Wêr't de ynternetútgong fan jo behearde VPN echt út giet
„Ynternet ynbegrepen“ seit neat oer wêr't it iepenbiere ferkear útgiet, wa't it filteret of wat in steuring oerlibbet. Folgje it paad en skriuw dan beide steuringsgefallen op.
Jo kinne net sizze wa't it iepenbiere ferkear fan in filiaal filteret, oant it foarstel sjen lit wêr't dat ferkear it netwurk fan 'e provider ferlit. Ynternettoegong dy't by in behearde VPN ynbegrepen is, is in twadde tsjinst, dy't oer in paad giet mei eigen poarten, eigen adresfertaal en eigen eskalaasjerige. De measte kontrakten beskriuwe de partikuliere kant yn detail en litte de iepenbiere kant oan ien sin oer. De kontrôles hjirûnder meitsje fan dy sin in diagram dat jo ferdigenje kinne.
Folgje ien iepenbiere bestimming per lokaasje
Kies in host yn in filiaal en folgje ien iepenbiere bestimming, en notearje it lêste adres dat by de provider heart en it earste dat by it ynternet heart. De sprong tusken dy twa adressen is de útgong, en dy sit faak nearne by de lokaasje dy't it pakket stjoerd hat. Markearje it apparaat dat de oergong docht, want dat apparaat hat it filter dat beslútet wat derút giet. Werhelje de folging fan in twadde lokaasje en fergelykje de útgongsadressen, want twa filialen dy't op 'e faktuer itselde lykje, kinne troch ferskate poarten yn ferskate stêden nei bûten gean.
Notearje ek it boarneadres dat de bestimming eins sjocht, want fertaling kin barre by in sprong dy't jo nea tekene hawwe. Skriuw de waarnommen antwurden njonken de tekene antwurden, en it gat dertusken is wêr't it earste foarfal weikomt. In yngenieur fan 'e provider dy't it útgongsadres foar in opjûne lokaasje net jaan kin, hat jo al wat nuttichs oer it ûntwerp ferteld.
Trije útgongsregelingen en wat elk konsintrearret
In sintrale útgong dy't jo sels beheare lûkt it iepenbiere ferkear nei in poarte fan josels, wat jo it filterbelied en de logs jout, mar de lêst fan alle lokaasjes op ien circuit konsintrearret. In troch de provider beheard útgong ferpleatst belied en logs oer de kontraktgrins, wat de operaasje ferienfâldiget en jo yn deselde beweging it sicht ûntnimt. In útgong op elk lokaasje hâldt it iepenbiere ferkear lokaal en fermannichfâldiget it tal beliedsflakken dat itselde bliuwe moat.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Freegje hokker fan 'e trije de provider echt biedt foardat jo de list as in menu behannelje, en freegje oft in lokaasje sûnder nij circuit tusken harren wikselje kin. It antwurd oer migraasje skiedt it kontraktuele fan it inkeld technyske. Notearje ek wa't it boarnefertaal besit, want dat bepaalt wat in partner op 'e talittingslist sette moat. Dielde poarten betsjutte ek dielde kapasiteit en soms dielde reputaasje, wat feroaret hoe't partners jo adressen behannelje. Kapasiteit fertsjinnet syn eigen fraach, want in dielde poarte betsjinnet op itselde stuit oare klanten.
Filtering, fertaling en fersifering hawwe aparte eigners
In rûte makket berikberens en seit neat oer ynspeksje, dus behannelje de twa as ferskate fragen mei ferskate eigners. Beneam foar elke oankundige standertrûte it apparaat dat filteret, it apparaat dat autentisearret, it apparaat dat fertaalt en it apparaat dat ynspektearret, en beneam dan wa't elk administrearret. De rûteskieding fan 'e provider seit net wêr't fersifering einiget, en in partikuliere tsjinst kin syn tunnel by ien grins einigje wylst de iepenbiere útgong by in oare einiget. Freegje oft de fertaling by de râne fan 'e provider, by in dielde poarte of by jo eigen útgong bart, en oft der sesjelogs binne en hoe lang. Tel de eigners yn 'e antwurden, want in kontrakt dat ien partij foar fjouwer taken neamt, lit trije derfan meast ûndokumintearre.
In brede standertrûte ymportearre yn 'e partikuliere rûtekontekst fertsjinnet deselde kontrôle, want in ymport is in bewuste oerienkomst en net in ûnskuldige gemak. Seksje 11 fan RFC 4364 giet ferskate ynternettoegongsregelingen foar BGP/MPLS-VPN's troch en behannelet rûte-útwikseling tusken de VPN-kontekst en de standert trochstjoerkontekst fan 'e provider krekt as datsoart oerienkomst. Freegje wat foarkomt dat iepenbier ferkear by ûngelok in partikulier paad nimt, en kriget it antwurd njonken it rûtebelied ynstee fan yn in dia.
Twa steuringsgefallen om foar it tekenjen oerien te kommen
Skriuw twa tests yn it kontrakt: de ynternetútgong ferlieze, en ien partikuliere oansluting ferlieze. List foar elk de ynterne boarnen, de lokale ynternettsjinsten en de behearspaden op dy't trochgeane moatte. List dêrnei it reservepaad op dat blokkearre bliuwe moat, want in paad om 'e sintrale kontrôles hinne is slimmer as in skjinne steuring. Jou beide tests oan 'e provider en freegje har ferwachte resultaat skriftlik, ynklusyf deteksje en melding.
Rin deselde probes fan in proeflokaasje en fergelykje se mei dat skriftlike antwurd. Wêr't de twa ferskille, beskriuwt it kontrakt in oar netwurk as dat jo kocht hawwe. Twa opdrachten dekke de gewoane gefallen: ien lit it paad sjen dat in iepenbiere bestimming nimt, de oare it adres dat it sjocht.
traceroute -n 203.0.113.10
curl -s https://example.net/ipByn ferplichtingen foar beskikberens oan it segmint dat jo metten hawwe, net oan 'e namme fan 'e tsjinst. In lokaal circuit, in provider-rigemer en in dielde poarte drage aparte ferplichtingen en aparte eskalasjeteams. De letters L2VPN, L3VPN en MPLS beskriuwe in trochstjoermeganisme, net in garânsje fan ein oant ein.
Bewiis ferslacht de eigenskipswurden yn it foarstel
Wurden as oerstallich, feilich en krêftich beskriuwe in bedoeling en net in ûntwerp. Freegje ynstee om 'e apparaatlist, de útgongslokaasjes, it fertaalskema en it meldingspaad. In provider dy't dy fjouwer items leverje kin, hat in ûntwerp; ien dy't it net kin, hat in dia. Hâld de antwurden yn 'e tsjinstedokumintaasje ynstee fan yn in e-posttried, en besjoch se by elke kontraktferoaring op 'e nij.
Útgongsregelingen skowe stil, wylst providers poarten konsolidearje, dus in diagram fan trije jier lyn is in lêst. Wannear't in partner in ûnbekend boarneadres meldt, moatte jo binnen in pear minuten sizze kinne oft it út jo ûntwerp kaam of út in feroaring dy't nimmen oankundige hat. Krekt dy feardigens, net de eigenskipswurden, oerlibbet de earste steuring.