Kuhu teie hallatava VPN-i internetiväljund tegelikult läheb
„Internet on hinna sees“ ei ütle midagi selle kohta, kuhu avalik liiklus väljub, kes seda filtreerib või mis rikke üle elab. Jälgige teekonda ja kirjutage siis mõlemad rikkestsenaariumid üles.
Te ei saa öelda, kes filtreerib haru avalikku liiklust, enne kui pakkumine näitab, kust see liiklus teenusepakkuja võrgust lahkub. Hallatavasse VPN-i kaasatud internetiühendus on teine teenus, mis kulgeb teekonnal, millel on oma lüüsid, oma aadressitõlge ja oma eskaleerimisjärjekord. Enamik lepinguid kirjeldab privaatset poolt üksikasjalikult ja jätab avaliku poole ühe lause peale. Allpool olevad kontrollid muudavad selle lause skeemiks, mida saate kaitsta.
Jälgige üht avalikku sihtkohta saidi kohta
Valige haru host ja jälgige üht avalikku sihtkohta, märkides üles viimase teenusepakkujale kuuluva aadressi ja esimese internetti kuuluva aadressi. Hüpe nende kahe aadressi vahel on väljund ja see asub sageli paketti saatnud saidist kaugel. Märkige seade, mis ülemineku teeb, sest just see seade hoiab filtrit, mis otsustab, mis välja läheb. Korrake jälgimist teisest saidist ja võrrelge väljundkoha aadresse, sest kaks arvel ühesugusena näivat haru võivad väljuda eri linnades asuvate erinevate lüüside kaudu.
Märkige üles ka lähteaadress, mida sihtkoht tegelikult näeb, sest tõlge võib toimuda hüppel, mida te kunagi ei joonistanud. Kirjutage vaadeldud vastused joonistatud vastuste kõrvale ja nendevaheline lünk on koht, kust esimene juhtum tuleb. Teenusepakkuja insener, kes ei suuda antud saidi väljundkoha aadressi anda, on teile disaini kohta juba midagi kasulikku öelnud.
Kolm väljundikorraldust ja mida igaüks koondab
Keskne väljund, mida te ise käitate, tõmbab avaliku liikluse teie enda lüüsile, mis annab teile filtreerimispoliitika ja logid, kuid koondab kõigi saitide koormuse ühele liinile. Teenusepakkuja käitatav väljund viib poliitika ja logid lepingu piiri taha, mis lihtsustab tööd ja võtab teilt samal liigutusel nähtavuse. Igal saidil asuv väljund hoiab avaliku liikluse kohaliku ja korrutab poliitikapindade arvu, mis peavad jääma samaks.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Küsige, millist kolmest teenusepakkuja tegelikult pakub, enne kui kohtlete nimekirja menüüna, ja küsige, kas sait saab nende vahel liikuda ilma uue liinita. Migratsiooni vastus eraldab lepingulise puhttehnilisest. Märkige üles ka see, kellele kuulub lähteaadressi tõlge, sest see otsustab, mida partner peab lubatud nimekirja kandma. Jagatud lüüsid tähendavad ka jagatud mahtu ja mõnikord jagatud mainet, mis muudab seda, kuidas partnerid teie aadresse kohtlevad. Maht väärib omaette küsimust, sest jagatud lüüs teenindab samal hetkel teisi kliente.
Filtreerimisel, tõlkel ja krüpteerimisel on eraldi omanikud
Marsruut loob kättesaadavuse ega ütle kontrollimise kohta midagi, seega käsitlege neid kaht erineva omanikuga erineva küsimusena. Iga väljakuulutatud vaikemarsruudi puhul nimetage seade, mis filtreerib, seade, mis autendib, seade, mis tõlgib, ja seade, mis kontrollib, ning seejärel nimetage, kes igaüht haldab. Teenusepakkuja marsruudieraldus ei ütle, kus krüpteerimine lõpeb, ja privaatteenus võib oma tunnelit ühel piiril lõpetada, samal ajal kui avalik väljund lõpeb teisel. Küsige, kas tõlge toimub teenusepakkuja servas, jagatud lüüsil või teie enda väljundis, ja kas sessioonilogid on olemas ning kui kaua. Loendage vastustes omanikke, sest leping, mis nimetab ühe osapoole nelja ülesande jaoks, jätab tavaliselt kolm neist dokumenteerimata.
Lai vaikemarsruut privaatsesse marsruutimiskonteksti imporditud väärib sama kontrolli, sest import on teadlik kokkulepe, mitte kahjutu mugavus. RFC 4364 jaotis 11 käib läbi mitu internetiühenduse korraldust BGP/MPLS VPN-ide jaoks ja käsitleb marsruutide vahetust VPN-konteksti ja teenusepakkuja vaikeedastuskonteksti vahel täpselt sellise kokkuleppena. Küsige, mis takistab avalikul liiklusel kogemata privaatset teed valida, ja hankige vastus marsruudipoliitika kõrval, mitte slaidil.
Kaks rikkestsenaariumit, milles enne allkirjastamist kokku leppida
Kirjutage lepingusse kaks testi: internetiväljundi kaotamine ja ühe privaatse ühenduse kaotamine. Mõlema puhul loetlege sisemised ressursid, kohalikud internetiteenused ja haldusteed, mis peavad töötama jääma. Seejärel loetlege varutee, mis peab jääma blokeerituks, sest keskseid kontrolle ümbritsev tee on hullem kui puhas katkestus. Andke mõlemad testid teenusepakkujale ja küsige nende oodatavat tulemust kirjalikult, sealhulgas avastamine ja teavitamine.
Käivitage samad proovid proovisaidilt ja võrrelge neid selle kirjaliku vastusega. Kus need kaks lahknevad, kirjeldab leping teist võrku kui see, mille ostsite. Kaks käsku katavad tavalised juhtumid: üks näitab teed, mille avalik sihtkoht läbib, teine näitab aadressi, mida see näeb.
traceroute -n 203.0.113.10
curl -s https://example.net/ipSiduge kättesaadavuskohustused mõõdetud segmendiga, mitte teenuse nimega. Kohalik liin, teenusepakkuja magistraal ja jagatud lüüs kannavad eraldi kohustusi ja eraldi eskaleerimismeeskondi. Tähed L2VPN, L3VPN ja MPLS kirjeldavad edastusmehhanismi, mitte otsast-otsani garantiid.
Tõendid löövad pakkumise omadussõnad
Sõnad nagu koondatud, turvaline ja vastupidav kirjeldavad kavatsust, mitte disaini. Küsige selle asemel seadmete nimekirja, väljundkohtade asukohti, tõlkeskeemi ja teavitusteekonda. Teenusepakkujal, kes suudab need neli asja esitada, on disain; sellel, kes ei suuda, on slaid. Hoidke vastused teenuse dokumentatsioonis, mitte e-kirjade ahelas, ja vaadake need üle iga lepingu muutuse juures.
Väljundikorraldused liiguvad vaikselt, kui teenusepakkujad lüüse konsolideerivad, seega kolme aasta vanune skeem on koorem. Kui partner teatab tundmatust lähteaadressist, peaksite minutite jooksul suutma öelda, kas see tuli teie disainist või muudatusest, mida keegi ei teatanud. Just see oskus, mitte omadussõnad, elab üle esimese rikke.