Хто маршрутызуе паміж вашымі пляцоўкамі: VPN узроўню 2 ці 3?

Замовіце VPN у пастаўшчыка — і нехта ўсё роўна стане ўладальнікам міжпляцовачнага маршрутызавання, назвалі вы гэтага ўладальніка ці не. Падпішыце перадачу ўзроўню 2, і пастаўшчык дасць трубу, а суседства сфарміруюць вашыя маршрутызатары; падпішыце паслугу ўзроўню 3, і пастаўшчык павязе вашыя прэфіксы ўнутры ўласнага кантэксту маршрутызавання. Абодва — законныя прадукты з рознымі гісторыямі дзяжурства. Прайдзіце замову ад камерцыйнай прапановы да першага прыёмачнага тэсту, і выбар перастане быць абстрактным.

Пачніце з формы перадачы, а не са слайда тапалогіі

Кожны пастаўшчык рана ці позна дашле форму, у якой спытае, што менавіта перадаць: псеўдадрат, шматпунктавы сегмент Ethernet або маршрутызаванае далучэнне на агульным краі паслугі. Гэты адзін адказ вырашае больш, чым любая схема ў прэзентацыі, бо ён фіксуе, дзе пачынаецца вашая адказнасць.

Псеўдадрат пункт-пункт — гэта адно кола паміж двума далучэннямі, а шматпунктавая паслуга Ethernet злучае некалькі пляцовак у адзін шырокавяшчальны дамен. На схеме яны выглядаюць падобна, але паводзяць сябе зусім па-рознаму, калі з’яўляецца пятля або шырокавяшчальны шторм. Пацвердзіце, які варыянт вам прапануюць, перш чым планаваць адрасацыю.

Назвы прадуктаў нічога не вырашаюць. MPLS-метка, цёмнае валакно і накладзеная сетка праз інтэрнэт могуць называцца прыватнай сеткай, а рамачныя дакументы лічаць мадэль паслугі і падзел «кліент — пастаўшчык» тым, што трэба вызначыць. Папрасіце семантыку далучэння ў пісьмовым выглядзе, а потым перакажыце яе сваёй камандзе простымі словамі.

Прачытайце тое, што прыйшло ў дзень уключэння

У дзень уключэння паглядзіце на інтэрфейс, які вам далі, перш чым нешта на ім наладжваць. Маршрутызаванае далучэнне ўзроўню 3 звычайна выглядае як порт з невялікай падсеткай пункт-пункт або як наступны хоп, да якога трэба дайсці. Далучэнне ўзроўню 2 выглядае як лінія, што чакае кадры, таму вашая першая карысная каманда — праверка моста або суседа, а не пошук маршруту.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

Гэтыя чатыры радкі кажуць, у якім свеце вы знаходзіцеся. Маршрут па змаўчанні, які паказвае на адрас пастаўшчыка азначае, што пастаўшчык маршрутызуе за вас. Інтэрфейс без карыснага адрасу ўзроўню 3, але з запоўненым мостам азначае, што маршрутызаваць павінны вы, і любы адсутны прэфікс — ваш для выпраўлення.

Лінія, што выглядае як promiscuous, можа таксама азначаць, што перадача з пазнакай, таму пацвердзіце дамову аб VLAN, перш чым вінаваціць кола. Дубляваныя MAC-адрасы ў шматпунктавай паслузе — гэта сімптом дызайну, а не збой пастаўшчыка.

Прызначце аднаго ўладальніка на аб’ект да першага прэфікса

Прайдзіце спіс аб’ектаў і ўголас назвіце каманду, якая валодае кожным. Кліенцкія прэфіксы і аб’явы паміж пляцоўкамі. Суседства або ідэнтыфікатар паслугі, якія фарміруюць сувязь з краем пастаўшчыка. Хто разрывае пятлі і хто пагадзіўся жыць у адным шырэйшым шырокавяшчальным дамене. Дзе знаходзіцца столі MTU, як заўважаюць збоі і як вяртаецца паслуга. Палітыка доступу і любое шыфраванне, якога паслуга не ўключае.

Гэты спіс кароткі, бо менавіта ён ламаецца падчас інцыдэнту. Калі дзве каманды абедзве лічаць, што валодаюць палітыкай маршрутаў, збой дасць дзве супярэчлівыя змены ў адну гадзіну. Калі ж не валодае ніхто, першы асіметрычны шлях жыве, пакуль кліент не паведаміць пра яго.

Маршрутызаваная паслуга звычайна дае вам мяжу BGP або статычную, таму вашаму боку патрэбны стан сесіі, які можна прачытаць: birdc show protocols або эквівалент на вашым маршрутызатары пакажа, ці суседства паднятае, а лічыльнікі — ці флапае яно толькі ў працоўныя гадзіны. Перадача ўзроўню 2 не дае такога сігналу, таму кліент абавязаны мець уласную праверку дасяжнасці.

Прайдзіце выпадак збою для адной пляцоўкі

Запішыце прыёмачны тэст да запуску паслугі: адкіньце адно далучэнне пляцоўкі і зафіксуйце, што бачыць кожная каманда. У паслузе ўзроўню 3 пастаўшчык адклікае дасяжнасць прэфіксаў гэтай пляцоўкі, вашая сесія запісвае адкліканне, а астатнія пляцоўкі захоўваюць свае шляхі. У паслузе ўзроўню 2 кола падае, ваш пратакол маршрутызавання заўважае мёртвага суседа, і тая ж збежнасць цалкам залежыць ад вашых таймераў.

Аднавіце лінію і праверце другую палову выпадку, бо састарэлы стан — звычайны рэштак. Пацвердзіце, што суседства вярнулася, прэфіксы прыйшлі з чаканымі атрыбутамі, і ў табліцы не засталося часовага статычнага маршруту ад інцыдэнту.

Праверце і сумны збой: адна пляцоўка падвоіла трафік. На маршрутызаванай перадачы вы бачыце лічыльнікі па прэфіксах; на мосце можаце бачыць толькі прапускную здольнасць інтэрфейса, і тады даводзіцца здагадвацца, які хост вінаваты.

Што кантракт не купляе

Метка ўзроўню 2 ці 3 не кажа нічога пра затрымку, выдзелены бэкбон або шыфраванне. Гэта асобныя абавязацельствы, і паказчыкі даступнасці не азначаюць ніводнага з іх. Прачытайце пагадненне аб паслузе наконт абяцанага, а ўсё астатняе лічыце дапушчэннем, якое трэба праверыць.

Калі вашая патрэба — далучэнне пункт-пункт паміж двума кліенцкімі маршрутызатарамі, паслуга ўзроўню 2 падыходзіць без просьбы да пастаўшчыка весці ваша ўнутранае маршрутызаванне. Калі патрэба — шмат пляцовак з рознымі падсеткамі і невялікая аперацыйная каманда, маршрутызаваная паслуга звычайна здымае працу, якой вы інакш валодалі б.

Ніводзін варыянт не з’яўляецца прадвызначаным. Праверце падтрымку інкапсуляцыі прыладамі, рэальныя сувязі трафіку паміж пляцоўкамі, мадэль рэзервавання і тое, ці зможа вашая каманда эксплуатаваць тую частку, якую толькі што прыняла. Затым запішыце імёны ўладальнікаў у runbook, бо гэта адзіная частка рашэння, якая перажывае змены персаналу.