Mihin hallinnoidun VPN:si internet-uloskäynti oikeasti päättyy
«Internet sisältyy» ei kerro mitään siitä, mihin julkinen liikenne lähtee, kuka sitä suodattaa tai mikä kestää vian. Seuratkaa reitti ja kirjoittakaa sitten molemmat vikatapaukset.
Et voi sanoa, kuka suodattaa toimipisteen julkista liikennettä, ennen kuin tarjous näyttää, mistä tuo liikenne lähtee palveluntarjoajan verkosta. Hallinnoituun VPN:ään sisältyvä internet-yhteys on toinen palvelu, joka kulkee reitillä, jolla on omat yhdyskäytävänsä, oma osoitteenmuunnoksensa ja oma eskalaatiojononsa. Useimmat sopimukset kuvaavat yksityisen puolen yksityiskohtaisesti ja jättävät julkisen puolen yhden virkkeen varaan. Alla olevat tarkistukset muuttavat tuon virkkeen kaavioksi, jota voit puolustaa.
Seuraa yhtä julkista kohdetta sivustoa kohden
Valitse toimipisteen isäntä ja seuraa yhtä julkista kohdetta, merkiten viimeinen palveluntarjoajalle kuuluva osoite ja ensimmäinen internetille kuuluva osoite. Näiden kahden osoitteen välinen hyppy on uloskäynti, ja se sijaitsee usein kaukana paketin lähettäneestä sivustosta. Merkitse laite, joka tekee siirtymän, sillä juuri tuo laite pitää suodatinta, joka päättää, mitä lähtee ulos. Toista seuranta toisesta sivustosta ja vertaa lähtöosoitteita, sillä kaksi laskulla samalta näyttävää toimipistettä voi lähteä eri kaupungeissa sijaitsevien eri yhdyskäytävien kautta.
Merkitse myös lähdeosoite, jonka kohde todella näkee, sillä muunnos voi tapahtua hypyssä, jota et koskaan piirtänyt. Kirjoita havaitut vastaukset piirrettyjen viereen, ja niiden välinen ero on se, mistä ensimmäinen tapaus tulee. Palveluntarjoajan insinööri, joka ei pysty antamaan lähtöosoitetta tietylle sivustolle, on jo kertonut sinulle jotain hyödyllistä suunnittelusta.
Kolme uloskäyntijärjestelyä ja mitä kukin keskittää
Itse ylläpitämäsi keskitetty uloskäynti vetää julkisen liikenteen omalle yhdyskäytävällesi, mikä antaa sinulle suodatuskäytännön ja lokit mutta keskittää kaikkien sivustojen kuorman yhdelle piirille. Palveluntarjoajan ylläpitämä uloskäynti siirtää käytännön ja lokit sopimusrajan taakse, mikä yksinkertaistaa toimintaa ja poistaa näkyvyytesi samalla liikkeellä. Uloskäynti jokaisella sivustolla pitää julkisen liikenteen paikallisena ja moninkertaistaa käytäntöpintojen määrän, joiden on pysyttävä samanlaisina.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Kysy, mitä kolmesta palveluntarjoaja todella tarjoaa, ennen kuin kohtelet luetteloa valikkona, ja kysy, voiko sivusto siirtyä niiden välillä ilman uutta piiriä. Migraatiovastaus erottaa sopimuksellisen puhtaasti teknisestä. Kirjaa myös, kuka omistaa lähdeosoitteen muunnoksen, sillä se ratkaisee, mitä kumppanin on lisättävä sallittujen luetteloon. Jaetut yhdyskäytävät tarkoittavat myös jaettua kapasiteettia ja toisinaan jaettua mainetta, mikä muuttaa sitä, miten kumppanit kohtelevat osoitteitasi. Kapasiteetti ansaitsee oman kysymyksensä, sillä jaettu yhdyskäytävä palvelee muita asiakkaita samalla hetkellä.
Suodatuksella, muunnoksella ja salauksella on eri omistajat
Reitti luo tavoitettavuuden eikä kerro mitään tarkastuksesta, joten käsittele niitä kahtena eri kysymyksenä eri omistajineen. Nimeä jokaiselle ilmoitetulle oletusreitille laite, joka suodattaa, laite, joka todentaa, laite, joka muuntaa, ja laite, joka tarkastaa, ja nimeä sitten, kuka kutakin hallinnoi. Palveluntarjoajan reittierottelu ei kerro, mihin salaus päättyy, ja yksityinen palvelu voi lopettaa tunnelinsa yhdellä rajalla, kun julkinen uloskäynti päättyy toisella. Kysy, tapahtuuko muunnos palveluntarjoajan reunalla, jaetulla yhdyskäytävällä vai omalla uloskäynnilläsi, ja onko istuntolokeja ja kuinka kauan. Laske omistajat vastauksista, sillä sopimus, joka nimeää yhden osapuolen neljään tehtävään, jättää yleensä kolme niistä dokumentoimatta.
Laaja oletusreitti viety yksityiseen reitityskontekstiin ansaitsee saman tarkastelun, sillä tuonti on tietoinen sopimus eikä harmiton mukavuus. RFC 4364:n luku 11 käy läpi useita internet-yhteysjärjestelyjä BGP/MPLS-VPN:ille ja käsittelee reittien vaihtoa VPN-kontekstin ja palveluntarjoajan oletusvälityskontekstin välillä juuri sellaisena sopimuksena. Kysy, mikä estää julkista liikennettä ottamasta vahingossa yksityistä reittiä, ja hanki vastaus reittikäytännön viereen, ei diaan.
Kaksi vikatapausta, joista on sovittava ennen allekirjoitusta
Kirjoita sopimukseen kaksi testiä: internet-uloskäynnin menetys ja yhden yksityisen liitännän menetys. Luettele kummallekin sisäiset resurssit, paikalliset internet-palvelut ja hallintareitit, joiden on jatkettava toimintaa. Luettele sitten varareitti, jonka on pysyttävä estettynä, sillä keskusvalvontojen kiertävä reitti on pahempi kuin puhdas katkos. Anna molemmat testit palveluntarjoajalle ja pyydä niiden odotettu tulos kirjallisesti, mukaan lukien havainnointi ja ilmoitus.
Suorita samat kokeet pilottisivustolta ja vertaa niitä tuohon kirjalliseen vastaukseen. Missä kaksi eroavat, sopimus kuvaa eri verkkoa kuin se, jonka ostit. Kaksi komentoa kattaa tavalliset tapaukset: toinen näyttää reitin, jonka julkinen kohde kulkee, toinen osoitteen, jonka se näkee.
traceroute -n 203.0.113.10
curl -s https://example.net/ipSido käytettävyyslupaukset mitattuun segmenttiin, älä palvelun nimeen. Paikallinen piiri, palveluntarjoajan runkoverkko ja jaettu yhdyskäytävä kantavat erilliset velvoitteet ja erilliset eskalaatiotiimit. Kirjaimet L2VPN, L3VPN ja MPLS kuvaavat välitysmekanismia, eivät päästä päähän -takuuta.
Todisteet voittavat tarjouksen adjektiivit
Sanat kuten redundantti, turvallinen ja kestävä kuvaavat aikomusta, eivät suunnittelua. Pyydä sen sijaan laiteluettelo, uloskäyntien sijainnit, muunnoskaavio ja ilmoitusreitti. Palveluntarjoajalla, joka pystyy tuottamaan nuo neljä, on suunnittelu; sillä, joka ei pysty, on dia. Pidä vastaukset palvelun dokumentaatiossa äläkä sähköpostiketjussa, ja käy ne läpi jokaisessa sopimusmuutoksessa.
Uloskäyntijärjestelyt liikkuvat hiljaa, kun palveluntarjoajat yhdistävät yhdyskäytäviä, joten kolmen vuoden takainen kaavio on taakka. Kun kumppani ilmoittaa tuntemattomasta lähdeosoitteesta, sinun pitäisi pystyä sanomaan minuuteissa, tuliko se suunnittelustasi vai muutoksesta, jota kukaan ei ilmoittanut. Juuri tuo kyky, ei adjektiivit, selviää ensimmäisestä katkoksesta.