Een leased line voor de VPN? Vertaal eerst de eis

Het voorstel noemt een specifieke leased line voor de VPN van het kantoor, en het getal komt zonder uitleg. Voordat je tekent, splits de zin in de vier eisen die hij eigenlijk verbergt: de fysieke aansluiting, de manier waarop IP-adressen worden geleverd, de capaciteit in beide richtingen en de supportafspraak achter de lijn. Behandel ze in die volgorde als poorten, want een lijn die op de aansluiting faalt, red je niet met een hoger bandbreedtecijfer. Controleer daarna wat er is geleverd tegen wat je hebt opgeschreven.

Vertaal de eis, niet de productnaam

IPsec beschermt verkeer op de IP-laag en laat het transport over aan de lijn die je koopt. De IPsec-architectuur beschrijft hoe verkeer tussen peers wordt beschermd; hij zegt niets over het type aansluiting, over gegarandeerde snelheden of over hersteltijden. Dat zijn eigenschappen van een servicecontract.

Dat onderscheid is precies de reden waarom een lijneis legitiem kan zijn en toch geen VPN-eis is. Een gateway met alleen een seriële interface heeft echt een seriële aansluiting nodig, en dat is een hardwarebeperking, geen protocolbeperking. Vervang het apparaat en de beperking verdwijnt. Schrijf elke eis in de vorm 'de gateway heeft X nodig omdat Y', en verwerp elke regel die je niet kunt afmaken.

Benoem de aansluiting voordat je de snelheid benoemt

De aansluiting is de fysieke verbinding op de datalinklaag op het demarcatiepunt: koperen Ethernet, glasvezel met een specifieke transceiver, een seriële interface, of iets oudere dat alleen bestaat omdat het huidige apparaat het heeft. Dit fout doen is duur op een manier waarop bandbreedte nooit duur is, want het betekent meestal nieuwe hardware aan beide kanten. Een ontbrekende optic is geen capaciteitsprobleem en geen enkele upgrade lost het op.

Bevestig de connector, de snelheidsonderhandeling en wie de mediaconverter of router levert. Bevestig daarna waar jouw verantwoordelijkheid ophoudt, want het demarcatiepunt bepaalt wie waaraan mag komen wanneer de lijn om 03:00 uitvalt. Schrijf die grens in het dossier, naast de lijnidentificatie. Het is de enige regel die een supportgesprek verandert in een gesprek van vijf minuten in plaats van een uur overdracht.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Bevestig de IP-levering, niet alleen het adres

Vraag welk adres of prefix de dienst echt levert, en of dat statisch is. Een lijn die een dynamisch adres uitgeeft, past slecht bij een site-to-site-gateway, want de configuratie van de peer moet een wijziging overleven die je niet hebt gepland. Bevestig ook de prefixlengte, want één adres en een gerouteerde /29 zijn verschillende producten.

Vraag daarna of iets het adres vertaalt voordat het bij jou aankomt. Een NAT aan de providerkant of een carrier-grade NAT vóór de dienst breekt inkomende sessies, dus een gateway die IPsec van externe locaties wil accepteren, is dan onbereikbaar. Snelheid compenseert dat niet: een snelle lijn achter een vertaler die je niet beheert, kan nog steeds geen inkomende verbinding accepteren op een poort die niemand doorstuurt.

Leg vast wie de router en de DNS bezit. Als de provider de router levert, erf je de firmware, het NAT-gedrag en het idee van een standaardroute, en elke latere wijziging loopt via een ticket. Laat iemand buiten je netwerk een inkomende verbinding proberen naar de poort waarvan je verwacht dat hij bereikbaar is, want dat is de enige test die het verhaal over de vertaling bewijst.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Bepaal de capaciteit vanuit de werklast, in beide richtingen

Capaciteit moet worden beschreven in termen van werk, niet in termen van een getal per gebruiker. Bulkbestandstoegang, interactief beheer en een nachtelijke back-up leveren elk een ander verkeerspatroon op, en slechts één ervan geeft om duurzame uploaddoorvoer. Een bandbreedtecijfer per werkplek is een verkoopgemak, geen model.

Schat beide richtingen, tel de encapsulatie-overhead erbij op en noteer of het verkeer burstig of duurzaam is. Controleer daarna de gegarandeerde snelheid van het contract in plaats van de koptekst, want een bursttoelage die na een paar seconden afloopt helpt een nachtelijke back-up niet. Houd de eigen limieten van de gateway in hetzelfde budget, want encryptieverwerking en het aantal gelijktijdige sessies kunnen veel eerder knellen dan de lijn. Een snellere lijn lost een verzadigde gateway niet op.

Leg de operationele afspraken vast

Beschikbaarheid, herstelreactietijd, escalatiepad en onderhoudsmelding horen op papier te staan, met de meetmethode erbij genoemd. Een internetsnelheid op de voorpagina legt geen van die eigenschappen vast, en een marketingpagina die betrouwbaarheid belooft zonder een storing te definiëren evenmin. Vraag wanneer de klok begint, want een reactietijd gemeten vanaf de bevestiging van de provider is niet hetzelfde getal als een gemeten vanaf jouw monitoringalarm. Die twee definities kunnen uren verschillen zonder dat iemand liegt.

Leg ook de supportgrens vast. Als de verantwoordelijkheid van de provider eindigt bij een aansluiting die je eigen router afsluit, gaat het eerste uur van elk incident naar de vraag van wie de storing is, en geen enkele SLA-klok dekt dat.

Controleer de lijn tegen de schriftelijke voorwaarden

Meet, zodra de dienst live is, de eigenschappen die je werkelijk hebt afgesproken in plaats van die de installateur heeft gedemonstreerd. Doorvoer, latentie en verlies op het echte pad zijn het bewijs, en ze moeten worden vastgelegd op een moment en vanaf een locatie die je kunt benoemen. Herhaal de meting op een druk uur, niet alleen bij de oplevering. Een acceptatietest om 10:00 op een rustige dag zegt heel weinig over de lijn om 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Bewaar de resultaten bij het contract, want een prestatiediscussie zonder basislijn is een discussie over indrukken. Als een meting de afspraak niet haalt, meld het terwijl het bewijs vers is en terwijl de dienst nog binnen de acceptatietermijn van het contract valt. Een benoemde host in het verzoek houdt ook de TLS-handshake geldig, zodat een certificaatwaarschuwing niet wordt aangezien voor een defecte lijn.

Lees ten slotte de vier poorten opnieuw tegen wat er is geleverd. De aansluiting, de IP-levering, de capaciteit en de supportvoorwaarden hebben elk een regel in het dossier, en elke regel heeft een naam ernaast.