Una linea dedicata per la VPN? Traduci prima il requisito

La proposta indica una linea dedicata specifica per la VPN dell'ufficio, e la cifra arriva senza spiegazione. Prima di firmare, scomponi la frase nei quattro requisiti che in realtà nasconde: il raccordo fisico, le modalità di fornitura degli indirizzi IP, la capacità in entrambe le direzioni e l'impegno di supporto dietro il circuito. Trattali come cancelli in quest'ordine, perché un circuito che fallisce sul raccordo non si salva con una cifra di banda più alta. Poi verifica ciò che è stato consegnato rispetto a ciò che hai messo per iscritto.

Traduci il requisito, non il nome del prodotto

IPsec protegge il traffico a livello IP e lascia il trasporto al circuito che acquisti. L'architettura IPsec descrive come il traffico è protetto tra i peer; non dice nulla sul tipo di raccordo, sui tassi garantiti o sulle finestre di riparazione. Sono proprietà di un contratto di servizio.

Questa distinzione è l'intera ragione per cui un requisito di circuito può essere legittimo senza essere un requisito di VPN. Un gateway con sola interfaccia seriale ha davvero bisogno di un raccordo seriale, e questo è un vincolo hardware, non di protocollo. Sostituisci l'apparecchio e il vincolo sparisce. Scrivi ogni requisito nella forma «il gateway ha bisogno di X perché Y», e rifiuta ogni riga che non riesci a completare.

Dai un nome al raccordo prima di dare un nome alla velocità

Il raccordo è la connessione fisica e di livello di collegamento al punto di demarcazione: Ethernet in rame, fibra con un ricetrasmettitore specifico, un'interfaccia seriale, o qualcosa di più vecchio che esiste solo perché l'apparecchio attuale ce l'ha. Sbagliarlo costa caro in un modo in cui la banda non costa mai, perché di solito significa hardware nuovo da entrambe le parti. Un ottico mancante non è un problema di capacità e nessun aggiornamento lo risolve.

Conferma il connettore, la negoziazione della velocità e chi fornisce il convertitore di media o il router. Poi conferma dove finisce la tua responsabilità, perché il punto di demarcazione decide chi può toccare cosa quando il collegamento cade alle 03:00. Scrivi quel confine nel registro accanto all'identificativo del circuito. È l'unica riga che trasforma una chiamata al supporto in una conversazione di cinque minuti invece di un'ora di passaggio.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Conferma la fornitura degli IP, non solo l'indirizzo

Chiedi quale indirizzo o prefisso il servizio fornisca davvero, e se sia statico. Un circuito che assegna un indirizzo dinamico si adatta male a un gateway site-to-site, perché la configurazione del peer deve sopravvivere a un cambiamento che non hai pianificato. Conferma anche la lunghezza del prefisso, dato che un solo indirizzo e un /29 instradato sono prodotti diversi.

Poi chiedi se qualcosa traduca l'indirizzo prima che arrivi a te. Un NAT lato provider o un NAT carrier-grade davanti al servizio rompe le sessioni in ingresso, quindi un gateway che si aspetta di accettare IPsec dai siti remoti non è raggiungibile. La velocità non compensa: un collegamento veloce dietro un traduttore che non controlli non può comunque accettare una connessione in ingresso su una porta che nessuno inoltra.

Registra chi possiede il router e il DNS. Se il router lo fornisce il provider, erediti il suo firmware, il suo comportamento NAT e la sua idea di rotta predefinita, e ogni modifica successiva passa da un ticket. Fai tentare a qualcuno fuori dalla tua rete una connessione in ingresso alla porta che ritieni raggiungibile, perché è l'unico test che dimostra la storia della traduzione.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimensiona la capacità dal carico di lavoro, in entrambe le direzioni

La capacità va descritta in termini di lavoro, non in termini di un numero per utente. Accesso massivo ai file, amministrazione interattiva e un backup notturno producono ciascuno un profilo di traffico diverso, e solo uno di loro si preoccupa del throughput in upload sostenuto. Una cifra di banda per postazione è una comodità commerciale, non un modello.

Stima entrambe le direzioni, aggiungi l'overhead di incapsulamento e annota se il traffico è a raffica o sostenuto. Poi controlla il tasso garantito del contratto invece del tasso di copertina, perché una tolleranza di raffica che scade dopo pochi secondi non aiuta un backup notturno. Tieni i limiti del gateway nello stesso budget, dato che l'elaborazione della crittografia e il numero di sessioni concorrenti possono saturare molto prima del circuito. Una linea più veloce non risolve un gateway saturo.

Fissa gli impegni operativi

Disponibilità, tempo di riparazione, percorso di escalation e notifica di manutenzione devono essere messi per iscritto, con il metodo di misura nominato. Un tasso internet di copertina non stabilisce nessuna di queste proprietà, e nemmeno una pagina marketing che promette affidabilità senza definire un disservizio. Chiedi quando parte il cronometro, perché un tempo di risposta misurato dall'accettazione del provider non è lo stesso numero di uno misurato dal tuo allarme di monitoraggio. Queste due definizioni possono differire di ore senza che nessuno menta.

Registra anche il confine del supporto. Se la responsabilità del provider finisce a un raccordo che termina il tuo router, la prima ora di ogni incidente serve a decidere a chi appartiene il guasto, e nessun cronometro SLA la copre.

Verifica il circuito rispetto ai termini scritti

Una volta che il servizio è attivo, misura le proprietà che hai davvero contrattato invece di quelle che l'installatore ha dimostrato. Throughput, latenza e perdita sul percorso reale sono la prova, e vanno rilevati in un momento e da una posizione che sai nominare. Ripeti la misura in un'ora di punta, non solo alla consegna. Un test di accettazione eseguito alle 10:00 in una giornata tranquilla dice molto poco del collegamento alle 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Conserva i risultati insieme al contratto, perché una discussione sulle prestazioni senza una baseline è una discussione di impressioni. Se una misura non raggiunge l'impegno, sollevala mentre le prove sono fresche e mentre il servizio è ancora dentro la finestra di accettazione prevista dal contratto. Un host nominato nella richiesta mantiene anche valido l'handshake TLS, così un avviso di certificato non viene scambiato per un circuito guasto.

Infine, rileggi i quattro cancelli rispetto a ciò che è stato consegnato. Il raccordo, la fornitura degli IP, la capacità e i termini di supporto hanno ciascuno una riga nel registro, e ogni riga ha un nome accanto.