Wou den Internetausgang vun Ärer verwalteter VPN wierklech erausgeet
«Internet abegraff» seet näischt doriwwer, wou de ëffentlechen Trafik erausgeet, wien en filtert oder wat en Ausfall iwwerlieft. Verfollegt de Wee an schreift duerno béid Ausfallszenarië op.
Dir kënnt net soen, wie den ëffentlechen Trafik vun enger Filial filtert, bis den Projet weist, wou dësen Trafik d'Netzwierk vum Provider verléisst. Den Internetzougang, deen an enger verwalteter VPN abegraff ass, ass en zweete Service, deen op engem Wee mat eegenen Gateways, eegener Adressiwwersetzung an eegener Eskalatiounsschlaang leeft. Déi meescht Kontrakter beschreiwen déi privat Säit detailléiert an iwwerloossen déi ëffentlech Säit engem eenzegen Saz. Déi ënnescht Kontrollen maachen aus deem Saz eng Zeechnung, déi Dir verdeedegen kënnt.
Verfollegt ee ëffentlecht Zil pro Standuert
Wielt en Host an enger Filial a verfollegt en ëffentlecht Zil, notéiert déi lescht Adress, déi zum Provider gehéiert, an déi éischt, déi zum Internet gehéiert. De Sprong tëschent dësen zwou Adressen ass den Ausgang, an en ass dacks wäit ewech vun der Standuert, déi de Pak geschéckt huet. Markéiert den Apparat, deen den Iwwergang mécht, well genau deen Apparat huet de Filter, deen entscheet, wat erausgeet. Widderhëlt d'Verfollegung vun enger zweeter Standuert a vergläicht d'Ausgängsadressen, well zwou Filialen, déi op der Rechnung gläich ausgesinn, duerch verschidde Gateways a verschiddene Stied erausgoe kënnen.
Notéiert och d'Quelladress, déi d'Zil tatsächlech gesäit, well d'Iwwersetzung op engem Sprong ka geschéien, deen Dir ni gezeechent hutt. Schreift déi observéiert Äntwerten nieft déi gezeechent, an den Ecart tëschent hinnen ass d'Plaz, vun där den éischten Tëschefall kënnt. En Ingenieur vum Provider, deen d'Ausgängsadress fir eng bestëmmte Standuert net ka ginn, huet Iech schonn eppes Nëtzlech iwwer den Design gesot.
Dräi Ausgangsarrangementer a wat jiddwerengem konzentréiert
En zentralen Ausgang, deen Dir selwer bedreift, zitt den ëffentlechen Trafik op en eegene Gateway, wat Iech d'Filterpolitik an d'Logbicher gëtt, awer d'Belaaschtung vun alle Standuerte op engem Circuit konzentréiert. En Ausgang, deen de Provider bedreift, verlagert Politik a Logbicher iwwer d'Kontraktgrenz, wat den Betrib vereinfacht an Iech an der selwechter Beweegung d'Sichtbarkeet hëlt. En Ausgang op all Standuert hält den ëffentlechen Trafik lokal a multiplizéiert d'Zuel vun de Politikflächen, déi identesch musse bleiwen.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Frot, wéi eng vun den dräi de Provider tatsächlech ubitt, ier Dir d'Lëscht als Menü behandelt, a frot, ob eng Standuert ouni neien Circuit tëschent hinne wiessele kann. D'Äntwert op d'Migratioun trennt dat Kontraktuellt vum reng Techneschen. Notéiert och, wien d'Quelliwwersetzung besëtzt, well dat entscheet, wat e Partner op d'Erlaabneslëscht muss setzen. Gedeelt Gateways bedeiten och gedeelte Kapazitéit a mat Ëmständen gedeelte Ruff, wat ännert, wéi Partner Är Adressen behandelen. D'Kapazitéit verdéngt hir eege Fro, well e gedeelte Gateway am selwechten Ament aner Clienten zerwéiert.
Filteren, Iwwersetzung a Verschlësselung hunn getrennt Besëtzer
Eng Route baut Erreechbarkeet op a seet näischt iwwer d'Inspektioun, also behandelt déi zwee als verschidde Froen mat verschiddene Besëtzer. Fir all annoncéiert Standardroute nennt den Apparat, dee filtert, den Apparat, deen authentifizéiert, den Apparat, deen iwwersetzt, an den Apparat, dee kontrolléiert, an dann nennt, wien all eenzel administréiert. D'Routentrennung vum Provider seet net, wou d'Verschlësselung op en Enn kënnt, an e private Service kann säin Tunnel op enger Grenz ophalen, während den ëffentlechen Ausgang op enger anerer ophält. Frot, ob d'Iwwersetzung um Rand vum Provider, op engem gedeelte Gateway oder op Ärem eegenen Ausgang geschitt, an ob et Sessiounslogbicher gëtt a wéi laang. Zielt d'Besëtzer an den Äntwerten, well e Kontrakt, deen eng Partei fir véier Aufgabe nennt, meeschtens dräi dovun ondocumentéiert léisst.
Eng breet Standardroute an de private Routing-Kontext importéiert verdéngt déiselwecht Iwwerpréiwung, well en Import eng bewosst Ofmachung ass an net eng harmlos Bequemlechkeet. Den Artikel 11 vun RFC 4364 geet verschidden Internetzougangsarrangementer fir BGP/MPLS-VPNen duerch a behandelt den Routenaustausch tëschent dem VPN-Kontext an dem Standardweiterleitungskontext vum Provider genee als sou eng Ofmachung. Frot, wat verhënnert, datt den ëffentlechen Trafik aus Versehen e private Wee hëlt, a kritt d'Äntwert nieft der Routepolitik an net an enger Dia.
Zwee Ausfallszenarië mat deenen een sech virum Ënnerschreiwen eens muss ginn
Schreift zwee Tester an de Kontrakt: den Internetausgang verléieren an eng privat Uschloss verléieren. Fir jiddwerengem, lëscht déi intern Ressourcen, déi lokal Internetservicer an déi Verwaltungsweeër op, déi musse weider funktionéieren. Lëscht duerno de Reservewee op, deen nieft blockéiert musse bleiwen, well e Wee ëm déi zentral Kontrollen ass schlëmmer wéi eng propper Ënnerbriechung. Gitt béid Tester dem Provider a frot no hirem erwaarten Resultat schrëftlech, inklusiv Erfaassung a Benoriichtegung.
Fuert déiselwecht Kontrollen vun enger Pilletsstanduert aus a vergläicht se mat där schrëftlecher Äntwert. Wou déi zwee net iwwerenee stëmmen, beschreift de Kontrakt en anert Netzwierk wéi dat, wat Dir kaaft hutt. Zwee Kommandoen decken déi heefeg Fäll of: een weist de Wee, den en ëffentlecht Zil hëlt, deen aneren d'Adress, déi en gesäit.
traceroute -n 203.0.113.10
curl -s https://example.net/ipBind d'Disponibilitéitsoflech un de Segment, deen Dir gemooss hutt, an net un den Numm vum Service. Eng lokal Linn, e Backbone vum Provider an e gedeelte Gateway droen getrennt Obligatiounen a getrennt Eskalatiounsteams. D'Buschtawen L2VPN, L3VPN a MPLS beschreiwen e Weiterleitungsmechanismus, net eng Garantie vum Enn bis zum Enn.
Beweiser schloen d'Adjektiven aus dem Projet
Wierder wéi redundant, sécher a robust beschreiwen eng Absicht an net en Design. Frot amplaz no der Apparatslëscht, den Ausgangsplazen, dem Iwwersetzungsschema an dem Benoriichtegungswee. E Provider, deen déi véier Saachen ubidden kann, huet en Design; deen, deen et net kann, huet eng Dia. Halt d'Äntwerten an der Servicedokumentatioun an net an engem E-Mail-Thread, a kuckt se bei all Kontraktännnerung nees un.
Ausgangsarrangementer verschéiwen sech roueg, wéi Provider Gateways konsolidéieren, dofir ass eng Zeechnung vun virun dräi Joer eng Belaaschtung. Wann e Partner eng onbekannt Quelladress mëttelt, sollt Dir bannent Minutten soe kënnen, ob se aus Ärem Design koum oder aus enger Ännerung, déi eenzeg keen annoncéiert huet. Genee déi Fäegkeet, an net d'Adjektiven, iwwerlieft den éischten Ausfall.