आपके प्रबंधित VPN का इंटरनेट निकास असल में कहाँ से बाहर निकलता है
«इंटरनेट शामिल» इस बारे में कुछ नहीं कहता कि सार्वजनिक ट्रैफ़िक कहाँ से निकलता है, उसे कौन फ़िल्टर करता है या किसी विफलता के बाद क्या बचता है। रास्ते का पीछा करें, फिर दोनों विफलता स्थितियाँ लिखें।
जब तक प्रस्ताव यह नहीं दिखाता कि वह ट्रैफ़िक प्रदाता के नेटवर्क से कहाँ से बाहर निकलता है, आप यह नहीं कह सकते कि किसी शाखा के सार्वजनिक ट्रैफ़िक को कौन फ़िल्टर करता है। प्रबंधित VPN में शामिल इंटरनेट पहुँच एक दूसरी सेवा है, जो अपने गेटवे, अपने पता अनुवाद और अपनी एस्केलेशन कतार वाले रास्ते पर चलती है। ज़्यादातर अनुबंध निजी पक्ष का विस्तार से वर्णन करते हैं और सार्वजनिक पक्ष को एक वाक्य पर छोड़ देते हैं। नीचे दी गई जाँचें उस वाक्य को ऐसे आरेख में बदल देती हैं जिसे आप बचा सकें।
हर साइट के लिए एक सार्वजनिक गंतव्य का पीछा करें
किसी शाखा का एक होस्ट चुनें और एक सार्वजनिक गंतव्य का पीछा करें, प्रदाता का अंतिम पता और इंटरनेट का पहला पता नोट करें। इन दोनों पतों के बीच की छलांग ही निकास है, और अक्सर यह उस साइट के पास भी नहीं होता जिसने पैकेट भेजा था। उस उपकरण को चिह्नित करें जो यह संक्रमण करता है, क्योंकि उसी उपकरण में वह फ़िल्टर है जो तय करता है कि क्या बाहर जाएगा। दूसरी साइट से वही ट्रेस दोहराएँ और निकास पतों की तुलना करें, क्योंकि चालान पर एक जैसी दिखने वाली दो शाखाएँ अलग-अलग शहरों के अलग गेटवे से बाहर निकल सकती हैं।
वह स्रोत पता भी नोट करें जो गंतव्य वास्तव में देखता है, क्योंकि अनुवाद ऐसी छलांग पर हो सकता है जिसे आपने कभी नहीं खींचा। देखे गए उत्तरों को खींचे गए उत्तरों के बगल में लिखें, और इन दोनों के बीच का अंतर ही वह जगह है जहाँ से पहली घटना आएगी। जो प्रदाता इंजीनियर किसी दिए गए साइट के लिए निकास पता नहीं दे सकता, उसने आपको डिज़ाइन के बारे में पहले ही कुछ उपयोगी बता दिया है।
तीन निकास व्यवस्थाएँ और हर एक क्या केंद्रित करती है
आपके द्वारा चलाया गया केंद्रीय निकास सार्वजनिक ट्रैफ़िक को आपके अपने गेटवे की ओर खींचता है, जो आपको फ़िल्टरिंग नीति और लॉग देता है, पर हर साइट का भार एक ही सर्किट पर केंद्रित कर देता है। प्रदाता द्वारा चलाया गया निकास नीति और लॉग को अनुबंध की सीमा के पार ले जाता है, जो संचालन को सरल बनाता है और उसी चाल में आपकी दृश्यता छीन लेता है। हर साइट पर निकास सार्वजनिक ट्रैफ़िक को स्थानीय रखता है और ऐसी नीति सतहों की संख्या बढ़ा देता है जिन्हें एक जैसा रहना चाहिए।
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
सूची को मेन्यू मानने से पहले पूछें कि प्रदाता वास्तव में इन तीन में से कौन-सा देता है, और पूछें कि क्या कोई साइट नए सर्किट के बिना इनके बीच जा सकती है। माइग्रेशन का उत्तर अनुबंध संबंधी को महज़ तकनीकी से अलग करता है। यह भी दर्ज करें कि स्रोत अनुवाद का स्वामी कौन है, क्योंकि इससे तय होता है कि साझेदार को अनुमति सूची में क्या डालना है। साझा गेटवे का अर्थ साझा क्षमता और कभी-कभी साझा प्रतिष्ठा भी है, जो बदल देता है कि साझेदार आपके पतों के साथ कैसा व्यवहार करते हैं। क्षमता भी अपने अलग सवाल की हक़दार है, क्योंकि साझा गेटवे उसी पल दूसरे ग्राहकों की सेवा कर रहा होता है।
फ़िल्टरिंग, अनुवाद और एन्क्रिप्शन के स्वामी अलग-अलग हैं
मार्ग पहुँच स्थापित करता है और निरीक्षण के बारे में कुछ नहीं कहता, इसलिए दोनों को अलग स्वामियों वाले अलग सवाल मानें। हर घोषित डिफ़ॉल्ट मार्ग के लिए उस उपकरण का नाम लें जो फ़िल्टर करता है, जो प्रमाणित करता है, जो अनुवाद करता है और जो निरीक्षण करता है, फिर बताएँ कि हर एक को कौन प्रशासित करता है। प्रदाता का मार्ग पृथक्करण यह नहीं बताता कि एन्क्रिप्शन कहाँ समाप्त होता है, और कोई निजी सेवा अपना टनल एक सीमा पर समाप्त कर सकती है जबकि सार्वजनिक निकास दूसरी सीमा पर समाप्त होता है। पूछें कि अनुवाद प्रदाता के किनारे, साझा गेटवे पर या आपके अपने निकास पर होता है, और क्या सत्र लॉग हैं तथा कितने समय तक। उत्तरों में स्वामियों की गिनती करें, क्योंकि चार कामों के लिए एक पक्ष का नाम लेने वाला अनुबंध आमतौर पर उनमें से तीन को बिना दस्तावेज़ छोड़ देता है।
एक चौड़ा डिफ़ॉल्ट मार्ग निजी राउटिंग संदर्भ में आयातित उसी जाँच का हक़दार है, क्योंकि आयात एक सोचा-समझा समझौता है, कोई निर्दोष सुविधा नहीं। RFC 4364 का खंड 11 BGP/MPLS VPN के लिए कई इंटरनेट-पहुँच व्यवस्थाओं से गुज़रता है और VPN संदर्भ तथा प्रदाता के डिफ़ॉल्ट फ़ॉरवर्डिंग संदर्भ के बीच मार्ग विनिमय को ठीक उसी तरह का समझौता मानता है। पूछें कि सार्वजनिक ट्रैफ़िक को ग़लती से निजी रास्ता लेने से क्या रोकता है, और उत्तर स्लाइड में नहीं, मार्ग नीति के पास माँगें।
हस्ताक्षर से पहले तय करने योग्य दो विफलता स्थितियाँ
अनुबंध में दो परीक्षण लिखें: इंटरनेट निकास खोना, और एक निजी जोड़ खोना। हर एक के लिए आंतरिक संसाधन, स्थानीय इंटरनेट सेवाएँ और वे प्रबंधन मार्ग सूचीबद्ध करें जिन्हें चलते रहना चाहिए। फिर वह बैकअप मार्ग सूचीबद्ध करें जो अवरुद्ध ही रहना चाहिए, क्योंकि केंद्रीय नियंत्रणों के चारों ओर का रास्ता साफ़ रुकावट से बदतर है। दोनों परीक्षण प्रदाता को दें और उनका अपेक्षित परिणाम लिखित में माँगें, जिसमें पहचान और सूचना शामिल हो।
वही जाँचें किसी पायलट साइट से चलाएँ और उनकी तुलना उस लिखित उत्तर से करें। जहाँ दोनों मेल नहीं खाते, वहाँ अनुबंध उस नेटवर्क से अलग नेटवर्क का वर्णन कर रहा है जो आपने खरीदा था। दो कमांड सामान्य स्थितियाँ कवर करते हैं: एक वह रास्ता दिखाता है जो कोई सार्वजनिक गंतव्य लेता है, दूसरा वह पता दिखाता है जो वह देखता है।
traceroute -n 203.0.113.10
curl -s https://example.net/ipउपलब्धता की प्रतिबद्धताओं को सेवा के नाम से नहीं, उस खंड से जोड़ें जिसे आपने मापा। स्थानीय सर्किट, प्रदाता का बैकबोन और साझा गेटवे अलग दायित्व और अलग एस्केलेशन टीमें लेकर चलते हैं। L2VPN, L3VPN और MPLS अक्षर फ़ॉरवर्डिंग तंत्र बताते हैं, सिरे से सिरे तक की गारंटी नहीं।
प्रस्ताव के विशेषणों को सबूत हरा देते हैं
रेडंडेंट, सुरक्षित और लचीला जैसे शब्द डिज़ाइन नहीं, मंशा बताते हैं। इसके बजाय उपकरणों की सूची, निकास के स्थान, अनुवाद की योजना और सूचना का मार्ग माँगें। जो प्रदाता ये चार चीज़ें दे सकता है उसके पास डिज़ाइन है; जो नहीं दे सकता उसके पास स्लाइड है। उत्तरों को ईमेल थ्रेड में नहीं, सेवा दस्तावेज़ में रखें, और हर अनुबंध बदलाव पर उन्हें फिर देखें।
प्रदाताओं के गेटवे समेकित करने के साथ निकास व्यवस्थाएँ चुपचाप खिसकती हैं, इसलिए तीन साल पुराना आरेख एक बोझ है। जब कोई साझेदार किसी अनजाने स्रोत पते की सूचना दे, तो आपको कुछ ही मिनटों में बता पाना चाहिए कि वह आपके डिज़ाइन से आया या ऐसे बदलाव से जिसकी किसी ने घोषणा नहीं की। विशेषण नहीं, यही क्षमता पहली बाधा के बाद बचती है।