Ein Labor-WAN aus einem VLAN: flaches Segment oder gerouteter Transport

Ein verwalteter Switch und ein freies VLAN geben Ihnen an einem Nachmittag zwei VPN-Gateways, die über ein isoliertes Segment sprechen. Was dieses Segment beweist, ist enger gefasst, als man es vom Wort WAN erwartet. Es bildet einen direkten Ethernet-Pfad nach, was nützlich ist, und es lässt fast alles weg, was das Internet unterwegs mit Paketen macht. Die Wahl zwischen einem flachen Segment und einem gerouteten Labor-Transport ist eigentlich eine Frage danach, welche Verhaltensweisen Sie testen wollen.

Zwei Entwürfe, zwei verschiedene Lektionen

Ein flaches Segment legt beide WAN-Schnittstellen und einen Testhost in ein VLAN, mit Adressen aus demselben Präfix. Alles erreicht alles direkt, und das Einzige zwischen den Gateways ist der Switch. Das ist eine echte Topologie, nur keine sehr interessante.

Ein gerouteter Transport fügt einen Labor-Router und mindestens zwei Segmente hinzu, sodass die Gateways in verschiedenen Subnetzen mit einem Standard-Gateway dazwischen sitzen. Diese Anordnung kostet ein weiteres Gerät und eine Routing-Tabelle und kauft die Verhaltensweisen, die eine einzelne Broadcast-Domäne nicht erzeugen kann.

Was das flache Segment beweist

Es beweist Erreichbarkeit, Authentifizierung, Einigung über den Vorschlag und dass Verkehr dort in den Tunnel eintritt und ihn verlässt, wo Sie es erwarten. Das sind die Fehler, die die meiste Fehlersuche-Zeit verbrauchen, und ein flaches Segment findet sie ohne jede Routing-Komplexität im Weg. Wenn der Tunnel hier nicht hochkommt, hilft keine Menge Internet-Realismus.

Es ist auch die richtige Form für eine wiederholbare Basislinie. Wenn ein späterer Test fehlschlägt, können Sie den flachen Fall erneut ausführen und wissen, ob die Änderung oder die neue Bedingung ihn verursacht hat. Schreiben Sie die Basislinie mit ihren Adressen auf, denn Sie werden sie später wieder aufbauen müssen.

Was das Routing hinzufügt

Verschiedene WAN-Subnetze bedeuten, dass die Gateways routen müssen, statt sich on-link gegenseitig zu adressieren, und genau hier erscheinen Fehler beim Standard-Gateway und asymmetrische Rückwege. Zwischenfilterung und ein Hop dazwischen lassen Sie testen, was passiert, wenn ein Pfad nicht direkt ist.

Der Preis sind mehr Stellen, an denen man falsch liegen kann. Jedes zusätzliche Gerät ist eine weitere Konfiguration, die mit der Zeichnung nicht übereinstimmen kann, und ein Labor, das niemand aus Notizen wieder aufbauen kann, hört auf, ein Labor zu sein. Bewahren Sie die Router-Konfiguration in diesen Notizen auf und nicht nur in ihrem laufenden Zustand.

Was keiner der beiden Entwürfe nachbildet

Die Übersetzung beim Anbieter ist die große Auslassung. Ein Gateway, das on-link funktioniert, kann hinter Adressübersetzung scheitern, und ein flaches Segment hat überhaupt keine Übersetzung. Geänderte Quelladressen, ein zellulares Handover und die Warteschlangen, die einen Anruf stocken lassen, fehlen ebenso.

Die Pfadgröße ist die zweite Auslassung. Ein Labor mit einem Switch und einem Router erzeugt fast nie die kleinere Maximalgröße, die ein echter Pfad erzwingt, sodass ein Fragmentierungsfehler verborgen bleibt, bis die Ausrüstung an einem Standort ankommt. Diese Lücke erklärt, wie ein Tunnel jeden Labortest besteht und bei der ersten Installation trotzdem scheitert. Sie setzt auch Erwartungen dafür, was das Labor versprechen darf.

Fügen Sie jeweils eine Bedingung hinzu, wenn die Übung sie braucht, und behalten Sie einen Lauf ohne diese Bedingung als Basislinie. Sonst wird ein Fehler einem Internet-Verhalten zugeschrieben, das das Labor nie umgesetzt hat. Beschriften Sie jeden Lauf mit der hinzugefügten Bedingung, sonst bedeutet die Basislinie nichts mehr.

Das Labor begrenzt halten

Verwenden Sie einen freigegebenen privaten Bereich, der sich nicht mit der Produktion überschneidet, und zeichnen Sie die Zuweisung auf. Dokumentationsbereiche sind Beispiele für Diagramme, keine Adressen für ein laufendes Labor, und eine später entdeckte Überschneidung erzeugt einen Routing-Fehler, der wie ein VPN-Fehler aussieht.

Halten Sie die Position des Testclients sichtbar. Ein Host auf der privaten Seite nimmt einen anderen Pfad als ein Host im simulierten WAN, und eine versehentliche Switch-Schnittstelle oder ein zweiter Uplink kann die Firewall umgehen, die Sie testen wollten. Eine Zeichnung mit markierter Client-Position verhindert die meisten dieser Überraschungen.

Bevor irgendein Teil der Ausrüstung an einen echten Uplink zurückgeht, entfernen Sie die laborspezifische Konfiguration und lassen Sie sie vom Produktionsverantwortlichen prüfen. Ein Segment ist wertvoll, weil sein Verhalten bekannt und begrenzt ist, und genau das macht es unsicher, es unverändert in die Produktion zu übernehmen.