L2-VPN oder L3-Tunnel: fünf Prüfungen, bevor Sie einen Standort brücken

Sie brücken einen Standort, weil ein Tool darauf besteht, dass es im selben Netz liegen muss, und drei Wochen später lesen Sie um zwei Uhr morgens Switch-Logs. Diese Art von Bauchgefühl entscheidet über viel zu viele Ethernet-over-IP-Verbindungen. Nur ein Unterschied zählt hier wirklich: ob ganze Frames Ende zu Ende reisen oder nur IP-Pakete. Führen Sie die fünf Prüfungen unten der Reihe nach durch, und halten Sie bei der ersten an, die scheitert.

Prüfen Sie, was die Anwendung tatsächlich auf die Leitung legt

Bevor ein Produktname in die Diskussion kommt, zeichnen Sie eine Minute des Verkehrs auf, der die Verbindung überqueren muss: tcpdump -i eth0 -nn -e 'not ip'. Die Option -e gibt den Header der Sicherungsschicht aus, und genau den verwirft ein gerouteter Tunnel. Bleibt die Aufzeichnung leer, spricht Ihre Anwendung IP und ein L3-Tunnel trägt sie unverändert. Tauchen doch Frames auf, notieren Sie den EtherType, denn 0x0806 ist ARP, 0x88cc ist LLDP, und ein Herstellerwert bedeutet meist ein Discovery-Protokoll ohne IP-Fallback. An diesem Punkt reicht ein gewöhnliches tun Interface nicht mehr aus.

Wiederholen Sie die Aufzeichnung auch auf der Gegenseite. Ein Frame, der nur innerhalb des virtuellen Switches eines Hosts existiert, ist kein Grund, eine Broadcast-Domain über ein WAN zu spannen.

Prüfen Sie, ob Discovery die Verbindung überqueren muss

Ein gerouteter Tunnel hat kein gemeinsames Segment, also erreicht nichts, was an eine Gruppe adressiert ist, die andere Seite. ARP, DHCP-Broadcasts, mDNS auf 224.0.0.251, SSDP und NetBIOS-Namensabfragen setzen alle eine Verbindung voraus, die mehrere Hosts gleichzeitig hören.

Fragen Sie, auf welche davon die Anwendung wirklich angewiesen ist und ob es dafür schon einen Proxy gibt. DHCP-Relay, mDNS-Reflection und statische ARP-Einträge entfernen jeweils eine Abhängigkeit, und jeder davon ist ein weiterer Dienst, der laufen und überwacht werden muss. Wenn zwei oder drei übrig bleiben, ist Brücken die ehrliche Antwort.

Prüfen Sie, was der zusätzliche Header kostet

Frames brauchen einen Platz zum Leben, also bekommt alles, was Sie senden, einen zweiten Header-Stack umgelegt. In einem VXLAN-Overlay bedeutet das einen äußeren IP-Header, einen UDP-Header und einen 8-Byte-VXLAN-Header, was eine volle 1,500-Byte-Nutzlast über die Pfad-MTU einer gewöhnlichen 1,500-Byte-Internetverbindung hinausdrückt. OpenVPN im Modus tap legt seinen eigenen Overhead in dieselbe Richtung drauf. Ohne eine niedrigere MTU auf der Innenseite bekommen Sie eine Verbindung, die Pings beantwortet und beim ersten großen Transfer stockt.

Die Rechnung endet nicht bei Header-Bytes. Broadcast und Multicast, die ein Switch in Hardware erledigt, fahren jetzt über das WAN, und jeder gebrückte Standort erbt dasselbe Adresskonzept, denselben DHCP-Bereich und dasselbe Verhalten bei doppelten Adressen. Das macht die Verbindung erheblich schwerer zu prüfen als einen gerouteten Pool mit einem Präfix pro Standort.

Rechnen Sie, bevor Sie wählen. Ein belegtes Segment, auf drei Standorte repliziert, kann mehr Broadcast-Verkehr bewegen als die Dateitransfers, für die es gebaut wurde.

Prüfen Sie, welche Art von L2-VPN Ihnen angeboten wird

Der Begriff selbst ist mehrdeutig, und die Mehrdeutigkeit entscheidet, wer Ihren Verkehr trägt. Manchmal beschreibt er die Nutzlast: Ethernet-Frames in IP, über das Internet geschickt wie jeder andere Tunnel, wie es VXLAN, ZeroTier und OpenVPN im tap Modus tun. Manchmal beschreibt er eine gekaufte Dienstleistung: eine Carrier-Ethernet-Leitung oder eine MPLS-Pseudowire, die zwei Standorte innerhalb eines Providernetzes verbindet.

Beide geben Ihnen ein Segment, die Anwendung kann sie also nicht unterscheiden, aber der betriebliche Unterschied ist groß. Ein Overlay lässt Ihnen die Verantwortung für MTU, Verschlüsselung und den darunterliegenden Pfad. Ein Carrier-Dienst übernimmt das und berechnet es, und er wird Ihre Frames überhaupt nicht über das öffentliche Internet routen. Welchen Sie wollen, hängt davon ab, ob die beiden Standorte einen Betreiber teilen oder nur ein Unternehmen.

Prüfen Sie die billigere Lösung, bevor Sie brücken

Die meisten Wünsche nach einer gebrückten Verbindung kommen von einer einzigen kaputten Namensauflösung, nicht von einem Protokoll, das wirklich Frames braucht. Schicken Sie zuerst den Resolver und die Suchdomäne durch den gerouteten Tunnel: dhcp-option DNS 10.8.0.1 zusammen mit dhcp-option DOMAIN internal.example in einer OpenVPN-Serverkonfiguration löst überraschend viele davon. Ein lokaler Forwarder auf der Gegenseite erledigt dieselbe Arbeit, ohne Broadcast-Verkehr zu bewegen.

Wenn ein Altwerkzeug weiterhin scheitert, stellen Sie dieses Werkzeug hinter einen Proxy oder einen Jump-Host im Zielsegment. Ein einzelner TCP-Forwarder ist billiger zu betreiben als ein gebrücktes WAN.

Schließen Sie die Entscheidung der Reihe nach: Trägt der Verkehr einen Nicht-IP-EtherType, muss Discovery hinüber, kann die MTU die zusätzlichen Header aufnehmen, ist eine Provider-Leitung tatsächlich verfügbar, und ist die geroutete Lösung aus einem Grund gescheitert, den Sie benennen können? Ein Nein bei irgendeinem Schritt beendet die Diskussion zugunsten des Tunnels, den Sie schon haben. Legen Sie die Aufzeichnung und die EtherType-Liste zum Änderungsdatensatz, weil die nächste Person dieselbe Frage stellen wird und die Messung nicht wiederholen möchte.