Каде всушност излегува интернет излезот на вашата управувана VPN
„Интернетот е вклучен“ не кажува ништо за тоа каде излегува јавниот сообраќај, кој го филтрира или што издржува при дефект. Следете ја патеката и потоа запишете ги двата случаи на дефект.
Не можете да кажете кој го филтрира јавниот сообраќај на една филијала додека предлогот не покаже каде тој сообраќај ја напушта мрежата на давателот. Интернет пристапот вграден во управувана VPN е втора услуга, која оди по патека со свои порти, свое преведување на адреси и своја опашка за ескалација. Повеќето договори детално ја опишуваат приватната страна и ја оставаат јавната страна на една реченица. Проверките подолу ја претвораат таа реченица во шема што можете да ја браните.
Следете една јавна дестинација по локација
Изберете домаќин во филијала и следете една јавна дестинација, забележувајќи ја последната адреса што му припаѓа на давателот и првата што му припаѓа на интернетот. Скокот меѓу тие две адреси е излезот, и тој често не е ни близу до локацијата што го испратила пакетот. Означете го уредот што ја врши транзицијата, зашто токму тој уред го држи филтерот што одлучува што излегува. Повторете го следењето од втора локација и споредете ги излезните адреси, зашто две филијали што изгледаат исто на фактурата можат да излезат низ различни порти во различни градови.
Забележете ја и изворната адреса што дестинацијата навистина ја гледа, зашто преведувањето може да се случи на скок што никогаш не сте го нацртале. Запишете ги набљудуваните одговори покрај нацртаните, и јазот меѓу нив е местото од каде што ќе дојде првиот инцидент. Инженер на давателот што не може да ја даде излезната адреса за дадена локација веќе ви кажал нешто корисно за дизајнот.
Три распореди на излез и што концентрира секој
Централниот излез што сами го управувате го влече јавниот сообраќај кон ваша сопствена порта, што ви ја дава филтерската политика и дневниците, но го концентрира товарот на сите локации на една линија. Излезот управуван од давателот ја преместува политиката и дневниците преку границата на договорот, што работи поедноставно и во истиот потег ви ја одзема видливоста. Излезот на секоја локација го задржува јавниот сообраќај локален и го умножува бројот на површини на политика што мора да останат исти.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Прашајте кој од трите давателот навистина го нуди пред да ја третирате листата како мени, и прашајте дали локацијата може да се премести меѓу нив без нова линија. Одговорот за миграцијата го одвојува договорното од чисто техничкото. Забележете и кој го поседува преведувањето на изворот, зашто тоа одлучува што партнерот мора да стави на списокот за дозвола. Споделените порти значат и споделен капацитет и понекогаш споделена репутација, што менува како партнерите се однесуваат кон вашите адреси. Капацитетот заслужува свое прашање, зашто споделената порта во истиот миг им служи на други клиенти.
Филтрирањето, преведувањето и шифрирањето имаат одделни сопственици
Рутата воспоставува достапност и не кажува ништо за инспекцијата, затоа третирајте ги како две различни прашања со различни сопственици. За секоја објавена стандардна рута наведете го уредот што филтрира, уредот што автентификува, уредот што преведува и уредот што инспектира, потоа наведете кој управува со секој. Одделувањето на рутите кај давателот не кажува каде завршува шифрирањето, и приватна услуга може да го заврши својот тунел на една граница, додека јавниот излез завршува на друга. Прашајте дали преведувањето се случува на работ на давателот, на споделена порта или на вашиот сопствен излез, и дали има дневници на сесии и колку долго. Избројте ги сопствениците во одговорите, зашто договор што именува една страна за четири работи обично остава три од нив недокументирани.
Широка стандардна рута увезена во контекстот на приватно рутирање заслужува иста проверка, зашто увозот е намерен договор, а не безопасна погодност. Делот 11 од RFC 4364 поминува низ неколку распореди за интернет пристап за BGP/MPLS VPN мрежи и ја третира размената на рути меѓу контекстот на VPN и стандардниот контекст за препраќање на давателот токму како таков договор. Прашајте што спречува јавниот сообраќај случајно да тргне по приватна патека, и добијте го одговорот покрај политиката на рути, а не во слајд.
Два случаи на дефект за кои треба да се договорите пред потпис
Запишете два теста во договорот: губење на интернет излезот и губење на една приватна врска. За секој наведете ги внатрешните ресурси, локалните интернет услуги и патеките за управување што мора да продолжат да работат. Потоа наведете ја резервната патека што мора да остане блокирана, зашто патека околу централните контроли е полоша од чисто прекинување. Дајте ги двата теста на давателот и побарајте нивниот очекуван резултат писмено, вклучително откривање и известување.
Изведете ги истите проверки од пилот локација и споредете ги со тој писмен одговор. Каде што двете не се совпаѓаат, договорот опишува друга мрежа од онаа што сте ја купиле. Две команди ги покриваат вообичаените случаи: едната ја покажува патеката што ја презема јавна дестинација, другата ја покажува адресата што ја гледа.
traceroute -n 203.0.113.10
curl -s https://example.net/ipПоврзете ги обврските за достапност со сегментот што сте го измериле, а не со името на услугата. Локалната линија, рбетот на давателот и споделената порта носат одделни обврски и одделни тимови за ескалација. Буквите L2VPN, L3VPN и MPLS опишуваат механизам за препраќање, а не гаранција од крај до крај.
Доказите ги победуваат придавките во предлогот
Зборови како излишен, безбеден и отпорен опишуваат намера, а не дизајн. Наместо тоа, побарајте список на уреди, места на излез, шема за преведување и патека за известување. Давателот што може да ги даде тие четири има дизајн; оној што не може има слајд. Чувајте ги одговорите во документацијата на услугата, а не во е-пошта нишка, и прегледајте ги при секоја промена на договорот.
Распоредите на излез тивко се менуваат додека давателите ги обединуваат портите, затоа шема стара три години е товар. Кога партнерот ќе пријави непозната изворна адреса, во рок од неколку минути треба да можете да кажете дали дошла од вашиот дизајн или од промена што никој не ја објавил. Токму таа способност, а не придавките, останува по првиот прекин.