L2 VPN kontra L3-tunnel: fem tjek, før du broer et site

Du broer et site, fordi et værktøj insisterer på, at det skal ligge på det samme netværk, og tre uger senere læser du switchlogs klokken to om natten. Den slags fornemmelse afgør alt for mange Ethernet-over-IP-links. Kun én forskel betyder reelt noget her: om hele frames rejser fra ende til ende, eller kun IP-pakker gør. Kør de fem tjek nedenfor i rækkefølge, og stop ved det første, der fejler.

Tjek, hvad applikationen faktisk sender på ledningen

Før et produktnavn kommer ind i diskussionen, optag et minut af den trafik, der skal krydse linket: tcpdump -i eth0 -nn -e 'not ip'. Flaget -e udskriver linklagets header, og det er netop den del, en ruteret tunnel kasserer. Hvis optagelsen forbliver tom, taler din applikation IP, og en L3-tunnel bærer den uændret. Hvis der derimod dukker frames op, så notér EtherType, fordi 0x0806 er ARP, 0x88cc er LLDP, og en leverandørværdi betyder normalt en discovery-protokol uden IP-fallback. Det er punktet, hvor en almindelig tun interface ikke længere er nok.

Gentag optagelsen på den fjerne side også. En frame, der kun findes inde i én hosts virtuelle switch, er ingen grund til at strække et broadcast-domæne over et WAN.

Tjek, om discovery skal krydse linket

En ruteret tunnel har intet fælles segment, så intet adresseret til en gruppe når den anden ende. ARP, DHCP-broadcasts, mDNS på 224.0.0.251, SSDP og NetBIOS-navneforespørgsler regner alle med et link, som flere hosts kan høre på én gang.

Spørg, hvilke af dem applikationen reelt afhænger af, og om der allerede findes en proxy til det. DHCP-relay, mDNS-spejling og statiske ARP-poster fjerner hver én afhængighed, og hver af dem er endnu en tjeneste, der skal køres og overvåges. Når to eller tre er tilbage, er broing det ærlige svar.

Tjek, hvad den ekstra header koster dig

Frames skal bo et sted, så alt, hvad du sender, får en ekstra header-stak pakket omkring sig. I et VXLAN-overlay betyder det en ydre IP-header, en UDP-header og en 8-byte VXLAN-header, hvilket skubber en fuld 1,500-byte nyttelast forbi path-MTU'en på et almindeligt 1,500-byte internetlink. OpenVPN i tap tilstand lægger sit eget overhead til i samme retning. Uden en lavere MTU på den indre side får du et link, der svarer på ping og går i stå ved den første store overførsel.

Regningen stopper ikke ved header-bytes. Broadcast og multicast, som en switch klarer i hardware, kører nu over WAN'et, og hvert broet site arver samme adresseplan, DHCP-scope og opførsel ved dubletter. Det gør linket markant sværere at revidere end en ruteret pulje med ét præfiks pr. site.

Regn det ud, før du vælger. Et travlt segment replikeret til tre sites kan flytte mere broadcast-trafik end de filoverførsler, det blev bygget til.

Tjek, hvilken slags L2 VPN du bliver tilbudt

Selve begrebet er tvetydigt, og tvetydigheden afgør, hvem der bærer din trafik. Nogle gange beskriver det nyttelasten: Ethernet-frames inde i IP, sendt over internettet som enhver anden tunnel, som VXLAN, ZeroTier og OpenVPN tap tilstand gør. Nogle gange beskriver det en købt tjeneste: en carrier Ethernet-kreds eller en MPLS-pseudowire, der forbinder to sites inde i én udbyders netværk.

Begge giver dig et segment, så applikationen kan ikke skelne dem, men den driftsmæssige forskel er stor. Et overlay lader dig stå med ansvaret for MTU, kryptering og den underliggende vej. En operatørtjeneste overtager det og tager betaling for det, og den vil slet ikke route dine frames over det offentlige internet. Hvilken du vil have, afhænger af, om de to sites deler en operatør eller blot deler et firma.

Tjek den billigere løsning, før du broer

De fleste ønsker om et broet link kommer fra ét ødelagt opslag, ikke fra en protokol, der virkelig har brug for frames. Skub først resolveren og søgedomænet gennem den ruteret tunnel: dhcp-option DNS 10.8.0.1 sammen med dhcp-option DOMAIN internal.example i en OpenVPN-serverkonfiguration klarer et overraskende antal af dem. En lokal forwarder på den fjerne side gør samme arbejde uden at flytte broadcast-trafik.

Hvis ét ældre værktøj stadig fejler, så sæt det værktøj bag en proxy eller en jump host på destinationssegmentet. En enkelt TCP-forwarder er billigere at drive end et broet WAN.

Luk beslutningen i rækkefølge: bærer trafikken en ikke-IP EtherType, skal discovery krydse, kan MTU'en absorbere de ekstra headere, er en udbyderkreds faktisk tilgængelig, og fejlede den ruteret løsning af en grund, du kan navngive? Et nej på ethvert trin afslutter diskussionen til fordel for den tunnel, du allerede har. Arkivér optagelsen og EtherType-listen sammen med ændringsregistreringen, fordi den næste person vil stille det samme spørgsmål og ikke vil gentage målingen.