Gdje zapravo izlazi internet izlaz vašeg upravljanog VPN-a
„Internet uključen“ ne govori ništa o tome odakle izlazi javni saobraćaj, ko ga filtrira ili šta preživi kvar. Pratite putanju, pa zapišite oba slučaja kvara.
Ne možete reći ko filtrira javni saobraćaj neke podružnice dok predlog ne pokaže gdje taj saobraćaj napušta mrežu provajdera. Internet pristup uključen u upravljani VPN je druga usluga, koja ide putem sa vlastitim gatewayima, vlastitim prevođenjem adresa i vlastitim redom za eskalaciju. Većina ugovora detaljno opisuje privatnu stranu, a javnu stranu ostavlja na jednoj rečenici. Provjere ispod pretvaraju tu rečenicu u dijagram koji možete braniti.
Pratite jednu javnu destinaciju po lokaciji
Odaberite host u podružnici i pratite jednu javnu destinaciju, bilježeći posljednju adresu koja pripada provajderu i prvu koja pripada internetu. Skok između te dvije adrese je izlaz i često se nalazi daleko od lokacije koja je poslala paket. Označite uređaj koji obavlja prelaz, jer taj uređaj drži filter koji odlučuje šta izlazi. Ponovite praćenje sa druge lokacije i uporedite izlazne adrese, jer dvije podružnice koje na fakturi izgledaju isto mogu izlaziti kroz različite gatewaye u različitim gradovima.
Zabilježite i izvornu adresu koju destinacija zaista vidi, jer prevođenje može nastati na skoku koji nikada niste nacrtali. Zapišite uočene odgovore pored nacrtanih i jaz između njih je mjesto odakle će doći prvi incident. Inženjer provajdera koji ne može dati izlaznu adresu za datu lokaciju već vam je rekao nešto korisno o dizajnu.
Tri izlazna rješenja i šta svako koncentriše
Centralni izlaz koji sami vodite vuče javni saobraćaj na vaš vlastiti gateway, što vam daje politiku filtriranja i zapise, ali sabija opterećenje svih lokacija na jedan vod. Izlaz koji vodi provajder prenosi politiku i zapise preko granice ugovora, što pojednostavljuje rad i istim potezom vam oduzima vidljivost. Izlaz na svakoj lokaciji zadržava javni saobraćaj lokalnim i umnožava broj površina politike koje moraju ostati identične.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Pitajte koju od tri provajder zapravo nudi prije nego listu tretirate kao meni, i pitajte može li lokacija prelaziti između njih bez novog voda. Odgovor o migraciji razdvaja ugovorno od puko tehničkog. Zabilježite i ko posjeduje prevođenje izvorne adrese, jer to odlučuje šta partner mora staviti na listu dozvola. Dijeljeni gatewayi znače i dijeljeni kapacitet, a ponekad i dijeljeni ugled, što mijenja kako partneri tretiraju vaše adrese. Kapacitet zaslužuje vlastito pitanje, jer dijeljeni gateway u tom trenutku poslužuje druge korisnike.
Filtriranje, prevođenje i šifrovanje imaju odvojene vlasnike
Ruta uspostavlja dostupnost i ne govori ništa o inspekciji, pa ta dva pitanja tretirajte kao različita, s različitim vlasnicima. Za svaku oglašenu zadanu rutu navedite uređaj koji filtrira, uređaj koji provjerava identitet, uređaj koji prevodi i uređaj koji inspektuje, a zatim navedite ko upravlja svakim. Razdvajanje ruta kod provajdera ne kaže gdje šifrovanje završava, a privatna usluga može završiti svoj tunel na jednoj granici dok javni izlaz završava na drugoj. Pitajte da li se prevođenje dešava na ivici provajdera, na dijeljenom gatewayu ili na vašem vlastitom izlazu, i postoje li zapisi sesija i koliko dugo. Prebrojte vlasnike u odgovorima, jer ugovor koji imenuje jednu stranu za četiri posla obično ostavlja tri od njih bez dokumentacije.
Široka zadana ruta uvezena u kontekst privatnog rutiranja zaslužuje isto preispitivanje, jer uvoz je namjerni dogovor, a ne bezazlena pogodnost. odjeljak 11 RFC 4364 prolazi kroz nekoliko rješenja internet pristupa za BGP/MPLS VPN-ove i tretira razmjenu ruta između VPN konteksta i provajderovog zadanog konteksta prosljeđivanja upravo kao takav dogovor. Pitajte šta sprječava javni saobraćaj da slučajno krene privatnim putem i dobijte odgovor uz politiku ruta, a ne u slajdu.
Dva slučaja kvara o kojima treba postići dogovor prije potpisa
Upišite dva testa u ugovor: gubitak internet izlaza i gubitak jedne privatne veze. Za svaki navedite unutrašnje resurse, lokalne internet usluge i upravljačke puteve koji moraju nastaviti raditi. Zatim navedite rezervni put koji mora ostati blokiran, jer put oko centralnih kontrola gori je od čistog prekida. Dajte oba testa provajderu i zatražite njihov očekivani rezultat u pisanoj formi, uključujući otkrivanje i obavještenje.
Izvedite iste provjere sa pilot lokacije i uporedite ih s tim pisanim odgovorom. Gdje se dvoje razilaze, ugovor opisuje drugu mrežu od one koju ste kupili. Dvije komande pokrivaju uobičajene slučajeve: jedna pokazuje put koji javna destinacija prelazi, druga pokazuje adresu koju vidi.
traceroute -n 203.0.113.10
curl -s https://example.net/ipObaveze dostupnosti vežite za segment koji ste izmjerili, a ne za naziv usluge. Lokalni vod, provajderova kičma i dijeljeni gateway nose odvojene obaveze i odvojene timove za eskalaciju. Slova L2VPN, L3VPN i MPLS opisuju mehanizam prosljeđivanja, a ne garanciju od kraja do kraja.
Dokazi su jači od pridjeva u predlogu
Riječi poput redundantno, sigurno i otporno opisuju namjeru, a ne dizajn. Umjesto toga tražite listu uređaja, lokacije izlaza, šemu prevođenja i put obavještenja. Provajder koji može dati te četiri stavke ima dizajn; onaj koji ne može ima slajd. Držite odgovore u dokumentaciji usluge, a ne u e-mail niti, i pregledajte ih pri svakoj promjeni ugovora.
Izlazna rješenja se tiho mijenjaju dok provajderi spajaju gatewaye, pa je dijagram star tri godine teret. Kada partner prijavi nepoznatu izvornu adresu, trebalo bi da u nekoliko minuta kažete da li dolazi iz vašeg dizajna ili iz promjene koju niko nije najavio. Ta sposobnost, a ne pridjevi, je ono što preživi prvi ispad.