היכן באמת יוצא חיבור האינטרנט של ה-VPN המנוהל שלכם
«אינטרנט כלול» לא אומר דבר על היכן התעבורה הציבורית יוצאת, מי מסנן אותה או מה שורד תקלה. עקבו אחר המסלול, ואז כתבו את שני מקרי התקלה.
אינכם יכולים לומר מי מסנן את התעבורה הציבורית של סניף עד שההצעה תראה היכן התעבורה הזו יוצאת מרשת הספק. גישה לאינטרנט שנכללת ב-VPN מנוהל היא שירות שני, שנע על מסלול עם שערים משלו, תרגום כתובות משלו ותור הסלמה משלו. רוב החוזים מתארים את הצד הפרטי בפירוט ומשאירים את הצד הציבורי למשפט אחד. הבדיקות שלהלן הופכות את המשפט הזה לתרשים שתוכלו להגן עליו.
עקבו אחר יעד ציבורי אחד לכל אתר
בחרו מארח בסניף ועקבו אחר יעד ציבורי אחד, תוך ציון הכתובת האחרונה ששייכת לספק והראשונה ששייכת לאינטרנט. הקפיצה בין שתי הכתובות האלה היא היציאה, ולעיתים קרובות היא נמצאת הרחק מהאתר ששלח את החבילה. סמנו את ההתקן שמבצע את המעבר, כי דווקא בהתקן הזה נמצא המסנן שקובע מה יוצא. חזרו על המעקב מאתר שני והשוו את כתובות היציאה, כי שני סניפים שנראים זהים בחשבונית יכולים לצאת דרך שערים שונים בערים שונות.
רשמו גם את כתובת המקור שהיעד רואה בפועל, כי התרגום עשוי להתרחש בקפיצה שלא ציירתם מעולם. כתבו את התשובות שנצפו לצד אלו שתוארו, והפער ביניהן הוא המקום שממנו תגיע התקלה הראשונה. מהנדס של הספק שאינו יכול לתת את כתובת היציאה עבור אתר נתון כבר אמר לכם משהו שימושי על התכנון.
שלוש פריסות יציאה ומה כל אחת מרכזת
יציאה מרכזית שאתם מפעילים מושכת את התעבורה הציבורית לשער משלכם, מה שנותן לכם את מדיניות הסינון ואת היומנים אך מרכז את העומס של כל האתרים על מעגל אחד. יציאה שמפעיל הספק מעבירה מדיניות ויומנים אל מעבר לגבול החוזה, מה שמפשט את התפעול ומסיר את הנראות שלכם באותה תנועה. יציאה בכל אתר משאירה את התעבורה הציבורית מקומית ומכפילה את מספר משטחי המדיניות שחייבים להישאר זהים.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
שאלו איזו מהשלוש הספק מציע באמת לפני שאתם מתייחסים לרשימה כתפריט, ושאלו אם אתר יכול לעבור ביניהן בלי מעגל חדש. התשובה על הגירה מפרידה בין מה שהוא חוזי לבין מה שהוא טכני בלבד. רשמו גם מי הבעלים של תרגום כתובות המקור, כי זה קובע מה שותף חייב להכניס לרשימת ההיתרים. שערים משותפים משמעם גם קיבולת משותפת ולעיתים מוניטין משותף, מה שמשנה כיצד שותפים מתייחסים לכתובות שלכם. גם הקיבולת ראויה לשאלה משלה, כי שער משותף משרת לקוחות אחרים באותו רגע.
לסינון, לתרגום ולהצפנה יש בעלים נפרדים
מסלול יוצר נגישות ואינו אומר דבר על בדיקה, לכן התייחסו לשניהם כשני שאלות שונות עם בעלים שונים. לכל מסלול ברירת מחדל מוכרז, שם את ההתקן שמסנן, את ההתקן שמאמת, את ההתקן שמתרגם ואת ההתקן שבודק, ואז שם את מי שמנהל כל אחד מהם. הפרדת המסלולים אצל הספק אינה אומרת היכן מסתיימת ההצפנה, ושירות פרטי יכול לסיים את המנהרה שלו בגבול אחד בזמן שהיציאה הציבורית מסתיימת בגבול אחר. שאלו אם התרגום קורה בקצה של הספק, בשער משותף או ביציאה שלכם, ואם קיימים יומני הפעלה וכמה זמן. ספרו את הבעלים בתשובות, כי חוזה שמנקוב צד אחד לארבע משימות משאיר בדרך כלל שלוש מהן בלי תיעוד.
מסלול ברירת מחדל רחב מיובא אל הקשר הניתוב הפרטי ראוי לאותה בדיקה, כי ייבוא הוא הסכם מכוון ולא נוחות תמימה. סעיף 11 של RFC 4364 עובר על כמה פריסות של גישת אינטרנט ל-VPN מסוג BGP/MPLS ומתייחס לחילופי מסלולים בין הקשר של ה-VPN לבין הקשר שיגור ברירת המחדל של הספק בדיוק כאל אותו סוג של הסכם. שאלו מה מונע מתעבורה ציבורית לקחת מסלול פרטי בטעות, וקבלו את התשובה לצד מדיניות המסלולים ולא בשקופית.
שני מקרי תקלה שצריך להסכים עליהם לפני החתימה
כתבו בחוזה שתי בדיקות: אובדן יציאת האינטרנט ואובדן חיבור פרטי אחד. לכל אחת מהן, פרטו את המשאבים הפנימיים, את שירותי האינטרנט המקומיים ואת נתיבי הניהול שחייבים להמשיך לעבוד. לאחר מכן פרטו את נתיב הגיבוי שחייב להישאר חסום, כי נתיב שעוקף את הבקרות המרכזיות גרוע מהפסקה נקייה. מסרו את שתי הבדיקות לספק ובקשו את התוצאה הצפויה שלהן בכתב, כולל זיהוי והתראה.
הריצו את אותן בדיקות מאתר פיילוט והשוו אותן לתשובה הכתובה הזו. היכן שהשתיים אינן מתאימות, החוזה מתאר רשת אחרת מזו שרכשתם. שתי פקודות מכסות את המקרים הנפוצים: אחת מציגה את המסלול שיעד ציבורי עובר, והאחרת מציגה את הכתובת שהוא רואה.
traceroute -n 203.0.113.10
curl -s https://example.net/ipקשרו התחייבויות זמינות לקטע שמדדתם ולא לשם השירות. מעגל מקומי, עמוד השדרה של הספק ושער משותף נושאים התחייבויות נפרדות וצוותי הסלמה נפרדים. האותיות L2VPN, L3VPN ו-MPLS מתארות מנגנון שיגור, לא אחריות מקצה לקצה.
ראיות מנצחות את שמות התואר בהצעה
מילים כמו עודף, מאובטח ועמיד מתארות כוונה ולא תכנון. בקשו במקום זאת את רשימת ההתקנים, את מיקומי היציאה, את סכמת התרגום ואת נתיב ההתראה. ספק שיכול לספק את ארבעת הפריטים האלה יש לו תכנון; למי שלא יכול יש שקופית. שמרו את התשובות בתיעוד השירות ולא בשרשור דואר, ועברו עליהן בכל שינוי בחוזה.
פריסות היציאה זזות בשקט כשספקים מאחדים שערים, ולכן תרשים מלפני שלוש שנים הוא נטל. כששותף מדווח על כתובת מקור לא מוכרת, צריך להיות לכם אפשרות לומר בתוך דקות אם היא באה מהתכנון שלכם או משינוי שאיש לא הודיע עליו. היכולת הזו, ולא שמות התואר, היא מה ששורד את התקלה הראשונה.