Kie la interreta elirejo de via administrata VPN vere situas
«Interreto inkluzivita» diras nenion pri tio, kie la publika trafiko eliras, kiu filtradas ĝin, aŭ kio postvivas paneon. Sekvu la vojon, kaj poste skribu ambaŭ paneojn.
Vi ne povas diri, kiu filtradas la publikan trafikon de filio, ĝis la propono montros, kie tiu trafiko forlasas la reton de la provizanto. Interreta aliro enkonstruita en administrata VPN estas dua servo, kiu iras laŭ vojo kun propraj enirejoj, propra adres-tradukado kaj propra eskalada vico. Plej multaj kontraktoj detale priskribas la privatan flankon kaj lasas la publikan flankon al unu frazo. La subaj kontroloj transformas tiun frazon en diagramon, kiun vi povas defendi.
Sekvu unu publikan celon por loko
Elektu gastiganton en filio kaj sekvu unu publikan celon, notante la lastan adreson, kiu apartenas al la provizanto, kaj la unuan, kiu apartenas al la interreto. La salto inter tiuj du adresoj estas la eliro, kaj ĝi ofte troviĝas tute ne proksime al la loko, kiu sendis la paketon. Marku la aparaton, kiu faras la transiron, ĉar ĝuste tiu aparato tenas la filtrilon, kiu decidas, kio eliros. Ripetu la spuraron de dua loko kaj komparu la elirajn adresojn, ĉar du filioj, kiuj aspektas identaj sur la fakturo, povas eliri tra malsamaj enirejoj en malsamaj urboj.
Notu ankaŭ la fontan adreson, kiun la celo efektive vidas, ĉar tradukado povas okazi ĉe salto, kiun vi neniam desegnis. Skribu la observitajn respondojn apud la desegnitaj, kaj la breĉo inter ili estas la loko, de kie venos la unua okazaĵo. Provizanta inĝeniero, kiu ne povas doni la eliran adreson por donita loko, jam diris al vi ion utilan pri la dezajno.
Tri eliraj aranĝoj kaj kion ĉiu koncentras
Centra eliro, kiun vi mem funkciigas, tiras la publikan trafikon al via propra enirejo, kio donas al vi la filtradan politikon kaj la protokolojn, sed koncentras la ŝarĝon de ĉiuj lokoj sur unu cirkviton. Provizanto-administrata eliro movas politikon kaj protokolojn trans la kontraktan limon, kio simpligas la funkciadon kaj forprenas vian videblecon en la sama movo. Eliro ĉe ĉiu loko tenas la publikan trafikon loka kaj multobligas la nombron de politikaj surfacoj, kiuj devas resti identaj.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Demandu, kiun el la tri la provizanto efektive proponas, antaŭ ol trakti la liston kiel menuon, kaj demandu, ĉu loko povas transiri inter ili sen nova cirkvito. La respondo pri migrado apartigas kontraktan de pure teknika. Notu ankaŭ, kiu posedas la fontan tradukadon, ĉar tio decidas, kion partnero devas aldoni al la permeslisto. Kunhavitaj enirejoj ankaŭ signifas kunhavitan kapaciton kaj foje kunhavitan reputacion, kio ŝanĝas kiel partneroj traktas viajn adresojn. Kapacito meritulas sian propran demandon, ĉar kunhavita enirejo servas aliajn klientojn en la sama momento.
Filtrado, tradukado kaj ĉifrado havas apartajn posedantojn
Itinero starigas atingeblon kaj diras nenion pri inspektado, do traktu la du kiel malsamajn demandojn kun malsamaj posedantoj. Por ĉiu anoncita defaŭlta itinero nomu la aparaton, kiu filtradas, la aparaton, kiu aŭtentikigas, la aparaton, kiu tradukas, kaj la aparaton, kiu inspektas, kaj poste nomu, kiu administras ĉiun. La itinera apartigo de la provizanto ne diras, kie ĉifrado finiĝas, kaj privata servo povas fini sian tunelon ĉe unu limo, dum la publika eliro finiĝas ĉe alia. Demandu, ĉu tradukado okazas ĉe la rando de la provizanto, ĉe kunhavita enirejo aŭ ĉe via propra eliro, kaj ĉu ekzistas sesiaj protokoloj kaj por kiom longe. Kalkulu la posedantojn en la respondoj, ĉar kontrakto, kiu nomas unu partion por kvar taskoj, kutime lasas tri el ili nedokumentitaj.
Vasta defaŭlta itinero importita en la privatan itineradan kuntekston meritulas la saman ekzamenon, ĉar importo estas konscia interkonsento, ne sendanĝera oportunaĵo. Sekcio 11 de RFC 4364 trairas plurajn interret-alirajn aranĝojn por BGP/MPLS VPN-oj kaj traktas itineran interŝanĝon inter la VPN-kunteksto kaj la defaŭlta plusendada kunteksto de la provizanto ĝuste kiel tian interkonsenton. Demandu, kio malhelpas publikan trafikon hazarde preni privatan vojon, kaj ricevu la respondon apud la itinera politiko, ne en lumbildo.
Du paneoj interkonsentendaj antaŭ subskribo
Skribu du testojn en la kontrakton: perdi la interretan eliron, kaj perdi unu privatan konekton. Por ĉiu, listigu la internajn rimedojn, la lokajn interretajn servojn kaj la administrajn vojojn, kiuj devas daŭre funkcii. Poste listigu la rezervan vojon, kiu devas resti blokita, ĉar vojo ĉirkaŭ la centraj kontroloj estas pli malbona ol pura interrompo. Donu ambaŭ testojn al la provizanto kaj petu ilian atendatan rezulton skribe, inkluzive de detektado kaj sciigo.
Rulu la samajn provojn de pilota loko kaj komparu ilin kun tiu skriba respondo. Kie la du malkongruas, la kontrakto priskribas alian reton ol tiun, kiun vi aĉetis. Du komandoj kovras la kutimajn kazojn: unu montras la vojon, kiun prenas publika celo, la alia montras la adreson, kiun ĝi vidas.
traceroute -n 203.0.113.10
curl -s https://example.net/ipLigu disponeblajn devigojn al la segmento, kiun vi mezuris, ne al la nomo de la servo. Loka cirkvito, provizanta dorsaĵo kaj kunhavita enirejo portas apartajn devojn kaj apartajn eskaladajn teamojn. La literoj L2VPN, L3VPN kaj MPLS priskribas plusendan mekanismon, ne garantion de fino al fino.
Pruvoj venkas la adjektivojn en la propono
Vortoj kiel redunda, sekura kaj rezistema priskribas intencon, ne dezajnon. Anstataŭe petu la aparatliston, la elirajn lokojn, la tradukan skemon kaj la sciigan vojon. Provizanto, kiu povas liveri tiujn kvar aferojn, havas dezajnon; tiu, kiu ne povas, havas lumbildon. Tenu la respondojn en la serva dokumentaro, ne en retpoŝta fadeno, kaj reviziu ilin ĉe ĉiu kontrakta ŝanĝo.
Eliraj aranĝoj moviĝas silente dum provizantoj konsolidigas enirejojn, do diagramo trijaraĝa estas ŝarĝo. Kiam partnero raportas nekonatan fontan adreson, vi devus povi diri ene de minutoj, ĉu ĝi venis de via dezajno aŭ de ŝanĝo, kiun neniu anoncis. Ĝuste tiu kapablo, ne la adjektivoj, postvivas la unuan paneon.