Onde sae realmente a saída a internet da súa VPN xestionada
«Internet incluído» non di nada sobre onde sae o tráfico público, quen o filtra ou que sobrevive a un fallo. Siga a ruta e despois escriba os dous casos de fallo.
Non pode dicir quen filtra o tráfico público dunha sucursal ata que a proposta mostre por onde sae ese tráfico da rede do provedor. O acceso a internet incluído nunha VPN xestionada é un segundo servizo, que vai por unha ruta con súas propias pasarelas, a súa propia tradución e a súa propia cola de escalado. A maioría dos contratos describen o lado privado con detalle e deixan o lado público nunha soa frase. As comprobacións de abaixo converten esa frase nun diagrama que pode defender.
Siga un destino público por sede
Escolla un host dunha sucursal e siga un destino público, anotando o último enderezo que pertence ao provedor e o primeiro que pertence a internet. O salto entre esos dous enderezos é a saída, e a miúdo non está preto da sede que enviou o paquete. Marque o dispositivo que fai a transición, porque ese dispositivo ten o filtro que decide que sae. Repita o seguimento desde unha segunda sede e compare os enderezos de saída, porque dúas sucursais que na factura parecen idénticas poden saír por pasarelas distintas en cidades distintas.
Anote tamén o enderezo de orixe que o destino ve en realidade, porque a tradución pode ocorrer nun salto que nunca debuxou. Escriba as respostas observadas xunto ás debuxadas, e a distancia entre ambas é de onde virá o primeiro incidente. Un enxeñeiro do provedor que non pode dar o enderezo de saída dunha sede concreta xa lle dixo algo útil sobre o deseño.
Tres disposicións de saída e que concentra cada unha
Unha saída central que vostede opera leva o tráfico público a unha pasarela propia, o que lle dá a política de filtrado e os rexistros mentres concentra a carga de todas as sedes nun só circuíto. Unha saída operada polo provedor traslada a política e os rexistros alén do límite contractual, o que simplifica as operacións e lle quita visibilidade no mesmo movemento. Unha saída en cada sede mantén o tráfico público local e multiplica o número de superficies de política que deben permanecer idénticas.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Pregunte cal das tres ofrece realmente o provedor antes de tratar a lista como un menú, e pregunte se unha sede pode pasar dunha a outra sen un circuíto novo. A resposta sobre a migración separa o contractual do meramente técnico. Anote tamén quen posúe a tradución de orixe, porque iso decide que debe poñer un socio na lista de permitidos. As pasarelas compartidas tamén significan capacidade compartida e, ás veces, reputación compartida, o que cambia como tratan os socios os seus enderezos. A capacidade merece a súa propia pregunta, porque unha pasarela compartida está a atender outros clientes nese mesmo momento.
O filtrado, a tradución e o cifrado teñen propietarios separados
Unha ruta establece alcanzabilidade e non di nada sobre a inspección, así que trate ambas as cousas como preguntas distintas con propietarios distintos. Para cada ruta por defecto anunciada, nomee o dispositivo que filtra, o que autentica, o que traduce e o que inspecciona, e logo diga quen administra cada un. A separación de rutas do provedor non di onde remata o cifrado, e un servizo privado pode rematar o seu túnel nun límite mentres a saída pública remata noutro. Pregunte se a tradución ocorre no bordo do provedor, nunha pasarela compartida ou na súa propia saída, e se existen rexistros de sesión e durante canto tempo. Conte os propietarios nas respostas, porque un contrato que nomea unha parte para catro tarefas adoita deixar tres delas sen documentar.
Unha ruta por defecto ampla importada ao contexto de encamiñamento privado merece o mesmo escrutinio, porque unha importación é un acordo deliberado e non unha comodidade inocua. A sección 11 da RFC 4364 percorre varias disposicións de acceso a internet para VPN BGP/MPLS e trata o intercambio de rutas entre o contexto VPN e o contexto de reenvío por defecto do provedor exactamente como ese tipo de acordo. Pregunte que impide que o tráfico público tome unha ruta privada por accidente, e obteña a resposta xunto á política de rutas e non nunha diapositiva.
Dous casos de fallo que acordar antes de asinar
Escriba dúas probas no contrato: perder a saída a internet e perder unha conexión privada. Para cada unha, enumere os recursos internos, os servizos de internet locais e as rutas de xestión que deben seguir funcionando. Logo enumere o camiño alternativo que debe permanecer bloqueado, porque un camiño que rodea os controis centrais é peor que unha interrupción limpa. Dea ambas as probas ao provedor e pida o seu resultado esperado por escrito, incluídos a detección e o aviso.
Execute as mesmas probas desde unha sede piloto e compáraas con esa resposta escrita. Onde as dúas non coincidan, o contrato describe unha rede distinta da que comprou. Dous comandos cobren os casos habituais: un mostra o camiño que toma un destino público, o outro mostra o enderezo que ve.
traceroute -n 203.0.113.10
curl -s https://example.net/ipAte os compromisos de dispoñibilidade ao segmento que mediu, non ao nome do servizo. Un circuíto local, unha rede troncal do provedor e unha pasarela compartida levan obrigas separadas e equipos de escalado separados. As letras L2VPN, L3VPN e MPLS describen un mecanismo de reenvío, non unha garantía de extremo a extremo.
As probas gañan aos adxectivos da proposta
Palabras como redundante, seguro e resistente describen unha intención e non un deseño. Pida en cambio a lista de dispositivos, as localizacións de saída, o esquema de tradución e a ruta de notificación. Un provedor que pode entregar eses catro elementos ten un deseño; o que non pode ten unha diapositiva. Garde as respostas na documentación do servizo e non nun fío de correo, e revíseas en cada cambio de contrato.
As disposicións de saída móvense en silencio a medida que os provedores consolidan pasarelas, así que un diagrama de hai tres anos é unha carga. Cando un socio informa dun enderezo de orixe descoñecido, debería poder dicir en minutos se veu do seu deseño ou dun cambio que ninguén anunciou. Esa capacidade, e non os adxectivos, é o que sobrevive á primeira caída.