Per kur iš tikrųjų išeina jūsų valdomos VPN interneto srautas
„Internetas įskaičiuotas“ nieko nesako apie tai, kur išeina viešasis srautas, kas jį filtruoja ar kas išlieka po gedimo. Sekite kelią ir tada surašykite abu gedimo atvejus.
Negalite pasakyti, kas filtruoja filialo viešąjį srautą, kol pasiūlyme neparodyta, kur tas srautas palieka tiekėjo tinklą. Interneto prieiga, įtraukta į valdomą VPN, yra antroji paslauga, kuri eina keliu su savo vartais, savo adresų vertimu ir savo paties eskaliacijos eile. Dauguma sutarčių išsamiai aprašo privačiąją pusę, o viešąją palieka vienam sakiniui. Toliau pateiktos patikros paverčia tą sakinį schema, kurią galite apginti.
Sekite vieną viešąją paskirties vietą kiekvienoje vietoje
Pasirinkite filialo mazgą ir sekite vieną viešąją paskirties vietą, pažymėdami paskutinį tiekėjui priklausantį adresą ir pirmąjį, priklausantį internetui. Šuolis tarp tų dviejų adresų yra išėjimas, ir jis dažnai yra toli nuo vietos, kuri išsiuntė paketą. Pažymėkite įrenginį, kuris atlieka perėjimą, nes būtent tame įrenginyje yra filtras, sprendžiantis, kas išeis. Pakartokite sekimą iš antros vietos ir palyginkite išėjimo adresus, nes dvi filialai, sąskaitoje atrodantys vienodai, gali išeiti per skirtingus vartus skirtinguose miestuose.
Pažymėkite ir šaltinio adresą, kurį paskirties vieta iš tikrųjų mato, nes vertimas gali įvykti šuolyje, kurio niekada nebraižėte. Užrašykite stebėtus atsakymus šalia nupieštųjų, ir tarpas tarp jų yra vieta, iš kurios kils pirmasis incidentas. Tiekėjo inžinierius, kuris negali pateikti konkrečios vietos išėjimo adreso, jau pasakė jums ką nors naudingo apie projektą.
Trys išėjimo išdėstymai ir ką kiekvienas koncentruoja
Jūsų pačių valdomas centrinis išėjimas traukia viešąjį srautą į jūsų pačių vartus, o tai suteikia filtravimo politiką ir žurnalus, bet sutelkia visų vietų apkrovą vienoje linijoje. Tiekėjo valdomas išėjimas perkelia politiką ir žurnalus už sutarties ribos, o tai supaprastina eksploatavimą ir tuo pačiu judesiu atima iš jūsų matomumą. Išėjimas kiekvienoje vietoje palieka viešąjį srautą vietinį ir padaugina politikos paviršių, kurie turi išlikti identiški, skaičių.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Paklauskite, kurį iš trijų tiekėjas iš tikrųjų siūlo, prieš traktuodami sąrašą kaip meniu, ir paklauskite, ar vieta gali pereiti tarp jų be naujos linijos. Migracijos atsakymas atskiria sutartinį nuo vien techninio. Taip pat užrašykite, kam priklauso šaltinio vertimas, nes tai lemia, ką partneris turi įtraukti į leidimų sąrašą. Bendri vartai taip pat reiškia bendrą pajėgumą ir kartais bendrą reputaciją, o tai keičia, kaip partneriai elgiasi su jūsų adresais. Pajėgumas taip pat nusipelno savo klausimo, nes bendri vartai tuo pačiu metu aptarnauja kitus klientus.
Filtravimas, vertimas ir šifravimas turi atskirus savininkus
Maršrutas nustato pasiekiamumą ir nieko nesako apie patikrą, todėl traktuokite abu kaip skirtingus klausimus su skirtingais savininkais. Kiekvienam skelbiamam numatytajam maršrutui įvardykite įrenginį, kuris filtruoja, įrenginį, kuris autentifikuoja, įrenginį, kuris verčia, ir įrenginį, kuris tikrina, tada įvardykite, kas administruoja kiekvieną. Tiekėjo maršrutų atskyrimas nenurodo, kur baigiasi šifravimas, o privati paslauga gali užbaigti savo tunelį vienoje riboje, kai viešasis išėjimas baigiasi kitoje. Paklauskite, ar vertimas vyksta tiekėjo krašte, bendruose vartuose ar jūsų pačių išėjime, ir ar yra sesijų žurnalai bei kiek laiko jie saugomi. Suskaičiuokite savininkus atsakymuose, nes sutartis, nurodanti vieną šalį keturiems darbams, paprastai tris iš jų palieka nedokumentuotus.
Platus numatytasis maršrutas importuotas į privatų maršrutizavimo kontekstą nusipelno tokios pačios patikros, nes importas yra sąmoningas susitarimas, o ne nekenksmingas patogumas. RFC 4364 11 skyrius apžvelgia keletą interneto prieigos išdėstymų BGP/MPLS VPN tinklams ir maršrutų mainus tarp VPN konteksto ir tiekėjo numatytojo perdavimo konteksto traktuoja būtent kaip tokį susitarimą. Paklauskite, kas neleidžia viešajam srautui netyčia pasukti privačiu keliu, ir atsakymo prašykite prie maršrutų politikos, o ne skaidrėje.
Du gedimo atvejai, dėl kurių reikia susitarti prieš pasirašant
Į sutartį įrašykite du testus: prarasti interneto išėjimą ir prarasti vieną privatų prijungimą. Kiekvienam išvardykite vidinius išteklius, vietines interneto paslaugas ir valdymo kelius, kurie turi toliau veikti. Tada išvardykite atsarginį kelią, kuris turi likti užblokuotas, nes kelias aplink centrines kontrolės priemones yra blogesnis už švarią pertrauką. Abu testus perduokite tiekėjui ir paprašykite jų tikėtino rezultato raštu, įskaitant aptikimą ir pranešimą.
Atlikite tas pačias patikras iš bandomosios vietos ir palyginkite jas su tuo rašytiniu atsakymu. Kai abu nesutampa, sutartis aprašo kitą tinklą nei tą, kurį nusipirkote. Dvi komandos apima įprastus atvejus: viena rodo kelią, kuriuo eina viešoji paskirties vieta, kita – adresą, kurį ji mato.
traceroute -n 203.0.113.10
curl -s https://example.net/ipPrieinamumo įsipareigojimus siekite su išmatuotu segmentu, o ne su paslaugos pavadinimu. Vietinė linija, tiekėjo magistralė ir bendri vartai turi atskirus įsipareigojimus ir atskiras eskaliacijos komandas. Raidės L2VPN, L3VPN ir MPLS apibūdina perdavimo mechanizmą, o ne garantiją nuo galo iki galo.
Įrodymai įveikia pasiūlymo būdvardžius
Žodžiai kaip perteklinis, saugus ir atsparus apibūdina ketinimą, o ne projektą. Verčiau paprašykite įrenginių sąrašo, išėjimo vietų, vertimo schemos ir pranešimo kelio. Tiekėjas, galintis pateikti tuos keturis dalykus, turi projektą; tas, kuris negali, turi skaidrę. Atsakymus laikykite paslaugos dokumentacijoje, o ne elektroninių laiškų gijoje, ir peržiūrėkite juos kiekvieną kartą keičiant sutartį.
Išėjimo išdėstymai tyliai keičiasi, kai tiekėjai konsoliduoja vartus, todėl trejų metų senumo schema yra našta. Kai partneris praneša apie nepažįstamą šaltinio adresą, per kelias minutes turėtumėte galėti pasakyti, ar jis atėjo iš jūsų projekto, ar iš pakeitimo, kurio niekas nepaskelbė. Būtent šis gebėjimas, o ne būdvardžiai, išlieka po pirmojo gedimo.