Laboratorní WAN z jedné VLAN: plochý segment, nebo směrovaný transport

Jeden spravovaný switch a rezervní VLAN vám během odpoledne dají dvě brány VPN, které spolu komunikují přes izolovaný segment. Co tento segment dokazuje, je užší než to, co lidé od slova WAN očekávají. Reprodukuje přímou cestu Ethernet, což je užitečné, a vynechává téměř vše, co internet na cestě s pakety dělá. Volba mezi plochým segmentem a směrovaným laboratorním transportem je ve skutečnosti otázka, jaké chování chcete testovat.

Dva návrhy, dvě různé lekce

Plochý segment umísťuje obě rozhraní WAN a testovací hostitel do jedné VLAN, s adresami ze stejného prefixu. Vše se přímo dostane na vše a jediné, co je mezi branami, je switch. To je skutečná topologie, jen ne příliš zajímavá.

Směrovaný transport přidává laboratorní router a alespoň dva segmenty, takže brány sedí v různých podsítích s výchozí bránou mezi nimi. Toto uspořádání stojí další zařízení a směrovací tabulku a kupuje chování, které jedna broadcastová doména nedokáže vytvořit.

Co plochý segment dokazuje

Dokazuje dosažitelnost, autentizaci, shodu na návrhu a to, že provoz vstupuje do tunelu a vystupuje tam, kde očekáváte. To jsou poruchy, které spotřebují většinu času při odstraňování problémů, a plochý segment je najde bez jakékoli složitosti směrování v cestě. Pokud tunel zde nenaběhne, nepomůže žádné množství internetového realismu.

Je to také správný tvar pro opakovatelnou základní linii. Když pozdější test selže, můžete znovu spustit plochý případ a vědět, zda to způsobila změna nebo nová podmínka. Zapište základní linii s jejími adresami, protože ji budete muset později znovu postavit.

Co směrování přidává

Různé podsítě WAN znamenají, že brány musí směrovat, místo aby se navzájem adresovaly na lince, a právě zde se objevují chyby výchozí brány a asymetrické návratové cesty. Mezilehlé filtrování a jeden hop mezi tím vám umožní testovat, co se stane, když cesta není přímá.

Cena je více míst, kde se dá udělat chyba. Každé další zařízení je další konfigurace, která může být v rozporu s výkresem, a laboratoř, kterou nikdo nedokáže znovu postavit z poznámek, přestává být laboratoří. Uchovávejte konfiguraci routeru v těch poznámkách, ne jen v jeho běžícím stavu.

Co ani jeden z návrhů nereprodukuje

Překlad u operátora je velké opomenutí. Brána, která funguje na lince, může selhat za překladem adres, a plochý segment nemá žádný překlad. Změna zdrojových adres, celulární handover i fronty, kvůli kterým hovor koktá, stejně chybí.

Velikost cesty je druhé opomenutí. Laboratoř s jedním switchem a jedním routerem téměř nikdy nevytvoří menší maximální velikost, kterou skutečná cesta vnucuje, takže chyba fragmentace zůstává skrytá, dokud se zařízení nedostane na lokalitu. Tato mezera vysvětluje, jak tunel projde každým laboratorním testem a přesto selže při první instalaci. Také nastavuje očekávání, co laboratoř smí slibovat.

Přidávejte jednu podmínku po druhé, když to cvičení vyžaduje, a udržujte běh bez této podmínky jako základní linii. Jinak se selhání přičte chování internetu, které laboratoř nikdy neimplementovala. Označte každý běh podmínkou, kterou přidal, jinak základní linie přestane něco znamenat.

Jak udržet laboratoř ohraničenou

Použijte schválený privátní rozsah, který se nepřekrývá s produkcí, a zaznamenejte přidělení. Dokumentační rozsahy jsou příklady pro diagramy, ne adresy pro fungující laboratoř, a překryv objevený později vytvoří směrovací poruchu, která vypadá jako chyba VPN.

Udržujte pozici testovacího klienta viditelnou. Hostitel na privátní straně prochází jinou cestou než hostitel na simulované WAN a náhodné rozhraní switche nebo druhý uplink může obejít firewall, který jste chtěli testovat. Výkres s vyznačenou pozicí klienta zabrání většině těchto překvapení.

Než se jakákoli část zařízení vrátí na skutečný uplink, odstraňte konfiguraci specifickou pro laboratoř a nechte ji zkontrolovat vlastníkem produkce. Segment je cenný, protože jeho chování je známé a ohraničené, a právě to ho činí nebezpečným pro přenesení do produkce beze změn.