιτική διαδρομών και όχι σε μια παρουσίαση.
Δύο σενάρια βλάβης για συμφωνία πριν την υπογραφή
Γράψτε δύο δοκιμές στο συμβόλαιο: απώλεια της εξόδου στο ίντερνετ και απώλεια μίας ιδιωτικής σύνδεσης. Για καθεμία, απαριθμήστε τους εσωτερικούς πόρους, τις τοπικές υπηρεσίες ίντερνετ και τις διαδρομές διαχείρισης που πρέπει να συνεχίσουν να λειτουργούν. Μετά απαριθμήστε την εφεδρική διαδρομή που πρέπει να μείνει αποκλεισμένη, γιατί μια διαδρομή γύρω από τους κεντρικούς ελέγχους είναι χειρότερη από μια καθαρή διακοπή. Δώστε και τις δύο δοκιμές στον πάροχο και ζητήστε γραπτώς το αναμενόμενο αποτέλεσμα, μαζί με την ανίχνευση και την ειδοποίηση.
Εκτελέστε τους ίδιους ελέγχους από μια πιλοτική τοποθεσία και συγκρίνετέ τους με αυτή τη γραπτή απάντηση. Όπου τα δύο διαφωνούν, το συμβόλαιο περιγράφει άλλο δίκτυο από αυτό που αγοράσατε. Δύο εντολές καλύπτουν τις συνηθισμένες περιπτώσεις: η μία δείχνει τη διαδρομή που ακολουθεί ένας δημόσιος προορισμός, η άλλη τη διεύθυνση που βλέπει.
traceroute -n 203.0.113.10
curl -s https://example.net/ipΣυνδέστε τις δεσμεύσεις διαθεσιμότητας με το τμήμα που μετρήσατε και όχι με το όνομα της υπηρεσίας. Ένα τοπικό κύκλωμα, ένας κορμός παρόχου και μια κοινόχρηστη πύλη φέρουν χωριστές υποχρεώσεις και χωριστές ομάδες κλιμάκωσης. Τα γράμματα L2VPN, L3VPN και MPLS περιγράφουν μηχανισμό προώθησης, όχι εγγύηση από άκρη σε άκρη.
Τα στοιχεία νικούν τα επίθετα της πρότασης
Λέξεις όπως πλεονάζον, ασφαλές και ανθεκτικό περιγράφουν πρόθεση και όχι σχεδιασμό. Ζητήστε αντί γι᾽ αυτό τη λίστα συσκευών, τις τοποθεσίες εξόδου, το σχήμα μετάφρασης και τη διαδρομή ειδοποίησης. Ένας πάροχος που μπορεί να παραδώσει αυτά τα τέσσερα έχει σχεδιασμό, ενώ ένας που δεν μπορεί έχει παρουσίαση. Κρατήστε τις απαντήσεις στην τεκμηρίωση της υπηρεσίας και όχι σε μια αλυσίδα email, και επανεξετάστε τις σε κάθε αλλαγή συμβολαίου.
Οι διατάξεις εξόδου μετακινούνται σιωπηλά καθώς οι πάροχοι ενοποιούν πύλες, άρα ένα διάγραμμα τριών ετών είναι βάρος. Όταν ένας συνεργάτης αναφέρει μια άγνωστη διεύθυνση προέλευσης, θα πρέπει μέσα σε λίγα λεπτά να μπορείτε να πείτε αν προήλθε από τον σχεδιασμό σας ή από μια αλλαγή που δεν ανακοίνωσε κανείς. Αυτή η ικανότητα, και όχι τα επίθετα, είναι αυτό που επιβιώνει στην πρώτη διακοπή.