Por onde sai realmente a saída de internet da sua VPN gerenciada
«Internet incluída» não diz nada sobre onde o tráfego público sai, quem o filtra ou o que sobrevive a uma falha. Siga o caminho e depois escreva os dois casos de falha.
Você não pode dizer quem filtra o tráfego público de uma filial até que a proposta mostre por onde esse tráfego deixa a rede do provedor. O acesso à internet incluído numa VPN gerenciada é um segundo serviço, que percorre um caminho com seus próprios gateways, sua própria tradução de endereços e sua própria fila de escalação. A maioria dos contratos descreve o lado privado em detalhe e deixa o lado público para uma frase. As verificações abaixo transformam essa frase num diagrama que você pode defender.
Siga um destino público por site
Escolha um host de uma filial e siga um destino público, anotando o último endereço que pertence ao provedor e o primeiro que pertence à internet. O salto entre esses dois endereços é a saída, e muitas vezes não fica perto do site que enviou o pacote. Marque o dispositivo que faz a transição, porque é esse dispositivo que tem o filtro que decide o que sai. Repita o rastreamento a partir de um segundo site e compare os endereços de saída, porque duas filiais idênticas na fatura podem sair por gateways diferentes em cidades diferentes.
Anote também o endereço de origem que o destino realmente vê, porque a tradução pode acontecer num salto que você nunca desenhou. Escreva as respostas observadas ao lado das desenhadas, e a diferença entre elas é de onde virá o primeiro incidente. Um engenheiro do provedor que não consegue dar o endereço de saída de um dado site já lhe disse algo útil sobre o projeto.
Três arranjos de saída e o que cada um concentra
Uma saída central que você mesmo opera puxa o tráfego público para um gateway seu, o que lhe dá a política de filtragem e os registos, mas concentra a carga de todos os sites num único circuito. Uma saída operada pelo provedor move política e registos para além do limite contratual, o que simplifica a operação e lhe retira a visibilidade no mesmo gesto. Uma saída em cada site mantém o tráfego público local e multiplica o número de superfícies de política que têm de permanecer idênticas.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Pergunte qual dos três o provedor realmente oferece antes de tratar a lista como um menu, e pergunte se um site pode passar de um para outro sem um novo circuito. A resposta sobre migração separa o que é contratual do que é apenas técnico. Anote também quem é dono da tradução de origem, porque isso decide o que um parceiro deve colocar na lista de permissões. Gateways partilhados também significam capacidade partilhada e, por vezes, reputação partilhada, o que muda a forma como os parceiros tratam os seus endereços. A capacidade merece a sua própria pergunta, porque um gateway partilhado está a servir outros clientes no mesmo momento.
A filtragem, a tradução e a cifra têm proprietários separados
Uma rota estabelece alcançabilidade e não diz nada sobre inspeção, por isso trate as duas como perguntas diferentes com proprietários diferentes. Para cada rota predefinida anunciada, nomeie o dispositivo que filtra, o que autentica, o que traduz e o que inspeciona, e depois nomeie quem administra cada um. A separação de rotas do provedor não diz onde a cifra termina, e um serviço privado pode terminar o seu túnel numa fronteira enquanto a saída pública termina noutra. Pergunte se a tradução acontece na borda do provedor, num gateway partilhado ou na sua própria saída, e se existem registos de sessão e por quanto tempo. Conte os proprietários nas respostas, porque um contrato que nomeia uma parte para quatro tarefas costuma deixar três delas sem documentação.
Uma rota predefinida ampla importada para o contexto de encaminhamento privado merece o mesmo escrutínio, porque uma importação é um acordo deliberado e não uma conveniência inócua. A secção 11 da RFC 4364 percorre vários arranjos de acesso à internet para VPN BGP/MPLS e trata a troca de rotas entre o contexto VPN e o contexto de encaminhamento predefinido do provedor exatamente como esse tipo de acordo. Pergunte o que impede o tráfego público de tomar um caminho privado por acidente, e obtenha a resposta ao lado da política de rotas e não num slide.
Dois casos de falha a acordar antes de assinar
Escreva dois testes no contrato: perder a saída de internet e perder uma ligação privada. Para cada um, liste os recursos internos, os serviços de internet locais e os caminhos de gestão que têm de continuar a funcionar. Liste depois o caminho de recurso que tem de permanecer bloqueado, porque um caminho que contorna os controlos centrais é pior do que uma interrupção limpa. Entregue ambos os testes ao provedor e peça o resultado esperado por escrito, incluindo deteção e notificação.
Execute as mesmas verificações a partir de um site piloto e compare-as com essa resposta escrita. Onde as duas não coincidem, o contrato descreve uma rede diferente da que comprou. Dois comandos cobrem os casos comuns: um mostra o caminho que um destino público percorre, o outro mostra o endereço que ele vê.
traceroute -n 203.0.113.10
curl -s https://example.net/ipLigue os compromissos de disponibilidade ao segmento que mediu, não ao nome do serviço. Um circuito local, uma espinha dorsal do provedor e um gateway partilhado carregam obrigações separadas e equipas de escalação separadas. As letras L2VPN, L3VPN e MPLS descrevem um mecanismo de encaminhamento, não uma garantia de ponta a ponta.
As provas vencem os adjetivos da proposta
Palavras como redundante, seguro e resiliente descrevem uma intenção e não um desenho. Peça antes a lista de dispositivos, as localizações de saída, o esquema de tradução e o caminho de notificação. Um provedor que consegue produzir esses quatro itens tem um desenho; o que não consegue tem um slide. Mantenha as respostas na documentação do serviço e não num fio de correio eletrónico, e reveja-as em cada alteração de contrato.
Os arranjos de saída movem-se em silêncio à medida que os provedores consolidam gateways, por isso um diagrama de há três anos é um peso. Quando um parceiro reporta um endereço de origem desconhecido, deve conseguir dizer em minutos se veio do seu desenho ou de uma alteração que ninguém anunciou. Essa capacidade, e não os adjetivos, é o que sobrevive à primeira queda.