Dari mana sebenarnya lalu lintas internet VPN terurus anda keluar
«Internet disertakan» tidak menyatakan apa-apa tentang dari mana trafik awam keluar, siapa yang menapisnya atau apa yang bertahan selepas kegagalan. Jejaki laluan itu, kemudian tulis kedua-dua kes kegagalan.
Anda tidak boleh menyatakan siapa yang menapis trafik awam sesebuah cawangan sehingga cadangan menunjukkan dari mana trafik itu meninggalkan rangkaian pembekal. Akses internet yang dibundel dalam VPN terurus ialah perkhidmatan kedua, yang bergerak pada laluan dengan gerbangnya sendiri, terjemahan alamatnya sendiri dan baris eskalasinya sendiri. Kebanyakan kontrak menerangkan bahagian peribadi secara terperinci dan membiarkan bahagian awam pada satu ayat. Semakan di bawah menukar ayat itu menjadi rajah yang boleh anda pertahankan.
Jejaki satu destinasi awam bagi setiap tapak
Pilih satu hos cawangan dan jejaki satu destinasi awam, catat alamat terakhir yang milik pembekal dan alamat pertama yang milik internet. Lompatan antara kedua-dua alamat itu ialah titik keluar, dan ia sering berada jauh dari tapak yang menghantar paket. Tandakan peranti yang melakukan peralihan, kerana peranti itulah yang memegang penapis yang menentukan apa yang keluar. Ulang jejakan dari tapak kedua dan bandingkan alamat keluar, kerana dua cawangan yang kelihatan sama pada invois boleh keluar melalui gerbang berbeza di bandar berbeza.
Catat juga alamat sumber yang benar-benar dilihat oleh destinasi, kerana terjemahan boleh berlaku pada lompatan yang tidak pernah anda lukis. Tulis jawapan yang diperhatikan di sebelah jawapan yang dilukis, dan jurang antaranya ialah tempat insiden pertama akan datang. Jurutera pembekal yang tidak dapat memberikan alamat keluar bagi tapak tertentu sudah memberitahu anda sesuatu yang berguna tentang reka bentuk.
Tiga susunan keluar dan apa yang setiap satu tumpukan
Titik keluar pusat yang anda kendalikan sendiri menarik trafik awam ke gerbang milik anda, yang memberikan dasar penapisan dan log tetapi menumpukan beban semua tapak pada satu litar. Titik keluar yang dikendalikan pembekal memindahkan dasar dan log melepasi sempadan kontrak, yang memudahkan operasi dan dalam gerakan sama menghilangkan keterlihatan anda. Titik keluar di setiap tapak mengekalkan trafik awam setempat dan menggandakan bilangan permukaan dasar yang mesti kekal serupa.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Tanyakan mana antara tiga yang benar-benar ditawarkan pembekal sebelum anda menganggap senarai itu sebagai menu, dan tanyakan sama ada tapak boleh berpindah antaranya tanpa litar baharu. Jawapan migrasi memisahkan yang berkontrak daripada yang semata-mata teknikal. Catat juga siapa memiliki terjemahan sumber, kerana itu menentukan apa yang perlu dimasukkan rakan ke dalam senarai kebenaran. Gerbang dikongsi juga bermaksud kapasiti dikongsi dan kadangkala reputasi dikongsi, yang mengubah cara rakan memperlakukan alamat anda. Kapasiti juga wajar mendapat soalan sendiri, kerana gerbang dikongsi sedang melayani pelanggan lain pada saat yang sama.
Penapisan, terjemahan dan penyulitan mempunyai pemilik berasingan
Laluan menetapkan ketercapaian dan tidak menyatakan apa-apa tentang pemeriksaan, jadi anggap kedua-duanya sebagai soalan berbeza dengan pemilik berbeza. Bagi setiap laluan lalai yang diiklankan, namakan peranti yang menapis, peranti yang mengesahkan, peranti yang menterjemah dan peranti yang memeriksa, kemudian namakan siapa yang mentadbir setiap satu. Pemisahan laluan oleh pembekal tidak menyatakan di mana penyulitan tamat, dan perkhidmatan peribadi boleh menamatkan terowongnya di satu sempadan sementara titik keluar awam tamat di sempadan lain. Tanyakan sama ada terjemahan berlaku di pinggir pembekal, di gerbang dikongsi atau di titik keluar anda sendiri, dan sama ada log sesi wujud serta berapa lama disimpan. Kira pemilik dalam jawapan, kerana kontrak yang menamakan satu pihak untuk empat tugas biasanya membiarkan tiga daripadanya tanpa dokumentasi.
Laluan lalai yang luas diimport ke dalam konteks penghalaan peribadi wajar mendapat penelitian yang sama, kerana import ialah persetujuan yang disengajakan, bukan kemudahan yang tidak berbahaya. Seksyen 11 RFC 4364 membincangkan beberapa susunan akses internet untuk VPN BGP/MPLS dan menganggap pertukaran laluan antara konteks VPN dan konteks penghantaran lalai pembekal sebagai tepat persetujuan seumpamanya. Tanyakan apa yang menghalang trafik awam daripada mengambil laluan peribadi secara tidak sengaja, dan dapatkan jawapannya di sebelah dasar laluan, bukan dalam slaid.
Dua kes kegagalan yang perlu dipersetujui sebelum menandatangani
Tulis dua ujian dalam kontrak: kehilangan titik keluar internet, dan kehilangan satu sambungan peribadi. Bagi setiap satu, senaraikan sumber dalaman, perkhidmatan internet setempat dan laluan pengurusan yang mesti terus berfungsi. Kemudian senaraikan laluan sandaran yang mesti kekal disekat, kerana laluan yang memutari kawalan pusat lebih teruk daripada gangguan bersih. Berikan kedua-dua ujian kepada pembekal dan minta hasil jangkaan mereka secara bertulis, termasuk pengesanan dan pemberitahuan.
Jalankan ujian yang sama dari tapak perintis dan bandingkannya dengan jawapan bertulis itu. Di mana kedua-duanya tidak sepadan, kontrak itu menerangkan rangkaian yang berbeza daripada yang anda beli. Dua arahan meliputi kes lazim: satu menunjukkan laluan yang diambil destinasi awam, satu lagi menunjukkan alamat yang dilihatnya.
traceroute -n 203.0.113.10
curl -s https://example.net/ipIkat komitmen ketersediaan pada segmen yang anda ukur, bukan pada nama perkhidmatan. Litar setempat, tulang belakang pembekal dan gerbang dikongsi membawa kewajipan berasingan dan pasukan eskalasi berasingan. Huruf L2VPN, L3VPN dan MPLS menerangkan mekanisme penghantaran, bukan jaminan hujung ke hujung.
Bukti mengalahkan kata adjektif dalam cadangan
Perkataan seperti berlebihan, selamat dan tahan lasak menerangkan niat, bukan reka bentuk. Mintalah senarai peranti, lokasi keluar, skema terjemahan dan laluan pemberitahuan sebagai gantinya. Pembekal yang boleh menghasilkan keempat-empat perkara itu mempunyai reka bentuk; yang tidak boleh mempunyai slaid. Simpan jawapan dalam dokumentasi perkhidmatan dan bukan dalam urutan e-mel, dan semak semulanya pada setiap perubahan kontrak.
Susunan keluar bergerak senyap apabila pembekal menyatukan gerbang, jadi rajah tiga tahun lalu ialah beban. Apabila rakan melaporkan alamat sumber yang tidak dikenali, anda sepatutnya boleh menyatakan dalam beberapa minit sama ada ia datang daripada reka bentuk anda atau daripada perubahan yang tidak diumumkan sesiapa. Keupayaan itulah, bukan kata adjektifnya, yang bertahan selepas gangguan pertama.