In hierline foar de VPN? Oerset earst de eask

It foarstel neamt in spesifike hierline foar de kantoar-VPN, en it getal komt sûnder útlizzing. Foardatsto tekenest, diel de sin op yn de fjouwer easken dy't er eins ferberget: de fysike oerdracht, de regeling foar IP-levering, de kapasiteit yn beide rjochtingen en de stipeferplichting efter it circuit. Rin se as poarten yn dy folchoarder, want in circuit dat by de oerdracht mislearret, kin net rêden wurde troch in grutter sifer foar bânbreedte. Kontrolearje dêrnei wat levere is tsjin watsto opskreaun hast.

Oerset de eask, net de produktnamme

IPsec beskermet ferkear op de IP-laach en lit it ferfier oer oan hokker circuitsto ek keapst. De IPsec-arsjitektuer beskriuwt hoe't ferkear tusken peers beskerme wurdt; it seit neat oer it type oerdracht, garandearre tariven of reparaasjefinsters. Dat binne eigenskippen fan in tsjinstekontrakt.

Dat ûnderskied is de hiele reden dat in eask oan in circuit jildich wêze kin en dochs gjin eask oan de VPN is. In gateway mei allinnich in seriële ynterface hat echt in seriële oerdracht nedich, en dat is in hardwarebeheining en gjin protokolbeheining. Ferfang it apparaat en de beheining ferdwynt. Skriuw elke eask yn 'e foarm "de gateway hat X nedich, om't Y" en wiis elke rigel ôf dy't net foltôge wurde kin.

Nammesearje de oerdracht foardatsto de snelheid nammesearjest

De oerdracht is de fysike en link-layer-ferbining op it demarkaasjepunt: koperen Ethernet, glês mei in spesifike transceiver, in seriële ynterface, of wat âlders dat allinnich bestiet om't it hjoeddeiske apparaat it hat. Dit ferkeard dwaan is djoer op in manier dy't bânbreedte nea is, want it betsjut meastentiids nije hardware oan beide kanten. In ûntbrekkende optic is gjin kapasiteitsprobleem en gjin upgrade ferhelpt it.

Befêstigje de stekker, de snelheidsûnderhanneling en wa't de mediakonverter of router leveret. Befêstigje dêrnei wêr't dyn ferantwurdlikheid einiget, want it demarkaasjepunt beslút wa't wat oanreitsje mei as de ferbining om 03:00 del giet. Skriuw dy grins yn it rekord njonken de circuitidentifikaasje. It is de iene rigel dy't fan in stipetrop in petear fan fiif minuten makket ynstee fan in oere oerdracht.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Befêstigje de IP-levering, net allinnich it adres

Freegje hokker adres of prefiks de tsjinst eins leveret, en oft it statysk is. In circuit dat in dynamysk adres jout, past min by in gateway tusken lokaasjes, want de konfiguraasje fan de peer moat in feroaring oerlibje dy'tsto net plend hiest. Befêstigje ek de lingte fan it prefiks, want ien adres en in rûtbere /29 binne ferskillende produkten.

Freegje dan oft der wat it adres oerset foardat it by dy komt. In NAT oan 'e kant fan 'e provider of in carrier-grade NAT foar de tsjinst brekt ynkommende sesjes, dat in gateway dy't IPsec fan fiere lokaasjes ferwachtet te akseptearjen, is net berikber. Snelheid kompensearret dat net: in snelle ferbining efter in oersetter dy'tsto net behearskest, kin noch altyd gjin ynkommende ferbining akseptearje op in poarte dy't nimmen trochstjoert.

Registrearje wa't de router en de DNS besit. As de provider de router leveret, erfsto syn firmware, syn NAT-gedrach en syn idee fan in standertrûte, en elke lettere feroaring giet fia in ticket. Lit immen fan bûten dyn netwurk in ynkommende ferbining besykje nei de poarte dy'tsto berikber achtst, want dat is de ienige test dy't it ferhaal fan de oersetting bewissiget.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Bepale kapasiteit út 'e wurklast, yn beide rjochtingen

Kapasiteit moat beskreaun wurde yn termen fan wurk, net yn termen fan in getal per brûker. Bulkbestân tagong, ynteraktive behear en in nachtlike reservekopy meitsje elk in oar ferkearspatroan, en mar ien fan harren jout om oanhâldende upstream-trochfier. In sifer foar bânbreedte per sit is in ferkeapsgemak, gjin model.

Skat beide rjochtingen, foegje de oerhead fan enkapsulaasje ta en notearje oft it ferkear bursty of oanhâldend is. Kontrolearje dêrnei it garandearre taryf fan it kontrakt ynstee fan it koprjocht, want in bursttaryf dat nei in pear sekonden ferrint, helpt in nachtlike reservekopy net. Hâld de grinzen fan de gateway sels yn itselde budzjet, want fersifering en it oantal tagelyk aktive sesjes kinne folle earder knype wurde as it circuit. In flugger line reparearret in fersêde gateway net.

Fêstigje de operasjonele ferplichtings

Beskikberens, reparaasjereaksje, eskalasjepaad en ûnderhâldsmelding hearre skriftlik te wêzen, mei de mjitmetoade neamd. In koprjocht foar ynternet fêstiget gjin ien fan dy eigenskippen, en in marketing side dy't betrouberens ûnthjit sûnder in steuring te definiearjen ek net. Freegje hoe't de klok begjint, want in reaksjetiid mjitten fan 'e eigen befêstiging fan 'e provider is net itselde getal as ien mjitten fan dyn monitoringsalarm. Dy twa definysjes kinne oeren ferskille sûnder dat immen ljocht.

Registrearje ek de grins fan de stipe. As de ferantwurdlikheid fan 'e provider einiget by in oerdracht dy't dyn eigen router beëiniget, giet de earste oere fan elk ynsidint nei it besluten wa't de flater besit, en gjin SLA-klok dekt dat.

Kontrolearje it circuit tsjin 'e skriftlike betingsten

As de tsjinst ienris libbet, mjit de eigenskippen dêr'tsto eins foar kontraktearre hast, net dy't de ynstallearder demonstrearre. Trochfier, fertraging en ferlies op it echte paad binne it bewiis, en se moatte fêstlein wurde op in tiid en fan in lokaasje dy'tsto neame kinst. Werhelje de mjitting op in drok oere, net allinnich by de oerdracht. In akseptaasjetest om 10:00 op in stille dei fertelt dy hiel lyts bytsje oer de ferbining om 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Hâld de resultaten by it kontrakt, want in petear oer prestaasjes sûnder basisline is in rûzje oer yndrukken. As in mjitting it tafjoch mist, bring it op 'e kaart wylst it bewiis farsk is en de tsjinst noch binnen hokker akseptaasjefinster it kontrakt ek jout. In neamd host yn it fersyk hâldt ek de TLS-hânskodding jildich, dat in sertifikaatwarskôging wurdt net foar in mislearre circuit oansjoen.

Lêst de fjouwer poarten ta beslút opnij tsjin wat levere is. De oerdracht, de IP-levering, de kapasiteit en de stipebetingsten hawwe elk in rigel yn it rekord, en by elke rigel stiet in namme.