Одакле заиста излази интернет излаз вашег управљаног VPN-а
„Интернет је укључен“ не говори ништа о томе одакле излази јавни саобраћај, ко га филтрира или шта преживи квар. Пратите пут, а затим напишите оба случаја квара.
Не можете рећи ко филтрира јавни саобраћај огранка док предлог не покаже одакле тај саобраћај напушта мрежу провајдера. Интернет приступ укључен у управљани VPN је друга услуга, која иде путем са сопственим портима, сопственим превођењем адреса и сопственим редом за ескалацију. Већина уговора детаљно описује приватну страну, а јавну страну оставља на једну реченицу. Провере испод претварају ту реченицу у дијаграм који можете да браните.
Пратите једну јавну дестинацију по локацији
Изаберите домаћин у огранку и пратите једну јавну дестинацију, бележећи последњу адресу која припада провајдеру и прву која припада интернету. Скок између те две адресе је излаз, и он се често налази далеко од локације која је послала пакет. Означите уређај који обавља прелаз, јер тај уређај држи филтер који одлучује шта излази. Поновите праћење са друге локације и упоредите излазне адресе, јер две огранке које на фактури изгледају исто могу да изађу кроз различите порте у различитим градовима.
Забележите и изворну адресу коју дестинација заиста види, јер превођење може да се догоди на скоку који никада нисте нацртали. Запишите уочене одговоре поред нацртаних, и јаз између њих је место одакле ће доћи први инцидент. Инжењер провајдера који не може да да излазну адресу за дату локацију већ вам је рекао нешто корисно о дизајну.
Три распореда излаза и шта сваки концентрише
Централни излаз који сами водите вуче јавни саобраћај на ваш сопствени порт, што вам даје политику филтрирања и дневнике, али сабија оптерећење свих локација на један вод. Излаз који води провајдер преноси политику и дневнике преко границе уговора, што поједностављује рад и истим потезом вам одузима видљивост. Излаз на свакој локацији задржава јавни саобраћај локалним и умножава број површина политике које морају да остану идентичне.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Питајте који од три провајдер заиста нуди пре него што листу третирате као мени, и питајте да ли локација може да прелази између њих без новог вода. Одговор о миграцији раздваја уговорно од пуко техничког. Забележите и ко поседује превођење изворне адресе, јер то одлучује шта партнер мора да стави на листу дозвола. Дељени портови значе и дељени капацитет, а понекад и дељени углед, што мења како партнери третирају ваше адресе. Капацитет заслужује сопствено питање, јер дељени порт у том тренутку служи другим корисницима.
Филтрирање, превођење и шифровање имају одвојене власнике
Рута успоставља доступност и не говори ништа о инспекцији, па та два питања третирајте као различита, са различитим власницима. За сваку оглашену подразумевану руту наведите уређај који филтрира, уређај који проверава идентитет, уређај који преводи и уређај који инспектује, а затим наведите ко управља сваким. Раздвајање рута код провајдера не каже где се шифровање завршава, а приватна услуга може да заврши свој тунел на једној граници док јавни излаз завршава на другој. Питајте да ли се превођење дешава на ивици провајдера, на дељеном порту или на вашем сопственом излазу, и постоје ли дневници сесија и колико дуго. Пребројте власнике у одговорима, јер уговор који именује једну страну за четири посла обично оставља три од њих без документације.
Широка подразумевана рута увезена у контекст приватног рутирања заслужује исто преиспитивање, јер увоз је намерни договор, а не безопасна погодност. Одељак 11 RFC 4364 пролази кроз неколико распореда интернет приступа за BGP/MPLS VPN-ове и третира размену рута између VPN контекста и провајдеровог подразумеваног контекста прослеђивања управо као такав договор. Питајте шта спречава јавни саобраћај да случајно крене приватним путем, и добијте одговор уз политику рута, а не у слајду.
Два случаја квара о којима треба постићи договор пре потписа
Упишите два теста у уговор: губитак интернет излаза и губитак једне приватне везе. За сваки наведите унутрашње ресурсе, локалне интернет услуге и путеве управљања који морају да наставе да раде. Затим наведите резервни пут који мора да остане блокиран, јер пут око централних контрола гори је од чистог прекида. Дајте оба теста провајдеру и затражите њихов очекивани резултат у писаној форми, укључујући откривање и обавештење.
Изведите исте провере са пилот локације и упоредите их са тим писаним одговором. Где се двоје разилазе, уговор описује другу мрежу од оне коју сте купили. Две команде покривају уобичајене случајеве: једна показује пут којим јавна дестинација пролази, друга показује адресу коју види.
traceroute -n 203.0.113.10
curl -s https://example.net/ipОбавезе доступности вежите за сегмент који сте измерили, а не за назив услуге. Локални вод, провајдерова кичма и дељени порт носе одвојене обавезе и одвојене тимове за ескалацију. Слова L2VPN, L3VPN и MPLS описују механизам прослеђивања, а не гаранцију од краја до краја.
Докази су јачи од придева у предлогу
Речи попут редундантно, безбедно и отпорно описују намеру, а не дизајн. Уместо тога тражите листу уређаја, локације излаза, шему превођења и пут обавештења. Провајдер који може да пружи те четири ставке има дизајн; онај који не може има слајд. Држите одговоре у документацији услуге, а не у е-маил нити, и прегледајте их при свакој промени уговора.
Распореди излаза се тихо мењају док провајдери спајају портове, па је дијаграм стар три године терет. Када партнер пријави непознату изворну адресу, требало би да у неколико минута кажете да ли долази из вашег дизајна или из промене коју нико није најавио. Та способност, а не придеви, је оно што преживи први испад.