Yönetilen VPN'inizin internet çıkışı gerçekte nereden çıkıyor
«İnternet dahil» ifadesi, genel trafiğin nereden çıktığını, kimin filtrelediğini veya bir arızadan sonra neyin ayakta kaldığını söylemez. Yolu izleyin, ardından iki arıza senaryosunu yazın.
O trafiğin sağlayıcının ağından nereden ayrıldığını teklif göstermedikçe, bir şubenin genel trafiğini kimin filtrelediğini söyleyemezsiniz. Yönetilen bir VPN'e dahil edilen internet erişimi ikinci bir hizmettir; kendi ağ geçitleri, kendi adres çevirisi ve kendi eskalasyon kuyruğu olan bir yoldan geçer. Sözleşmelerin çoğu özel tarafı ayrıntılı olarak anlatır ve genel tarafı tek bir cümleye bırakır. Aşağıdaki kontroller o cümleyi savunabileceğiniz bir şemaya dönüştürür.
Her saha için bir genel hedef izleyin
Bir şubenin ana bilgisayarını seçin ve bir genel hedefi izleyin; sağlayıcıya ait son adresi ve internete ait ilk adresi not edin. Bu iki adres arasındaki sıçrama çıkıştır ve genellikle paketi gönderen sahanın yakınında değildir. Geçişi yapan cihazı işaretleyin, çünkü neyin çıkacağına karar veren filtre tam olarak o cihazdadır. İzlemeyi ikinci bir sahadan tekrarlayın ve çıkış adreslerini karşılaştırın, çünkü faturada aynı görünen iki şube farklı şehirlerdeki farklı ağ geçitlerinden çıkabilir.
Hedefin gerçekte gördüğü kaynak adresi de not edin, çünkü çeviri hiç çizmediğiniz bir sıçramada gerçekleşebilir. Gözlenen yanıtları çizilenlerin yanına yazın; aralarındaki fark ilk olayın geleceği yerdir. Belirli bir saha için çıkış adresini veremeyen bir sağlayıcı mühendisi size tasarım hakkında şimdiden yararlı bir şey söylemiştir.
Üç çıkış düzeni ve her birinin neyi yoğunlaştırdığı
Kendi işlettiğiniz merkezi bir çıkış, genel trafiği kendi ağ geçidinize çeker; bu size filtreleme politikasını ve günlükleri verir ama tüm sahaların yükünü tek bir devre üzerinde toplar. Sağlayıcının işlettiği bir çıkış, politikayı ve günlükleri sözleşme sınırının ötesine taşır; bu işletmeyi basitleştirir ve aynı hamlede görünürlüğünüzü elinizden alır. Her sahada bir çıkış, genel trafiği yerel tutar ve aynı kalması gereken politika yüzeylerinin sayısını çoğaltır.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Listeyi menü gibi ele almadan önce sağlayıcının gerçekte üçünden hangisini sunduğunu sorun ve bir sahanın yeni bir devre olmadan aralarında geçip geçemeyeceğini sorun. Göç yanıtı, sözleşmesel olanı salt teknik olandan ayırır. Kaynak çevirisinin kime ait olduğunu da not edin, çünkü bir iş ortağının izin listesine neyi koyması gerektiğini bu belirler. Paylaşılan ağ geçitleri paylaşılan kapasite ve bazen paylaşılan itibar anlamına da gelir; bu, iş ortaklarının adreslerinize nasıl davrandığını değiştirir. Kapasite de kendi sorusunu hak eder, çünkü paylaşılan bir ağ geçidi aynı anda başka müşterilere hizmet veriyordur.
Filtreleme, çeviri ve şifrelemenin ayrı sahipleri vardır
Bir yol erişilebilirlik kurar ve denetim hakkında hiçbir şey söylemez, bu yüzden ikisini farklı sahipleri olan farklı sorular olarak ele alın. Duyurulan her varsayılan yol için filtreleyen cihazı, kimlik doğrulayan cihazı, çeviren cihazı ve denetleyen cihazı adlandırın, ardından her birini kimin yönettiğini belirtin. Sağlayıcının yol ayrımı şifrelemenin nerede bittiğini söylemez ve özel bir hizmet tünelini bir sınırda bitirirken genel çıkış başka bir sınırda bitebilir. Çevirinin sağlayıcının kenarında mı, paylaşılan bir ağ geçidinde mi yoksa kendi çıkışınızda mı gerçekleştiğini ve oturum günlüklerinin olup olmadığını, ne kadar saklandığını sorun. Yanıtlardaki sahipleri sayın, çünkü dört iş için tek bir tarafı adlandıran sözleşme genellikle bunlardan üçünü belgesiz bırakır.
Geniş bir varsayılan yol özel yönlendirme bağlamına içe aktarılmış aynı incelemeyi hak eder, çünkü içe aktarma zararsız bir kolaylık değil bilinçli bir anlaşmadır. RFC 4364'ün 11. bölümü BGP/MPLS VPN'ler için birkaç internet erişim düzenini ele alır ve VPN bağlamı ile sağlayıcının varsayılan yönlendirme bağlamı arasındaki yol değişimini tam olarak bu tür bir anlaşma olarak değerlendirir. Genel trafiğin yanlışlıkla özel bir yola girmesini neyin önlediğini sorun ve yanıtı slaytta değil yol politikasının yanında alın.
İmzadan önce üzerinde anlaşılması gereken iki arıza senaryosu
Sözleşmeye iki test yazın: internet çıkışını kaybetmek ve bir özel bağlantıyı kaybetmek. Her biri için çalışmaya devam etmesi gereken iç kaynakları, yerel internet hizmetlerini ve yönetim yollarını listeleyin. Ardından engellenmiş kalması gereken yedek yolu listeleyin, çünkü merkezi kontrolleri dolanan bir yol temiz bir kesintiden daha kötüdür. İki testi de sağlayıcıya verin ve algılama ile bildirim dahil beklenen sonucu yazılı olarak isteyin.
Aynı testleri bir pilot sahadan çalıştırın ve o yazılı yanıtla karşılaştırın. İkisinin uyuşmadığı yerde sözleşme, satın aldığınızdan farklı bir ağı tanımlıyordur. İki komut yaygın durumları kapsar: biri genel bir hedefin izlediği yolu, diğeri gördüğü adresi gösterir.
traceroute -n 203.0.113.10
curl -s https://example.net/ipErişilebilirlik taahhütlerini hizmetin adına değil ölçtüğünüz segmente bağlayın. Yerel devre, sağlayıcı omurgası ve paylaşılan ağ geçidi ayrı yükümlülükler ve ayrı eskalasyon ekipleri taşır. L2VPN, L3VPN ve MPLS harfleri bir iletme mekanizmasını tanımlar, uçtan uca bir garanti değil.
Kanıt, teklifteki sıfatlardan üstündür
Yedekli, güvenli ve dayanıklı gibi sözcükler bir niyeti anlatır, tasarımı değil. Bunun yerine cihaz listesini, çıkış konumlarını, çeviri şemasını ve bildirim yolunu isteyin. Bu dört şeyi üretebilen sağlayıcının tasarımı vardır; üretemeyenin bir slaytı vardır. Yanıtları e-posta dizisinde değil hizmet belgelerinde tutun ve her sözleşme değişikliğinde gözden geçirin.
Sağlayıcılar ağ geçitlerini birleştirdikçe çıkış düzenleri sessizce kayar, bu yüzden üç yıl önceki bir şema bir yüktür. Bir iş ortağı tanımadığınız bir kaynak adresi bildirdiğinde, bunun sizin tasarımınızdan mı yoksa kimsenin duyurmadığı bir değişiklikten mi geldiğini dakikalar içinde söyleyebilmelisiniz. Sıfatlar değil, tam da bu yetenek ilk kesintiden sonra ayakta kalır.