VPN من الطبقة الثانية مقابل نفق من الطبقة الثالثة: خمسة فحوص قبل ربط موقع

تربط موقعاً لأن أداة تُصرّ على أنه يجب أن يكون على الشبكة نفسها، وبعد ثلاثة أسابيع تجد نفسك تقرأ سجلات المحوّل في الثانية فجراً. هذا النوع من الحدس يحسم عدداً كبيراً جداً من وصلات Ethernet عبر IP. فرق واحد فقط يهم هنا حقاً: هل تنتقل الإطارات كاملة من طرف إلى طرف، أم تنتقل حزم IP وحدها. نفّذ الفحوص الخمسة أدناه بالترتيب، وتوقّف عند أول فحص يفشل.

افحص ما تضعه التطبيقة فعلاً على السلك

قبل أن يدخل أي اسم منتج في النقاش، التقط دقيقة من الحركة التي يجب أن تعبر الوصلة: tcpdump -i eth0 -nn -e 'not ip'. يعرض خيار -e ترويسة طبقة الوصلة، وهي بالضبط الجزء الذي يُسقطه النفق الموجّه. إذا بقي الالتقاط فارغاً، فتطبيقك يتحدث IP ونفق L3 يحمله دون تغيير. أما إذا ظهرت إطارات، فسجّل نوع EtherType، لأن 0x0806 هو ARP، و 0x88cc هو LLDP، وقيمة من بائع تعني عادة بروتوكول اكتشاف بلا بديل عبر IP. عند هذه النقطة لم يعد tun العادي كافياً.

كرّر الالتقاط على الطرف البعيد أيضاً. إطار لا يوجد إلا داخل محوّل افتراضي لمضيف واحد ليس سبباً لمدّ نطاق بث عبر WAN.

افحص ما إذا كان الاكتشاف يجب أن يعبر الوصلة

النفق الموجّه ليس له مقطع مشترك، لذا لا شيء موجّه إلى مجموعة يصل إلى الطرف الآخر. ARP وبث DHCP وmDNS على 224.0.0.251 وSSDP واستعلامات أسماء NetBIOS كلها تفترض وصلة تسمعها عدة مضيفات في وقت واحد.

اسأل عن أي منها يعتمد عليه التطبيق فعلاً، وعما إذا كان هناك وكيل جاهز له. مرحّل DHCP وانعكاس mDNS وإدخالات ARP الثابتة كل منها يزيل اعتماداً واحداً، وكل منها خدمة إضافية يجب تشغيلها ومراقبتها. وعندما يبقى اثنان أو ثلاثة، يكون الربط هو الجواب الصادق.

افحص ما تكلفك إياه الترويسة الإضافية

الإطارات تحتاج مكاناً تعيش فيه، لذا كل ما ترسله يحصل على طبقة ترويسات ثانية تُلف حوله. في تراكب VXLAN يعني ذلك ترويسة IP خارجية وترويسة UDP وترويسة VXLAN بحجم 8 بايت، وهو ما يدفع حمولة كاملة بحجم 1,500 بايت إلى ما بعد وحدة MTU للمسار في وصلة إنترنت عادية بحجم 1,500 بايت. أما OpenVPN في وضع tap فيضيف عبئه الخاص في الاتجاه نفسه. وبدون وحدة MTU أقل على الجانب الداخلي تحصل على وصلة تردّ على ping وتتوقف عند أول نقل كبير.

الفاتورة لا تتوقف عند بايتات الترويسة. البث والمتعدد الذي يتعامل معه المحوّل في العتاد أصبح الآن يسير على WAN، وكل موقع مربوط يرث خطة العنوان نفسها ونطاق DHCP نفسه وسلوك العناوين المكررة. وهذا يجعل تدقيق الوصلة أصعب بكثير من تدقيق مجموعة موجّهة ببادئة واحدة لكل موقع.

احسب قبل أن تختار. مقطع مزدحم يُنسخ إلى ثلاثة مواقع قد ينقل حركة بث أكثر من عمليات نقل الملفات التي بُني من أجلها.

افحص أي نوع من VPN الطبقة L2 يُعرض عليك

المصطلح نفسه غامض، والغموض هو ما يحدد من يحمل حركتك. أحياناً يصف الحمولة: إطارات Ethernet داخل IP، تُرسل عبر الإنترنت مثل أي نفق آخر، كما تفعل VXLAN وZeroTier ووضع tap من OpenVPN. وأحياناً يصف خدمة مشتراة: دائرة Ethernet من مشغّل أو كابل MPLS زائف يربط موقعين داخل شبكة مشغّل واحد.

كلاهما يمنحك مقطعاً، لذا لا تستطيع التطبيقة التمييز بينهما، لكن الفرق التشغيلي كبير. التراكب يتركك مسؤولاً عن وحدة MTU والتشفير والمسار الأساسي. الخدمة من مشغّل تتولى ذلك وتتقاضى عليه، ولن تمرّر إطاراتك عبر الإنترنت العام إطلاقاً. وأي النوعين تريد يعتمد على ما إذا كان الموقعان يشتركان في مشغّل أم يشتركان في شركة فقط.

افحص الحل الأرخص قبل أن تربط

معظم طلبات الوصلة المربوطة تأتي من بحث واحد معطوب، لا من بروتوكول يحتاج الإطارات فعلاً. مرّر المحلّل ونطاق البحث عبر النفق الموجّه أولاً: dhcp-option DNS 10.8.0.1 مع dhcp-option DOMAIN internal.example في إعداد خادم OpenVPN يحسم عدداً مفاجئاً منها. والموجّه المحلي على الطرف البعيد يؤدي العمل نفسه دون تحريك أي حركة بث.

إذا ظلت أداة قديمة واحدة تفشل، فضع تلك الأداة خلف وكيل أو مضيف قفز على مقطع الوجهة. موجّه TCP واحد أرخص في التشغيل من WAN مربوط.

أغلق القرار بالترتيب: هل تحمل الحركة EtherType غير IP، هل يجب أن يعبر الاكتشاف، هل تستطيع وحدة MTU استيعاب الترويسات الإضافية، هل دائرة المشغّل متاحة فعلاً، وهل فشل الحل الموجّه لسبب تستطيع تسميته؟ جواب بـ«لا» في أي خطوة ينهي الجدل لصالح النفق الذي لديك بالفعل. احفظ الالتقاط وقائمة EtherType مع سجل التغيير، لأن الشخص التالي سيسأل السؤال نفسه ولن يرغب في تكرار القياس.