Prenajatá linka pre VPN? Najprv preložte požiadavku

Návrh uvádza konkrétnu prenajatú linku pre VPN kancelárie a číslo prichádza bez vysvetlenia. Skôr než ju podpíšete, rozdeľte vetu na štyri požiadavky, ktoré v skutočnosti skrýva: fyzickú prípojku, spôsob dodania IP adries, kapacitu v oboch smeroch a záväzok podpory za spojením. Berte ich ako brány v tomto poradí, pretože spojenie, ktoré zlyhá na prípojke, nezachráni vyššie číslo priepustnosti. Potom overte, čo bolo dodané, proti tomu, čo ste zapísali.

Preložte požiadavku, nie názov produktu

IPsec chráni prevádzku na vrstve IP a prenos necháva na spojení, ktoré si kúpite. Architektúra IPsec opisuje, ako je prevádzka chránená medzi partnermi; nehovorí nič o type prípojky, garantovaných rýchlostiach ani opravných oknách. To sú vlastnosti zmluvy o službe.

Tento rozdiel je celý dôvod, prečo požiadavka na spojenie môže byť legitímna a napriek tomu nemusí byť požiadavkou na VPN. Brána len so sériovým rozhraním naozaj potrebuje sériovú prípojku, a to je hardvérové obmedzenie, nie protokolové. Vymeňte zariadenie a obmedzenie zmizne. Každú požiadavku píšte v tvare „brána potrebuje X, pretože Y“, a odmietnite každý riadok, ktorý neviete dokončiť.

Pomenujte prípojku skôr, než pomenujete rýchlosť

Prípojka je fyzické spojenie na vrstve prepojenia v demarkačnom bode: medený Ethernet, optika s konkrétnym transceiverom, sériové rozhranie alebo niečo staršie, čo existuje len preto, že ho má súčasné zariadenie. Pomýliť sa tu je drahé spôsobom, akým priepustnosť nikdy nie je, pretože to zvyčajne znamená nový hardvér na oboch koncoch. Chýbajúci optický modul nie je problém kapacity a žiadna modernizácia ho nevyrieši.

Potvrďte konektor, vyjednávanie rýchlosti a to, kto dodáva mediálny konvertor alebo router. Potom potvrďte, kde sa končí vaša zodpovednosť, pretože demarkačný bod rozhoduje, kto sa čoho smie dotknúť, keď spojenie padne o 03:00. Zapíšte tú hranicu do záznamu vedľa identifikátora spojenia. Je to jediný riadok, ktorý zmení volanie na podporu na päťminútový rozhovor namiesto hodiny odovzdávania.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Potvrďte dodanie IP, nielen adresu

Spýtajte sa, akú adresu alebo prefix služba skutočne dodáva a či je statická. Spojenie, ktoré prideľuje dynamickú adresu, sa slabo hodí pre bránu medzi lokalitami, pretože konfigurácia protistrany musí prežiť zmenu, ktorú ste nenaplánovali. Potvrďte aj dĺžku prefixu, keďže jedna adresa a routovaný /29 sú rôzne produkty.

Potom sa spýtajte, či niečo prekladá adresu skôr, než sa k vám dostane. NAT na strane poskytovateľa alebo operátorský NAT pred službou rozbíja prichádzajúce relácie, takže brána, ktorá očakáva prijímanie IPsec zo vzdialených lokalít, sa stane nedostupnou. Rýchlosť to nevynahradí: rýchle spojenie za prekladačom, ktorý nekontrolujete, stále nemôže prijať prichádzajúce spojenie na porte, ktorý nikto nepresmeruje.

Zapíšte, kto vlastní router a DNS. Ak router dodáva poskytovateľ, dedíte jeho firmware, jeho správanie NAT a jeho predstavu o predvolenej trase, a každá neskoršia zmena ide cez tiket. Nechajte niekoho mimo vašej siete vyskúšať prichádzajúce spojenie na port, ktorý považujete za dostupný, pretože je to jediný test, ktorý dokazuje príbeh prekladu.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimenzujte kapacitu podľa záťaže, v oboch smeroch

Kapacitu treba opísať v pojmoch práce, nie v pojmoch čísla na používateľa. Hromadný prístup k súborom, interaktívna správa a nočná záloha vytvárajú každý iný vzor prevádzky a len jeden z nich sa stará o trvalú odosielaciu priepustnosť. Číslo priepustnosti na pracovné miesto je predajná pohodlnosť, nie model.

Odhadnite oba smery, pripočítajte režijné náklady zapuzdrenia a poznamenajte, či je prevádzka nárazová alebo trvalá. Potom skontrolujte garantovanú rýchlosť zo zmluvy namiesto rýchlosti z titulku, pretože tolerancia nárazu, ktorá vyprší po niekoľkých sekundách, nočnej zálohe nepomôže. Držte vlastné limity brány v tom istom rozpočte, keďže spracovanie šifrovania a počet súbežných relácií môžu byť úzkym hrdlom oveľa skôr než spojenie. Rýchlejšie spojenie neopraví preťaženú bránu.

Ukotvite prevádzkové záväzky

Dostupnosť, čas opravy, eskalačná cesta a oznámenie o údržbe majú byť písomne, s uvedenou metódou merania. Rýchlosť internetu z titulku neustanovuje žiadnu z týchto vlastností, a ani marketingová stránka, ktorá sľubuje spoľahlivosť bez definície výpadku. Spýtajte sa, kedy sa spustia stopky, pretože čas odozvy meraný od potvrdenia poskytovateľa nie je to isté číslo ako ten meraný od vášho monitorovacieho upozornenia. Tieto dve definície sa môžu líšiť o hodiny a nikto nemusí klamať.

Zapíšte aj hranicu podpory. Ak sa zodpovednosť poskytovateľa končí na prípojke, ktorú ukončuje váš router, prvá hodina každého incidentu ide na rozhodovanie, čí je chyba, a žiadne stopky SLA to nepokrývajú.

Overte spojenie proti písomným podmienkam

Keď je služba v prevádzke, merajte vlastnosti, ktoré ste skutočne dohodli, a nie tie, ktoré predviedol montážnik. Priepustnosť, latencia a strata na skutočnej ceste sú dôkazom a mali by byť zachytené v čase a z miesta, ktoré viete pomenovať. Zopakujte meranie v špičke, nielen pri odovzdaní. Akceptačný test spustený o 10:00 v pokojný deň hovorí o spojení o 15:00 veľmi málo.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Uchovajte výsledky spolu so zmluvou, pretože diskusia o výkone bez základnej línie je spor o dojmy. Ak meranie nesplní záväzok, nahláste to, kým sú dôkazy čerstvé a kým je služba ešte v akceptačnom okne, ktoré zmluva poskytuje. Pomenovaný hostiteľ v požiadavke tiež udržiava platný handshake TLS, aby sa varovanie o certifikáte nezamenilo za pokazené spojenie.

Na záver si znova prečítajte štyri brány proti tomu, čo bolo dodané. Prípojka, dodanie IP, kapacita a podmienky podpory majú každý jeden riadok v zázname a pri každom riadku stojí meno.