Башкарылуучу VPN'иңиздин интернет чыгуусу чындыгында кайдан чыгат
«Интернет кошулган» деген сөз коомдук трафиктин кайдан чыгарын, аны ким фильтрлей турганын же бузулуудан кийин эмне каларын айтпайт. Жолду байкап чыгып, анан эки бузулуу учурун жазыңыз.
Сунуш ошол трафиктин провайдердин тармагынан кайдан чыгарын көрсөтмөйүнчө, сиз филиалдын коомдук трафигин ким фильтрлей турганын айта албайсыз. Башкарылуучу VPN'ге кошулган интернет жеткиликтүүлүк экинчи кызмат болуп, өз дарбазалары, өз дарек котормосу жана өз эскалация кезеги бар жол менен жүрөт. Көпчүлүк келишимдер жеке тарабын кеңири сүрөттөп, коомдук тарабын бир сүйлөмгө калтырат. Төмөнкү текшерүүлөр ошол сүйлөмдү коргой алган схемага айландырат.
Ар бир жай үчүн бир коомдук багытты байкаңыз
Филиалдын бир хостуна тандап, бир коомдук багытты байкаңыз, провайдерге таандык акыркы даректи жана интернетке таандык биринчи даректи белгилеңиз. Ошол эки даректин ортосундагы секирик — чыгуу жолу, жана ал пакетти жиберген жайдан алыс жайгашкан. Өтүүнү аткарган түзмөнү белгилеңиз, анткени сыртка эмне чыгарын чечкен фильтр ошол эле түзмөктө. Байкоону экинчи жайдан кайталап, чыгуу даректерин салыштырыңыз, анткени эсепте бирдей көрүнгөн эки филиал ар башка шаарлардын ар башка дарбазалары аркылуу чыгышы мүмкүн.
Багыт чындыгында көргөн булак дарегин да белгилеңиз, анткени котормо сиз эч качан тартпаган секирикте болушу мүмкүн. Байкалган жоопторду тартылган жооптордун жанына жазыңыз, ал эми алардын ортосундагы ажырым — биринчи окуя келе турган жер. Белгиленген жай үчүн чыгуу дарегин бере албаган провайдердин инженери сизге долбоор жөнүндө пайдалуу нерсе айтып койгон.
Чыгуунун үч түзүлүшү жана ар бири эмнени борборлоштурат
Өзүңүз башкарган борбордук чыгуу коомдук трафикти өз дарбазаңызга тартат, бул сизге фильтрлөө саясатын жана журналдарды берет, бирок бардык жайлардын жүгүн бир линияга борборлоштурат. Провайдер башкарган чыгуу саясатты жана журналдарды келишим чегинен ары жылдырат, бул иштетүүнү жөнөкөйлөтөт жана ошол эле кыймылда көрүнүү мүмкүнчүлүгүңүздү алат. Ар бир жайдагы чыгуу коомдук трафикти жергиликтүү кармап, бирдей бойдон калышы керек болгон саясат бетинин санын көбөйтөт.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Тизмени меню катары кароодон мурун провайдер үчөөнүн кайсынысын чындыгында сунуштаарын сураңыз, жана жай жаңы линиясыз алардын ортосунда өтө алабы, ошону сураңыз. Көчүү жөнүндөгү жооп келишимдикти таза техникалыктан ажыратат. Булак котормосу кимге таандык экенин да жазыңыз, анткени өнөктөш уруксат тизмесине эмне кошуусун ошол чечет. Жалпы дарбазалар жалпы сыйымдуулукту жана кээде жалпы репутацияны билдирет, бул өнөктөштөрдүн сиздин даректерге кандай мамиле кыларын өзгөртөт. Сыйымдуулук да өз суроосун талап кылат, анткени жалпы дарбаза ошол эле учурда башка кардарларга кызмат көрсөтүп жатат.
Фильтрлөө, котормо жана шифрлөөнүн ээлери өзүнчө
Маршрут жеткиликти орнотот жана текшерүү жөнүндө эч нерсе айтпайт, ошондуктан экөөнү ээлери башка эки бөлөк суроо катары караңыз. Ар бир жарыяланган демейки маршрут үчүн фильтрлөөчү түзмөнү, аутентификациялоочу түзмөнү, которуучу түзмөнү жана текшерүүчү түзмөнү атаңыз, анан ар бирин ким башкарарын айтыңыз. Провайдердин маршруттарды бөлүшү шифрлөө кайда бүтөрүн көрсөтпөйт, жеке кызмат өз туннелин бир чекте бүтүрүшү мүмкүн, ал эми коомдук чыгуу башка чекте бүтөт. Котормо провайдердин четинде, жалпы дарбазада же өз чыгууңузда болобу, ошондой эле сессия журналдары барбы жана канча убакыт сакталат, ошону сураңыз. Жооптордогу ээлерди санаңыз, анткени төрт иш үчүн бир тарапты атаган келишим адатта алардын үчөөнү документсиз калтырат.
Кенен демейки маршрут жеке маршруттоо контекстине импорттолгон ошол эле текшерүүгө татыктуу, анткени импорт — зыянсыз оңойлук эмес, атайын түзүлгөн макулдашуу. RFC 4364'түн 11-бөлүмү BGP/MPLS VPN'лери үчүн интернетке жеткиликтин бир нече түзүлүшүн карап чыгат жана VPN контексти менен провайдердин демейки жиберүү контекстинин ортосундагы маршрут алмашууну так ушундай макулдашуу катары карайт. Коомдук трафиктин байкабастан жеке жолго түшүшүнө эмне тоскоол болорун сураңыз, жана жоопту слайддан эмес, маршрут саясатынын жанынан алыңыз.
Кол коюудан мурун макулдашуу керек эки бузулуу учуру
Келишимге эки тест жазыңыз: интернет чыгуусун жоготуу жана бир жеке туташууну жоготуу. Ар бири үчүн иштөөсүн улантышы керек болгон ички ресурстарды, жергиликтүү интернет кызматтарын жана башкаруу жолдорун тизмелеңиз. Анан бөгөттөлгөн бойдон калышы керек болгон камдык жолду тизмелеңиз, анткени борбордук көзөмөлдөрдү айланып өткөн жол таза үзгүлтүктөн жаман. Эки тестти тең провайдерге бериңиз жана алардын күтүлгөн жыйынтыгын жазуу түрүндө сураңыз, анын ичинде аныктоо жана билдирүү.
Ошол эле текшерүүлөрдү сыноо жайынан жүргүзүп, аларды ошол жазуу жүзүндөгү жооп менен салыштырыңыз. Экөө дал келбеген жерде келишим сиз сатып алган тармактан башка тармакты сүрөттөйт. Эки буйрук көп кездешкен учурларды камтыйт: бири коомдук багыт жүргөн жолду, экинчиси анын көргөн дарегин көрсөтөт.
traceroute -n 203.0.113.10
curl -s https://example.net/ipЖеткиликтүүлүк милдеттенмелерин кызматтын атына эмес, сиз өлчөгөн сегментке байлаңыз. Жергиликтүү линия, провайдердин магистрали жана жалпы дарбаза өзүнчө милдеттенмелерди жана өзүнчө эскалация топторун алып жүрөт. L2VPN, L3VPN жана MPLS тамгалары жиберүү механизмин сүрөттөйт, учтан учка кепилдик эмес.
Далилдер сунуштагы сын атоочтордон басымдуу
Ашыкча, коопсуз жана туруктуу сыяктуу сөздөр долбоорду эмес, ниетти сүрөттөйт. Анын ордуна түзмөктөрдүн тизмесин, чыгуу жайларын, котормо схемасын жана билдирүү жолун сураңыз. Ошол төрт нерсени бере алган провайдердин долбоору бар; бере албаганынын слайды бар. Жоопторду электрондук почта тизмегинде эмес, кызмат документтеринде сактаңыз жана ар бир келишим өзгөрүүсүндө кайра карап чыгыңыз.
Провайдерлер дарбазаларды бириктирген сайын чыгуу түзүлүштөрү унчукпай жылат, ошондуктан үч жыл мурунку схема — жүк. Өнөктөш белгисиз булак дареги жөнүндө билдиргенде, ал сиздин долбоордонбу же эч ким жарыялабаган өзгөрүүдөнбү, муну бир нече мүнөттүн ичинде айта алшыңыз керек. Сын атоочтор эмес, дал ушул жөндөм биринчи үзгүлтүктөн кийин калат.