¿Una línea alquilada para la VPN? Traduzca primero el requisito

La propuesta nombra una línea alquilada concreta para la VPN de la oficina, y la cifra llega sin explicación. Antes de firmar, divida la frase en los cuatro requisitos que realmente esconde: el traspaso físico, el arreglo de entrega de IP, la capacidad en ambos sentidos y el compromiso de soporte detrás del circuito. Páselos como puertas en ese orden, porque un circuito que falla en el traspaso no se salva con una cifra mayor de ancho de banda. Después verifique lo entregado contra lo que anotó.

Traduzca el requisito, no el nombre del producto

IPsec protege el tráfico en la capa IP y deja el transporte al circuito que compre. La arquitectura IPsec describe cómo se protege el tráfico entre pares; no dice nada sobre el tipo de traspaso, las velocidades comprometidas ni las ventanas de reparación. Esas son propiedades de un contrato de servicio.

Esa distinción es la razón entera por la que un requisito de circuito puede ser legítimo y aun así no ser un requisito de VPN. Una puerta de enlace con solo una interfaz serie necesita de verdad un traspaso serie, y eso es una restricción de hardware, no de protocolo. Sustituya el equipo y la restricción desaparece. Escriba cada requisito en la forma "la puerta de enlace necesita X porque Y", y rechace cualquier línea que no pueda completarse.

Nombre el traspaso antes de nombrar la velocidad

El traspaso es la conexión física y de enlace en el punto de demarcación: Ethernet de cobre, fibra con un transceptor concreto, una interfaz serie o algo más antiguo que solo existe porque el equipo actual lo tiene. Equivocarse aquí es caro de una manera que el ancho de banda nunca lo es, porque normalmente significa hardware nuevo en ambos extremos. Una óptica que falta no es un problema de capacidad y ninguna actualización lo arregla.

Confirme el conector, la negociación de velocidad y quién suministra el convertidor de medios o el enrutador. Después confirme dónde acaba su responsabilidad, porque el punto de demarcación decide quién puede tocar qué cuando el enlace cae a las 03:00. Escriba esa frontera en el registro junto al identificador del circuito. Es la única línea que convierte una llamada de soporte en una conversación de cinco minutos en lugar de una hora de transferencia.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Confirme la entrega de IP, no solo la dirección

Pregunte qué dirección o prefijo entrega realmente el servicio, y si es estática. Un circuito que entrega una dirección dinámica encaja mal en una puerta de enlace de sitio a sitio, porque la configuración del par tiene que sobrevivir a un cambio que usted no programó. Confirme también la longitud del prefijo, porque una dirección y un /29 enrutado son productos distintos.

Después pregunte si algo traduce la dirección antes de que llegue a usted. Un NAT del lado del proveedor o un NAT de nivel de operador delante del servicio rompe las sesiones entrantes, así que no se puede alcanzar una puerta de enlace que espera aceptar IPsec desde sitios remotos. La velocidad no compensa: un enlace rápido detrás de un traductor que usted no controla sigue sin poder aceptar una conexión entrante en un puerto que nadie reenvía.

Anote quién es dueño del enrutador y del DNS. Si el proveedor suministra el enrutador, usted hereda su firmware, su comportamiento NAT y su idea de ruta por defecto, y cada cambio posterior pasa por un tique. Haga que alguien fuera de su red intente una conexión entrante al puerto que espera que sea accesible, porque es la única prueba que demuestra la historia de la traducción.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimensione la capacidad a partir de la carga de trabajo, en ambos sentidos

La capacidad tiene que describirse en términos de trabajo, no en términos de un número por usuario. El acceso masivo a archivos, la administración interactiva y una copia de seguridad nocturna producen patrones de tráfico distintos, y solo uno de ellos se preocupa por el rendimiento ascendente sostenido. Una cifra de ancho de banda por puesto es una comodidad comercial, no un modelo.

Estime ambos sentidos, sume la sobrecarga de encapsulación y anote si el tráfico es a ráfagas o sostenido. Después compruebe la velocidad comprometida del contrato y no su velocidad de titular, porque una concesión de ráfagas que caduca a los pocos segundos no ayuda a una copia nocturna. Mantenga los límites propios de la puerta de enlace en el mismo presupuesto, porque el procesamiento de cifrado y el número de sesiones concurrentes pueden limitar mucho antes que el circuito. Una línea más rápida no arreglará una puerta de enlace saturada.

Fije los compromisos operativos

Disponibilidad, respuesta de reparación, vía de escalado y aviso de mantenimiento pertenecen al papel, con el método de medición nombrado. Una velocidad de internet de titular no establece ninguna de esas propiedades, y una página de marketing que promete fiabilidad sin definir una caída tampoco. Pregunte cómo empieza el reloj, porque un tiempo de respuesta medido desde el propio reconocimiento del proveedor no es la misma cifra que uno medido desde su alerta de monitorización. Esas dos definiciones pueden diferir en horas sin que nadie mienta.

Anote también la frontera de soporte. Si la responsabilidad del proveedor termina en un traspaso que termina su propio enrutador, la primera hora de cada incidente se va en decidir quién es dueño del fallo, y ningún reloj de SLA lo cubre.

Verifique el circuito contra los términos escritos

Una vez que el servicio está vivo, mida las propiedades por las que realmente contrató, no las que demostró el instalador. El rendimiento, la latencia y la pérdida en la ruta real son la evidencia, y deben capturarse en un momento y desde un lugar que pueda nombrar. Repita la medición en una hora punta, no solo en la entrega. Una prueba de aceptación ejecutada a las 10:00 en un día tranquilo le dice muy poco sobre el enlace a las 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Guarde los resultados con el contrato, porque una discusión de rendimiento sin línea base es una discusión sobre impresiones. Si una medición incumple el compromiso, plantéelo mientras la evidencia está fresca y mientras el servicio sigue dentro de cualquier ventana de aceptación que el contrato ofrezca. Un host nombrado en la petición también mantiene válido el apretón de manos TLS, para que un aviso de certificado no se confunda con un circuito caído.

Por último, relea las cuatro puertas contra lo entregado. El traspaso, la entrega de IP, la capacidad y los términos de soporte tienen cada uno una línea en el registro, y cada línea tiene un nombre al lado.