给 VPN 租一条专线？先把需求翻译清楚

提案里点名了一条用于办公室 VPN 的专线，数字来的时候没有任何解释。签字之前，把这句话拆成它真正藏着的四项需求：物理交付、IP 交付方式、双向容量，以及线路背后的支持承诺。按这个顺序把它们当作关卡逐项核查，因为交付这一关过不了的线路，再大的带宽数字也救不回来。然后把实际交付的东西与你写下来的内容逐一对照。

翻译需求，而不是产品名称

IPsec 在 IP 层保护流量，把承载交给你要买的那条线路。 IPsec 架构 描述的是对等方之间如何保护流量；它对交付类型、承诺速率或修复时限只字未提。那些是服务合同的属性。

正是这个区别，构成了「线路需求可以成立、却仍然不是 VPN 需求」的全部理由。只有串行接口的网关确实需要串行交付，而这是硬件限制，不是协议限制。换掉设备，限制就消失了。把每项需求写成「网关需要 X，因为 Y」，任何无法补全的条目都要驳回。

先给交付方式命名，再谈速度

交付是指分界点上的物理与链路层连接：铜缆 Ethernet、带特定光模块的光纤、串行接口，或者只为迁就现有设备才存在的更老的东西。这里出错的代价是带宽永远比不了的，因为通常意味着两端都要换新硬件。缺一个光模块不是容量问题，任何升级都修不好。

确认接口、速率协商，以及谁提供光电转换器或路由器。再确认你的责任到哪里为止，因为链路在凌晨 03:00 断掉时，分界点决定了谁有权碰什么。把这条边界写进记录，紧挨着线路编号。正是这一行，能把一次支持电话变成五分钟的对话，而不是一小时的转接。

ip -br link show
ethtool eth0 | head -20
sudo lshw -class network -short

确认 IP 交付方式，而不只是地址

问清楚服务实际交付的是什么地址或前缀，以及它是否静态。下发动态地址的线路不适合站点到站点网关，因为对端配置必须扛得住一次你没安排过的变更。也要确认前缀长度，因为单个地址和可路由的 /29 是两种产品。

然后再问：在地址到你手上之前，有没有什么东西在翻译它。服务前面的运营商侧 NAT 或运营商级 NAT 会破坏入站会话，于是指望接受远程站点 IPsec 的网关根本不可达。速度补偿不了：一条快链路如果藏在你不掌控的转换设备后面，照样无法接受一个没人转发的端口上的入站连接。

记录路由器和 DNS 归谁所有。如果由运营商提供路由器，你就继承了它的固件、它的 NAT 行为，以及它那套默认路由的观念，之后每次变更都要走工单。让网络之外的人尝试对你认为可达的端口发起入站连接，因为这是唯一能验证「地址转换说法」的测试。

ip -br addr
ip route get 198.51.100.10
traceroute -n 198.51.100.10

按工作负载估算容量，双向都要算

容量必须用工作来描述，而不是用每用户的一个数字。批量文件访问、交互式管理、夜间备份各自产生不同的流量模式，只有其中一种在乎持续的上行吞吐。按座位算带宽是销售上的便利，不是模型。

把两个方向都估出来，加上封装开销，并注明流量是突发式还是持续式。然后查合同里的承诺速率，而不是宣传速率，因为几秒钟就过期的突发额度对夜间备份毫无帮助。把网关自身的限制也算进同一份预算，因为加密处理和并发会话数很可能比线路更早成为瓶颈。更快的线路修不好已经饱和的网关。

把运维承诺固定下来

可用性、修复响应、升级路径和维护通知都必须落到书面，并写明测量方法。宣传的互联网速率这些属性一个都定义不了，一个承诺可靠却不定义中断的营销页面同样什么也没定义。要问清时钟从哪里开始，因为从运营商自己的确认时刻算起的响应时间，与从你的监控告警算起的数字不是同一个数。这两套定义可以差上几个小时，而谁都没有说谎。

也要记录支持边界。如果运营商的责任止于由你自己的路由器终结的交付点，那么每次故障的第一个小时都花在判定责任归属上，而任何 SLA 时钟都不覆盖这段时间。

用书面条款核验线路

服务上线之后，要测你真正签约的那些属性，而不是安装人员演示的那些。真实路径上的吞吐、时延和丢包才是证据，而且应当在你叫得出名字的时间和地点采集。要在忙时复测，而不只是在交付时测。在平静日子的 10:00 做一次验收测试，对 15:00 的链路几乎说明不了什么。

iperf3 -c speed.example.net -t 30 -P 4
mtr -n --report -c 50 198.51.100.10
curl -sS -o /dev/null -w '%{time_connect} %{time_starttransfer}\n' https://speed.example.net/

把结果和合同放在一起，因为没有基线的性能讨论只是在争论印象。如果某项测量没达到承诺，要在证据还新鲜、服务还在合同规定的验收窗口内的时候提出来。请求里写明确的主机名也能让 TLS 握手保持有效，这样证书告警就不会被误判成线路故障。

最后，对着实际交付的东西把四道关卡重读一遍。交付、IP 交付、容量和支持条款，每一项在记录里都有一行，每一行旁边都有一个名字。