VPN узроўню L2 супраць тунеля L3: пяць праверак перад аб'яднаннем пляцоўкі

Вы аб'ядноўваеце пляцоўку, бо нейкі інструмент патрабуе, каб ён знаходзіўся ў той жа сетцы, а праз тры тыдні вы ў дзве гадзіны ночы чытаеце журналы камутатара. Такая інтуіцыя вырашае занадта шмат каналаў Ethernet-over-IP. Тут сапраўды важна толькі адно адрозненне: ці перамяшчаюцца цэлыя кадры ад канца да канца, ці толькі IP-пакеты. Выканайце пяць праверак ніжэй па парадку і спыніцеся на першай, якая не пройдзе.

Праверце, што праграма сапраўды кладзе ў сетку

Перш чым у размове з'явіцца нейкая назва прадукту, захапіце хвіліну трафіку, які мусіць перасекчы канал: tcpdump -i eth0 -nn -e 'not ip'. Сцяг -e друкуе загаловак канальнага ўзроўню, а гэта менавіта тая частка, якую маршрутызаваны тунель адкідае. Калі захоп застаецца пустым, вашая праграма гаворыць на IP, і тунель L3 пераносіць яго без змен. Калі кадры ўсё ж з'яўляюцца, запішыце EtherType, бо 0x0806 — гэта ARP, 0x88cc — LLDP, а значэнне вытворцы звычайна азначае пратакол выяўлення без запаснога варыянту праз IP. Менавіта ў гэтым пункце звычайны tun інтэрфейс перастае быць дастатковым.

Паўтарыце захоп і на далёкім баку. Кадр, які існуе толькі ўнутры віртуальнага камутатара аднаго хаста, не прычына расцягваць шырокавяшчальны дамен праз WAN.

Праверце, ці мусіць выяўленне перасякаць канал

Маршрутызаваны тунель не мае агульнага сегмента, таму нішто, адрасаванае групе, не даходзіць да іншага канца. ARP, шырокавяшчальныя запыты DHCP, mDNS на 224.0.0.251, SSDP і запыты імёнаў NetBIOS — усе яны мяркуюць канал, які некалькі хастоў чуюць адначасова.

Спытайце, ад якога з іх праграма сапраўды залежыць і ці існуе для яго проксі. Рэлей DHCP, адлюстраванне mDNS і статычныя запісы ARP кожнае здымаюць адну залежнасць, і кожнае з'яўляецца яшчэ адным сэрвісам, які трэба запускаць і кантраляваць. Калі застаюцца два ці тры, аб'яднанне — сумленны адказ.

Праверце, колькі каштуе вам дадатковы загаловак

Кадрам патрэбна месца, таму ўсё, што вы адпраўляеце, атрымлівае другі стек загалоўкаў вакол сябе. У накладцы VXLAN гэта азначае знешні загаловак IP, загаловак UDP і 8-байтавы загаловак VXLAN, што выштурхоўвае поўную карысную нагрузку ў 1,500 байтаў за межы MTU шляху звычайнага інтэрнэт-канала ў 1,500 байтаў. OpenVPN у рэжыме tap дадае ўласныя накладныя выдаткі ў тым жа кірунку. Без ніжэйшага MTU на ўнутраным баку вы атрымаеце канал, які адказвае на ping і замірае на першай буйной перадачы.

Рахунак не спыняецца на байтах загалоўка. Шырокавяшчальны і групавы трафік, які камутатар апрацоўвае ў апаратным забеспячэнні, цяпер ідзе праз WAN, і кожная аб'яднаная пляцоўка атрымлівае ў спадчыну той жа план адрасоў, дыяпазон DHCP і паводзіны з дублямі адрасоў. Гэта робіць канал значна цяжэйшым для аўдыту, чым маршрутызаваны пул з адным прэфіксам на пляцоўку.

Палічыце перад выбарам. Заняты сегмент, рэплікаваны на тры пляцоўкі, можа перамяшчаць больш шырокавяшчальнага трафіку, чым перадачы файлаў, для якіх ён быў пабудаваны.

Праверце, які від VPN L2 вам прапануюць

Сам тэрмін неадназначны, і гэтая неадназначнасць вызначае, хто пераносіць ваш трафік. Часам ён апісвае карысную нагрузку: кадры Ethernet унутры IP, якія адпраўляюцца праз інтэрнэт, як любы іншы тунель, як робяць VXLAN, ZeroTier і рэжым tap у OpenVPN. Часам ён апісвае купленую паслугу: канал Ethernet ад аператара або псеўдаправад MPLS, які злучае дзве пляцоўкі ўнутры адной сеткі правайдара.

Абодва даюць вам сегмент, таму праграма не можа іх адрозніць, але аперацыйная розніца вялікая. Накладка пакідае вам адказнасць за MTU, шыфраванне і ніжэйшы шлях. Паслуга аператара бярэ гэта на сябе і бярэ за гэта грошы, і яна зусім не будзе маршрутызаваць вашыя кадры праз публічны інтэрнэт. Які з іх вам патрэбны, залежыць ад таго, ці дзве пляцоўкі падзяляюць аператара ці проста кампанію.

Праверце больш танны абыходны шлях перад аб'яднаннем

Большасць запытаў на аб'яднаны канал паходзіць з аднаго зламанага пошуку, а не з пратаколу, якому сапраўды патрэбны кадры. Спачатку прапусціце рэзалвер і пошукавы дамен праз маршрутызаваны тунель: dhcp-option DNS 10.8.0.1 разам з dhcp-option DOMAIN internal.example у канфігурацыі сервера OpenVPN вырашае дзіўна шмат з іх. Лакальны перанакіравальнік на далёкім баку робіць тую ж працу, не перамяшчаючы ніякага шырокавяшчальнага трафіку.

Калі адзін стары інструмент усё яшчэ не працуе, змясціце гэты інструмент за проксі або прамежкавы хост на сегменце прызначэння. Адзін перанакіравальнік TCP таннейшы ў эксплуатацыі, чым аб'яднаны WAN.

Закрыйце рашэнне па парадку: ці нясе трафік EtherType, не звязаны з IP, ці мусіць выяўленне перасякаць канал, ці можа MTU ўмясціць дадатковыя загалоўкі, ці сапраўды даступны канал аператара, і ці праваліўся маршрутызаваны абыходны шлях з прычыны, якую вы можаце назваць? «Не» на любым кроку спыняе спрэчку на карысць тунеля, які ў вас ужо ёсць. Далучыце захоп і спіс EtherType да запісу змен, бо наступны чалавек задасць тое ж пытанне і не захоча паўтараць вымярэнне.