Kur īsti iziet jūsu pārvaldītā VPN interneta izeja
«Internets iekļauts» nepasaka neko par to, kur iziet publiskā plūsma, kas to filtrē vai kas iztur kļūmi. Izsekojiet ceļu un pēc tam pierakstiet abus kļūmes gadījumus.
Jūs nevarat pateikt, kas filtrē filiāles publisko plūsmu, kamēr piedāvājumā nav parādīts, kur šī plūsma atstāj pakalpojumu sniedzēja tīklu. Interneta piekļuve, kas iekļauta pārvaldītā VPN, ir otrs pakalpojums, kas iet pa ceļu ar saviem vārtejām, savu adrešu tulkošanu un savu paaugstināšanas rindu. Lielākā daļa līgumu detalizēti apraksta privāto pusi un atstāj publisko pusi vienam teikumam. Tālāk sniegtās pārbaudes pārvērš šo teikumu shēmā, ko varat aizstāvēt.
Izsekojiet vienu publisko galamērķi katrā vietā
Izvēlieties filiāles resursdatoru un izsekojiet vienu publisko galamērķi, atzīmējot pēdējo adresi, kas pieder sniedzējam, un pirmo, kas pieder internetam. Lēciens starp šīm divām adresēm ir izeja, un tā bieži atrodas tālu no vietas, kas nosūtīja paketi. Atzīmējiet ierīci, kas veic pāreju, jo tieši šajā ierīcē ir filtrs, kas nosaka, kas izies. Atkārtojiet izsekošanu no otras vietas un salīdziniet izejas adreses, jo divas filiāles, kas rēķinā izskatās vienādas, var iziet pa dažādām vārtejām dažādās pilsētās.
Atzīmējiet arī avota adresi, ko galamērķis faktiski redz, jo tulkošana var notikt lēcienā, kuru jūs nekad neesat uzzīmējis. Pierakstiet novērotās atbildes blakus uzzīmētajām, un starpība starp tām ir vieta, no kurienes nāks pirmais incidents. Sniedzēja inženieris, kurš nevar sniegt konkrētas vietas izejas adresi, jau ir pateicis jums kaut ko noderīgu par dizainu.
Trīs izejas izkārtojumi un to, ko katrs koncentrē
Centrālā izeja, ko pārvaldāt paši, velk publisko plūsmu uz jūsu pašu vārteju, kas dod jums filtrēšanas politiku un žurnālus, bet koncentrē visu vietu slodzi vienā līnijā. Sniedzēja pārvaldīta izeja pārvieto politiku un žurnālus aiz līguma robežas, kas vienkāršo darbību un tajā pašā kustībā atņem jums redzamību. Izeja katrā vietā saglabā publisko plūsmu lokālu un reizina politikas virsmu skaitu, kurām jāpaliek identiskām.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Pajautājiet, kuru no trim sniedzējs patiešām piedāvā, pirms uzskatāt sarakstu par izvēlni, un pajautājiet, vai vieta var pāriet starp tām bez jaunas līnijas. Atbilde par migrāciju atdala līgumisko no tīri tehniskā. Atzīmējiet arī, kam pieder avota tulkošana, jo tas nosaka, kas partnerim jāiekļauj atļauto sarakstā. Koplietotas vārtejas nozīmē arī koplietotu jaudu un dažkārt koplietotu reputāciju, kas maina to, kā partneri izturas pret jūsu adresēm. Jauda arī pelna savu jautājumu, jo koplietota vārteja tajā pašā mirklī apkalpo citus klientus.
Filtrēšanai, tulkošanai un šifrēšanai ir atsevišķi īpašnieki
Maršruts nodrošina sasniedzamību un neko nesaka par pārbaudi, tāpēc uztveriet abus kā dažādus jautājumus ar dažādiem īpašniekiem. Katram izsludinātajam noklusējuma maršrutam nosauciet ierīci, kas filtrē, ierīci, kas autentificē, ierīci, kas tulko, un ierīci, kas pārbauda, pēc tam nosauciet, kas pārvalda katru. Sniedzēja maršrutu atdalīšana nenorāda, kur beidzas šifrēšana, un privāts pakalpojums var beigt savu tuneli vienā robežā, kamēr publiskā izeja beidzas citā. Pajautājiet, vai tulkošana notiek sniedzēja malā, koplietotā vārtejā vai jūsu pašu izejā, un vai pastāv sesiju žurnāli un cik ilgi. Saskaitiet īpašniekus atbildēs, jo līgums, kas nosauc vienu pusi četriem darbiem, parasti trīs no tiem atstāj nedokumentētus.
Plašs noklusējuma maršruts importēts privātajā maršrutēšanas kontekstā pelna tādu pašu pārbaudi, jo imports ir apzināta vienošanās, nevis nekaitīga ērtība. RFC 4364 11. sadaļa aplūko vairākus interneta piekļuves izkārtojumus BGP/MPLS VPN tīkliem un maršrutu apmaiņu starp VPN kontekstu un sniedzēja noklusējuma pārsūtīšanas kontekstu uztver tieši kā šādu vienošanos. Pajautājiet, kas neļauj publiskajai plūsmai nejauši aiziet pa privātu ceļu, un saņemiet atbildi pie maršrutu politikas, nevis slaidā.
Divi kļūmes gadījumi, par kuriem vienoties pirms parakstīšanas
Ierakstiet līgumā divus testus: zaudēt interneta izeju un zaudēt vienu privātu savienojumu. Katram uzskaitiet iekšējos resursus, vietējos interneta pakalpojumus un pārvaldības ceļus, kuriem jāturpina darboties. Pēc tam uzskaitiet rezerves ceļu, kuram jāpaliek bloķētam, jo ceļš ap centrālajām kontrolēm ir sliktāks par tīru pārtraukumu. Dodiet abus testus sniedzējam un pieprasiet to gaidāmo rezultātu rakstiski, tostarp noteikšanu un paziņošanu.
Veiciet tās pašas pārbaudes no izmēģinājuma vietas un salīdziniet tās ar šo rakstisko atbildi. Kur abi nesaskan, līgums apraksta citu tīklu nekā to, ko iegādājāties. Divas komandas aptver ierastos gadījumus: viena rāda ceļu, ko iet publiskais galamērķis, otra – adresi, ko tas redz.
traceroute -n 203.0.113.10
curl -s https://example.net/ipPieejamības saistības saistiet ar izmērīto segmentu, nevis ar pakalpojuma nosaukumu. Vietējā līnija, sniedzēja mugurkauls un koplietota vārteja nes atsevišķas saistības un atsevišķas paaugstināšanas komandas. Burti L2VPN, L3VPN un MPLS apraksta pārsūtīšanas mehānismu, nevis garantiju no gala līdz galam.
Pierādījumi pārspēj piedāvājuma īpašības vārdus
Tādi vārdi kā lieks, drošs un izturīgs apraksta nodomu, nevis dizainu. Tā vietā pieprasiet ierīču sarakstu, izejas atrašanās vietas, tulkošanas shēmu un paziņošanas ceļu. Sniedzējam, kas spēj sniegt šos četrus, ir dizains; tam, kas nespēj, ir slaids. Glabājiet atbildes pakalpojuma dokumentācijā, nevis e-pasta sarakstē, un pārskatiet tās katrā līguma maiņā.
Izejas izkārtojumi klusi mainās, kad sniedzēji konsolidē vārtejas, tāpēc trīs gadus sena shēma ir nasta. Kad partneris ziņo par nepazīstamu avota adresi, dažu minūšu laikā jums jāspēj pateikt, vai tā nāca no jūsu dizaina vai no izmaiņām, ko neviens nav paziņojis. Tieši šī spēja, nevis īpašības vārdi, iztur pirmo kļūmi.