En dedikerad lina för VPN:en? Översätt kravet först

Förslaget namnger en specifik dedikerad lina för kontorets VPN, och siffran kommer utan förklaring. Innan du skriver på, dela upp meningen i de fyra krav den egentligen döljer: den fysiska anslutningen, hur IP-adresserna levereras, kapaciteten i båda riktningarna och supportåtagandet bakom förbindelsen. Behandla dem som grindar i den ordningen, för en förbindelse som faller på anslutningen räddas inte av en högre bandbreddssiffra. Kontrollera sedan vad som levererats mot vad du skrev ner.

Översätt kravet, inte produktnamnet

IPsec skyddar trafiken på IP-nivå och lämnar transporten till vilken förbindelse du än köper. IPsec-arkitekturen beskriver hur trafiken skyddas mellan parter; den säger ingenting om anslutningstyp, garanterade hastigheter eller reparationstider. Det är egenskaper hos ett tjänsteavtal.

Den distinktionen är hela anledningen till att ett förbindelsekrav kan vara legitimt och ändå inte vara ett VPN-krav. En gateway med bara ett seriegränssnitt behöver verkligen en seriell anslutning, och det är en hårdvarubegränsning snarare än en protokollbegränsning. Byt ut utrustningen och begränsningen försvinner. Skriv varje krav i formen ”gatewayen behöver X eftersom Y”, och avvisa varje rad som du inte kan slutföra.

Namnge anslutningen innan du namnger hastigheten

Anslutningen är den fysiska förbindelsen på länknivå vid demarkationspunkten: koppar-Ethernet, fiber med en specifik transceiver, ett seriegränssnitt, eller något äldre som bara finns för att den nuvarande utrustningen har det. Att göra fel här är dyrt på ett sätt som bandbredd aldrig är, eftersom det oftast betyder ny hårdvara i båda ändar. En saknad optik är inte ett kapacitetsproblem och ingen uppgradering åtgärdar det.

Bekräfta kontakten, hastighetsförhandlingen och vem som levererar mediakonvertern eller routern. Bekräfta sedan var ditt ansvar slutar, för demarkationspunkten avgör vem som får röra vad när förbindelsen går ner klockan 03:00. Skriv in den gränsen i protokollet bredvid förbindelsens identifierare. Det är den enda raden som gör ett supportärende till ett femminuterssamtal i stället för en timmes överlämning.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Bekräfta IP-leveransen, inte bara adressen

Fråga vilken adress eller vilket prefix tjänsten faktiskt levererar, och om den är statisk. En förbindelse som delar ut en dynamisk adress passar dåligt för en gateway mellan platser, eftersom motpartens konfiguration måste överleva en ändring som du inte planerat. Bekräfta också prefixlängden, eftersom en enda adress och ett routat /29 är olika produkter.

Fråga sedan om något översätter adressen innan den når dig. En NAT hos leverantören eller en operatörsnivå-NAT framför tjänsten bryter inkommande sessioner, så en gateway som förväntar sig att ta emot IPsec från fjärrplatser går inte att nå. Hastighet kompenserar inte: en snabb länk bakom en översättare som du inte styr kan fortfarande inte ta emot en inkommande anslutning på en port som ingen vidarebefordrar.

Anteckna vem som äger routern och DNS:en. Om leverantören tillhandahåller routern ärver du dess firmware, dess NAT-beteende och dess uppfattning om en standardrutt, och varje senare ändring går via ett ärende. Låt någon utanför ditt nätverk försöka med en inkommande anslutning till den port du tror är nåbar, för det är det enda testet som bevisar översättningshistorien.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Dimensionera kapaciteten utifrån arbetslasten, i båda riktningarna

Kapacitet måste beskrivas i termer av arbete, inte i termer av en siffra per användare. Massiv filåtkomst, interaktiv administration och en nattlig säkerhetskopiering ger var och en ett olikt trafikmönster, och bara en av dem bryr sig om uthållig uppströmseffekt. En bandbreddssiffra per plats är en säljförenkling, inte en modell.

Uppskatta båda riktningarna, lägg till inkapslingsöverheaden och notera om trafiken är burstig eller uthållig. Kontrollera sedan avtalets garanterade hastighet i stället för dess rubrikhastighet, för en bursttolerans som löper ut efter några sekunder hjälper inte en nattlig säkerhetskopiering. Håll gatewayens egna gränser i samma budget, eftersom krypteringsbearbetning och antalet samtidiga sessioner kan sätta tak långt innan förbindelsen gör det. En snabbare lina löser inte en överbelastad gateway.

Slå fast de operativa åtagandena

Tillgänglighet, reparationstid, eskaleringsväg och aviseringsrutin för underhåll ska stå skriftligt, med mätmetoden namngiven. En internethastighet på rubriknivå fastställer ingen av dessa egenskaper, och det gör inte heller en marknadsföringssida som lovar tillförlitlighet utan att definiera ett avbrott. Fråga när klockan startar, för en svarstid mätt från leverantörens egen bekräftelse är inte samma siffra som en som mäts från ditt övervakningslarm. De två definitionerna kan skilja sig med timmar utan att någon ljuger.

Anteckna också supportgränsen. Om leverantörens ansvar slutar vid en anslutning som din egen router avslutar, går den första timmen av varje incident åt till att avgöra vem som äger felet, och ingen SLA-klocka täcker det.

Kontrollera förbindelsen mot de skriftliga villkoren

När tjänsten är i drift, mät de egenskaper du faktiskt avtalade i stället för dem installatören demonstrerade. Genomströmning, latens och förlust på den verkliga vägen är beviset, och de ska fångas vid en tidpunkt och från en plats du kan namnge. Upprepa mätningen vid en högtrafiktimme, inte bara vid överlämningen. Ett acceptanstest som körs klockan 10:00 en lugn dag säger väldigt lite om länken klockan 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Spara resultaten tillsammans med avtalet, för en prestandadiskussion utan baslinje är ett gräl om intryck. Om en mätning missar åtagandet, lyft det medan bevisen är färska och medan tjänsten fortfarande ligger inom avtalets acceptansfönster. En namngiven värd i begäran håller också TLS-handskakningen giltig, så att en certifikatvarning inte misstas för en trasig förbindelse.

Läs till sist om de fyra grindarna mot vad som levererats. Anslutningen, IP-leveransen, kapaciteten och supportvillkoren har var och en en rad i protokollet, och varje rad har ett namn bredvid sig.