VPN L2 o túnel L3: cinc comprovacions abans de pontar un lloc

Ponteu un lloc perquè una eina insisteix que ha d'estar a la mateixa xarxa, i tres setmanes després llegiu registres de commutadors a les dues de la matinada. Aquesta mena d'intuïció decideix massa enllaços Ethernet sobre IP. Aquí només hi ha una diferència que realment importa: si viatgen trames senceres d'un extrem a l'altre, o només paquets IP. Feu les cinc comprovacions següents en ordre i atureu-vos a la primera que falli.

Comproveu què posa realment l'aplicació al cable

Abans que qualsevol nom de producte entri a la conversa, captureu un minut del trànsit que ha de travessar l'enllaç: tcpdump -i eth0 -nn -e 'not ip'. L'indicador -e imprimeix la capçalera de la capa d'enllaç, que és exactament la part que descarta un túnel encaminat. Si la captura queda buida, la vostra aplicació parla IP i un túnel L3 la transporta sense canvis. Si hi apareixen trames, anoteu l'EtherType, perquè 0x0806 és ARP, 0x88cc és LLDP, i un valor de fabricant normalment significa un protocol de descoberta sense alternativa IP. És el punt en què una tun interfície normal deixa de ser suficient.

Repetiu la captura també a l'extrem remot. Una trama que només existeix dins del commutador virtual d'un amfitrió no és cap motiu per estendre un domini de difusió per un WAN.

Comproveu si la descoberta ha de travessar l'enllaç

Un túnel encaminat no té cap segment compartit, així que res adreçat a un grup arriba a l'altre extrem. ARP, les difusions DHCP, mDNS a 224.0.0.251, SSDP i les consultes de nom NetBIOS assumeixen tots un enllaç que diversos amfitrions senten alhora.

Pregunteu de quins d'aquests depèn realment l'aplicació i si ja hi ha un proxy per a ell. El relé DHCP, la reflexió mDNS i les entrades ARP estàtiques eliminen cadascun una dependència, i cadascun és un servei més per executar i monitorar. Quan en queden dos o tres, pontar és la resposta honesta.

Comproveu què us costa la capçalera extra

Les trames necessiten un lloc on viure, així que tot el que envieu porta una segona pila de capçaleres al voltant. En una superposició VXLAN això vol dir una capçalera IP exterior, una capçalera UDP i una capçalera VXLAN de 8 bytes, cosa que empeny una càrrega completa de 1,500 bytes més enllà de l'MTU de camí d'un enllaç d'internet normal de 1,500 bytes. OpenVPN en mode tap hi afegeix la seva pròpia sobrecàrrega en la mateixa direcció. Sense una MTU més baixa a la cara interna obteniu un enllaç que respon als ping i s'encalla a la primera transferència gran.

El compte no s'atura als bytes de capçalera. La difusió i el multicast que un commutador gestiona en maquinari ara viatgen pel WAN, i cada lloc pontat hereta el mateix pla d'adreces, l'abast DHCP i el comportament amb adreces duplicades. Això fa l'enllaç molt més difícil d'auditar que una agrupació encaminada amb un prefix per lloc.

Feu els càlculs abans de triar. Un segment ocupat replicat a tres llocs pot moure més trànsit de difusió que les transferències de fitxers per a les quals es va construir.

Comproveu quin tipus de VPN L2 us ofereixen

El terme mateix és ambigu, i l'ambigüitat decideix qui transporta el vostre trànsit. De vegades descriu la càrrega: trames Ethernet dins d'IP, enviades per internet com qualsevol altre túnel, tal com fan VXLAN, ZeroTier i el mode tap d'OpenVPN. De vegades descriu un servei comprat: un circuit Ethernet d'operador o un pseudofil MPLS que uneix dos llocs dins d'una sola xarxa de proveïdor.

Tots dos us donen un segment, així que l'aplicació no els pot distingir, però la diferència operativa és gran. Una superposició us deixa la responsabilitat de l'MTU, el xifratge i el camí subjacent. Un servei d'operador se n'encarrega i us ho cobra, i no encaminarà les vostres trames per internet públic de cap manera. Quin voleu depèn de si els dos llocs comparteixen operador o només comparteixen empresa.

Comproveu la solució més barata abans de pontar

La majoria de peticions d'un enllaç pontat venen d'una sola consulta trencada, no d'un protocol que realment necessiti trames. Feu passar primer el resolutor i el domini de cerca pel túnel encaminat: dhcp-option DNS 10.8.0.1 juntament amb dhcp-option DOMAIN internal.example en una configuració de servidor OpenVPN resol una quantitat sorprenent d'elles. Un reenviador local a l'extrem remot fa la mateixa feina sense moure cap trànsit de difusió.

Si una eina antiga encara falla, poseu aquesta eina darrere d'un proxy o d'un amfitrió de salt al segment de destinació. Un sol reenviador TCP és més barat d'operar que un WAN pontat.

Tanqueu la decisió en ordre: el trànsit porta un EtherType que no és IP, la descoberta ha de travessar, pot l'MTU absorbir les capçaleres extra, hi ha realment disponible un circuit de proveïdor, i la solució encaminada va fallar per un motiu que pugueu anomenar? Un no a qualsevol pas tanca el debat a favor del túnel que ja teniu. Arxiveu la captura i la llista d'EtherType amb el registre de canvis, perquè la propera persona farà la mateixa pregunta i no voldrà repetir el mesurament.