Ku del në të vërtetë dalja në internet e VPN-së tuaj të menaxhuar
«Interneti i përfshirë» nuk thotë asgjë për atë se ku del trafiku publik, kush e filtron ose çfarë i mbijeton një dështimi. Ndiqni rrugën dhe më pas shkruani të dy rastet e dështimit.
Nuk mund të thoni kush e filtron trafikun publik të një dege derisa propozimi të tregojë ku ai trafik e lë rrjetin e ofruesit. Qasja në internet e përfshirë në një VPN të menaxhuar është një shërbim i dytë, që kalon në një rrugë me porta të vetat, përkthimin e vet të adresave dhe radhën e vet të eskaluar. Shumica e kontratave e përshkruajnë anën private në detaje dhe anën publike e lënë në një fjali. Kontrollet më poshtë e kthejnë atë fjali në një diagram që mund ta mbroni.
Ndiqni një destinacion publik për çdo vend
Zgjidhni një host dege dhe ndiqni një destinacion publik, duke shënuar adresën e fundit që i përket ofruesit dhe të parën që i përket internetit. Kërcimi midis këtyre dy adresave është dalja, dhe shpesh nuk ndodhet askund pranë vendit që dërgoi paketën. Shënoni pajisjen që kryen kalimin, sepse pikërisht ajo pajisje mban filtrin që vendos çfarë del. Përsëritni gjurmimin nga një vend i dytë dhe krahasoni adresat e daljes, sepse dy dege që duken njësoj në faturë mund të dalin përmes portave të ndryshme në qytete të ndryshme.
Shënoni edhe adresën e burimit që destinacioni sheh në të vërtetë, sepse përkthimi mund të ndodhë në një kërcim që nuk e keni vizatuar kurrë. Shkruani përgjigjet e vëzhguara pranë atyre të vizatuara, dhe hendeku midis tyre është vendi nga do të vijë incidenti i parë. Një inxhinier i ofruesit që nuk mund të japë adresën e daljes për një vend të caktuar ju ka thënë tashmë diçka të dobishme për dizajnin.
Tre rregullime daljeje dhe çfarë përqendron secili
Një dalje qendrore që e menaxhoni vetë e tërheq trafikun publik drejt një porte tuajën, gjë që ju jep politikën e filtrimit dhe regjistrat, por përqendron ngarkesën e të gjitha vendeve në një qark të vetëm. Një dalje e menaxhuar nga ofruesi i zhvendos politikën dhe regjistrat përtej kufirit të kontratës, gjë që thjeshton operimin dhe ju heq dukshmërinë në të njëjtin lëvizje. Një dalje në çdo vend e mban trafikun publik lokal dhe shumëfishon numrin e sipërfaqeve të politikës që duhet të mbeten identike.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Pyetni cilën nga të tre ofron vërtet ofruesi përpara se ta trajtoni listën si menu, dhe pyetni nëse një vend mund të kalojë midis tyre pa një qark të re. Përgjigjja për migrimin ndan atë kontraktuale nga ajo thjesht teknike. Shënoni edhe kush e zotëron përkthimin e burimit, sepse kjo vendos çfarë duhet të vendosë një partner në listën e lejeve. Portat e përbashkëta nënkuptojnë edhe kapacitet të përbashkët dhe ndonjëherë reputacion të përbashkët, gjë që ndryshon mënyrën se si partnerët i trajtojnë adresat tuaja. Kapaciteti meriton pyetjen e vet, sepse një portë e përbashkët u shërben klientëve të tjerë në të njëjtin moment.
Filtrimi, përkthimi dhe kriptimi kanë pronarë të veçantë
Një rrugë vendos arritshmërinë dhe nuk thotë asgjë për inspektimin, ndaj trajtoji të dyja si pyetje të ndryshme me pronarë të ndryshëm. Për çdo rrugë të paracaktuar të shpallur, emërtoni pajisjen që filtron, pajisjen që vërteton, pajisjen që përkthen dhe pajisjen që inspekton, pastaj emërtoni kush administron secilën. Ndarja e rrugëve nga ofruesi nuk thotë ku mbaron kriptimi, dhe një shërbim privat mund ta përfundojë tunelin e vet në një kufi ndërsa dalja publike përfundon në një tjetër. Pyetni nëse përkthimi ndodh në skajin e ofruesit, në një portë të përbashkët apo në daljen tuaj, dhe nëse ka regjistra sesioni dhe sa kohë ruhen. Numëroni pronarët në përgjigje, sepse një kontratë që emërton një palë për katër punë zakonisht lë tre prej tyre të padokumentuara.
Një rrugë e paracaktuar e gjerë e importuar në kontekstin e rrugëzimit privat meriton të njëjtin shqyrtim, sepse importimi është marrëveshje e qëllimshme dhe jo lehtësi e pafajshme. Seksioni 11 i RFC 4364 kalon nëpër disa rregullime të qasjes në internet për VPN BGP/MPLS dhe e trajton shkëmbimin e rrugëve midis kontekstit të VPN-së dhe kontekstit të paracaktuar të përcjelljes së ofruesit pikërisht si atë lloj marrëveshjeje. Pyetni çfarë e pengon trafikun publik të marrë aksidentalisht një rrugë private, dhe merrni përgjigjen pranë politikës së rrugëve dhe jo në një slide.
Dy raste dështimi për t'u rënë dakord përpara nënshkrimit
Shkruani dy teste në kontratë: humbja e daljes në internet dhe humbja e një lidhjeje private. Për secilin, renditni burimet e brendshme, shërbimet lokale të internetit dhe rrugët e administrimit që duhet të vazhdojnë të punojnë. Pastaj renditni rrugën alternative që duhet të mbetet e bllokuar, sepse një rrugë që anashkalon kontrollet qendrore është më e keqe se një ndërprerje e pastër. Jepjani të dy testet ofruesit dhe kërkoni rezultatin e tyre të pritur me shkrim, duke përfshirë zbulimin dhe njoftimin.
Ekzekutoni të njëjtat kontrolle nga një vend pilot dhe krahasojini me atë përgjigje me shkrim. Aty ku të dyja nuk përputhen, kontrata përshkruan një rrjet të ndryshëm nga ai që keni blerë. Dy komanda mbulojnë rastet e zakonshme: njëra tregon rrugën që merr një destinacion publik, tjetra adresën që ai sheh.
traceroute -n 203.0.113.10
curl -s https://example.net/ipLidhni angazhimet e disponueshmërisë me segmentin që keni matur, jo me emrin e shërbimit. Një qark lokal, shtylla kurrizore e ofruesit dhe një portë e përbashkët mbajnë detyrime të veçanta dhe ekipe eskalimi të veçanta. Shkronjat L2VPN, L3VPN dhe MPLS përshkruajnë një mekanizëm përcjelljeje, jo një garanci nga skaji në skaj.
Provat i mundin mbiemrat e propozimit
Fjalë si i tepërt, i sigurt dhe i qëndrueshëm përshkruajnë një qëllim dhe jo një dizajn. Kërkoni në vend të kësaj listën e pajisjeve, vendndodhjet e daljes, skemën e përkthimit dhe rrugën e njoftimit. Një ofrues që mund t'i prodhojë ato katër elemente ka një dizajn; ai që nuk mundet ka një slide. Mbajini përgjigjet në dokumentacionin e shërbimit dhe jo në një fije e-maili, dhe rishikojini në çdo ndryshim kontrate.
Rregullimet e daljes lëvizin në heshtje ndërsa ofruesit konsolidojnë portat, ndaj një diagram tre vjeçar është barrë. Kur një partner raporton një adresë burimi të panjohur, duhet të mund të thoni brenda pak minutash nëse erdhi nga dizajni juaj apo nga një ndryshim që askush nuk e shpalli. Pikërisht ajo aftësi, dhe jo mbiemrat, i mbijeton dështimit të parë.