VPN от ниво L2 срещу тунел L3: пет проверки, преди да свържете обект

Свързвате обект, защото някой инструмент настоява, че трябва да е в същата мрежа, а три седмици по-късно четете дневниците на комутатора в два през нощта. Такова усещане решава твърде много връзки Ethernet върху IP. Тук наистина има значение само една разлика: дали цели кадри пътуват от край до край, или само IP пакети. Изпълнете петте проверки по-долу поред и спрете на първата, която се провали.

Проверете какво приложението наистина слага в мрежата

Преди в разговора да влезе каквото и да е име на продукт, запишете една минута от трафика, който трябва да прекоси връзката: tcpdump -i eth0 -nn -e 'not ip'. Флагът -e отпечатва заглавката на каналния слой, а това е точно частта, която маршрутизираният тунел изхвърля. Ако записът остане празен, приложението ви говори IP и тунел L3 го пренася непроменен. Ако все пак се появят кадри, отбележете EtherType, защото 0x0806 е ARP, 0x88cc е LLDP, а стойност от доставчик обикновено означава протокол за откриване без резервен вариант през IP. Точно в този момент обикновеният tun интерфейс спира да е достатъчен.

Повторете записа и от далечната страна. Кадър, който съществува само във виртуалния комутатор на един хост, не е причина да разтегнете широкомовен домейн през WAN.

Проверете дали откриването трябва да прекоси връзката

Маршрутизираният тунел няма споделен сегмент, затова нищо, адресирано до група, не стига до другия край. ARP, широкомовните заявки на DHCP, mDNS на 224.0.0.251, SSDP и заявките за имена на NetBIOS — всички те предполагат връзка, която няколко хоста чуват едновременно.

Попитайте от кое от тях приложението наистина зависи и дали вече има прокси за него. DHCP релей, отражение на mDNS и статични ARP записи — всяко премахва по една зависимост и всяко е още една услуга, която да се пуска и наблюдава. Когато останат две или три, свързването е честният отговор.

Проверете колко ви струва допълнителната заглавка

Кадрите трябва да живеят някъде, затова всичко, което изпращате, получава втори стек от заглавки, увит около него. При VXLAN накладка това означава външна IP заглавка, UDP заглавка и 8-байтова VXLAN заглавка, което избутва пълноценен 1,500-байтов полезен товар отвъд MTU на пътя на обикновена 1,500-байтова интернет връзка. OpenVPN в режим tap добавя собствени разходи в същата посока. Без по-нисък MTU от вътрешната страна получавате връзка, която отговаря на ping и засяда при първия голям трансфер.

Сметката не спира до байтовете на заглавките. Широкомовният и груповият трафик, който комутаторът обработва в хардуера, сега пътува по WAN, а всеки свързан обект наследява същия адресен план, DHCP обхват и поведение при дублирани адреси. Това прави връзката значително по-трудна за одит от маршрутизиран пул с един префикс на обект.

Направете сметката, преди да изберете. Зает сегмент, репликиран към три обекта, може да пренесе повече широкомовен трафик, отколкото файловите трансфери, за които е бил построен.

Проверете какъв вид L2 VPN ви предлагат

Самият термин е двусмислен и тази двусмисленост решава кой пренася трафика ви. Понякога описва полезния товар: Ethernet кадри в IP, изпратени през интернет като всеки друг тунел, както правят VXLAN, ZeroTier и режимът tap на OpenVPN. Понякога описва купена услуга: Ethernet канал от оператор или MPLS псевдокабел, който свързва два обекта в една мрежа на доставчик.

И двете ви дават сегмент, затова приложението не може да ги различи, но оперативната разлика е голяма. Накладката оставя у вас отговорността за MTU, криптирането и долния път. Услугата от оператор поема това и го таксува, и изобщо няма да маршрутизира кадрите ви през публичния интернет. Кой от двата искате зависи от това дали двата обекта споделят оператор, или само компания.

Проверете по-евтиния обходен вариант, преди да свързвате

Повечето заявки за свързана връзка идват от едно счупено търсене, а не от протокол, който наистина се нуждае от кадри. Първо прекарайте резолвера и домейна за търсене през маршрутизирания тунел: dhcp-option DNS 10.8.0.1 заедно с dhcp-option DOMAIN internal.example в конфигурация на OpenVPN сървър решава изненадващо голям брой от тях. Локален препращач от отдалечената страна върши същата работа, без да мести никакъв широкомовен трафик.

Ако един стар инструмент все още се проваля, поставете този инструмент зад прокси или междинен хост в сегмента на местоназначението. Един TCP препращач е по-евтин за експлоатация от свързана WAN.

Затворете решението по ред: носи ли трафикът EtherType, различен от IP, трябва ли откриването да прекоси, може ли MTU да поеме допълнителните заглавки, наистина ли е наличен канал от оператор и провали ли се маршрутизираният обходен вариант по причина, която можете да назовете? Едно «не» на който и да е етап приключва спора в полза на тунела, който вече имате. Приложете записа и списъка с EtherType към записа за промяната, защото следващият човек ще зададе същия въпрос и няма да иска да повтаря измерването.