Kadiaľ vlastne vychádza internetový výstup vašej spravovanej VPN

Nemôžete povedať, kto filtruje verejnú prevádzku pobočky, kým návrh neukáže, kadiaľ táto prevádzka opúšťa sieť poskytovateľa. Prístup na internet zabudovaný do spravovanej VPN je druhá služba, ktorá ide po ceste s vlastnými bránami, vlastným prekladom adries a vlastným radom eskalácie. Väčšina zmlúv podrobne opisuje súkromnú stranu a verejnú stranu necháva na jednu vetu. Kontroly nižšie premenia túto vetu na diagram, ktorý dokážete obhájiť.

Vystopujte jeden verejný cieľ na lokalitu

Vyberte hostiteľa v pobočke a vystopujte jeden verejný cieľ, pričom si poznačte poslednú adresu, ktorá patrí poskytovateľovi, a prvú, ktorá patrí internetu. Skok medzi týmito dvoma adresami je výstup a často nesedí nikde blízko lokality, ktorá paket odoslala. Označte zariadenie, ktoré prechod vykonáva, pretože práve toto zariadenie drží filter, ktorý rozhoduje, čo vyjde von. Zopakujte trasovanie z druhej lokality a porovnajte výstupné adresy, pretože dve pobočky, ktoré na faktúre vyzerajú rovnako, môžu vychádzať cez rôzne brány v rôznych mestách.

Poznamenajte si aj zdrojovú adresu, ktorú cieľ skutočne vidí, pretože preklad môže nastať na skoku, ktorý ste nikdy nenakreslili. Napíšte pozorované odpovede vedľa nakreslených a medzera medzi nimi je miesto, odkiaľ príde prvý incident. Inženier poskytovateľa, ktorý nedokáže dodať výstupnú adresu pre danú lokalitu, vám už povedal niečo užitočné o návrhu.

Tri usporiadania výstupu a čo každé koncentruje

Centrálny výstup, ktorý prevádzkujete sami, priťahuje verejnú prevádzku k vašej vlastnej bráne, čo vám dáva filtračnú politiku a záznamy, ale sústreďuje záťaž všetkých lokalít na jeden okruh. Výstup prevádzkovaný poskytovateľom presúva politiku a záznamy za hranicu zmluvy, čo zjednodušuje prevádzku a v tom istom pohybe vás zbavuje viditeľnosti. Výstup na každej lokalite drží verejnú prevádzku lokálne a násobí počet politických povrchov, ktoré musia zostať totožné.

Opýtajte sa, ktoré z troch poskytovateľ skutočne ponúka, skôr než začnete zoznam brať ako menu, a opýtajte sa, či lokalita môže medzi nimi prechádzať bez nového okruhu. Odpoveď o migrácii oddeľuje zmluvné od čisto technického. Poznamenajte si aj, kto vlastní preklad zdrojových adries, pretože to určuje, čo musí partner povoliť. Zdieľané brány znamenajú aj zdieľanú kapacitu a niekedy zdieľanú reputáciu, čo mení, ako partneri zaobchádzajú s vašimi adresami. Kapacita si zaslúži vlastnú otázku, pretože zdieľaná brána v tej chvíli obsluhuje iných zákazníkov.

Filtrovanie, preklad a šifrovanie majú oddelených vlastníkov

Trasa vytvára dostupnosť a o inšpekcii nehovorí nič, takže oboje berte ako rôzne otázky s rôznymi vlastníkmi. Pri každej inzerovanej predvolenej trase pomenujte zariadenie, ktoré filtruje, zariadenie, ktoré overuje identitu, zariadenie, ktoré prekladá, a zariadenie, ktoré inšpektuje, a potom pomenujte, kto spravuje ktoré. Oddelenie trás u poskytovateľa nehovorí, kde sa šifrovanie končí, a súkromná služba môže ukončiť svoj tunel na jednej hranici, zatiaľ čo verejný výstup končí na inej. Opýtajte sa, či preklad prebieha na okraji poskytovateľa, na zdieľanej bráne alebo na vašom vlastnom výstupe, a či existujú protokoly relácií a ako dlho. Spočítajte vlastníkov v odpovediach, pretože zmluva, ktorá vymenúva jednu stranu na štyri úlohy, zvyčajne necháva tri z nich nedokumentované.

Široká predvolená trasa importovaná do kontextu súkromného smerovania si zaslúži rovnakú kontrolu, pretože import je zámerná dohoda, nie neškodná výhoda. Oddiel 11 RFC 4364 prechádza niekoľkými usporiadaniami prístupu na internet pre siete BGP/MPLS VPN a výmenu trás medzi kontextom VPN a predvoleným preposielacím kontextom poskytovateľa berie presne ako takúto dohodu. Opýtajte sa, čo bráni tomu, aby sa verejná prevádzka omylom vydala súkromnou cestou, a odpoveď si vyžiadajte pri politikách trás, nie na prezentácii.

Dva scenáre výpadku, na ktorých sa dohodnúť pred podpisom

Napíšte do zmluvy dva testy: strata internetového výstupu a strata jedného súkromného prepojenia. Pri každom vymenujte vnútorné zdroje, lokálne internetové služby a cesty správy, ktoré musia ďalej fungovať. Potom vymenujte záložnú cestu, ktorá musí zostať zablokovaná, pretože cesta okolo centrálnych kontrol je horšia ako čistý výpadok. Dajte oba testy poskytovateľovi a vyžiadajte si ich očakávaný výsledok písomne, vrátane detekcie a oznámenia.

Spustite rovnaké testy z pilotnej lokality a porovnajte ich s touto písomnou odpoveďou. Kde sa obe rozchádzajú, zmluva opisuje inú sieť, než akú ste kúpili. Dva príkazy pokrývajú bežné prípady: jeden ukazuje cestu, ktorou sa verejný cieľ vydáva, druhý ukazuje adresu, ktorú vidí.

traceroute -n 203.0.113.10
curl -s https://example.net/ip

Záväzky dostupnosti viažte na segment, ktorý ste zmerali, nie na názov služby. Lokálny okruh, chrbtica poskytovateľa a zdieľaná brána nesú oddelené povinnosti a oddelené eskalačné tímy. Písmená L2VPN, L3VPN a MPLS opisujú mechanizmus preposielania, nie záruku od konca ku koncu.

Dôkazy porážajú prídavné mená v návrhu

Slová ako redundantný, bezpečný a odolný opisujú zámer, nie návrh. Namiesto toho si vyžiadajte zoznam zariadení, umiestnenia výstupov, schému prekladu a cestu oznámenia. Poskytovateľ, ktorý dokáže dodať tieto štyri položky, má návrh; ten, kto nie, má prezentáciu. Držte odpovede v dokumentácii služby, nie v e-mailovom vlákne, a pri každej zmene zmluvy ich prejdite znova.

Usporiadania výstupu sa ticho menia, ako poskytovatelia zlučujú brány, takže diagram starý tri roky je príťaž. Keď partner nahlási neznámu zdrojovú adresu, mali by ste do niekoľkých minút povedať, či pochádza z vášho návrhu alebo zo zmeny, ktorú nikto neohlásil. Práve táto schopnosť, a nie prídavné mená, prežije prvý výpadok.