Откуда на самом деле выходит интернет-трафик вашей управляемой VPN
«Интернет включён» ничего не говорит о том, откуда выходит публичный трафик, кто его фильтрует и что уцелеет при сбое. Проследите путь, а затем опишите оба сценария отказа.
Вы не можете сказать, кто фильтрует публичный трафик филиала, пока предложение не покажет, где этот трафик покидает сеть провайдера. Доступ в интернет, включённый в управляемую VPN, — это вторая услуга, которая идёт по пути со своими шлюзами, своим преобразованием адресов и своей очередью эскалации. Большинство договоров подробно описывают частную сторону и оставляют публичную сторону на одно предложение. Проверки ниже превращают это предложение в схему, которую вы сможете защитить.
Проследите один публичный адрес назначения на каждую площадку
Выберите хост в филиале и проследите один публичный адрес назначения, отметив последний адрес, принадлежащий провайдеру, и первый, принадлежащий интернету. Переход между этими двумя адресами и есть выход, и часто он находится далеко от площадки, отправившей пакет. Отметьте устройство, которое выполняет переход, потому что именно на нём стоит фильтр, решающий, что выйдет наружу. Повторите трассировку со второй площадки и сравните адреса выхода, потому что два филиала, одинаковых в счёте, могут выходить через разные шлюзы в разных городах.
Отметьте также адрес источника, который адресат действительно видит, потому что преобразование может произойти на переходе, который вы никогда не рисовали. Запишите наблюдаемые ответы рядом с нарисованными, и разрыв между ними — это место, откуда придёт первый инцидент. Инженер провайдера, который не может назвать адрес выхода для данной площадки, уже сказал вам кое-что полезное о проекте.
Три схемы выхода и что каждая концентрирует
Центральный выход, которым управляете вы, тянет публичный трафик на ваш собственный шлюз, что даёт вам политику фильтрации и журналы, но концентрирует нагрузку всех площадок на одном канале. Выход, которым управляет провайдер, переносит политику и журналы за границу договора, что упрощает эксплуатацию и тем же движением лишает вас видимости. Выход на каждой площадке держит публичный трафик локальным и умножает число поверхностей политики, которые должны оставаться одинаковыми.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Спросите, какую из трёх схем провайдер действительно предлагает, прежде чем считать список меню, и спросите, может ли площадка переходить между ними без нового канала. Ответ о миграции отделяет договорное от чисто технического. Отметьте и то, кому принадлежит преобразование адресов источника, потому что от этого зависит, что партнёр должен внести в список разрешённых. Общие шлюзы означают также общую ёмкость и иногда общую репутацию, а это меняет то, как партнёры относятся к вашим адресам. Ёмкость тоже заслуживает отдельного вопроса, потому что общий шлюз в этот момент обслуживает других клиентов.
Фильтрация, преобразование и шифрование имеют разных владельцев
Маршрут обеспечивает достижимость и ничего не говорит о проверке, поэтому рассматривайте их как разные вопросы с разными владельцами. Для каждого объявленного маршрута по умолчанию назовите устройство, которое фильтрует, устройство, которое аутентифицирует, устройство, которое преобразует, и устройство, которое инспектирует, а затем назовите того, кто администрирует каждое. Разделение маршрутов у провайдера не говорит, где заканчивается шифрование, и частная услуга может завершить свой туннель на одной границе, тогда как публичный выход завершается на другой. Спросите, происходит ли преобразование на краю провайдера, на общем шлюзе или на вашем собственном выходе, и существуют ли журналы сеансов и как долго они хранятся. Посчитайте владельцев в ответах, потому что договор, называющий одну сторону для четырёх задач, обычно оставляет три из них без документации.
Широкий маршрут по умолчанию импортированный в контекст частной маршрутизации заслуживает такой же проверки, потому что импорт — это осознанная договорённость, а не безобидное удобство. Раздел 11 RFC 4364 разбирает несколько схем доступа в интернет для сетей BGP/MPLS VPN и трактует обмен маршрутами между контекстом VPN и контекстом передачи по умолчанию у провайдера именно как такую договорённость. Спросите, что мешает публичному трафику случайно уйти на частный путь, и получите ответ рядом с политикой маршрутов, а не на слайде.
Два сценария отказа, о которых нужно договориться до подписания
Внесите в договор два теста: потеря интернет-выхода и потеря одного частного подключения. Для каждого перечислите внутренние ресурсы, локальные интернет-сервисы и пути управления, которые должны продолжать работать. Затем перечислите резервный путь, который должен оставаться заблокированным, потому что путь в обход центральных средств контроля хуже чистого простоя. Отдайте оба теста провайдеру и потребуйте ожидаемый результат в письменном виде, включая обнаружение и уведомление.
Выполните те же проверки с пилотной площадки и сравните их с этим письменным ответом. Там, где эти два расходятся, договор описывает другую сеть, а не ту, которую вы купили. Две команды покрывают обычные случаи: одна показывает путь, которым идёт публичный адресат, другая — адрес, который он видит.
traceroute -n 203.0.113.10
curl -s https://example.net/ipПривязывайте обязательства по доступности к измеренному сегменту, а не к названию услуги. Местный канал, магистраль провайдера и общий шлюз несут отдельные обязательства и отдельные команды эскалации. Буквы L2VPN, L3VPN и MPLS описывают механизм передачи, а не гарантию от края до края.
Доказательства сильнее прилагательных в предложении
Слова вроде избыточный, безопасный и устойчивый описывают намерение, а не проект. Вместо этого запросите список устройств, места выхода, схему преобразования и путь уведомления. Провайдер, который может предоставить эти четыре пункта, имеет проект; тот, кто не может, имеет слайд. Держите ответы в документации услуги, а не в почтовой ветке, и пересматривайте их при каждом изменении договора.
Схемы выхода тихо меняются, пока провайдеры объединяют шлюзы, поэтому схема трёхлетней давности — обуза. Когда партнёр сообщает о незнакомом адресе источника, вы должны в течение нескольких минут сказать, пришёл ли он из вашего проекта или из изменения, о котором никто не объявлял. Именно эта способность, а не прилагательные, уцелевает после первого сбоя.