Điểm thoát internet của VPN được quản lý của bạn thực sự đi ra ở đâu

Bạn không thể nói ai lọc lưu lượng công cộng của một chi nhánh cho đến khi đề xuất cho thấy lưu lượng đó rời mạng của nhà cung cấp ở đâu. Truy cập internet đi kèm trong một VPN được quản lý là dịch vụ thứ hai, đi trên một đường có cổng riêng, bản dịch địa chỉ riêng và hàng đợi leo thang riêng. Hầu hết hợp đồng mô tả phía riêng tư chi tiết và để phía công cộng cho một câu. Các kiểm tra dưới đây biến câu đó thành một sơ đồ mà bạn có thể bảo vệ.

Lần theo một đích công cộng cho mỗi địa điểm

Chọn một máy chủ của chi nhánh và lần theo một đích công cộng, ghi lại địa chỉ cuối cùng thuộc nhà cung cấp và địa chỉ đầu tiên thuộc internet. Bước nhảy giữa hai địa chỉ đó là điểm thoát, và nó thường không nằm gần địa điểm đã gửi gói tin. Đánh dấu thiết bị thực hiện chuyển tiếp, vì chính thiết bị đó giữ bộ lọc quyết định cái gì đi ra. Lặp lại việc lần theo từ địa điểm thứ hai và so sánh các địa chỉ thoát, vì hai chi nhánh trông giống nhau trên hóa đơn có thể đi ra qua các cổng khác nhau ở các thành phố khác nhau.

Cũng ghi lại địa chỉ nguồn mà đích thực sự nhìn thấy, vì bản dịch có thể xảy ra ở một bước nhảy mà bạn chưa bao giờ vẽ. Viết các câu trả lời quan sát được bên cạnh các câu trả lời đã vẽ, và khoảng cách giữa chúng là nơi sự cố đầu tiên sẽ đến từ đó. Một kỹ sư của nhà cung cấp không thể đưa ra địa chỉ thoát cho một địa điểm cụ thể đã nói với bạn điều gì đó hữu ích về thiết kế.

Ba cách bố trí điểm thoát và mỗi cách tập trung điều gì

Một điểm thoát trung tâm do bạn tự vận hành kéo lưu lượng công cộng về cổng của chính bạn, điều này cho bạn chính sách lọc và nhật ký nhưng lại dồn tải của mọi địa điểm vào một đường truyền duy nhất. Một điểm thoát do nhà cung cấp vận hành chuyển chính sách và nhật ký ra ngoài ranh giới hợp đồng, điều này đơn giản hóa vận hành và lấy đi khả năng nhìn thấy của bạn trong cùng một động tác. Một điểm thoát tại mỗi địa điểm giữ lưu lượng công cộng ở cục bộ và nhân lên số bề mặt chính sách phải giữ giống nhau.

Hỏi nhà cung cấp thực sự cung cấp cách nào trong ba cách trước khi bạn coi danh sách là một thực đơn, và hỏi liệu một địa điểm có thể chuyển giữa chúng mà không cần đường truyền mới hay không. Câu trả lời về di chuyển tách phần thuộc hợp đồng khỏi phần chỉ mang tính kỹ thuật. Cũng ghi lại ai sở hữu bản dịch nguồn, vì điều đó quyết định đối tác phải đưa gì vào danh sách cho phép. Cổng dùng chung cũng có nghĩa là dung lượng dùng chung và đôi khi là uy tín dùng chung, điều này thay đổi cách đối tác đối xử với địa chỉ của bạn. Dung lượng cũng xứng đáng có câu hỏi riêng, vì một cổng dùng chung đang phục vụ khách hàng khác vào cùng thời điểm.

Lọc, dịch và mã hóa có chủ sở hữu riêng

Một tuyến thiết lập khả năng tiếp cận và không nói gì về việc kiểm tra, vì vậy hãy coi hai điều đó là hai câu hỏi khác nhau với chủ sở hữu khác nhau. Với mỗi tuyến mặc định được quảng bá, hãy nêu tên thiết bị lọc, thiết bị xác thực, thiết bị dịch và thiết bị kiểm tra, rồi nêu ai quản trị từng thiết bị. Việc tách tuyến của nhà cung cấp không nói mã hóa kết thúc ở đâu, và một dịch vụ riêng tư có thể kết thúc đường hầm của nó ở một ranh giới trong khi điểm thoát công cộng kết thúc ở một ranh giới khác. Hỏi xem bản dịch diễn ra ở rìa nhà cung cấp, tại một cổng dùng chung hay tại điểm thoát của chính bạn, và liệu có nhật ký phiên hay không cùng thời gian lưu giữ. Đếm số chủ sở hữu trong các câu trả lời, vì một hợp đồng chỉ nêu một bên cho bốn công việc thường để ba trong số đó không có tài liệu.

Một tuyến mặc định rộng được nhập vào ngữ cảnh định tuyến riêng tư cũng đáng được xem xét như vậy, vì việc nhập là một thỏa thuận có chủ ý chứ không phải một tiện lợi vô hại. Mục 11 của RFC 4364 đi qua một số cách bố trí truy cập internet cho VPN BGP/MPLS và coi việc trao đổi tuyến giữa ngữ cảnh VPN và ngữ cảnh chuyển tiếp mặc định của nhà cung cấp đúng như loại thỏa thuận đó. Hỏi điều gì ngăn lưu lượng công cộng vô tình đi vào một đường riêng tư, và nhận câu trả lời bên cạnh chính sách tuyến chứ không phải trong một trang trình bày.

Hai kịch bản sự cố cần thống nhất trước khi ký

Viết hai bài kiểm tra vào hợp đồng: mất điểm thoát internet và mất một kết nối riêng tư. Với mỗi trường hợp, hãy liệt kê các tài nguyên nội bộ, dịch vụ internet cục bộ và các đường quản trị phải tiếp tục hoạt động. Sau đó liệt kê đường dự phòng phải tiếp tục bị chặn, vì một đường vòng qua các kiểm soát trung tâm còn tệ hơn một lần gián đoạn sạch. Đưa cả hai bài kiểm tra cho nhà cung cấp và yêu cầu kết quả mong đợi bằng văn bản, gồm cả phát hiện và thông báo.

Chạy các kiểm tra tương tự từ một địa điểm thử nghiệm và so sánh với câu trả lời bằng văn bản đó. Ở nơi hai bên không khớp, hợp đồng đang mô tả một mạng khác với mạng bạn đã mua. Hai lệnh bao quát các trường hợp thường gặp: một lệnh cho thấy đường mà một đích công cộng đi, lệnh kia cho thấy địa chỉ mà nó nhìn thấy.

traceroute -n 203.0.113.10
curl -s https://example.net/ip

Gắn các cam kết về tính sẵn sàng với phân đoạn bạn đã đo, không phải với tên dịch vụ. Một đường truyền cục bộ, một xương sống của nhà cung cấp và một cổng dùng chung mang các nghĩa vụ riêng và các nhóm leo thang riêng. Các chữ L2VPN, L3VPN và MPLS mô tả một cơ chế chuyển tiếp, không phải một bảo đảm từ đầu đến cuối.

Bằng chứng thắng các tính từ trong đề xuất

Những từ như dư thừa, an toàn và bền bỉ mô tả một ý định chứ không phải một thiết kế. Thay vào đó hãy yêu cầu danh sách thiết bị, vị trí điểm thoát, sơ đồ dịch và đường thông báo. Một nhà cung cấp có thể đưa ra bốn hạng mục đó thì có thiết kế; nhà cung cấp không làm được thì có một trang trình bày. Giữ các câu trả lời trong tài liệu dịch vụ chứ không phải trong một chuỗi email, và xem lại chúng mỗi khi hợp đồng thay đổi.

Các cách bố trí điểm thoát dịch chuyển âm thầm khi nhà cung cấp hợp nhất các cổng, nên một sơ đồ từ ba năm trước là một gánh nặng. Khi một đối tác báo cáo một địa chỉ nguồn lạ, bạn phải nói được trong vài phút liệu nó đến từ thiết kế của bạn hay từ một thay đổi mà không ai công bố. Chính khả năng đó, chứ không phải các tính từ, là thứ tồn tại qua lần sự cố đầu tiên.