Saan talaga lumalabas ang labasan sa internet ng iyong pinamamahalaang VPN
«Kasama ang internet» ay walang sinasabi tungkol sa kung saan lumalabas ang pampublikong trapiko, sino ang nagfi-filter nito o ano ang natitira pagkatapos ng pagkabigo. Subaybayan ang landas, pagkatapos isulat ang dalawang kaso ng pagkabigo.
Hindi mo masasabi kung sino ang nagfi-filter ng pampublikong trapiko ng isang sangay hangga't hindi ipinapakita ng proposal kung saan lumalabas ang trapikong iyon mula sa network ng provider. Ang pag-access sa internet na kasama sa isang managed VPN ay pangalawang serbisyo, na dumadaan sa isang landas na may sariling mga gateway, sariling pagsasalin ng address at sariling pila ng escalation. Karamihan sa mga kontrata ay detalyadong naglalarawan sa pribadong panig at iniiwan ang pampublikong panig sa isang pangungusap. Ang mga pagsusuri sa ibaba ay ginagawang diagram ang pangungusap na iyon na maipagtatanggol mo.
Subaybayan ang isang pampublikong destinasyon bawat site
Pumili ng host ng isang sangay at subaybayan ang isang pampublikong destinasyon, na itinatala ang huling address na pag-aari ng provider at ang una na pag-aari ng internet. Ang pagtalon sa pagitan ng dalawang address na iyon ay ang exit, at madalas itong wala sa malapit sa site na nagpadala ng packet. Markahan ang device na gumagawa ng transition, dahil ang device na iyon ang may filter na nagpapasya kung ano ang lalabas. Ulitin ang pagsubaybay mula sa pangalawang site at ihambing ang mga exit address, dahil ang dalawang sangay na magkatulad sa invoice ay maaaring lumabas sa iba't ibang gateway sa iba't ibang lungsod.
Itala rin ang source address na aktwal na nakikita ng destinasyon, dahil maaaring mangyari ang pagsasalin sa isang pagtalon na hindi mo kailanman iginuhit. Isulat ang mga naobserbahang sagot sa tabi ng mga iginuhit, at ang agwat sa pagitan ng mga ito ang lugar na pagmumulan ng unang insidente. Ang inhinyero ng provider na hindi makapagbigay ng exit address para sa isang partikular na site ay may nasabi nang kapaki-pakinabang tungkol sa disenyo.
Tatlong kaayusan ng exit at ano ang pinagsasama-sama ng bawat isa
Ang sentral na exit na ikaw mismo ang nagpapatakbo ay humihila ng pampublikong trapiko patungo sa sarili mong gateway, na nagbibigay sa iyo ng patakaran sa pag-filter at mga log ngunit pinagsasama-sama ang karga ng lahat ng site sa isang circuit. Ang exit na pinapatakbo ng provider ay naglilipat ng patakaran at mga log sa kabila ng hangganan ng kontrata, na nagpapasimple sa operasyon at nag-aalis ng iyong visibility sa parehong kilos. Ang exit sa bawat site ay nagpapanatili ng pampublikong trapiko na lokal at pinaparami ang bilang ng mga surface ng patakaran na dapat manatiling magkapareho.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Itanong kung alin sa tatlo ang aktwal na inaalok ng provider bago ituring ang listahan na menu, at itanong kung ang isang site ay maaaring lumipat sa pagitan ng mga ito nang walang bagong circuit. Ang sagot tungkol sa migration ay naghihiwalay ng kontraktwal sa teknikal lamang. Itala rin kung sino ang may-ari ng pagsasalin ng source, dahil iyon ang nagpapasya kung ano ang dapat ilagay ng partner sa allowlist. Ang mga shared gateway ay nangangahulugan din ng shared capacity at kung minsan shared reputation, na nagbabago kung paano tinatrato ng mga partner ang iyong mga address. Ang capacity ay may sariling tanong, dahil ang isang shared gateway ay naglilingkod sa ibang mga customer sa parehong sandali.
Ang pag-filter, pagsasalin at encryption ay may hiwalay na may-ari
Ang ruta ay nagtatatag ng reachability at walang sinasabi tungkol sa inspeksyon, kaya ituring ang dalawa bilang magkaibang tanong na may magkaibang may-ari. Para sa bawat inanunsyong default na ruta, pangalanan ang device na nagfi-filter, ang device na nagpapatunay, ang device na nagsasalin at ang device na nagsusuri, pagkatapos ay pangalanan kung sino ang namamahala sa bawat isa. Ang paghihiwalay ng ruta ng provider ay hindi nagsasabi kung saan nagtatapos ang encryption, at ang isang pribadong serbisyo ay maaaring tapusin ang tunnel nito sa isang hangganan habang ang pampublikong exit ay nagtatapos sa iba. Itanong kung ang pagsasalin ay nangyayari sa gilid ng provider, sa isang shared gateway o sa sarili mong exit, at kung may mga session log at gaano katagal. Bilangin ang mga may-ari sa mga sagot, dahil ang kontratang nagpapangalan ng isang partido para sa apat na gawain ay karaniwang nag-iiwan ng tatlo sa mga ito na walang dokumentasyon.
Isang malawak na default na ruta na inangkat sa pribadong konteksto ng routing ay karapat-dapat sa parehong pagsusuri, dahil ang import ay isang sadyang kasunduan at hindi isang walang pinsalang kaginhawahan. Ang seksyon 11 ng RFC 4364 ay dumadaan sa ilang mga kaayusan ng pag-access sa internet para sa BGP/MPLS VPN at tinatrato ang pagpapalitan ng ruta sa pagitan ng konteksto ng VPN at ng default na forwarding context ng provider na eksaktong ganoong uri ng kasunduan. Itanong kung ano ang pumipigil sa pampublikong trapiko na kumuha ng pribadong landas nang hindi sinasadya, at kunin ang sagot sa tabi ng patakaran ng ruta at hindi sa isang slide.
Dalawang kaso ng pagkabigo na dapat pagkasunduan bago pumirma
Isulat sa kontrata ang dalawang pagsubok: mawala ang internet exit, at mawala ang isang pribadong koneksyon. Para sa bawat isa, ilista ang mga panloob na mapagkukunan, ang mga lokal na serbisyo ng internet at ang mga landas ng pamamahala na dapat patuloy na gumana. Pagkatapos ay ilista ang fallback na landas na dapat manatiling naka-block, dahil ang landas na lumiligid sa mga sentral na kontrol ay mas masama kaysa sa malinis na pagkawala. Ibigay sa provider ang dalawang pagsubok at hingin ang inaasahang resulta nila sa sulat, kasama ang pagtuklas at abiso.
Patakbuhin ang parehong mga pagsubok mula sa pilot site at ihambing ang mga ito sa nakasulat na sagot na iyon. Kung saan hindi tugma ang dalawa, inilalarawan ng kontrata ang ibang network kaysa sa binili mo. Dalawang utos ang sumasaklaw sa mga karaniwang kaso: ang isa ay nagpapakita ng landas na tinatahak ng pampublikong destinasyon, ang isa ay ang address na nakikita nito.
traceroute -n 203.0.113.10
curl -s https://example.net/ipItali ang mga pangako sa availability sa segment na sinukat mo, hindi sa pangalan ng serbisyo. Ang lokal na circuit, backbone ng provider at shared gateway ay may dalang hiwalay na obligasyon at hiwalay na team ng escalation. Ang mga titik L2VPN, L3VPN at MPLS ay naglalarawan ng mekanismo ng forwarding, hindi garantiya mula dulo hanggang dulo.
Natalo ng ebidensya ang mga pang-uri sa proposal
Ang mga salitang tulad ng redundant, secure at matibay ay naglalarawan ng intensyon at hindi ng disenyo. Sa halip, hingin ang listahan ng device, ang mga lokasyon ng exit, ang scheme ng pagsasalin at ang landas ng abiso. Ang provider na makakapagbigay ng apat na bagay na iyon ay may disenyo; ang hindi makakapagbigay ay may slide. Itago ang mga sagot sa dokumentasyon ng serbisyo at hindi sa thread ng email, at suriin muli ang mga ito sa bawat pagbabago ng kontrata.
Tahimik na gumagalaw ang mga kaayusan ng exit habang pinagsasama ng mga provider ang mga gateway, kaya ang diagram na tatlong taon na ay pasanin. Kapag nag-ulat ang isang partner ng hindi pamilyar na source address, dapat mong masabi sa loob ng ilang minuto kung nagmula ito sa iyong disenyo o sa pagbabagong walang nag-abiso. Ang kakayahang iyon, at hindi ang mga pang-uri, ang nananatili pagkatapos ng unang pagkawala.