Басқарылатын VPN-іңіздің интернет шығуы шынымен қайдан шығады
«Интернет қосылған» деген сөз жалпыға ортақ трафиктің қайдан шығатынын, оны кім сүзетінін немесе ақаудан кейін не қалатынын айтпайды. Жолды бақылап шығып, содан кейін екі ақау сценарийін жазыңыз.
Ұсыныс сол трафиктің провайдер желісінен қайдан шығатынын көрсетпейінше, сіз филиалдың жалпыға ортақ трафигін кім сүзетінін айта алмайсыз. Басқарылатын VPN-ге қосылған интернет қолжетімділігі — екінші қызмет, ол өз шлюздері, өз мекенжай аудармасы және өз эскалация кезегі бар жолмен жүреді. Көптеген шарттар жеке жағын егжей-тегжейлі сипаттап, жалпыға ортақ жағын бір сөйлемге қалдырады. Төмендегі тексерулер сол сөйлемді қорғай алатын схемаға айналдырады.
Әр алаң үшін бір жалпыға ортақ межелі орынды бақылаңыз
Филиалдың бір хостын таңдап, бір жалпыға ортақ межелі орынды бақылаңыз, провайдерге тиесілі соңғы мекенжайды және интернетке тиесілі бірінші мекенжайды белгілеңіз. Осы екі мекенжай арасындағы секіріс — шығу жолы, және ол пакет жіберген алаңнан әдетте алыс орналасады. Өтуді жасайтын құрылғыны белгілеңіз, өйткені сыртқа не шығатынын шешетін сүзгі дәл сол құрылғыда. Бақылауды екінші алаңнан қайталап, шығу мекенжайларын салыстырыңыз, өйткені шот-фактурада бірдей көрінетін екі филиал әр қаладағы әр түрлі шлюздер арқылы шығуы мүмкін.
Межелі орын шынымен көретін бастапқы мекенжайды да белгілеңіз, өйткені аударма сіз ешқашан сызбаған секірісте болуы мүмкін. Байқалған жауаптарды сызылған жауаптардың қасына жазыңыз, ал олардың арасындағы алшақтық — бірінші оқиға келетін жер. Белгілі бір алаң үшін шығу мекенжайын бере алмайтын провайдер инженері сізге дизайн туралы пайдалы нәрсе айтып қойды.
Шығудың үш түрі және әрқайсысы нені шоғырландырады
Өзіңіз басқаратын орталық шығу жалпыға ортақ трафикті өз шлюзіңізге тартады, бұл сізге сүзу саясаты мен журналдарды береді, бірақ барлық алаңның жүктемесін бір желіге шоғырландырады. Провайдер басқаратын шығу саясат пен журналдарды шарт шекарасынан әріге жылжытады, бұл пайдалануды жеңілдетеді және сол қозғалыспен көріну мүмкіндігіңізді алады. Әр алаңдағы шығу жалпыға ортақ трафикті жергілікті ұстайды және бірдей болып қалуы тиіс саясат беттерінің санын көбейтеді.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Тізімді мәзір ретінде қарастырмас бұрын провайдер үшеуінің қайсысын шынымен ұсынатынын сұраңыз және алаң жаңа желісіз олардың арасында ауыса ала ма, соны сұраңыз. Көші-қон туралы жауап шарттық нәрсені таза техникалықтан ажыратады. Бастапқы мекенжай аудармасы кімге тиесілі екенін де жазыңыз, өйткені бұл серіктестің рұқсат тізіміне нені қосу керегін шешеді. Ортақ шлюздер ортақ сыйымдылықты және кейде ортақ беделді білдіреді, бұл серіктестердің мекенжайларыңызға қалай қарайтынын өзгертеді. Сыйымдылық та өз сұрағын қажет етеді, өйткені ортақ шлюз сол сәтте басқа клиенттерге қызмет көрсетеді.
Сүзу, аударма және шифрлаудың иелері бөлек
Маршрут қолжетімділікті орнатады және тексеру туралы ештеңе айтпайды, сондықтан екеуін де иелері бөлек екі түрлі сұрақ ретінде қарастырыңыз. Әр жарияланған әдепкі маршрут үшін сүзетін құрылғыны, аутентификациялайтын құрылғыны, аударатын құрылғыны және тексеретін құрылғыны атаңыз, содан кейін әрқайсысын кім басқаратынын айтыңыз. Провайдердің маршруттарды бөлуі шифрлау қайда аяқталатынын көрсетпейді, жеке қызмет өз туннелін бір шекарада аяқтауы мүмкін, ал жалпыға ортақ шығу басқа шекарада аяқталады. Аударма провайдердің шетінде, ортақ шлюзде немесе өз шығуыңызда бола ма, сондай-ақ сессия журналдары бар ма және қанша уақыт сақталады, соны сұраңыз. Жауаптардағы иелерді санаңыз, өйткені төрт жұмыс үшін бір тарапты атайтын шарт әдетте олардың үшеуін құжатсыз қалдырады.
Кең әдепкі маршрут жеке маршруттау контекстіне импортталған дәл сол тексеруге лайық, өйткені импорт — зиянсыз қолайлылық емес, әдейі жасалған келісім. RFC 4364 құжатының 11-бөлімі BGP/MPLS VPN-тері үшін интернетке қолжетімділіктің бірнеше түрін қарастырады және VPN контекстімен провайдердің әдепкі жіберу контексті арасындағы маршрут алмасуды дәл осындай келісім ретінде қарастырады. Жалпыға ортақ трафикке абайламай жеке жолға түсуге не кедергі болатынын сұраңыз және жауапты слайдтан емес, маршрут саясатының қасынан алыңыз.
Қол қою алдында келісу керек екі ақау жағдайы
Шартқа екі тест жазыңыз: интернет шығуын жоғалту және бір жеке қосылымды жоғалту. Әрқайсысы үшін жұмысын жалғастыруы тиіс ішкі ресурстарды, жергілікті интернет қызметтерін және басқару жолдарын тізімдеңіз. Содан кейін бұғатталған күйде қалуы тиіс қосалқы жолды тізімдеңіз, өйткені орталық бақылауларды айналып өтетін жол таза үзілістен де нашар. Екі тестті де провайдерге беріңіз және олардың күтілетін нәтижесін жазбаша сұраңыз, оның ішінде анықтау және хабарлау.
Сол тексерулерді сынақ алаңынан жүргізіп, оларды сол жазбаша жауаппен салыстырыңыз. Екеуі сәйкес келмейтін жерде шарт сіз сатып алған желіден басқа желіні сипаттайды. Екі команда жиі кездесетін жағдайларды қамтиды: бірі жалпыға ортақ межелі орын жүретін жолды, екіншісі оның көретін мекенжайын көрсетеді.
traceroute -n 203.0.113.10
curl -s https://example.net/ipҚолжетімділік міндеттемелерін қызмет атауына емес, сіз өлшеген сегментке байланыстырыңыз. Жергілікті желі, провайдердің магистралі және ортақ шлюз бөлек міндеттемелер мен бөлек эскалация топтарын алып жүреді. L2VPN, L3VPN және MPLS әріптері жіберу механизмін сипаттайды, ұшынан ұшына кепілдік емес.
Дәлелдер ұсыныстағы сын есімдерден басым
Артық, қауіпсіз және төзімді сияқты сөздер дизайнды емес, ниетті сипаттайды. Оның орнына құрылғылар тізімін, шығу орындарын, аударма схемасын және хабарлау жолын сұраңыз. Осы төрт дүниені бере алатын провайдердің дизайны бар; бере алмайтынның слайды бар. Жауаптарды электрондық пошта тізбегінде емес, қызмет құжаттамасында ұстаңыз және әр шарт өзгерісінде қарап шығыңыз.
Провайдерлер шлюздерді біріктірген сайын шығу түрлері үнсіз жылжиды, сондықтан үш жыл бұрынғы схема — ауыртпалық. Серіктес бейтаныс бастапқы мекенжай туралы хабарлағанда, ол сіздің дизайныңыздан ба, әлде ешкім жарияламаған өзгерістен бе, соны бірнеше минут ішінде айта алуыңыз керек. Сын есімдер емес, дәл осы қабілет бірінші үзілістен кейін қалады.