Une ligne dédiée pour le VPN ? Traduisez d'abord l'exigence

La proposition nomme une ligne dédiée précise pour le VPN du bureau, et le chiffre arrive sans explication. Avant de signer, découpez la phrase en quatre exigences qu'elle cache en réalité : le raccordement physique, les modalités de livraison des adresses IP, la capacité dans les deux sens et l'engagement de support derrière le circuit. Traitez-les comme des portes dans cet ordre, car un circuit qui échoue au raccordement ne sera pas sauvé par un débit plus élevé. Vérifiez ensuite ce qui a été livré par rapport à ce que vous avez écrit.

Traduire l'exigence, pas le nom du produit

IPsec protège le trafic au niveau IP et laisse le transport au circuit que vous achetez. L'architecture IPsec décrit comment le trafic est protégé entre pairs ; elle ne dit rien du type de raccordement, des débits garantis ni des délais de réparation. Ce sont des propriétés d'un contrat de service.

Cette distinction explique précisément pourquoi une exigence de circuit peut être légitime sans être une exigence de VPN. Une passerelle dotée uniquement d'une interface série a réellement besoin d'un raccordement série, et il s'agit là d'une contrainte matérielle et non d'une contrainte de protocole. Remplacez l'équipement et la contrainte disparaît. Rédigez chaque exigence sous la forme « la passerelle a besoin de X parce que Y », et rejetez toute ligne que vous ne pouvez pas compléter.

Nommez le raccordement avant de nommer le débit

Le raccordement est la liaison physique et de niveau liaison au point de démarcation : Ethernet cuivre, fibre avec un émetteur-récepteur précis, interface série, ou une technologie plus ancienne qui n'existe que parce que l'équipement actuel en dispose. Se tromper ici coûte cher d'une manière que la bande passante ne coûte jamais, car cela implique généralement du matériel neuf des deux côtés. Un optique manquant n'est pas un problème de capacité et aucune mise à niveau ne le corrige.

Confirmez le connecteur, la négociation de vitesse et qui fournit le convertisseur de média ou le routeur. Confirmez ensuite où s'arrête votre responsabilité, car le point de démarcation décide qui a le droit de toucher à quoi lorsque la liaison tombe à 03:00. Inscrivez cette frontière dans le dossier, à côté de l'identifiant du circuit. C'est la seule ligne qui transforme un appel au support en une conversation de cinq minutes au lieu d'une heure de transfert.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Confirmez la livraison des IP, pas seulement l'adresse

Demandez quelle adresse ou quel préfixe le service livre réellement, et s'il est statique. Un circuit qui attribue une adresse dynamique convient mal à une passerelle site à site, car la configuration du pair doit survivre à un changement que vous n'avez pas planifié. Confirmez aussi la longueur du préfixe, puisqu'une seule adresse et un /29 routé sont deux produits différents.

Demandez ensuite si quelque chose traduit l'adresse avant qu'elle ne vous parvienne. Un NAT côté fournisseur ou un NAT à l'échelle de l'opérateur devant le service casse les sessions entrantes, si bien qu'une passerelle censée accepter IPsec depuis des sites distants devient injoignable. Le débit ne compense pas : une liaison rapide derrière un traducteur que vous ne contrôlez pas ne peut toujours pas accepter une connexion entrante sur un port que personne ne redirige.

Notez qui possède le routeur et le DNS. Si le fournisseur fournit le routeur, vous héritez de son micrologiciel, de son comportement NAT et de son idée de la route par défaut, et tout changement ultérieur passe par un ticket. Demandez à quelqu'un d'extérieur à votre réseau de tenter une connexion entrante sur le port que vous croyez joignable, car c'est le seul test qui prouve l'histoire de la traduction.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimensionnez la capacité à partir de la charge, dans les deux sens

La capacité doit être décrite en termes de travail, et non en termes d'un chiffre par utilisateur. L'accès massif aux fichiers, l'administration interactive et une sauvegarde nocturne produisent chacun un profil de trafic différent, et un seul d'entre eux se soucie du débit montant soutenu. Un chiffre de bande passante par poste est une commodité commerciale, pas un modèle.

Estimez les deux sens, ajoutez la surcharge d'encapsulation et notez si le trafic est en rafales ou soutenu. Vérifiez ensuite le débit garanti du contrat plutôt que son débit d'affiche, car une tolérance de rafale qui expire au bout de quelques secondes n'aide pas une sauvegarde nocturne. Gardez les limites propres à la passerelle dans le même budget, puisque le traitement du chiffrement et le nombre de sessions simultanées peuvent saturer bien avant le circuit. Une ligne plus rapide ne corrigera pas une passerelle saturée.

Fixez noir sur blanc les engagements d'exploitation

La disponibilité, le délai de réparation, la voie d'escalade et la notification de maintenance doivent figurer par écrit, avec la méthode de mesure nommée. Un débit internet annoncé n'établit aucune de ces propriétés, et une page marketing qui promet de la fiabilité sans définir une panne non plus. Demandez quand le chronomètre démarre, car un délai de réponse mesuré depuis l'accusé de réception du fournisseur n'est pas le même chiffre qu'un délai mesuré depuis votre alerte de supervision. Ces deux définitions peuvent différer de plusieurs heures sans que personne ne mente.

Inscrivez aussi la frontière du support. Si la responsabilité du fournisseur s'arrête à un raccordement que votre propre routeur termine, la première heure de chaque incident sert à décider à qui appartient la panne, et aucun chronomètre de SLA ne la couvre.

Vérifiez le circuit par rapport aux termes écrits

Une fois le service en production, mesurez les propriétés que vous avez réellement contractualisées plutôt que celles que l'installateur a démontrées. Le débit, la latence et les pertes sur le chemin réel constituent la preuve, et ils doivent être relevés à un moment et depuis un lieu que vous pouvez nommer. Répétez la mesure à une heure de pointe, pas seulement lors de la mise en service. Un test de recette exécuté à 10:00 un jour calme ne vous dit presque rien de la liaison à 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Conservez les résultats avec le contrat, car une discussion sur les performances sans référence est une dispute d'impressions. Si une mesure manque l'engagement, soulevez-la pendant que les preuves sont fraîches et que le service se trouve encore dans la fenêtre de recette prévue par le contrat. Un hôte nommé dans la requête maintient aussi la poignée de main TLS valide, afin qu'un avertissement de certificat ne soit pas pris pour un circuit défaillant.

Enfin, relisez les quatre portes à la lumière de ce qui a été livré. Le raccordement, la livraison des IP, la capacité et les conditions de support ont chacun une ligne dans le dossier, et chaque ligne porte un nom à côté.