Unha liña alugada para a VPN? Traduce primeiro o requisito

A proposta nomea unha liña alugada concreta para a VPN da oficina, e a cifra chega sen explicación. Antes de asinar, divide a frase nos catro requisitos que en realidade oculta: a entrega física, a disposición de subministración de IP, a capacidade en ambos os sentidos e o compromiso de soporte detrás do circuíto. Execútaos como portas nesa orde, porque un circuíto que falla na entrega non se pode salvar cunha cifra de ancho de banda maior. Despois verifica o entregado contra o que escribiches.

Traduce o requisito, non o nome do produto

IPsec protexe o tráfico na capa IP e deixa o transporte ao circuíto que compres. A arquitectura IPsec describe como se protexe o tráfico entre pares; non di nada sobre o tipo de entrega, as taxas comprometidas nin as xanelas de reparación. Son propiedades dun contrato de servizo.

Esa distinción é toda a razón pola que un requisito de circuíto pode ser lexítimo e aínda así non ser un requisito de VPN. Unha pasarela que só ten unha interface serie necesita de verdade unha entrega serie, e iso é unha restrición de hardware e non de protocolo. Substitúe o dispositivo e a restrición desaparece. Escribe cada requisito na forma «a pasarela necesita X porque Y» e rexeita calquera liña que non se poida completar.

Nomea a entrega antes de nomear a velocidade

A entrega é a conexión física e de capa de enlace no punto de demarcación: Ethernet de cobre, fibra cun transceptor específico, unha interface serie ou algo máis antigo que só existe porque o dispositivo actual o ten. Facer isto mal é caro dun xeito no que o ancho de banda nunca o é, porque adoita significar hardware novo nos dous extremos. Unha óptica que falta non é un problema de capacidade e ningunha actualización o arranxa.

Confirma o conector, a negociación de velocidade e quen subministra o conversor de medios ou o encamiñador. Despois confirma onde remata a túa responsabilidade, porque o punto de demarcación decide quen pode tocar que cando a conexión cae ás 03:00. Escribe esa fronteira no rexistro xunto ao identificador do circuíto. É a única liña que converte unha chamada de soporte nunha conversa de cinco minutos en lugar dunha hora de traspaso.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Confirma a subministración de IP, non só o enderezo

Pregunta que enderezo ou prefixo entrega realmente o servizo, e se é estático. Un circuíto que entrega un enderezo dinámico encaixa mal nunha pasarela entre sitios, porque a configuración do par ten que sobrevivir a un cambio que non programaches. Confirma tamén a lonxitude do prefixo, xa que un enderezo e un /29 encamiñado son produtos diferentes.

Despois pregunta se algo traduce o enderezo antes de que che chegue. Un NAT do lado do provedor ou un NAT de nivel de operador diante do servizo rompe as sesións entrantes, así que unha pasarela que espera aceptar IPsec desde sitios remotos non é accesible. A velocidade non o compensa: unha conexión rápida detrás dun tradutor que non controlas segue sen poder aceptar unha conexión entrante nun porto que ninguén reenvía.

Rexistra quen é o dono do encamiñador e do DNS. Se o provedor subministra o encamiñador, herdas o seu firmware, o seu comportamento NAT e a súa idea dunha ruta por defecto, e cada cambio posterior pasa por un ticket. Fai que alguén fóra da túa rede tente unha conexión entrante ao porto que esperas que sexa accesible, porque esa é a única proba que demostra a historia da tradución.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimensiona a capacidade pola carga de traballo, en ambos os sentidos

A capacidade ten que describirse en termos de traballo, non en termos dun número por usuario. O acceso masivo a ficheiros, a administración interactiva e unha copia de seguridade nocturna producen cada un un patrón de tráfico distinto, e só un deles se preocupa polo rendemento sostido de subida. Unha cifra de ancho de banda por posto é unha comodidade de vendas, non un modelo.

Estima ambos os sentidos, engade a sobrecarga de encapsulación e anota se o tráfico é a ráfagas ou sostido. Despois comproba a taxa comprometida do contrato en lugar da súa taxa de titular, porque unha tolerancia de ráfaga que caduca aos poucos segundos non axuda a unha copia nocturna. Mantén os límites da propia pasarela no mesmo orzamento, xa que o procesamento de cifrado e o número de sesións simultáneas poden limitar moito antes que o circuíto. Unha liña máis rápida non arranxa unha pasarela saturada.

Fixa os compromisos operativos

A dispoñibilidade, a resposta de reparación, a vía de escalado e a notificación de mantemento pertencen por escrito, co método de medición nomeado. Unha taxa de titular de internet non establece ningunha desas propiedades, e tampouco o fai unha páxina de márketing que promete fiabilidade sen definir unha interrupción. Pregunta cando comeza o reloxo, porque un tempo de resposta medido desde o propio acuse do provedor non é o mesmo número que un medido desde a túa alerta de monitorización. Esas dúas definicións poden diferir en horas sen que ninguén minta.

Rexistra tamén a fronteira do soporte. Se a responsabilidade do provedor remata nunha entrega que remata o teu propio encamiñador, a primeira hora de cada incidente vai para decidir de quen é a avaría, e ningún reloxo de SLA cobre iso.

Verifica o circuíto contra as condicións escritas

Unha vez que o servizo estea activo, mide as propiedades polas que realmente contrataches en lugar das que demostrou o instalador. O rendemento, a latencia e a perda na ruta real son a evidencia, e deberían capturarse nun momento e desde un lugar que poidas nomear. Repite a medición nunha hora punta, non só na entrega. Unha proba de aceptación executada ás 10:00 nun día tranquilo di moi pouco sobre a conexión ás 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Garda os resultados co contrato, porque unha discusión sobre rendemento sen liña base é unha discusión sobre impresións. Se unha medición incumpre o compromiso, expóno mentres a evidencia está fresca e o servizo aínda está dentro de calquera xanela de aceptación que o contrato proporcione. Un host nomeado na petición tamén mantén válido o apretón de mans TLS, de xeito que un aviso de certificado non se confunda cun circuíto fallido.

Por último, volve ler as catro portas contra o que se entregou. A entrega, a subministración de IP, a capacidade e as condicións de soporte teñen cada unha unha liña no rexistro, e cada liña ten un nome ao lado.