L2 VPN teenoor L3-tonnel: vyf toetse voor jy 'n perseel oorbrug

Jy oorbrug 'n perseel omdat 'n gereedskap daarop aandring dat dit op dieselfde netwerk moet sit, en drie weke later lees jy om twee in die oggend switserlogboeke. Daardie soort vermoede beslis veel te veel Ethernet-oor-IP-skakels. Net een verskil maak hier werklik saak: of volledige rame van punt tot punt reis, of net IP-pakkette. Voer die vyf toetse hieronder in volgorde uit, en stop by die eerste een wat misluk.

Kyk wat die toepassing werklik op die draad sit

Voordat enige produknaam ter sprake kom, vang 'n minuut van die verkeer wat die skakel moet oorsteek: tcpdump -i eth0 -nn -e 'not ip'. Met die -e vlag druk die skakellaag-opskrif, wat presies die deel is wat 'n gerouteerde tonnel weggooi. As die opname leeg bly, praat jou toepassing IP en 'n L3-tonnel dra dit onveranderd. As daar wel rame verskyn, let op die EtherType, want 0x0806 is ARP, 0x88cc is LLDP, en 'n verskafferwaarde beteken gewoonlik 'n ontdekkingsprotokol sonder IP-terugval. Dit is die punt waar 'n gewone tun koppelvlak nie meer genoeg is nie.

Herhaal die opname ook aan die ander kant. 'n Raam wat net binne een gasheer se virtuele skakelaar bestaan, is geen rede om 'n uitsaaidomein oor 'n WAN te rek nie.

Kyk of ontdekking die skakel moet oorsteek

’n Gerouteerde tonnel het geen gedeelde segment nie, so niks wat aan 'n groep geadresseer is, bereik die ander kant nie. ARP, DHCP-uitsendings, mDNS op 224.0.0.251, SSDP en NetBIOS-naamnavrae aanvaar almal 'n skakel wat verskeie gashere gelyktydig kan hoor.

Vra op watter van dié die toepassing werklik staatmaak, en of daar reeds 'n instaanbediener daarvoor bestaan. DHCP-aangee, mDNS-weerkaatsing en statiese ARP-inskrywings verwyder elkeen een afhanklikheid, en elkeen is nog 'n diens om te bedryf en te monitor. Wanneer twee of drie oorbly, is oorbrugging die eerlike antwoord.

Kyk wat die ekstra opskrif jou kos

Rame het êrens nodig om te leef, so alles wat jy stuur, kry 'n tweede opskrifstapel om hom toegedraai. In 'n VXLAN-oorleg beteken dit 'n buitenste IP-opskrif, 'n UDP-opskrif en 'n 8-byte VXLAN-opskrif, wat 'n volledige 1,500-byte vrag verby die pad-MTU van 'n gewone 1,500-byte internetkoppeling stoot. OpenVPN in die tap modus voeg sy eie oorhoofse koste in dieselfde rigting by. Sonder 'n laer MTU aan die binnekant kry jy 'n skakel wat pings beantwoord en by die eerste groot oordrag vasval.

Die rekening stop nie by opskrifgrepe nie. Uitsaai en multicast wat 'n skakelaar in hardeware hanteer, ry nou op die WAN, en elke oorbrugde perseel erf dieselfde adresplan, DHCP-omvang en duplikaatadres-gedrag. Dit maak die skakel aansienlik moeiliker om te oudit as 'n gerouteerde poel met een voorvoegsel per perseel.

Doen die rekenkunde voordat jy kies. 'n Besige segment wat na drie persele gerepliseer word, kan meer uitsaaiverkeer beweeg as die lêeroordragte waarvoor dit gebou is.

Kyk watter soort L2 VPN vir jou aangebied word

Die term self is dubbelsinnig, en die dubbelsinnigheid bepaal wie jou verkeer dra. Soms beskryf dit die vrag: Ethernet-rame binne IP, oor die internet gestuur soos enige ander tonnel, soos VXLAN, ZeroTier en OpenVPN se tap modus doen. Soms beskryf dit 'n gekoopte diens: 'n draer-Ethernet-kring of 'n MPLS-pseudodraad wat twee persele binne een verskaffernetwerk verbind.

Albei gee jou 'n segment, so die toepassing kan hulle nie onderskei nie, maar die bedryfsverskil is groot. 'n Oorleg laat jou verantwoordelik vir MTU, enkripsie en die onderliggende pad. 'n Draerdiens neem dit oor en vra daarvoor, en dit sal jou rame glad nie oor die publieke internet stuur nie. Watter een jy wil hê, hang daarvan af of die twee persele 'n operateur deel of net 'n maatskappy deel.

Kyk na die goedkoper oplossing voordat jy oorbrug

Die meeste versoeke vir 'n oorbrugde skakel kom van een stukkende opsoek, nie van 'n protokol wat regtig rame nodig het nie. Stuur eers die oplosser en die soekdomein deur die gerouteerde tonnel: dhcp-option DNS 10.8.0.1 saam met dhcp-option DOMAIN internal.example in 'n OpenVPN-bedienerkonfigurasie besleg 'n verrassende aantal daarvan. 'n Plaaslike aanstuurder aan die ander kant doen dieselfde werk sonder om enige uitsaaiverkeer te beweeg.

As een nalatenskaptuig steeds misluk, plaas daardie tuig agter 'n instaanbediener of 'n spronggasheer op die bestemmingssegment. 'n Enkele TCP-aanstuurder is goedkoper om te bedryf as 'n oorbrugde WAN.

Sluit die besluit in volgorde: dra die verkeer 'n nie-IP EtherType, moet ontdekking oorsteek, kan die MTU die ekstra opskrifte absorbeer, is 'n verskafferkring werklik beskikbaar, en het die gerouteerde oplossing gefaal om 'n rede wat jy kan noem? 'n Nee by enige stap beëindig die argument ten gunste van die tonnel wat jy reeds het. Lê die opname en die EtherType-lys by die veranderingsrekord, want die volgende persoon sal dieselfde vraag vra en sal nie die meting wil herhaal nie.