Wer routet zwischen Ihren Standorten: Layer-2- oder Layer-3-VPN?

Bestellen Sie ein Provider-VPN, und am Ende besitzt jemand das Routing zwischen den Standorten, ob Sie diesen Eigentümer benannt haben oder nicht. Zeichnen Sie eine Layer-2-Übergabe, und der Provider liefert eine Röhre, während Ihre Router die Nachbarschaft bilden; zeichnen Sie einen Layer-3-Dienst, und der Provider trägt Ihre Präfixe in seinem eigenen Routing-Kontext. Beides sind legitime Produkte mit unterschiedlichen Bereitschaftsgeschichten. Gehen Sie die Bestellung vom Angebot bis zum ersten Abnahmetest durch, und die Wahl hört auf, abstrakt zu sein.

Beginnen Sie mit dem Übergabeformular, nicht mit der Topologie-Folie

Jeder Provider schickt irgendwann ein Formular, das fragt, was er Ihnen übergeben soll: ein Pseudowire, ein Multipoint-Ethernet-Segment oder einen gerouteten Anschluss an einer gemeinsamen Servicekante. Diese eine Antwort entscheidet mehr als jedes Diagramm in der Verkaufspräsentation, weil sie festlegt, wo Ihre Verantwortung beginnt.

Ein Punkt-zu-Punkt-Pseudowire ist eine einzelne Verbindung zwischen zwei Anschlüssen, und ein Multipoint-Ethernet-Dienst verbindet mehrere Standorte in einer Broadcast-Domäne. Auf dem Diagramm sehen sie ähnlich aus und verhalten sich völlig anders, sobald eine Schleife oder ein Broadcast-Sturm im Spiel ist. Bestätigen Sie, welche Variante angeboten wird, bevor Sie die Adressierung planen.

Produktnamen entscheiden das nicht. Ein MPLS-Label, eine Dunkelfaser-Übergabe und ein internetbasiertes Overlay können alle als privates Netz bezeichnet werden, und die Rahmenwerksdokumente behandeln das Dienstmodell und die Kunden-Provider-Trennung als das, was definiert werden muss. Fordern Sie die Anschluss-Semantik schriftlich an und lesen Sie sie dann Ihrem Team in klaren Worten vor.

Lesen Sie, was am Tag der Inbetriebnahme ankam

Sehen Sie sich am Tag der Inbetriebnahme die Schnittstelle an, die Sie bekommen haben, bevor Sie irgendetwas darüber konfigurieren. Ein gerouteter Layer-3-Anschluss erscheint meist als Port mit einem kleinen Punkt-zu-Punkt-Subnetz oder als ein nächster Hop, den Sie erreichen müssen. Ein Layer-2-Anschluss erscheint als Link, der Frames erwartet, also ist Ihr erster nützlicher Befehl eine Bridge- oder Nachbarprüfung statt eines Routen-Lookups.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

Diese vier Zeilen sagen Ihnen, in welcher Welt Sie sind. Eine Standardroute, die auf eine Provideradresse zeigt bedeutet, dass der Provider für Sie routet. Eine Schnittstelle ohne brauchbare Layer-3-Adresse, aber mit gefüllter Bridge bedeutet, dass Sie routen sollen, und jedes fehlende Präfix ist Ihre Baustelle.

Ein promiskuitiv wirkender Link kann auch bedeuten, dass die Übergabe getaggt ist, also bestätigen Sie die VLAN-Vereinbarung, bevor Sie die Leitung beschuldigen. Doppelte MAC-Adressen über einen Multipoint-Dienst sind ein Designsymptom, kein Providerfehler.

Weisen Sie vor dem ersten Präfix einen Eigentümer pro Objekt zu

Gehen Sie die Objektliste durch und sagen Sie laut den Namen des Teams, das jedes besitzt. Kundenpräfixe und die Ankündigungen zwischen Standorten. Die Nachbarschaft oder Dienstkennung, die die Beziehung zur Providerkante bildet. Wer Schleifen bricht und wer zugestimmt hat, in einer breiteren Broadcast-Domäne zu leben. Wo die MTU-Obergrenze liegt, wie Fehler auffallen und wie der Dienst zurückkommt. Zugriffsrichtlinie plus jede Verschlüsselung, die der Dienst nicht enthält.

Die Liste ist kurz, weil genau sie bei einem Vorfall bricht. Wenn zwei Teams glauben, die Routenpolitik zu besitzen, erzeugt ein Ausfall zwei widersprüchliche Änderungen in derselben Stunde. Wenn sie niemand besitzt, überlebt der erste asymmetrische Pfad, bis ein Kunde ihn meldet.

Ein gerouteter Dienst gibt Ihnen meist eine BGP- oder statische Grenze, also braucht Ihre Seite einen lesbaren Sitzungszustand: birdc show protocols oder das Äquivalent auf Ihrem Router sagt, ob die Nachbarschaft steht, und die Zähler sagen, ob sie nur während der Geschäftszeiten flattert. Eine Layer-2-Übergabe gibt kein solches Signal, deshalb muss der Kunde eine ausdrückliche Erreichbarkeitsprüfung besitzen.

Gehen Sie den Fehlerfall für einen Standort durch

Schreiben Sie den Abnahmetest, bevor der Dienst live geht: Legen Sie einen Standortanschluss still und halten Sie fest, was jedes Team sieht. Bei einem Layer-3-Dienst zieht der Provider die Erreichbarkeit der Präfixe dieses Standorts zurück, Ihre Sitzung protokolliert den Rückzug, und die übrigen Standorte behalten ihre Pfade. Bei einem Layer-2-Dienst fällt die Leitung aus, Ihr Routingprotokoll bemerkt einen toten Nachbarn, und dieselbe Konvergenz hängt ganz von Ihren Timern ab.

Stellen Sie den Link wieder her und prüfen Sie die zweite Hälfte des Falls, denn veralteter Zustand ist der übliche Rest. Bestätigen Sie, dass die Nachbarschaft zurückkommt, die Präfixe mit den erwarteten Attributen wiederkommen und keine temporäre statische Route aus dem Vorfall in der Tabelle bleibt.

Testen Sie auch den langweiligen Fehler: ein Standort verdoppelt seinen Verkehr. Bei einer gerouteten Übergabe sehen Sie Zähler pro Präfix; bei einer gebrückten sehen Sie vielleicht nur den Interface-Durchsatz, was Sie raten lässt, welcher Host verantwortlich ist.

Was der Vertrag nicht kauft

Ein Layer-2- oder Layer-3-Label sagt nichts über Latenz, ein dediziertes Backbone oder Verschlüsselung. Das sind getrennte Zusagen, und Verfügbarkeitszahlen implizieren keine davon. Lesen Sie den Servicevertrag für das Versprochene und behandeln Sie alles andere als Annahme, die Sie testen sollten.

Wenn Ihre Anforderung ein Punkt-zu-Punkt-Anschluss zwischen zwei Kundenroutern ist, passt ein Layer-2-Dienst, ohne den Provider zu bitten, Ihr internes Routing zu fahren. Wenn Ihre Anforderung viele Standorte mit getrennten Subnetzen und ein kleines Betriebsteam ist, entfernt ein gerouteter Dienst meist Arbeit, die Sie sonst besitzen würden.

Keines ist Standard. Prüfen Sie die Geräteunterstützung für die Kapselung, die tatsächlichen Verkehrsbeziehungen zwischen den Standorten, das Redundanzmodell und ob Ihr Team den gerade abgenommenen Teil betreiben kann. Schreiben Sie dann die Eigentümernamen ins Runbook, denn das ist der einzige Teil der Entscheidung, der Personalwechsel überlebt.