Luita linio por la VPN? Unue traduku la postulon

La propono nomas specifan luitan linion por la oficeja VPN, kaj la nombro venas sen klarigo. Antaŭ ol subskribi, dividu la frazon en la kvar postulojn, kiujn ĝi fakte kaŝas: la fizikan transdonon, la aranĝon de IP-liverado, la kapaciton en ambaŭ direktoj kaj la subtenan engaĝiĝon malantaŭ la cirkvito. Traduku ilin kiel pordegojn laŭ tiu ordo, ĉar cirkviton, kiu malsukcesas ĉe la transdono, ne savas pli granda bendlarĝa nombro. Poste kontrolu tion, kio estis liverita, kontraŭ tio, kion vi skribis.

Traduku la postulon, ne la produktonomon

IPsec protektas trafikon ĉe la IP-tavolo kaj lasas la transportadon al iu ajn cirkvito, kiun vi aĉetas. La IPsec-arkitekturo priskribas, kiel trafiko estas protektata inter samtavoluloj; ĝi diras nenion pri transdona tipo, promesitaj rapidecoj aŭ riparaj fenestroj. Tiuj estas ecoj de serva kontrakto.

Ĝuste tiu distingo klarigas, kial postulo pri cirkvito povas esti legitima kaj tamen ne esti VPN-postulo. Pordego kun nur seria interfaco vere bezonas serian transdonon, kaj tio estas limigo de aparataro, ne de protokolo. Anstataŭigu la aparaton kaj la limigo malaperas. Skribu ĉiun postulon en la formo "la pordego bezonas X ĉar Y", kaj rifuzu ĉiun linion, kiun oni ne povas kompletigi.

Nomu la transdonon antaŭ ol nomi la rapidecon

La transdono estas la fizika konekto kaj la konekto de la liga tavolo ĉe la limiga punkto: kupra Ethernet, fibro kun specifa transigilo, seria interfaco aŭ io pli malnova, kiu ekzistas nur ĉar la nuna aparato havas ĝin. Erari ĉi tie estas multekoste tiel, kiel bendlarĝo neniam estas, ĉar ĝi kutime signifas novan aparataron ĉe ambaŭ finoj. Mankanta optiko ne estas kapacita problemo kaj neniu plibonigo riparas ĝin.

Konfirmu la konektilon, la rapidecnegocadon kaj kiu provizas la media-konvertilon aŭ la enkursigilon. Poste konfirmu, kie via respondeco finiĝas, ĉar la limiga punkto decidas, kiu rajtas tuŝi kion, kiam la ligo falas je 03:00. Skribu tiun limon en la registron apud la identigilo de la cirkvito. Ĝi estas la sola linio, kiu igas subtenan alvokon kvinminutan interparoladon anstataŭ horon da transigo.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Konfirmu la IP-liveradon, ne nur la adreson

Demandu, kiun adreson aŭ prefikson la servo fakte liveras, kaj ĉu ĝi estas statika. Cirkvito, kiu disdonas dinamikan adreson, malbone taŭgas por pordego de loko al loko, ĉar la agordo de la paralulo devas postvivi ŝanĝon, kiun vi ne planis. Konfirmu ankaŭ la longon de la prefikso, ĉar unu adreso kaj enkursigita /29 estas malsamaj produktoj.

Poste demandu, ĉu io tradukas la adreson antaŭ ol ĝi atingas vin. NAT ĉe la provizanto aŭ NAT de la niveloj de portanto antaŭ la servo rompas envenantajn sesiojn, do pordego, kiu atendas akcepti IPsec de malproksimaj lokoj, ne estas atingebla. Rapideco ne kompensas: rapida ligo malantaŭ tradukilo, kiun vi ne kontrolas, ankoraŭ ne povas akcepti envenantan konekton sur pordo, kiun neniu plusendas.

Registru, kiu posedas la enkursigilon kaj la DNS. Se la provizanto liveras la enkursigilon, vi heredas ĝian firmvaron, ĝian NAT-konduton kaj ĝian ideon pri defaŭlta vojo, kaj ĉiu posta ŝanĝo iras tra bileto. Lasu iun ekster via reto provi envenantan konekton al la pordo, kiun vi atendas atingebla, ĉar tio estas la sola testo, kiu pruvas la tradukan rakonton.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Grandiku la kapaciton laŭ la laborŝarĝo, en ambaŭ direktoj

Kapacito devas esti priskribata laŭ laboro, ne laŭ nombro por uzanto. Amasa dosiera aliro, interaga administrado kaj nokta savkopio ĉiuj produktas malsaman trafikan ŝablonon, kaj nur unu el ili zorgas pri daŭra suprena trafluo. Bendlarĝa nombro por sidloko estas vendokomforto, ne modelo.

Takson ambaŭ direktojn, aldonu la enkapsuligan superŝarĝon kaj notu, ĉu la trafiko estas ekbrula aŭ daŭra. Poste kontrolu la promesitan rapidon de la kontrakto, ne ĝian ĉefrapidon, ĉar ekbrula permeso, kiu finiĝas post kelkaj sekundoj, ne helpas noktan savkopion. Tenu la proprajn limojn de la pordego en la sama buĝeto, ĉar ĉifrada prilaborado kaj la nombro da samtempaj sesioj povas limigi longe antaŭ la cirkvito. Pli rapida linio ne riparos saturitan pordegon.

Fiksu la operaciajn engaĝiĝojn

Disponebleco, riparreago, eskalada vojo kaj prizorga avizo apartenas al skribo, kun nomita mezura metodo. Ĉefrapida interreta indico starigas neniun el tiuj ecoj, kaj nek faras tion reklama paĝo, kiu promesas fidindecon sen difini paneon. Demandu, kiel la horloĝo ekas, ĉar respondotempo mezurita de la propra konfirmo de la provizanto ne estas la sama nombro kiel unu mezurita de via observa alarmo. Tiuj du difinoj povas malsami je horoj sen ke iu mensogas.

Registru ankaŭ la subtenan limon. Se la respondeco de la provizanto finiĝas ĉe transdono, kiun finas via propra enkursigilo, la unua horo de ĉiu incidento iras al decidi, kiu posedas la fuŝon, kaj neniu SLA-horloĝo kovras tion.

Kontrolu la cirkviton kontraŭ la skribitaj kondiĉoj

Post kiam la servo funkcias, mezuru la ecojn, pri kiuj vi vere kontraktis, ne tiujn, kiujn la instalanto montris. Trafluo, kaŝiteco kaj perdo sur la reala vojo estas la pruvo, kaj ili devas esti kaptitaj je tempo kaj el loko, kiujn vi povas nomi. Ripetu la mezuron en okupa horo, ne nur ĉe la transdono. Akcepta testo farita je 10:00 en trankvila tago diras al vi tre malmulte pri la ligo je 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Konservu la rezultojn kun la kontrakto, ĉar diskuto pri rendimento sen bazlinio estas disputo pri impresoj. Se mezuro maltrafas la engaĝiĝon, levu ĝin dum la pruvo estas freŝa kaj dum la servo ankoraŭ estas en iu ajn akcepta fenestro, kiun la kontrakto donas. Nomita gastiganto en la peto ankaŭ tenas la TLS-manpremon valida, por ke averta atestilo ne estu konfuzita kun fiaska cirkvito.

Fine, relegu la kvar pordegojn kontraŭ tio, kio estis liverita. La transdono, la IP-liverado, la kapacito kaj la subtenaj kondiĉoj ĉiuj havas unu linion en la registro, kaj ĉiu linio havas nomon apude.