Hol lép ki valójában a felügyelt VPN internetkilépése
Az „internet mellékelve” semmit sem mond arról, honnan lép ki a nyilvános forgalom, ki szűri és mi él túl egy hibát. Kövesse végig az útvonalat, majd írja le mindkét hibaesetet.
Nem tudja megmondani, ki szűri egy fióktelep nyilvános forgalmát, amíg az ajánlat meg nem mutatja, hol hagyja el ez a forgalom a szolgáltató hálózatát. A felügyelt VPN-be csomagolt internet-hozzáférés egy második szolgáltatás, amely saját átjárókkal, saját címfordítással és saját eszkalációs sorral rendelkező útvonalon halad. A legtöbb szerződés részletesen leírja a privát oldalt, a nyilvános oldalt pedig egyetlen mondatra bízza. Az alábbi ellenőrzések abból a mondatból olyan diagramot csinálnak, amelyet meg tud védeni.
Kövessen végig egy nyilvános célt telephelyenként
Válasszon egy fióktelepi gazdagépet, és kövessen végig egy nyilvános célt, feljegyezve az utolsó, a szolgáltatóhoz tartozó címet és az első, az internethez tartozó címet. A két cím közötti ugrás a kilépés, és gyakran messze van attól a telephelytől, amely a csomagot küldte. Jelölje meg az eszközt, amely az átmenetet végzi, mert éppen abban az eszközben van a szűrő, amely eldönti, mi lép ki. Ismételje meg a követést egy második telephelyről, és hasonlítsa össze a kilépési címeket, mert két számlán azonosnak látszó fióktelep különböző városok különböző átjáróin keresztül is kiléphet.
Jegyezze fel azt a forráscímet is, amelyet a cél valójában lát, mert a fordítás olyan ugrásnál is történhet, amelyet soha nem rajzolt fel. Írja a megfigyelt válaszokat a felrajzoltak mellé, és a kettő közötti rés az, ahonnan az első incidens jönni fog. Egy szolgáltatói mérnök, aki nem tudja megadni egy adott telephely kilépési címét, már mondott valami hasznosat a tervezésről.
Három kilépési elrendezés és mit összpontosít mindegyik
Az Ön által üzemeltetett központi kilépés a nyilvános forgalmat a saját átjárójára húzza, ami megadja a szűrési szabályzatot és a naplókat, de minden telephely terhelését egyetlen vonalra összpontosítja. A szolgáltató által üzemeltetett kilépés a szabályzatot és a naplókat a szerződéses határon túlra helyezi, ami egyszerűsíti az üzemeltetést és ugyanezzel a mozdulattal elveszi a láthatóságát. A telephelyenkénti kilépés helyben tartja a nyilvános forgalmat, és megsokszorozza az azonosnak maradni köteles szabályzatfelületek számát.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Kérdezze meg, melyiket kínálja a három közül a szolgáltató valójában, mielőtt a listát menüként kezelné, és kérdezze meg, átléphet-e egy telephely új vonal nélkül a másikra. A migrációról adott válasz elválasztja a szerződésest a pusztán technikaitól. Azt is jegyezze fel, ki birtokolja a forráscím-fordítást, mert ez dönti el, mit kell a partnernek az engedélyezési listára tennie. A megosztott átjárók megosztott kapacitást és néha megosztott hírnevet is jelentenek, ami megváltoztatja, hogyan kezelik a partnerek az Ön címeit. A kapacitás saját kérdést érdemel, mert egy megosztott átjáró ugyanabban a pillanatban más ügyfeleket szolgál ki.
A szűrésnek, a fordításnak és a titkosításnak külön gazdái vannak
Egy útvonal elérhetőséget teremt, és semmit sem mond az ellenőrzésről, ezért kezelje a kettőt különböző gazdákkal rendelkező különböző kérdésként. Minden hirdetett alapértelmezett útvonalhoz nevezze meg a szűrő eszközt, a hitelesítő eszközt, a fordító eszközt és az ellenőrző eszközt, majd nevezze meg, ki igazgatja mindegyiket. A szolgáltató útvonal-szétválasztása nem mondja meg, hol végződik a titkosítás, és egy privát szolgáltatás az egyik határon fejezheti be az alagútját, miközben a nyilvános kilépés egy másikon végződik. Kérdezze meg, hogy a fordítás a szolgáltató szélén, egy megosztott átjárón vagy az Ön saját kilépésén történik-e, és hogy vannak-e munkamenet-naplók, és mennyi ideig. Számolja meg a gazdákat a válaszokban, mert egy szerződés, amely négy feladatra egy felet nevez meg, általában hármat dokumentálatlanul hagy.
Egy széles alapértelmezett útvonal a privát útválasztási környezetbe importálva ugyanazt a vizsgálatot érdemli, mert az import szándékos megállapodás, nem ártalmatlan kényelem. Az RFC 4364 11. szakasza több internet-hozzáférési elrendezést jár végig a BGP/MPLS VPN-ekhez, és a VPN-környezet és a szolgáltató alapértelmezett továbbítási környezete közötti útvonalcserét pontosan ilyen megállapodásként kezeli. Kérdezze meg, mi akadályozza meg, hogy a nyilvános forgalom véletlenül privát útvonalra térjen, és a választ az útvonalszabályzat mellett kérje, ne egy diákon.
Két hibaeset, amelyet aláírás előtt el kell fogadni
Írjon két tesztet a szerződésbe: az internetkilépés elvesztését és egy privát kapcsolat elvesztését. Mindegyiknél sorolja fel a belső erőforrásokat, a helyi internetszolgáltatásokat és azokat a kezelési útvonalakat, amelyeknek működniük kell tovább. Ezután sorolja fel a tartalék útvonalat, amelynek blokkolva kell maradnia, mert a központi ellenőrzéseket megkerülő útvonal rosszabb egy tiszta kimaradásnál. Adja oda mindkét tesztet a szolgáltatónak, és kérje írásban a várt eredményüket, beleértve az észlelést és az értesítést.
Futtassa ugyanazokat a teszteket egy próbatelephelyről, és hasonlítsa össze őket azzal az írásos válasszal. Ahol a kettő eltér, a szerződés más hálózatot ír le, mint amelyet megvásárolt. Két parancs lefedi a szokásos eseteket: az egyik megmutatja az útvonalat, amelyet egy nyilvános cél bejár, a másik a címet, amelyet lát.
traceroute -n 203.0.113.10
curl -s https://example.net/ipA rendelkezésre állási kötelezettségeket a mért szegmenshez kösse, ne a szolgáltatás nevéhez. Egy helyi vonal, egy szolgáltatói gerinc és egy megosztott átjáró külön kötelezettségeket és külön eszkalációs csapatokat hordoz. Az L2VPN, L3VPN és MPLS betűk továbbítási mechanizmust írnak le, nem végponttól végpontig szóló garanciát.
A bizonyítékok legyőzik az ajánlat jelzőit
Az olyan szavak, mint redundáns, biztonságos és ellenálló, szándékot írnak le, nem tervezést. Kérje inkább az eszközlistát, a kilépési helyeket, a fordítási sémát és az értesítési útvonalat. Egy szolgáltatónak, amely elő tudja állítani ezt a négy elemet, van terve; amelyik nem tudja, annak van egy diája. Tartsa a válaszokat a szolgáltatás dokumentációjában, ne egy e-mail láncban, és minden szerződésmódosításnál nézze át őket.
A kilépési elrendezések csendben elmozdulnak, ahogy a szolgáltatók összevonják az átjárókat, ezért egy hároméves diagram teher. Amikor egy partner ismeretlen forráscímet jelent, perceken belül meg kell tudnia mondani, hogy a tervezéséből vagy egy be nem jelentett változásból származik-e. Ez a képesség, és nem a jelzők, az, ami túléli az első kimaradást.