Выделенная линия для VPN? Сначала переведите требование

В предложении названа конкретная выделенная линия для офисного VPN, а число приходит без объяснений. Прежде чем подписывать, разбейте фразу на четыре требования, которые она на самом деле скрывает: физическое подключение, порядок доставки IP, ёмкость в обе стороны и обязательство по поддержке за каналом. Проверяйте их как ворота именно в этом порядке, потому что канал, провалившийся на подключении, не спасёт большая цифра пропускной способности. Затем сверьте поставленное с тем, что вы записали.

Переводите требование, а не название продукта

IPsec защищает трафик на уровне IP и оставляет передачу тому каналу, который вы покупаете. Архитектура IPsec описывает, как трафик защищается между узлами; она ничего не говорит о типе подключения, гарантированных скоростях или сроках ремонта. Это свойства договора об услуге.

Именно это различие и есть вся причина, по которой требование к каналу может быть законным и при этом не быть требованием к VPN. Шлюзу с одним лишь последовательным интерфейсом действительно нужен последовательный порт, и это аппаратное ограничение, а не протокольное. Замените устройство — и ограничение исчезнет. Записывайте каждое требование в виде «шлюзу нужно X, потому что Y» и отвергайте любую строку, которую нельзя завершить.

Назовите подключение до того, как назовёте скорость

Подключение — это физическое соединение и соединение канального уровня в точке демаркации: медный Ethernet, оптика с конкретным трансивером, последовательный интерфейс или что-то более старое, что существует только потому, что оно есть у текущего устройства. Ошибка здесь дорога так, как пропускная способность не бывает дорогой, потому что обычно это означает новое оборудование на обоих концах. Отсутствующий оптический модуль — не проблема ёмкости, и никакое обновление его не исправит.

Уточните разъём, согласование скорости и то, кто поставляет медиаконвертер или маршрутизатор. Затем уточните, где заканчивается ваша ответственность, потому что точка демаркации решает, кому что можно трогать, когда линия падает в 03:00. Запишите эту границу в запись рядом с идентификатором канала. Это единственная строка, которая превращает звонок в поддержку в пятиминутный разговор вместо часа переводов.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Уточните доставку IP, а не только адрес

Спросите, какой адрес или префикс услуга действительно доставляет и статичен ли он. Канал, выдающий динамический адрес, плохо подходит для шлюза между площадками, потому что конфигурация партнёра должна пережить изменение, которое вы не планировали. Уточните и длину префикса, поскольку один адрес и маршрутизируемый /29 — разные продукты.

Затем спросите, не транслирует ли адрес что-нибудь до того, как он дойдёт до вас. NAT на стороне провайдера или операторский NAT перед услугой ломает входящие сеансы, поэтому шлюз, который рассчитывает принимать IPsec с удалённых площадок, становится недостижим. Скорость этого не компенсирует: быстрый канал за транслятором, который вы не контролируете, всё равно не примет входящее соединение на порт, который никто не пробрасывает.

Запишите, кому принадлежат маршрутизатор и DNS. Если маршрутизатор поставляет провайдер, вы наследуете его прошивку, его поведение NAT и его представление о маршруте по умолчанию, и каждое последующее изменение идёт через заявку. Попросите кого-нибудь вне вашей сети попробовать входящее соединение на порт, который, по вашему мнению, должен быть доступен, потому что это единственный тест, доказывающий историю с трансляцией.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Считайте ёмкость от нагрузки, в обе стороны

Ёмкость нужно описывать в терминах работы, а не в цифре на пользователя. Массовый доступ к файлам, интерактивное администрирование и ночная резервная копия создают разные профили трафика, и только один из них заботится о постоянной исходящей пропускной способности. Цифра полосы на рабочее место — удобство для продаж, а не модель.

Оцените оба направления, добавьте накладные расходы инкапсуляции и отметьте, является ли трафик импульсным или постоянным. Затем проверьте гарантированную, а не рекламную скорость договора, потому что допуск на всплеск, истекающий через несколько секунд, ночной резервной копии не поможет. Учтите в том же бюджете и собственные пределы шлюза: обработка шифрования и число одновременных сеансов могут стать ограничением намного раньше канала. Более быстрая линия не исправит перегруженный шлюз.

Закрепите эксплуатационные обязательства

Доступность, реакция на ремонт, путь эскалации и уведомление о работах должны быть письменными, с названным методом измерения. Рекламная скорость интернета не устанавливает ни одного из этих свойств, как и маркетинговая страница, обещающая надёжность без определения сбоя. Спросите, как стартуют часы, потому что время реакции, измеренное от подтверждения провайдера, — не то же число, что измеренное от вашего оповещения мониторинга. Эти два определения могут расходиться на часы, и никто не будет лгать.

Запишите и границу поддержки. Если ответственность провайдера заканчивается на подключении, которое завершает ваш маршрутизатор, первый час каждого инцидента уходит на решение, чья это вина, и никакие часы SLA его не покрывают.

Проверьте канал по письменным условиям

Как только услуга заработает, измеряйте те свойства, которые вы действительно законтрактовали, а не те, что продемонстрировал установщик. Пропускная способность, задержка и потери на реальном пути — это доказательства, и их следует фиксировать в названное вами время и из названного места. Повторите измерение в загруженный час, а не только при сдаче. Приёмочный тест, проведённый в 10:00 в спокойный день, мало что говорит о линии в 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Храните результаты вместе с договором, потому что разговор о производительности без базовой линии — спор о впечатлениях. Если измерение не дотягивает до обязательства, поднимайте вопрос, пока доказательства свежи и пока услуга ещё внутри приёмочного окна, которое даёт договор. Именованный хост в запросе также сохраняет действительным рукопожатие TLS, поэтому предупреждение сертификата не спутают с отказавшим каналом.

Наконец, перечитайте четыре ворота против того, что было поставлено. Подключение, доставка IP, ёмкость и условия поддержки — у каждого есть строка в записи, и у каждой строки рядом есть имя.