Sewa Jalur Khusus untuk VPN? Terjemahkan Dulu Kebutuhannya

Proposal menyebut jalur sewa tertentu untuk VPN kantor, dan angkanya datang tanpa penjelasan. Sebelum menandatangani, pecah kalimat itu menjadi empat kebutuhan yang sebenarnya disembunyikannya: penyerahan fisik, pengaturan pengiriman IP, kapasitas di kedua arah, dan komitmen dukungan di balik sirkuit. Jalankan sebagai gerbang dalam urutan itu, karena sirkuit yang gagal pada penyerahan tidak bisa diselamatkan dengan angka bandwidth yang lebih besar. Setelah itu, verifikasi yang dikirim terhadap apa yang Anda tulis.

Terjemahkan kebutuhan, bukan nama produk

IPsec melindungi lalu lintas pada lapisan IP dan menyerahkan pengangkutan kepada sirkuit apa pun yang Anda beli. Arsitektur IPsec menjelaskan bagaimana lalu lintas dilindungi antar rekan; ia tidak mengatakan apa pun tentang jenis penyerahan, laju yang dijanjikan, atau jendela perbaikan. Itu semua sifat kontrak layanan.

Perbedaan itulah seluruh alasan mengapa kebutuhan sirkuit bisa sah dan tetap bukan kebutuhan VPN. Gateway yang hanya punya antarmuka serial memang memerlukan penyerahan serial, dan itu batasan perangkat keras, bukan batasan protokol. Ganti perangkatnya dan batasan itu hilang. Tulis setiap kebutuhan dalam bentuk «gateway memerlukan X karena Y», dan tolak setiap baris yang tidak bisa dilengkapi.

Sebutkan penyerahan sebelum menyebut kecepatan

Penyerahan adalah koneksi fisik dan lapisan tautan pada titik demarkasi: Ethernet tembaga, serat optik dengan transceiver tertentu, antarmuka serial, atau sesuatu yang lebih tua yang hanya ada karena perangkat saat ini memilikinya. Salah di sini mahal dengan cara yang tidak pernah dialami bandwidth, karena biasanya berarti perangkat keras baru di kedua ujung. Optik yang hilang bukan masalah kapasitas dan tidak ada peningkatan yang memperbaikinya.

Pastikan konektor, negosiasi kecepatan, dan siapa yang memasok konverter media atau router. Lalu pastikan di mana tanggung jawab Anda berakhir, karena titik demarkasi menentukan siapa yang boleh menyentuh apa ketika tautan putus pada pukul 03:00. Tulis batas itu ke dalam catatan di samping pengenal sirkuit. Itulah satu-satunya baris yang mengubah panggilan dukungan menjadi percakapan lima menit alih-alih satu jam pengalihan.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Pastikan pengiriman IP, bukan hanya alamatnya

Tanyakan alamat atau prefiks apa yang sebenarnya dikirim layanan, dan apakah statis. Sirkuit yang membagikan alamat dinamis kurang cocok untuk gateway antar situs, karena konfigurasi rekan harus bertahan dari perubahan yang tidak Anda jadwalkan. Pastikan juga panjang prefiks, karena satu alamat dan /29 yang dirutekan adalah produk berbeda.

Lalu tanyakan apakah ada yang menerjemahkan alamat sebelum mencapai Anda. NAT di sisi penyedia atau NAT tingkat operator di depan layanan merusak sesi masuk, sehingga gateway yang mengharapkan menerima IPsec dari situs jarak jauh tidak dapat dijangkau. Kecepatan tidak menebusnya: tautan cepat di balik penerjemah yang tidak Anda kendalikan tetap tidak dapat menerima koneksi masuk pada port yang tidak diteruskan siapa pun.

Catat siapa pemilik router dan DNS. Jika penyedia memasok router, Anda mewarisi firmware-nya, perilaku NAT-nya, dan gagasannya tentang rute default, dan setiap perubahan kemudian melewati tiket. Minta seseorang di luar jaringan Anda mencoba koneksi masuk ke port yang Anda harapkan dapat dijangkau, karena itulah satu-satunya uji yang membuktikan kisah penerjemahan.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Ukur kapasitas dari beban kerja, di kedua arah

Kapasitas harus dijelaskan dalam istilah pekerjaan, bukan dalam istilah angka per pengguna. Akses file massal, administrasi interaktif, dan cadangan semalam masing-masing menghasilkan pola lalu lintas berbeda, dan hanya satu di antaranya peduli pada throughput hulu yang berkelanjutan. Angka bandwidth per kursi adalah kemudahan penjualan, bukan model.

Perkirakan kedua arah, tambahkan overhead enkapsulasi, dan catat apakah lalu lintasnya meledak atau berkelanjutan. Lalu periksa laju yang dijanjikan kontrak alih-alih laju judulnya, karena jatah ledakan yang habis setelah beberapa detik tidak membantu cadangan semalam. Pertahankan batas gateway itu sendiri dalam anggaran yang sama, karena pemrosesan enkripsi dan jumlah sesi bersamaan bisa menjadi penyempitan jauh sebelum sirkuit. Jalur yang lebih cepat tidak memperbaiki gateway yang jenuh.

Tetapkan komitmen operasional

Ketersediaan, respons perbaikan, jalur eskalasi, dan pemberitahuan pemeliharaan harus tertulis, dengan metode pengukuran disebutkan. Laju judul internet tidak menetapkan satu pun sifat itu, dan halaman pemasaran yang menjanjikan keandalan tanpa mendefinisikan gangguan juga tidak. Tanyakan kapan jam mulai berjalan, karena waktu respons yang diukur dari pengakuan penyedia sendiri bukan angka yang sama dengan yang diukur dari peringatan pemantauan Anda. Kedua definisi itu bisa berbeda berjam-jam tanpa ada yang berbohong.

Catat juga batas dukungan. Jika tanggung jawab penyedia berakhir pada penyerahan yang diakhiri router Anda sendiri, jam pertama setiap insiden habis untuk memutuskan siapa pemilik kesalahan, dan tidak ada jam SLA yang menutupinya.

Verifikasi sirkuit terhadap syarat tertulis

Setelah layanan hidup, ukur sifat yang benar-benar Anda kontrakkan, bukan yang ditunjukkan pemasang. Throughput, latensi, dan kehilangan pada jalur nyata adalah buktinya, dan harus dicatat pada waktu dan dari lokasi yang bisa Anda sebutkan. Ulangi pengukuran pada jam sibuk, bukan hanya saat serah terima. Uji penerimaan yang dijalankan pukul 10:00 pada hari sepi hanya sedikit memberi tahu tentang tautan pukul 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Simpan hasilnya bersama kontrak, karena diskusi kinerja tanpa garis dasar hanyalah perdebatan tentang kesan. Jika pengukuran meleset dari komitmen, angkat selagi buktinya masih segar dan layanan masih berada dalam jendela penerimaan yang disediakan kontrak. Host yang disebutkan dalam permintaan juga menjaga jabat tangan TLS tetap valid, sehingga peringatan sertifikat tidak disalahartikan sebagai sirkuit gagal.

Terakhir, baca ulang keempat gerbang itu terhadap apa yang dikirim. Penyerahan, pengiriman IP, kapasitas, dan ketentuan dukungan masing-masing punya baris di catatan, dan setiap baris punya nama di sampingnya.