Кой маршрутизира между вашите обекти: VPN от слой 2 или слой 3?

Поръчайте VPN от доставчик и някой в крайна сметка ще притежава маршрутизирането между обекти, независимо дали сте посочили този собственик. Подпишете за предаване от слой 2 и доставчикът дава тръба, докато вашите рутери оформят съседството; подпишете за услуга от слой 3 и доставчикът носи вашите префикси в собствения си маршрутизационен контекст. И двете са законни продукти с различни истории за дежурство. Проследете поръчката от офертата до първия тест за приемане и изборът престава да бъде абстрактен.

Започнете с формуляра за предаване, а не със слайда с топологията

Всеки доставчик рано или късно изпраща формуляр, който пита какво да ви предаде: псевдокабел, многоточков Ethernet сегмент или маршрутизирано включване на споделен ръб на услугата. Този единствен отговор решава повече от всяка диаграма в презентацията, защото фиксира къде започва вашата отговорност.

Псевдокабел точка-точка е една верига между две включвания, а многоточкова Ethernet услуга свързва няколко обекта в един широкомовен домейн. На диаграма изглеждат подобно, но се държат напълно различно, щом се появи цикъл или широкомовна буря. Потвърдете кой вариант се оферира, преди да планирате адресирането.

Имената на продуктите не решават въпроса. MPLS етикет, предаване по тъмно влакно и наслагване през интернет могат да се нарекат частна мрежа, а рамковите документи приемат модела на услугата и разделението клиент-доставчик като нещото, което трябва да се дефинира. Поискайте семантиката на включването писмено, после я прочетете на екипа си с прости думи.

Прочетете какво е пристигнало в деня на включването

В деня на включването погледнете интерфейса, който са ви дали, преди да конфигурирате нещо върху него. Маршрутизирано включване от слой 3 обикновено изглежда като порт с малка подмрежа точка-точка или като следващ хоп, който трябва да достигнете. Включване от слой 2 изглежда като линия, която очаква кадри, затова първата ви полезна команда е проверка на мост или съсед, а не търсене на маршрут.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

Тези четири реда казват в кой свят сте. Маршрут по подразбиране, сочещ към адрес на доставчика означава, че доставчикът маршрутизира вместо вас. Интерфейс без полезен адрес от слой 3, но с попълнен мост означава, че маршрутизирането е ваша работа и всеки липсващ префикс е ваш за поправяне.

Линия, която изглежда promiscuous, може също да значи, че предаването е с етикет, затова потвърдете споразумението за VLAN, преди да обвините веригата. Дублирани MAC адреси в многоточкова услуга са симптом на дизайна, а не повреда на доставчика.

Определете един собственик за всеки обект преди първия префикс

Минете списъка с обекти и назовете на глас екипа, който притежава всеки. Клиентски префикси и обявите между обектите. Съседството или идентификаторът на услугата, които оформят връзката с ръба на доставчика. Кой прекъсва циклите и кой се е съгласил да живее в един по-широк широкомовен домейн. Къде е таванът на MTU, как се забелязват повредите и как се връща услугата. Политика за достъп плюс всяко криптиране, което услугата не включва.

Този списък е кратък, защото именно той се чупи при инцидент. Ако два екипа вярват, че притежават маршрутната политика, аварията произвежда две противоречиви промени в един и същ час. Ако никой не я притежава, първият асиметричен път оцелява, докато клиент не го докладва.

Маршрутизираната услуга обикновено ви дава BGP или статична граница, затова вашата страна се нуждае от състояние на сесията, което може да се прочете: birdc show protocols или еквивалентът на вашия рутер показва дали съседството е вдигнато, а броячите — дали то трепти само в работно време. Предаване от слой 2 не дава такъв сигнал, затова клиентът трябва да притежава изрична проверка за достижимост.

Минете случая с повреда за един обект

Напишете теста за приемане преди услугата да влезе в експлоатация: отпаднете едно включване на обект и запишете какво вижда всеки екип. При услуга от слой 3 доставчикът оттегля достижимостта за префиксите на този обект, сесията ви записва оттеглянето, а останалите обекти запазват пътищата си. При услуга от слой 2 веригата пада, маршрутизиращият протокол забелязва мъртъв съсед и същата сходимост зависи изцяло от вашите таймери.

Възстановете линията и проверете втората половина на случая, защото остарелото състояние е обичайният остатък. Потвърдете, че съседството се връща, префиксите идват с очакваните атрибути и в таблицата не е останал временен статичен маршрут от инцидента.

Тествайте и скучната повреда: един обект удвоява трафика си. При маршрутизирано предаване виждате броячи по префикс; при мостово може да виждате само пропускателната способност на интерфейса, което ви оставя да гадаете кой хост е виновен.

Какво не купува договорът

Етикет от слой 2 или слой 3 не казва нищо за латентност, отделен гръбнак или криптиране. Това са отделни ангажименти и показателите за наличност не предполагат нито един от тях. Прочетете договора за услугата за обещаното и приемете всичко останало като допускане, което трябва да тествате.

Ако изискването ви е включване точка-точка между два клиентски рутера, услуга от слой 2 пасва, без да искате от доставчика да води вътрешното ви маршрутизиране. Ако изискването ви е много обекти с различни подмрежи и малък екип за експлоатация, маршрутизираната услуга обикновено премахва работа, която иначе би била ваша.

Нито едното не е по подразбиране. Проверете поддръжката на инкапсулацията от устройствата, реалните връзки на трафика между обектите, модела за резервиране и дали екипът ви може да експлоатира частта, която току-що е приел. После запишете имената на собствениците в runbook, защото това е единствената част от решението, която оцелява при смяна на персонала.