სად გადის სინამდვილეში თქვენი მართული VPN-ის ინტერნეტ გასასვლელი
«ინტერნეტი შედის» არაფერს ამბობს იმაზე, საიდან გადის საჯარო ტრაფიკი, ვინ ფილტრავს მას ან რა რჩება წარუმატებლობის შემდეგ. მიჰყევით გზას და შემდეგ ჩაწერეთ ორივე წარუმატებლობის შემთხვევა.
თქვენ არ შეგიძლიათ თქვათ, ვინ ფილტრავს ფილიალის საჯარო ტრაფიკს, სანამ წინადადება არ აჩვენებს, საიდან ტოვებს ეს ტრაფიკი პროვაიდერის ქსელს. მართულ VPN-ში ჩართული ინტერნეტ წვდომა მეორე სერვისია, რომელიც მიდის გზაზე საკუთარი კარიბჭეებით, საკუთარი მისამართის თარგმანითა და საკუთარი ესკალაციის რიგით. კონტრაქტების უმეტესობა დეტალურად აღწერს კერძო მხარეს და საჯარო მხარეს ერთ წინადადებას უტოვებს. ქვემოთ მოცემული შემოწმებები ამ წინადადებას აქცევს სქემად, რომლის დაცვაც შეგიძლიათ.
მიჰყევით ერთ საჯარო დანიშნულებას თითო ადგილზე
აირჩიეთ ფილიალის ჰოსტი და მიჰყევით ერთ საჯარო დანიშნულებას, აღნიშნეთ ბოლო მისამართი, რომელიც პროვაიდერს ეკუთვნის, და პირველი, რომელიც ინტერნეტს ეკუთვნის. ამ ორ მისამართს შორის ნახტომი არის გასასვლელი და ის ხშირად არსად არის იმ ადგილის ახლოს, რომელმაც პაკეტი გაგზავნა. მონიშნეთ მოწყობილობა, რომელიც ამ გადასვლას ახორციელებს, რადგან სწორედ ამ მოწყობილობაშია ის ფილტრი, რომელიც წყვეტს, რა გავა გარეთ. გაიმეორეთ მიკვლევა მეორე ადგილიდან და შეადარეთ გასასვლელი მისამართები, რადგან ინვოისზე ერთნაირად დანახული ორი ფილიალი შეიძლება სხვადასხვა ქალაქის სხვადასხვა კარიბჭიდან გავიდეს.
აღნიშნეთ აგრეთვე წყაროს მისამართი, რომელსაც დანიშნულება რეალურად ხედავს, რადგან თარგმანი შეიძლება მოხდეს ნახტომზე, რომელიც არასდროს დაგიხატავთ. ჩაწერეთ დაკვირვებული პასუხები დახატული პასუხების გვერდით, და მათ შორის სხვაობა არის ის ადგილი, საიდანაც პირველი ინციდენტი მოვა. პროვაიდერის ინჟინერი, რომელიც ვერ აძლევს მოცემული ადგილის გასასვლელ მისამართს, უკვე გითხრათ რაღაც სასარგებლო დიზაინის შესახებ.
გასასვლელის სამი მოწყობა და რას აკონცენტრირებს თითოეული
თქვენივე მართული ცენტრალური გასასვლელი საჯარო ტრაფიკს საკუთარ კარიბჭეზე იზიდავს, რაც გაძლევთ ფილტრაციის პოლიტიკასა და ჟურნალებს, მაგრამ ყველა ადგილის დატვირთვას ერთ წრედზე აკონცენტრირებს. პროვაიდერის მიერ მართული გასასვლელი პოლიტიკასა და ჟურნალებს კონტრაქტის საზღვარს იქით გადააქვს, რაც ოპერაციებს ამარტივებს და იმავე მოძრაობით გაკარგავთ ხილვადობას. თითოეულ ადგილზე გასასვლელი საჯარო ტრაფიკს ლოკალურად ინარჩუნებს და ამრავლებს იმ პოლიტიკის ზედაპირების რაოდენობას, რომლებიც იდენტური უნდა დარჩეს.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
იკითხეთ, სამიდან რომელს სთავაზობს პროვაიდერი რეალურად, სანამ სიას მენიუდ განიხილავთ, და იკითხეთ, შეუძლია თუ არა ადგილს მათ შორის გადასვლა ახალი წრედის გარეშე. მიგრაციის პასუხი გამოყოფს სახელშეკრულებოს წმინდა ტექნიკურისგან. აღნიშნეთ აგრეთვე, ვის ეკუთვნის წყაროს თარგმანი, რადგან ეს წყვეტს, რა უნდა ჩასვას პარტნიორმა ნებადართულთა სიაში. გაზიარებული კარიბჭეები ნიშნავს გაზიარებულ სიმძლავრეს და ზოგჯერ გაზიარებულ რეპუტაციასაც, რაც ცვლის, როგორ ექცევიან პარტნიორები თქვენს მისამართებს. სიმძლავრე საკუთარ კითხვას იმსახურებს, რადგან გაზიარებული კარიბჭე იმავე წუთას სხვა კლიენტებს ემსახურება.
ფილტრაციას, თარგმანსა და დაშიფვრას ცალკე მფლობელები ჰყავთ
მარშრუტი ამყარებს მიღწევადობას და არაფერს ამბობს შემოწმებაზე, ამიტომ ორივეს მიუდექით როგორც სხვადასხვა მფლობელის მქონე სხვადასხვა კითხვას. ყოველი გამოცხადებული ნაგულისხმევი მარშრუტისთვის დაასახელეთ მოწყობილობა, რომელიც ფილტრავს, მოწყობილობა, რომელიც ავთენტიფიკაციას აკეთებს, მოწყობილობა, რომელიც თარგმნის, და მოწყობილობა, რომელიც ამოწმებს, შემდეგ კი დაასახელეთ, ვინ მართავს თითოეულს. პროვაიდერის მარშრუტების გამოყოფა არ ამბობს, სად მთავრდება დაშიფვრა, და კერძო სერვისს შეუძლია თავისი გვირაბი ერთ საზღვარზე დაასრულოს, მაშინ როცა საჯარო გასასვლელი მეორეზე მთავრდება. იკითხეთ, ხდება თუ არა თარგმანი პროვაიდერის კიდეზე, გაზიარებულ კარიბჭეზე თუ თქვენსავე გასასვლელზე, და არსებობს თუ არა სესიის ჟურნალები და რამდენ ხანს. დათვალეთ მფლობელები პასუხებში, რადგან ოთხი საქმისთვის ერთ მხარეს რომ ასახელებს, კონტრაქტი ჩვეულებრივ სამ მათგანს უდოკუმენტოდ ტოვებს.
ფართო ნაგულისხმევი მარშრუტი კერძო მარშრუტიზაციის კონტექსტში იმპორტირებული იმავე შემოწმებას იმსახურებს, რადგან იმპორტი განზრახ შეთანხმებაა და არა უვნებელი მოხერხებულობა. RFC 4364-ის მე-11 ნაწილი გადის BGP/MPLS VPN-ებისთვის ინტერნეტ წვდომის რამდენიმე მოწყობას და VPN კონტექსტსა და პროვაიდერის ნაგულისხმევ გადაგზავნის კონტექსტს შორის მარშრუტების გაცვლას სწორედ ასეთ შეთანხმებად განიხილავს. იკითხეთ, რა უშლის ხელს საჯარო ტრაფიკს შემთხვევით კერძო გზაზე გადასვლაში, და პასუხი მიიღეთ მარშრუტების პოლიტიკის გვერდით და არა სლაიდზე.
ორი წარუმატებლობის შემთხვევა, რომლებზეც ხელმოწერამდე უნდა შევთანხმდეთ
კონტრაქტში ჩაწერეთ ორი ტესტი: ინტერნეტ გასასვლელის დაკარგვა და ერთი კერძო მიერთების დაკარგვა. თითოეულისთვის ჩამოთვალეთ შიდა რესურსები, ლოკალური ინტერნეტ სერვისები და მართვის გზები, რომლებიც მუშაობას უნდა განაგრძობდეს. შემდეგ ჩამოთვალეთ სარეზერვო გზა, რომელიც დაბლოკილი უნდა დარჩეს, რადგან ცენტრალური კონტროლების გვერდის ავლით მიმავალი გზა უარესია სუფთა შეწყვეტაზე. ორივე ტესტი გადაეცით პროვაიდერს და მოითხოვეთ მათი მოსალოდნელი შედეგი წერილობით, მათ შორის აღმოჩენა და შეტყობინება.
გაუშვით იგივე შემოწმებები საცდელი ადგილიდან და შეადარეთ ისინი ამ წერილობით პასუხს. სადაც ეს ორი არ ემთხვევა, კონტრაქტი აღწერს სხვა ქსელს, ვიდრე ის, რომელიც თქვენ იყიდეთ. ორი ბრძანება ფარავს ჩვეულებრივ შემთხვევებს: ერთი აჩვენებს გზას, რომელსაც საჯარო დანიშნულება გადის, მეორე კი მისამართს, რომელსაც ის ხედავს.
traceroute -n 203.0.113.10
curl -s https://example.net/ipხელმისაწვდომობის ვალდებულებები დაუკავშირეთ თქვენს გაზომილ სეგმენტს და არა სერვისის სახელს. ლოკალური ხაზი, პროვაიდერის ხერხემალი და გაზიარებული კარიბჭე ცალკე ვალდებულებებსა და ცალკე ესკალაციის გუნდებს ატარებს. ასოები L2VPN, L3VPN და MPLS აღწერენ გადაგზავნის მექანიზმს და არა გარანტიას კიდიდან კიდემდე.
მტკიცებულება სჯობს წინადადების ზედსართავებს
სიტყვები როგორიცაა ზედმეტი, უსაფრთხო და გამძლე აღწერენ განზრახვას და არა დიზაინს. ამის ნაცვლად მოითხოვეთ მოწყობილობების სია, გასასვლელების ადგილები, თარგმანის სქემა და შეტყობინების გზა. პროვაიდერს, რომელსაც ეს ოთხი რამ შეუძლია მოგაწოდოს, დიზაინი აქვს; ვისაც არ შეუძლია, სლაიდი აქვს. პასუხები შეინახეთ სერვისის დოკუმენტაციაში და არა ელფოსტის ჯაჭვში, და გადახედეთ მათ კონტრაქტის ყოველ ცვლილებაზე.
გასასვლელის მოწყობები ჩუმად იძვრება, როცა პროვაიდერები კარიბჭეებს აერთიანებენ, ამიტომ სამი წლის წინანდელი სქემა ტვირთია. როცა პარტნიორი უცნობ წყაროს მისამართს იუწყება, რამდენიმე წუთში უნდა შეძლოთ თქვათ, თქვენი დიზაინიდან მოვიდა ის თუ ისეთი ცვლილებიდან, რომელიც არავის გამოუცხადებია. სწორედ ეს უნარი, და არა ზედსართავები, გადაურჩება პირველ შეწყვეტას.