Waar de internetuitgang van uw beheerde VPN werkelijk naar buiten gaat
‘Internet inbegrepen’ zegt niets over waar het openbare verkeer naar buiten gaat, wie het filtert of wat een storing overleeft. Volg het pad en schrijf daarna beide storingsgevallen op.
U kunt niet zeggen wie het openbare verkeer van een vestiging filtert tot het voorstel laat zien waar dat verkeer het netwerk van de provider verlaat. Internettoegang die in een beheerde VPN is inbegrepen, is een tweede dienst, die over een pad loopt met eigen gateways, eigen adresvertaling en een eigen escalatiewachtrij. De meeste contracten beschrijven de private kant tot in detail en laten de openbare kant aan één zin over. De controles hieronder maken van die zin een diagram dat u kunt verdedigen.
Volg één openbare bestemming per locatie
Kies een host van een vestiging en volg één openbare bestemming, en noteer het laatste adres dat bij de provider hoort en het eerste dat bij het internet hoort. De sprong tussen die twee adressen is de uitgang, en die ligt vaak nergens in de buurt van de locatie die het pakket heeft verstuurd. Markeer het apparaat dat de overgang uitvoert, want dat apparaat heeft het filter dat bepaalt wat eruit gaat. Herhaal de trace vanaf een tweede locatie en vergelijk de uitgangsadressen, want twee vestigingen die op de factuur identiek lijken, kunnen via verschillende gateways in verschillende steden naar buiten gaan.
Noteer ook het bronadres dat de bestemming werkelijk ziet, want de vertaling kan plaatsvinden op een sprong die u nooit hebt getekend. Schrijf de waargenomen antwoorden naast de getekende, en het gat ertussen is waar het eerste incident vandaan komt. Een ingenieur van de provider die het uitgangsadres voor een bepaalde locatie niet kan geven, heeft u al iets nuttigs over het ontwerp verteld.
Drie uitgangsopstellingen en wat elk concentreert
Een centrale uitgang die u zelf beheert, trekt het openbare verkeer naar een gateway van uzelf, wat u het filterbeleid en de logs geeft maar de belasting van alle locaties op één circuit concentreert. Een door de provider beheerde uitgang verplaatst beleid en logs over de contractgrens, wat de bedrijfsvoering vereenvoudigt en u in dezelfde beweging het zicht ontneemt. Een uitgang per locatie houdt het openbare verkeer lokaal en vermenigvuldigt het aantal beleidsoppervlakken dat identiek moet blijven.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Vraag welke van de drie de provider werkelijk biedt voordat u de lijst als een menu behandelt, en vraag of een locatie zonder nieuw circuit tussen die opties kan wisselen. Het antwoord over migratie scheidt wat contractueel is van wat slechts technisch is. Noteer ook wie de bronvertaling bezit, want dat bepaalt wat een partner op de toelatingslijst moet zetten. Gedeelde gateways betekenen ook gedeelde capaciteit en soms gedeelde reputatie, wat verandert hoe partners met uw adressen omgaan. Capaciteit verdient ook een eigen vraag, want een gedeelde gateway bedient op dat moment andere klanten.
Filteren, vertalen en versleutelen hebben aparte eigenaren
Een route legt bereikbaarheid vast en zegt niets over inspectie, dus behandel de twee als verschillende vragen met verschillende eigenaren. Benoem voor elke aangekondigde standaardroute het apparaat dat filtert, het apparaat dat authenticeert, het apparaat dat vertaalt en het apparaat dat inspecteert, en benoem daarna wie elk daarvan beheert. De routescheiding van de provider zegt niet waar versleuteling eindigt, en een private dienst kan zijn tunnel bij de ene grens beëindigen terwijl de openbare uitgang bij een andere eindigt. Vraag of de vertaling plaatsvindt aan de rand van de provider, op een gedeelde gateway of bij uw eigen uitgang, en of er sessielogs bestaan en hoe lang. Tel de eigenaren in de antwoorden, want een contract dat één partij voor vier taken noemt, laat er meestal drie ongedocumenteerd.
Een brede standaardroute geïmporteerd in de private routing-context verdient dezelfde toets, want een import is een bewuste afspraak en geen onschuldig gemak. Sectie 11 van RFC 4364 loopt verschillende internettoegangsopstellingen voor BGP/MPLS-VPN's door en behandelt route-uitwisseling tussen de VPN-context en de standaard doorstuurcontext van de provider precies als dat soort afspraak. Vraag wat verhindert dat openbaar verkeer per ongeluk een privaat pad neemt, en haal het antwoord naast het routebeleid in plaats van uit een dia.
Twee storingsgevallen om vóór ondertekening af te spreken
Schrijf twee tests in het contract: de internetuitgang verliezen en één private aansluiting verliezen. Noem voor elk de interne resources, de lokale internetdiensten en de beheerpaden die moeten blijven werken. Noem daarna het reservepad dat geblokkeerd moet blijven, want een pad om de centrale controles heen is erger dan een schone onderbreking. Geef beide tests aan de provider en vraag hun verwachte resultaat schriftelijk, inclusief detectie en melding.
Voer dezelfde controles uit vanaf een proeflocatie en vergelijk ze met dat schriftelijke antwoord. Waar de twee niet overeenkomen, beschrijft het contract een ander netwerk dan het netwerk dat u hebt gekocht. Twee opdrachten dekken de gangbare gevallen: de ene toont het pad dat een openbare bestemming neemt, de andere het adres dat die ziet.
traceroute -n 203.0.113.10
curl -s https://example.net/ipKoppel beschikbaarheidsafspraken aan het segment dat u hebt gemeten, niet aan de naam van de dienst. Een lokaal circuit, een backbone van de provider en een gedeelde gateway dragen aparte verplichtingen en aparte escalatieteams. De letters L2VPN, L3VPN en MPLS beschrijven een doorstuurmechanisme, geen garantie van begin tot eind.
Bewijs wint het van de bijvoeglijke naamwoorden in het voorstel
Woorden als redundant, veilig en veerkrachtig beschrijven een bedoeling en geen ontwerp. Vraag in plaats daarvan de apparatenlijst, de uitgangslocaties, het vertaalschema en het meldingspad. Een provider die die vier zaken kan leveren, heeft een ontwerp; een die dat niet kan, heeft een dia. Houd de antwoorden in de servicedocumentatie in plaats van in een e-mailthread, en neem ze door bij elke contractwijziging.
Uitgangsopstellingen verschuiven stil doordat providers gateways consolideren, dus een diagram van drie jaar oud is een last. Wanneer een partner een onbekend bronadres meldt, moet u binnen enkele minuten kunnen zeggen of het uit uw ontwerp komt of uit een wijziging die niemand heeft aangekondigd. Die vaardigheid, en niet de bijvoeglijke naamwoorden, overleeft de eerste storing.