Ei dedikert line for VPN-en? Set om kravet først

Framlegget nemner ei bestemd dedikert line for VPN-en på kontoret, og talet kjem utan forklaring. Før du signerer, del setninga i dei fire krava ho eigentleg gøymer: den fysiske tilkoplinga, korleis IP-adressene vert leverte, kapasiteten i båe retningar og støtteløftet bak lina. Handsama dei som portar i den rekkjefølgja, for ei line som fell på tilkoplinga vert ikkje redda av eit høgare bandbreiddetal. Kontroller deretter det som er levert mot det du skreiv ned.

Set om kravet, ikkje produktnamnet

IPsec verner trafikken på IP-nivå og lèt transporten til den lina du kjøper. IPsec-arkitekturen skildrar korleis trafikken vert verna mellom partar; han seier ingenting om tilkoplingstype, garanterte hastigheiter eller reparasjonstider. Det er eigenskapar ved ein tenesteavtale.

Den skilnaden er heile grunnen til at eit linekrav kan vere legitimt og likevel ikkje vere eit VPN-krav. Ei gateway med berre eit serielt grensesnitt treng verkeleg ei seriell tilkopling, og det er ei maskinvareavgrensing snarare enn ei protokollavgrensing. Byt ut utstyret, og avgrensinga forsvinn. Skriv kvart krav i forma «gatewayen treng X fordi Y», og avvis kvar line du ikkje klarer å fullføre.

Nemn tilkoplinga før du nemner hastigheita

Tilkoplinga er den fysiske sambindinga på lenkenivå ved demarkasjonspunktet: kopar-Ethernet, fiber med ein bestemd transceiver, eit serielt grensesnitt, eller noko eldre som berre finst fordi det noverande utstyret har det. Å ta feil her er dyrt på ein måte bandbreidd aldri er, fordi det vanlegvis tyder ny maskinvare i båe endar. Ein manglande optikk er ikkje eit kapasitetsproblem, og inga oppgradering rettar det.

Stadfest kontakten, hastigheitsforhandlinga og kven som leverer mediekonverteraren eller rutaren. Stadfest deretter kvar ansvaret ditt sluttar, for demarkasjonspunktet avgjer kven som får røre kva når sambandet fell klokka 03:00. Skriv den grensa inn i protokollen ved sida av sambandsidentifikatoren. Det er den einaste lina som gjer ei støttesak til ein samtale på fem minutt i staden for ein times overlevering.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Stadfest IP-leveringa, ikkje berre adressa

Spør kva adresse eller kva prefiks tenesta faktisk leverer, og om ho er statisk. Ei line som deler ut ei dynamisk adresse passar dårleg for ei gateway mellom stader, fordi konfigurasjonen til motparten må overleve ei endring du ikkje har planlagt. Stadfest òg prefikslengda, sidan éi adresse og eit rutbart /29 er ulike produkt.

Spør deretter om noko set om adressa før ho når deg. Ein NAT hjå leverandøren eller ein operatør-NAT framom tenesta bryt innkomande sesjonar, så ei gateway som ventar å ta imot IPsec frå fjernstader vert unåeleg. Hastigheit kompenserer ikkje: ei snøgg line bak ein omsetjar du ikkje kontrollerer kan framleis ikkje ta imot ei innkomande tilkopling på ein port ingen vidaresender.

Noter kven som eig rutaren og DNS-en. Viss leverandøren skaffar rutaren, arvar du fastvaren, NAT-åtferda og førestillinga om ei standardrute, og kvar seinare endring går via ei sak. Lat nokon utanfor nettverket ditt prøve ei innkomande tilkopling til porten du trur er nåeleg, for det er den einaste testen som provar omsetjingshistoria.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimensjoner kapasiteten ut frå arbeidslasta, i båe retningar

Kapasitet må skildrast i form av arbeid, ikkje i form av eit tal per brukar. Massiv filtilgang, interaktiv administrasjon og eit nattleg sikkerheitskopi gjev kvar sitt trafikkmønster, og berre éin av dei bryr seg om varig oppstraums gjennomstrøyming. Eit bandbreiddetal per arbeidsplass er ei salsforenkling, ikkje ein modell.

Ansla båe retningar, legg til innkapslingsoverheaden og noter om trafikken er bursty eller varig. Kontroller deretter garantert hastigheit i avtalen i staden for rubrikkhastigheita, for ein bursttoleranse som renn ut etter nokre sekund hjelper ikkje eit nattleg sikkerheitskopi. Hald dei eigne grensene til gatewayen i same budsjett, sidan krypteringshandsaming og talet på samtidige sesjonar kan setje tak lenge før lina gjer det. Ei snøggare line løyser ikkje ein overbelasta gateway.

Fastset dei operative løfta

Tilgjenge, reparasjonstid, eskaleringsveg og varsel om vedlikehald skal stå skriftleg, med målemetoden nemnd. Ein internethastigheit på rubrikknivå fastset ingen av desse eigenskapane, og det gjer heller ikkje ei marknadsside som lovar pålitelegheit utan å definere eit avbrot. Spør når klokka startar, for ei svartid målt frå leverandøren si eiga stadfesting er ikkje same talet som eitt målt frå overvakingsvarselet ditt. Dei to definisjonane kan skilje seg med timar utan at nokon lyg.

Noter òg støttegrensa. Viss ansvaret til leverandøren sluttar ved ei tilkopling som din eigen rutar avsluttar, går den første timen av kvar hending til å avgjere kven som eig feilen, og inga SLA-klokke dekkjer det.

Kontroller lina mot dei skriftlege vilkåra

Når tenesta er i drift, mål eigenskapane du faktisk avtalte i staden for dei installatøren demonstrerte. Gjennomstrøyming, latens og tap på den verkelege vegen er provet, og dei skal fangast på eit tidspunkt og frå ein stad du kan nemne. Gjenta målinga i ein travel time, ikkje berre ved overleveringa. Ein aksepttest køyrd klokka 10:00 på ein roleg dag seier svært lite om lina klokka 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Oppbevar resultata saman med avtalen, for ein ytingsdiskusjon utan ein basislinje er ein krangel om inntrykk. Viss ei måling bommar på løftet, ta det opp medan prova er ferske og medan tenesta framleis er innanfor akseptvindauget avtalen gjev. Ein namngjeven vert i førespurnaden held òg TLS-handtrykket gyldig, slik at eit sertifikatvarsel ikkje vert forveksla med ei øydelagd line.

Til slutt, les dei fire portane på nytt mot det som er levert. Tilkoplinga, IP-leveringa, kapasiteten og støttevilkåra har kvar si line i protokollen, og kvar line har eit namn ved sida av seg.