O linie dedicată pentru VPN? Tradu mai întâi cerința

Propunerea numește o linie dedicată anume pentru VPN-ul biroului, iar cifra vine fără nicio explicație. Înainte să semnezi, desparte fraza în cele patru cerințe pe care le ascunde de fapt: racordul fizic, modul de livrare a adreselor IP, capacitatea în ambele sensuri și angajamentul de suport din spatele circuitului. Tratează-le ca pe niște porți, în această ordine, fiindcă un circuit care eșuează la racord nu poate fi salvat de o cifră mai mare de bandă. Apoi verifică ce s-a livrat față de ce ai scris.

Tradu cerința, nu numele produsului

IPsec protejează traficul la nivel IP și lasă transportul în seama circuitului pe care îl cumperi. Arhitectura IPsec descrie cum este protejat traficul între parteneri; nu spune nimic despre tipul de racord, despre ratele garantate sau despre ferestrele de remediere. Acestea sunt proprietăți ale unui contract de serviciu.

Această distincție este întregul motiv pentru care o cerință de circuit poate fi legitimă și totuși să nu fie o cerință de VPN. Un gateway cu doar o interfață serială are într-adevăr nevoie de un racord serial, iar aceasta este o constrângere de hardware, nu de protocol. Înlocuiește echipamentul și constrângerea dispare. Scrie fiecare cerință sub forma „gateway-ul are nevoie de X pentru că Y” și respinge orice linie pe care nu o poți completa.

Numește racordul înainte de a numi viteza

Racordul este legătura fizică și de nivel de legătură din punctul de demarcare: Ethernet pe cupru, fibră cu un transceiver anume, o interfață serială sau ceva mai vechi care există doar pentru că echipamentul actual îl are. Să greșești aici costă scump într-un mod în care lățimea de bandă nu costă niciodată, fiindcă de obicei înseamnă hardware nou la ambele capete. Un modul optic lipsă nu este o problemă de capacitate și nicio actualizare nu o rezolvă.

Confirmă conectorul, negocierea vitezei și cine furnizează convertorul media sau routerul. Confirmă apoi unde se termină responsabilitatea ta, fiindcă punctul de demarcare decide cine are voie să atingă ce atunci când legătura cade la 03:00. Scrie această graniță în registru, lângă identificatorul circuitului. Este singura linie care transformă un apel la suport într-o conversație de cinci minute în loc de o oră de transfer.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Confirmă livrarea IP, nu doar adresa

Întreabă ce adresă sau prefix livrează de fapt serviciul și dacă este static. Un circuit care distribuie o adresă dinamică se potrivește prost unui gateway site-to-site, fiindcă configurația partenerului trebuie să supraviețuiască unei schimbări pe care nu ai planificat-o. Confirmă și lungimea prefixului, deoarece o singură adresă și un /29 rutat sunt produse diferite.

Întreabă apoi dacă ceva traduce adresa înainte să ajungă la tine. Un NAT la furnizor sau un NAT de operator în fața serviciului rupe sesiunile de intrare, așa că un gateway care se așteaptă să accepte IPsec de la site-uri la distanță devine inaccesibil. Viteza nu compensează: o legătură rapidă în spatele unui traducător pe care nu îl controlezi tot nu poate accepta o conexiune de intrare pe un port pe care nimeni nu îl redirecționează.

Notează cine deține routerul și DNS-ul. Dacă routerul este furnizat de operator, moștenești firmware-ul lui, comportamentul lui NAT și ideea lui despre ruta implicită, iar fiecare modificare ulterioară trece printr-un tichet. Pune pe cineva din afara rețelei tale să încerce o conexiune de intrare pe portul pe care te aștepți să fie accesibil, fiindcă acesta este singurul test care dovedește povestea traducerii.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimensionează capacitatea după volumul de lucru, în ambele sensuri

Capacitatea trebuie descrisă în termeni de muncă, nu în termeni de un număr pe utilizator. Accesul masiv la fișiere, administrarea interactivă și un backup peste noapte produc fiecare un tipar de trafic diferit, iar doar unul dintre ele este interesat de debitul de upload susținut. O cifră de bandă pe post este o comoditate comercială, nu un model.

Estimează ambele sensuri, adaugă suprasarcina de încapsulare și notează dacă traficul este în rafale sau susținut. Verifică apoi rata garantată din contract, nu rata de afiș, fiindcă o toleranță de rafale care expiră după câteva secunde nu ajută un backup nocturn. Ține limitele proprii ale gateway-ului în același buget, deoarece procesarea criptării și numărul de sesiuni concurente pot satura mult mai devreme decât circuitul. O linie mai rapidă nu repară un gateway saturat.

Fixează angajamentele operaționale

Disponibilitatea, timpul de remediere, calea de escaladare și notificarea de mentenanță trebuie să fie în scris, cu metoda de măsurare numită. O rată de internet de afiș nu stabilește niciuna dintre aceste proprietăți, iar o pagină de marketing care promite fiabilitate fără a defini o pană nici atât. Întreabă când pornește cronometrul, fiindcă un timp de răspuns măsurat de la confirmarea furnizorului nu este același număr cu unul măsurat de la alerta ta de monitorizare. Cele două definiții pot diferi cu ore fără ca cineva să mintă.

Notează și granița suportului. Dacă responsabilitatea furnizorului se termină la un racord pe care îl termină routerul tău, prima oră din fiecare incident se duce pe deciderea cui aparține defectul, iar niciun cronometru SLA nu o acoperă.

Verifică circuitul față de termenii scriși

Odată ce serviciul este în producție, măsoară proprietățile pe care le-ai contractat de fapt, nu pe cele pe care le-a demonstrat instalatorul. Debitul, latența și pierderea pe calea reală sunt dovada, iar ele trebuie capturate la un moment și dintr-un loc pe care le poți numi. Repetă măsurătoarea la o oră de vârf, nu doar la predare. Un test de acceptanță rulat la 10:00 într-o zi liniștită spune foarte puțin despre legătură la 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Păstrează rezultatele împreună cu contractul, fiindcă o discuție despre performanță fără o bază de comparație este o ceartă despre impresii. Dacă o măsurătoare ratează angajamentul, ridică problema cât timp dovezile sunt proaspete și cât timp serviciul este încă în fereastra de acceptanță prevăzută de contract. Un host numit în cerere menține de asemenea valid handshake-ul TLS, astfel încât un avertisment de certificat să nu fie confundat cu un circuit defect.

În final, recitește cele patru porți față de ce s-a livrat. Racordul, livrarea IP, capacitatea și termenii de suport au fiecare o linie în registru, iar fiecare linie are un nume alături.