Linia dzierżawiona do VPN? Najpierw przełóż wymaganie

Oferta wskazuje konkretną linię dzierżawioną dla VPN biura, a liczba pojawia się bez wyjaśnienia. Zanim podpiszesz, rozłóż zdanie na cztery wymagania, które ono naprawdę ukrywa: fizyczne przyłącze, sposób dostarczania adresów IP, przepustowość w obu kierunkach oraz zobowiązanie wsparcia stojące za łączem. Traktuj je jak bramy w tej kolejności, bo łącza, które nie przechodzi przyłącza, nie uratuje wyższa liczba przepustowości. Potem sprawdź, co dostarczono, z tym, co zapisałeś.

Przetłumacz wymaganie, a nie nazwę produktu

IPsec chroni ruch na warstwie IP i zostawia transmisję temu łączu, które kupisz. Architektura IPsec opisuje, jak ruch jest chroniony między stronami; nie mówi nic o typie przyłącza, gwarantowanych szybkościach ani oknach naprawy. To właściwości umowy o usługę.

To rozróżnienie jest całym powodem, dla którego wymaganie dotyczące łącza może być uzasadnione i nadal nie być wymaganiem VPN. Brama z samym interfejsem szeregowym naprawdę potrzebuje przyłącza szeregowego, a to ograniczenie sprzętowe, nie protokołowe. Wymień urządzenie, a ograniczenie znika. Zapisuj każde wymaganie w formie „brama potrzebuje X, ponieważ Y”, i odrzucaj każdą linię, której nie potrafisz dokończyć.

Nazwij przyłącze, zanim nazwiesz szybkość

Przyłącze to fizyczne połączenie na warstwie łącza w punkcie demarkacyjnym: Ethernet miedziany, światłowód z konkretnym transceiverem, interfejs szeregowy albo coś starszego, co istnieje tylko dlatego, że ma to obecne urządzenie. Pomyłka tutaj kosztuje w sposób, w jaki przepustowość nigdy nie kosztuje, bo zwykle oznacza nowy sprzęt po obu stronach. Brakujący moduł optyczny to nie problem przepustowości i żadna modernizacja go nie naprawi.

Potwierdź złącze, negocjację szybkości i to, kto dostarcza konwerter mediów albo router. Potem potwierdź, gdzie kończy się twoja odpowiedzialność, bo punkt demarkacyjny decyduje, kto może czego dotknąć, gdy łącze padnie o 03:00. Zapisz tę granicę w rejestrze obok identyfikatora łącza. To jedyna linia, która zamienia zgłoszenie do wsparcia w pięciominutową rozmowę zamiast godziny przekazywania.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Potwierdź dostawę IP, nie tylko adres

Zapytaj, jaki adres lub prefiks usługa faktycznie dostarcza i czy jest statyczny. Łącze, które przydziela adres dynamiczny, słabo pasuje do bramy między lokalizacjami, bo konfiguracja drugiej strony musi przetrwać zmianę, której nie zaplanowałeś. Potwierdź też długość prefiksu, ponieważ jeden adres i routowany /29 to różne produkty.

Potem zapytaj, czy cokolwiek tłumaczy adres, zanim do ciebie dotrze. NAT po stronie dostawcy albo NAT klasy operatorskiej przed usługą psuje sesje przychodzące, więc brama, która ma przyjmować IPsec ze zdalnych lokalizacji, staje się nieosiągalna. Szybkość tego nie wyrówna: szybkie łącze za tłumaczem, którego nie kontrolujesz, nadal nie przyjmie połączenia przychodzącego na porcie, którego nikt nie przekierowuje.

Zapisz, kto jest właścicielem routera i DNS. Jeśli router dostarcza usługodawca, dziedziczysz jego firmware, zachowanie NAT i jego wyobrażenie o trasie domyślnej, a każda późniejsza zmiana przechodzi przez zgłoszenie. Niech ktoś spoza twojej sieci spróbuje połączenia przychodzącego na port, który uważasz za osiągalny, bo to jedyny test, który dowodzi historii tłumaczenia.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dobierz przepustowość do obciążenia, w obu kierunkach

Przepustowość trzeba opisać w kategoriach pracy, a nie liczby na użytkownika. Masowy dostęp do plików, interaktywna administracja i nocna kopia zapasowa dają każde inny wzorzec ruchu, a tylko jedno z nich zależy od trwałej przepustowości wysyłania. Liczba przepustowości na stanowisko to wygoda sprzedażowa, nie model.

Oszacuj oba kierunki, dodaj narzut enkapsulacji i zanotuj, czy ruch jest burstowy, czy trwały. Potem sprawdź gwarantowaną szybkość z umowy, a nie szybkość z nagłówka, bo tolerancja burstu, która wygasa po kilku sekundach, nie pomaga nocnej kopii zapasowej. Trzymaj własne limity bramy w tym samym budżecie, ponieważ przetwarzanie szyfrowania i liczba równoczesnych sesji mogą stać się wąskim gardłem znacznie wcześniej niż łącze. Szybsze łącze nie naprawi przeciążonej bramy.

Ustal zobowiązania operacyjne

Dostępność, czas reakcji serwisu, ścieżka eskalacji i powiadamianie o konserwacji muszą być zapisane, z nazwaną metodą pomiaru. Szybkość internetu z nagłówka nie ustanawia żadnej z tych właściwości, podobnie jak strona marketingowa, która obiecuje niezawodność bez zdefiniowania awarii. Zapytaj, kiedy startuje zegar, bo czas reakcji mierzony od potwierdzenia przez dostawcę to nie ta sama liczba co czas mierzony od alertu twojego monitoringu. Te dwie definicje mogą różnić się o godziny, a nikt nie kłamie.

Zapisz też granicę wsparcia. Jeśli odpowiedzialność dostawcy kończy się na przyłączu, które zakańcza twój router, pierwsza godzina każdego incydentu idzie na ustalanie, czyja jest wina, i żaden zegar SLA tego nie obejmuje.

Sprawdź łącze wobec zapisanych warunków

Gdy usługa działa, mierz właściwości, które faktycznie zamówiłeś, a nie te, które pokazał instalator. Przepustowość, opóźnienie i utrata na rzeczywistej ścieżce są dowodem i powinny być zebrane w czasie i z miejsca, które potrafisz nazwać. Powtórz pomiar w godzinach szczytu, nie tylko przy odbiorze. Test odbiorczy wykonany o 10:00 w spokojny dzień mówi bardzo niewiele o łączu o 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Trzymaj wyniki razem z umową, bo dyskusja o wydajności bez punktu odniesienia to spór o wrażenia. Jeśli pomiar nie spełnia zobowiązania, zgłoś to, póki dowody są świeże i póki usługa mieści się jeszcze w oknie odbioru przewidzianym w umowie. Nazwany host w żądaniu utrzymuje też ważny uścisk dłoni TLS, więc ostrzeżenie o certyfikacie nie zostanie wzięte za uszkodzone łącze.

Na koniec przeczytaj cztery bramy wobec tego, co dostarczono. Przyłącze, dostawa IP, przepustowość i warunki wsparcia mają po jednej linii w rejestrze, a przy każdej linii stoi nazwisko.