L2 VPN və L3 tunel: saytı körpüləməzdən əvvəl beş yoxlama

Bir saytı körpüləyirsiniz, çünki hansısa alət onun mütləq eyni şəbəkədə olmasını tələb edir, üç həftə sonra isə gecə saat ikidə kommutator jurnallarını oxuyursunuz. Bu cür zənn Ethernet-over-IP keçidlərinin çoxunu həll edir. Burada yalnız bir fərq həqiqətən önəmlidir: bütöv kadrların ucdan-uca getməsi, yoxsa yalnız IP paketlərinin getməsi. Aşağıdakı beş yoxlamanı ardıcıl yerinə yetirin və ilk uğursuz olanında dayanın.

Tətbiqin həqiqətən naqilə nə qoyduğunu yoxlayın

Hər hansı məhsul adı müzakirəyə girməzdən əvvəl keçiddən keçməli olan trafikdən bir dəqiqə yazın: tcpdump -i eth0 -nn -e 'not ip'. -e bayrağı keçid qatının başlığını çap edir, bu da məhz marşrutlaşdırılmış tunelin atdığı hissədir. Əgər tutma boş qalırsa, tətbiqiniz IP danışır və L3 tunel onu dəyişmədən daşıyır. Əgər kadrlar görünürsə, EtherType-ı qeyd edin, çünki 0x0806 ARP-dir, 0x88cc LLDP-dir və satıcı dəyəri adətən IP ehtiyatı olmayan kəşf protokolu deməkdir. Elə bu nöqtədə adi tun interfeysi kifayət etməyi dayandırır.

Tutmanı qarşı tərəfdə də təkrarlayın. Yalnız bir hostun virtual kommutatorunda mövcud olan kadr geniş yayım domenini WAN boyunca uzatmaq üçün səbəb deyil.

Kəşfin keçiddən keçməli olub-olmadığını yoxlayın

Marşrutlaşdırılmış tunelin ortaq seqmenti yoxdur, ona görə qrupa ünvanlanmış heç nə o biri tərəfə çatmır. ARP, DHCP yayımları, 224.0.0.251 ünvanında mDNS, SSDP və NetBIOS ad sorğuları hamısı bir neçə hostun eyni anda eşitdiyi keçid fərz edir.

Tətbiqin bunlardan hansına həqiqətən bağlı olduğunu və onun üçün artıq proxy olub-olmadığını soruşun. DHCP relay, mDNS əks etdirmə və statik ARP qeydləri hər biri bir asılılığı aradan qaldırır və hər biri işlədilməli və izlənilməli ayrı xidmətdir. İki və ya üç qalanda körpüləmə dürüst cavabdır.

Əlavə başlığın sizə nəyə başa gəldiyini yoxlayın

Kadrların haradasa yaşaması lazımdır, ona görə göndərdiyiniz hər şeyin ətrafına ikinci başlıq yığını sarınır. VXLAN örtüyündə bu, xarici IP başlığı, UDP başlığı və 8 baytlıq VXLAN başlığı deməkdir və bu, tam ölçülü 1,500 baytlıq yükü adi 1,500 baytlıq internet keçidinin marşrut MTU-sundan kənara çıxarır. OpenVPN tap rejimində öz yükünü eyni istiqamətdə əlavə edir. Daxili tərəfdə daha aşağı MTU olmadan ping-lərə cavab verən və ilk böyük ötürmədə dayanan bir keçid alırsınız.

Hesab başlıq baytlarında bitmir. Kommutatorun aparatda həll etdiyi yayım və multicast indi WAN ilə gedir və hər körpülənmiş sayt eyni ünvan planını, DHCP əhatəsini və təkrar ünvan davranışını miras alır. Bu, keçidi hər sayt üçün bir prefiksli marşrutlaşdırılmış hovuzdan qat-qat çətin audit edilən edir.

Seçim etməzdən əvvəl hesablayın. Üç sayta təkrarlanan məşğul seqment, onun daşımaq üçün qurulduğu fayl ötürmələrindən daha çox yayım trafiki hərəkət etdirə bilər.

Sizə hansı növ L2 VPN təklif olunduğunu yoxlayın

Terminin özü qeyri-müəyyəndir və bu qeyri-müəyyənlik trafikinizi kimin daşıyacağını müəyyən edir. Bəzən yükü təsvir edir: IP içində Ethernet kadrları, hər hansı digər tunel kimi internet üzərindən göndərilir, VXLAN, ZeroTier və OpenVPN tap rejiminin etdiyi kimi. Bəzən satın alınmış xidməti təsvir edir: iki saytı bir provayder şəbəkəsi içində birləşdirən operator Ethernet dövrəsi və ya MPLS psevdosimi.

Hər ikisi sizə seqment verir, ona görə tətbiq onları ayıra bilmir, lakin əməliyyat fərqi böyükdür. Örtük MTU, şifrələmə və alt qatdakı yolu sizin üzərinizdə qoyur. Operator xidməti bunları öz üzərinə götürür və onlar üçün pul alır və kadrlarınızı ümumiyyətlə açıq internet üzərindən yönləndirməyəcək. Hansını istədiyiniz iki saytın operatoru, yoxsa yalnız şirkəti paylaşmasından asılıdır.

Körpüləməzdən əvvəl daha ucuz iş ətrafını yoxlayın

Körpülənmiş keçid üçün müraciətlərin çoxu bir sınıq axtarışdan gəlir, kadrlara həqiqətən ehtiyacı olan protokoldan deyil. Əvvəlcə həll edicini və axtarış domenini marşrutlaşdırılmış tuneldən keçirin: dhcp-option DNS 10.8.0.1 ilə birlikdə dhcp-option DOMAIN internal.example OpenVPN server konfiqurasiyasında onların təəccüblü sayını həll edir. Uzaq tərəfdəki yerli yönləndirici heç bir yayım trafiki hərəkət etdirmədən eyni işi görür.

Bir köhnə alət hələ də uğursuz olursa, həmin aləti təyinat seqmentində proxy və ya jump host arxasına qoyun. Tək TCP yönləndirici körpülənmiş WAN-dan daha ucuzdur.

Qərarı sıra ilə bağlayın: trafik IP olmayan EtherType daşıyırmı, kəşf keçiddən keçməlidirmi, MTU əlavə başlıqları qəbul edə bilirmi, provayder dövrəsi həqiqətən mövcuddurmu və marşrutlaşdırılmış iş ətrafı adını çəkə bildiyiniz səbəbdən uğursuz oldumu? Hər addımda bir «yox» artıq malik olduğunuz tunelin xeyrinə mübahisəni bitirir. Tutmanı və EtherType siyahısını dəyişiklik qeydi ilə birlikdə saxlayın, çünki növbəti şəxs eyni sualı verəcək və ölçməni təkrarlamaq istəməyəcək.