Виділена лінія для VPN? Спочатку перекладіть вимогу

У пропозиції названо конкретну виділену лінію для офісного VPN, а число приходить без пояснень. Перш ніж підписувати, розбийте речення на чотири вимоги, які воно насправді приховує: фізичне підключення, порядок доставки IP, ємність в обидва боки й зобов'язання щодо підтримки за каналом. Перевіряйте їх як ворота саме в цьому порядку, бо канал, що провалив підключення, не врятує більша цифра пропускної здатності. Потім звірте поставлене з тим, що ви записали.

Перекладайте вимогу, а не назву продукту

IPsec захищає трафік на рівні IP і залишає передавання тому каналу, який ви купуєте. Архітектура IPsec описує, як трафік захищається між вузлами; вона нічого не каже про тип підключення, гарантовані швидкості чи строки ремонту. Це властивості договору про послугу.

Саме ця відмінність і є всією причиною, чому вимога до каналу може бути законною і при цьому не бути вимогою до VPN. Шлюзу лише з послідовним інтерфейсом справді потрібен послідовний порт, і це апаратне, а не протокольне обмеження. Замініть пристрій — і обмеження зникне. Записуйте кожну вимогу у формі «шлюзу потрібно X, тому що Y» і відкидайте будь-який рядок, який не можна завершити.

Назвіть підключення до того, як назвете швидкість

Підключення — це фізичне з'єднання та з'єднання канального рівня в точці демаркації: мідний Ethernet, оптика з конкретним трансивером, послідовний інтерфейс або щось старіше, що існує лише тому, що воно є в поточному пристрої. Помилка тут дорога так, як пропускна здатність ніколи не буває дорогою, бо зазвичай це означає нове обладнання на обох кінцях. Відсутній оптичний модуль — не проблема ємності, і жодне оновлення його не виправить.

Уточніть роз'єм, узгодження швидкості та те, хто постачає медіаконвертер чи маршрутизатор. Потім уточніть, де закінчується ваша відповідальність, бо точка демаркації вирішує, кому що можна чіпати, коли лінія падає о 03:00. Запишіть цю межу в запис поряд з ідентифікатором каналу. Це єдиний рядок, який перетворює дзвінок до підтримки на п'ятихвилинну розмову замість години переведення.

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

Уточніть доставку IP, а не лише адресу

Запитайте, яку адресу чи префікс послуга насправді доставляє і чи він статичний. Канал, що видає динамічну адресу, погано підходить для шлюзу між майданчиками, бо конфігурація партнера має пережити зміну, яку ви не планували. Уточніть і довжину префікса, оскільки одна адреса та маршрутизований /29 — різні продукти.

Потім запитайте, чи щось транслює адресу до того, як вона дійде до вас. NAT на боці провайдера або операторський NAT перед послугою ламає вхідні сеанси, тож шлюз, який розраховує приймати IPsec з віддалених майданчиків, стає недосяжним. Швидкість цього не компенсує: швидкий канал за транслятором, який ви не контролюєте, все одно не прийме вхідне з'єднання на порт, який ніхто не пробрасовує.

Запишіть, кому належать маршрутизатор і DNS. Якщо маршрутизатор постачає провайдер, ви успадковуєте його прошивку, його поведінку NAT і його уявлення про маршрут за замовчуванням, і кожна подальша зміна йде через заявку. Попросіть когось поза вашою мережею спробувати вхідне з'єднання на порт, який, на вашу думку, має бути доступним, бо це єдиний тест, що доводить історію з трансляцією.

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

Рахуйте ємність від навантаження, в обидва боки

Ємність треба описувати в термінах роботи, а не цифрою на користувача. Масовий доступ до файлів, інтерактивне адміністрування та нічне резервне копіювання створюють різні профілі трафіку, і лише один із них дбає про постійну вихідну пропускну здатність. Цифра смуги на робоче місце — зручність для продажу, а не модель.

Оцініть обидва напрямки, додайте накладні витрати інкапсуляції та позначте, чи трафік сплесковий, чи постійний. Потім перевірте гарантовану, а не рекламну швидкість договору, бо допуск на сплеск, що спливає за кілька секунд, нічному резервному копіюванню не допоможе. Врахуйте в тому ж бюджеті й власні межі шлюзу: обробка шифрування та кількість одночасних сеансів можуть стати обмеженням значно раніше за канал. Швидша лінія не виправить перевантажений шлюз.

Закріпіть експлуатаційні зобов'язання

Доступність, реакція на ремонт, шлях ескалації та повідомлення про роботи мають бути письмовими, із названим методом вимірювання. Рекламна швидкість інтернету не встановлює жодної з цих властивостей, як і маркетингова сторінка, що обіцяє надійність без визначення збою. Запитайте, як стартує годинник, бо час реакції, виміряний від підтвердження провайдера, — не те саме число, що виміряне від вашого оповіщення моніторингу. Ці два визначення можуть розходитися на години, і ніхто не брехатиме.

Запишіть і межу підтримки. Якщо відповідальність провайдера закінчується на підключенні, яке завершує ваш маршрутизатор, перша година кожного інциденту йде на визначення, чия це вина, і жоден годинник SLA її не покриває.

Перевірте канал за письмовими умовами

Щойно послуга запрацює, вимірюйте ті властивості, які ви справді законтрактували, а не ті, що продемонстрував монтажник. Пропускна здатність, затримка й втрати на реальному шляху — це докази, і їх слід фіксувати в названий вами час і з названого місця. Повторіть вимірювання в завантажену годину, а не лише під час здачі. Приймальний тест, проведений о 10:00 у спокійний день, мало що говорить про лінію о 15:00.

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

Зберігайте результати разом із договором, бо розмова про продуктивність без базової лінії — сперечання про враження. Якщо вимірювання не дотягує до зобов'язання, піднімайте питання, поки докази свіжі й поки послуга ще в приймальному вікні, яке дає договір. Названий хост у запиті також зберігає чинним рукостискання TLS, тож попередження про сертифікат не сплутають із каналом, що відмовив.

Насамкінець перечитайте чотири ворота проти того, що було поставлено. Підключення, доставка IP, ємність і умови підтримки — у кожного є рядок у записі, і в кожного рядка поруч є ім'я.