Uma linha dedicada para a VPN? Traduza primeiro o requisito

A proposta indica uma linha dedicada específica para a VPN do escritório, e o número chega sem explicação. Antes de assinar, decomponha a frase nos quatro requisitos que ela está na verdade a esconder: a entrega física, a forma de fornecimento dos endereços IP, a capacidade nos dois sentidos e o compromisso de suporte por trás do circuito. Trate-os como portas por essa ordem, porque um circuito que falha a entrega não é salvo por um número de largura de banda maior. Depois verifique o que foi entregue contra o que escreveu.

Traduza o requisito, não o nome do produto

O IPsec protege o tráfego na camada IP e deixa o transporte para o circuito que comprar. A arquitetura IPsec descreve como o tráfego é protegido entre pares; não diz nada sobre o tipo de entrega, as taxas garantidas ou as janelas de reparação. São propriedades de um contrato de serviço.

Essa distinção é a razão pela qual um requisito de circuito pode ser legítimo e não ser um requisito de VPN. Um gateway com apenas uma interface série precisa genuinamente de uma entrega série, e isso é uma limitação de hardware, não de protocolo. Substitua o equipamento e a limitação desaparece. Escreva cada requisito na forma «o gateway precisa de X porque Y» e rejeite qualquer linha que não consiga completar.

Nomeie a entrega antes de nomear a velocidade

A entrega é a ligação física e de camada de ligação no ponto de demarcação: Ethernet de cobre, fibra com um transceiver específico, uma interface série, ou algo mais antigo que só existe porque o equipamento atual o tem. Errar aqui custa caro de uma forma que a largura de banda nunca custa, porque normalmente significa hardware novo nos dois extremos. Um ótico em falta não é um problema de capacidade e nenhuma atualização o resolve.

Confirme o conector, a negociação de velocidade e quem fornece o conversor de meios ou o router. Confirme depois onde termina a sua responsabilidade, porque o ponto de demarcação decide quem pode mexer no quê quando a ligação cai às 03:00. Escreva essa fronteira no registo, ao lado do identificador do circuito. É a única linha que transforma uma chamada ao suporte numa conversa de cinco minutos em vez de uma hora de transferência.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Confirme o fornecimento de IP, não apenas o endereço

Pergunte que endereço ou prefixo o serviço entrega realmente, e se é estático. Um circuito que atribui um endereço dinâmico serve mal um gateway site-to-site, porque a configuração do par tem de sobreviver a uma mudança que não agendou. Confirme também o comprimento do prefixo, já que um endereço e um /29 encaminhado são produtos diferentes.

Pergunte depois se algo traduz o endereço antes de este chegar até si. Um NAT do lado do fornecedor ou um NAT de operadora à frente do serviço quebra as sessões de entrada, pelo que um gateway que espera aceitar IPsec de sites remotos fica inalcançável. A velocidade não compensa: uma ligação rápida atrás de um tradutor que não controla continua a não aceitar uma ligação de entrada numa porta que ninguém reencaminha.

Registe quem é dono do router e do DNS. Se o router é fornecido pelo operador, herda o firmware, o comportamento NAT e a ideia de rota predefinida dele, e cada alteração posterior passa por um ticket. Peça a alguém fora da sua rede que tente uma ligação de entrada para a porta que espera estar acessível, porque é o único teste que prova a história da tradução.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimensione a capacidade a partir da carga, nos dois sentidos

A capacidade tem de ser descrita em termos de trabalho, não em termos de um número por utilizador. Acesso intensivo a ficheiros, administração interativa e um backup noturno produzem cada um um padrão de tráfego diferente, e só um deles se preocupa com o débito de subida sustentado. Um número de largura de banda por posto é uma conveniência comercial, não um modelo.

Estime os dois sentidos, acrescente a sobrecarga de encapsulamento e anote se o tráfego é em rajada ou sustentado. Verifique depois a taxa garantida do contrato em vez da taxa de topo, porque uma tolerância de rajada que expira ao fim de poucos segundos não ajuda um backup noturno. Mantenha os limites do próprio gateway no mesmo orçamento, já que o processamento de cifra e o número de sessões simultâneas podem saturar muito antes do circuito. Uma linha mais rápida não corrige um gateway saturado.

Fixe os compromissos operacionais

Disponibilidade, tempo de reparação, via de escalonamento e notificação de manutenção têm de ficar por escrito, com o método de medição nomeado. Uma taxa de internet de topo não estabelece nenhuma dessas propriedades, e uma página de marketing que promete fiabilidade sem definir uma falha também não. Pergunte quando começa o relógio, porque um tempo de resposta medido a partir da confirmação do fornecedor não é o mesmo número que um medido a partir do seu alerta de monitorização. Essas duas definições podem diferir em horas sem que ninguém esteja a mentir.

Registe também a fronteira do suporte. Se a responsabilidade do fornecedor termina numa entrega que o seu próprio router termina, a primeira hora de cada incidente serve para decidir de quem é a falha, e nenhum relógio de SLA a cobre.

Verifique o circuito contra os termos escritos

Depois de o serviço estar em produção, meça as propriedades que realmente contratou e não as que o instalador demonstrou. Débito, latência e perda no caminho real são a prova, e devem ser recolhidos numa altura e a partir de um local que consiga nomear. Repita a medição numa hora de ponta, não apenas na entrega. Um teste de aceitação feito às 10:00 num dia calmo diz muito pouco sobre a ligação às 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Guarde os resultados com o contrato, porque uma discussão de desempenho sem linha de base é uma discussão de impressões. Se uma medição falhar o compromisso, levante-a enquanto as provas estão frescas e enquanto o serviço ainda está dentro da janela de aceitação prevista no contrato. Um anfitrião nomeado no pedido também mantém o handshake TLS válido, para que um aviso de certificado não seja confundido com um circuito avariado.

Por fim, releia as quatro portas face ao que foi entregue. A entrega, o fornecimento de IP, a capacidade e os termos de suporte têm cada um uma linha no registo, e cada linha tem um nome ao lado.