Pe unde iese de fapt ieșirea de internet a VPN-ului dumneavoastră administrat
„Internet inclus” nu spune nimic despre unde iese traficul public, cine îl filtrează sau ce supraviețuiește unei defecțiuni. Urmați calea, apoi scrieți ambele cazuri de defecțiune.
Nu puteți spune cine filtrează traficul public al unei sucursale până când propunerea nu arată pe unde acel trafic părăsește rețeaua furnizorului. Accesul la internet inclus într-un VPN administrat este un al doilea serviciu, care merge pe o cale cu propriile porți, propria traducere de adrese și propria coadă de escaladare. Majoritatea contractelor descriu partea privată în detaliu și lasă partea publică pe seama unei singure propoziții. Verificările de mai jos transformă acea propoziție într-o diagramă pe care o puteți apăra.
Urmați o singură destinație publică pe locație
Alegeți un host dintr-o sucursală și urmați o destinație publică, notând ultima adresă care aparține furnizorului și prima care aparține internetului. Saltul dintre cele două adrese este ieșirea, iar aceasta se află adesea departe de locația care a trimis pachetul. Marcați dispozitivul care face tranziția, pentru că acel dispozitiv ține filtrul care decide ce iese. Repetați urmărirea dintr-o a doua locație și comparați adresele de ieșire, pentru că două sucursale care arată identic pe factură pot ieși prin porți diferite în orașe diferite.
Notați și adresa sursă pe care destinația o vede efectiv, pentru că traducerea se poate produce la un salt pe care nu l-ați desenat niciodată. Scrieți răspunsurile observate lângă cele desenate, iar diferența dintre ele este locul de unde va veni primul incident. Un inginer al furnizorului care nu poate furniza adresa de ieșire pentru o locație dată v-a spus deja ceva util despre proiect.
Trei aranjamente de ieșire și ce concentrează fiecare
O ieșire centrală pe care o operați dumneavoastră trage traficul public către o poartă proprie, ceea ce vă dă politica de filtrare și jurnalele, dar concentrează încărcarea tuturor locațiilor pe un singur circuit. O ieșire operată de furnizor mută politica și jurnalele dincolo de granița contractuală, ceea ce simplifică operarea și vă ia vizibilitatea în aceeași mișcare. O ieșire în fiecare locație menține traficul public local și multiplică numărul de suprafețe de politică ce trebuie să rămână identice.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Întrebați care dintre cele trei este oferită efectiv de furnizor înainte de a trata lista ca pe un meniu, și întrebați dacă o locație se poate muta între ele fără un circuit nou. Răspunsul despre migrare separă ce este contractual de ce este doar tehnic. Notați și cine deține traducerea sursei, pentru că asta decide ce trebuie un partener să pună pe lista de permisiuni. Porțile partajate înseamnă și capacitate partajată și uneori reputație partajată, ceea ce schimbă modul în care partenerii tratează adresele dumneavoastră. Capacitatea merită propria întrebare, pentru că o poartă partajată deservește alți clienți în același moment.
Filtrarea, traducerea și criptarea au proprietari separați
O rută stabilește accesibilitatea și nu spune nimic despre inspecție, așa că tratați cele două ca întrebări diferite cu proprietari diferiți. Pentru fiecare rută implicită anunțată, numiți dispozitivul care filtrează, dispozitivul care autentifică, dispozitivul care traduce și dispozitivul care inspectează, apoi numiți cine administrează fiecare. Separarea rutelor la furnizor nu spune unde se termină criptarea, iar un serviciu privat își poate încheia tunelul la o graniță în timp ce ieșirea publică se încheie la alta. Întrebați dacă traducerea are loc la marginea furnizorului, la o poartă partajată sau la ieșirea dumneavoastră, și dacă există jurnale de sesiune și cât timp se păstrează. Numărați proprietarii din răspunsuri, pentru că un contract care numește o singură parte pentru patru sarcini lasă de obicei trei dintre ele nedocumentate.
O rută implicită largă importată în contextul de rutare privat merită aceeași examinare, pentru că un import este un acord deliberat și nu o comoditate inofensivă. Secțiunea 11 din RFC 4364 trece prin mai multe aranjamente de acces la internet pentru VPN BGP/MPLS și tratează schimbul de rute dintre contextul VPN și contextul implicit de expediere al furnizorului exact ca pe acel tip de acord. Întrebați ce împiedică traficul public să ia din greșeală o cale privată, și obțineți răspunsul lângă politica de rute, nu într-un slide.
Două cazuri de defecțiune de convenit înainte de semnare
Scrieți două teste în contract: pierderea ieșirii de internet și pierderea unei conexiuni private. Pentru fiecare, enumerați resursele interne, serviciile de internet locale și căile de administrare care trebuie să continue să funcționeze. Apoi enumerați calea de rezervă care trebuie să rămână blocată, pentru că o cale ocolind controalele centrale este mai rea decât o întrerupere curată. Dați ambele teste furnizorului și cereți rezultatul așteptat în scris, inclusiv detectarea și notificarea.
Rulați aceleași verificări dintr-o locație pilot și comparați-le cu acel răspuns scris. Acolo unde cele două nu se potrivesc, contractul descrie o altă rețea decât cea pe care ați cumpărat-o. Două comenzi acoperă cazurile obișnuite: una arată calea pe care o ia o destinație publică, cealaltă adresa pe care o vede.
traceroute -n 203.0.113.10
curl -s https://example.net/ipLegați angajamentele de disponibilitate de segmentul pe care l-ați măsurat, nu de numele serviciului. Un circuit local, un backbone al furnizorului și o poartă partajată poartă obligații separate și echipe de escaladare separate. Literele L2VPN, L3VPN și MPLS descriu un mecanism de expediere, nu o garanție de la un capăt la altul.
Dovezile înving adjectivele din propunere
Cuvinte precum redundant, sigur și rezilient descriu o intenție și nu un proiect. Cereți în schimb lista dispozitivelor, locațiile de ieșire, schema de traducere și calea de notificare. Un furnizor care poate produce aceste patru elemente are un proiect; cel care nu poate are un slide. Păstrați răspunsurile în documentația serviciului și nu într-un fir de e-mail, și revizuiți-le la fiecare modificare de contract.
Aranjamentele de ieșire se mișcă în tăcere pe măsură ce furnizorii consolidează porți, așa că o diagramă de acum trei ani este o povară. Când un partener raportează o adresă sursă necunoscută, ar trebui să puteți spune în câteva minute dacă a venit din proiectul dumneavoastră sau dintr-o schimbare pe care nimeni nu a anunțat-o. Această capacitate, și nu adjectivele, este ceea ce supraviețuiește primei căderi.