VPN L2 ή σήραγγα L3: πέντε έλεγχοι πριν γεφυρώσετε μια τοποθεσία

Γεφυρώνετε μια τοποθεσία επειδή κάποιο εργαλείο επιμένει ότι πρέπει να βρίσκεται στο ίδιο δίκτυο, και τρεις εβδομάδες αργότερα διαβάζετε αρχεία καταγραφής μεταγωγέα στις δύο το πρωί. Αυτού του είδους η διαίσθηση αποφασίζει πάρα πολλές συνδέσεις Ethernet-over-IP. Μόνο μία διαφορά έχει πραγματικά σημασία εδώ: αν ταξιδεύουν ολόκληρα πλαίσια από άκρη σε άκρη ή μόνο πακέτα IP. Εκτελέστε τους πέντε ελέγχους παρακάτω με τη σειρά και σταματήστε στον πρώτο που αποτυγχάνει.

Ελέγξτε τι βάζει πραγματικά η εφαρμογή στο καλώδιο

Πριν μπει οποιοδήποτε όνομα προϊόντος στη συζήτηση, καταγράψτε ένα λεπτό από την κίνηση που πρέπει να περάσει τη ζεύξη: tcpdump -i eth0 -nn -e 'not ip'. Η επιλογή -e εκτυπώνει την κεφαλίδα του επιπέδου ζεύξης, που είναι ακριβώς το τμήμα που πετάει μια δρομολογημένη σήραγγα. Αν η καταγραφή μείνει κενή, η εφαρμογή σας μιλάει IP και μια σήραγγα L3 τη μεταφέρει αμετάβλητη. Αν εμφανιστούν πλαίσια, σημειώστε το EtherType, γιατί 0x0806 είναι ARP, 0x88cc είναι LLDP, και μια τιμή κατασκευαστή σημαίνει συνήθως πρωτόκολλο ανακάλυψης χωρίς εναλλακτική μέσω IP. Σε αυτό το σημείο μια συνηθισμένη tun διεπαφή δεν αρκεί πλέον.

Επαναλάβετε την καταγραφή και στην απέναντι πλευρά. Ένα πλαίσιο που υπάρχει μόνο μέσα στον εικονικό μεταγωγέα ενός κεντρικού υπολογιστή δεν είναι λόγος να τεντώσετε ένα πεδίο εκπομπής κατά μήκος ενός WAN.

Ελέγξτε αν η ανακάλυψη πρέπει να περάσει τη ζεύξη

Μια δρομολογημένη σήραγγα δεν έχει κοινό τμήμα, οπότε τίποτα που απευθύνεται σε ομάδα δεν φτάνει στην άλλη άκρη. Το ARP, οι εκπομπές DHCP, το mDNS στη 224.0.0.251, το SSDP και τα ερωτήματα ονόματος NetBIOS υποθέτουν όλα μια ζεύξη που την ακούν πολλοί κεντρικοί υπολογιστές ταυτόχρονα.

Ρωτήστε από ποια από αυτά εξαρτάται πραγματικά η εφαρμογή και αν υπάρχει ήδη διαμεσολαβητής γι' αυτό. Το DHCP relay, η αντανάκλαση mDNS και οι στατικές εγγραφές ARP αφαιρούν καθένα μία εξάρτηση, και καθένα είναι άλλη μια υπηρεσία που πρέπει να τρέχει και να παρακολουθείται. Όταν μείνουν δύο ή τρία, η γεφύρωση είναι η ειλικρινής απάντηση.

Ελέγξτε τι σας κοστίζει η επιπλέον κεφαλίδα

Τα πλαίσια χρειάζονται κάπου να ζήσουν, οπότε ό,τι στέλνετε αποκτά μια δεύτερη στοίβα κεφαλίδων γύρω του. Σε ένα overlay VXLAN αυτό σημαίνει μια εξωτερική κεφαλίδα IP, μια κεφαλίδα UDP και μια κεφαλίδα VXLAN 8 byte, κάτι που σπρώχνει ένα πλήρες ωφέλιμο φορτίο 1,500 byte πέρα από το MTU διαδρομής μιας συνηθισμένης σύνδεσης ίντερνετ 1,500 byte. Το OpenVPN στη λειτουργία tap προσθέτει τη δική του επιβάρυνση προς την ίδια κατεύθυνση. Χωρίς χαμηλότερο MTU στην εσωτερική πλευρά παίρνετε μια ζεύξη που απαντά σε ping και κολλάει στην πρώτη μεγάλη μεταφορά.

Ο λογαριασμός δεν σταματά στα byte της κεφαλίδας. Η εκπομπή και το multicast που ένας μεταγωγέας χειρίζεται σε υλισμικό τώρα ταξιδεύουν στο WAN, και κάθε γεφυρωμένη τοποθεσία κληρονομεί το ίδιο σχέδιο διευθύνσεων, το ίδιο εύρος DHCP και την ίδια συμπεριφορά διπλών διευθύνσεων. Αυτό κάνει τη ζεύξη πολύ δυσκολότερη σε έλεγχο από μια δρομολογημένη δεξαμενή με ένα πρόθεμα ανά τοποθεσία.

Κάντε την αριθμητική πριν επιλέξετε. Ένα πολυάσχολο τμήμα που αντιγράφεται σε τρεις τοποθεσίες μπορεί να μετακινήσει περισσότερη κίνηση εκπομπής από τις μεταφορές αρχείων για τις οποίες χτίστηκε.

Ελέγξτε τι είδους VPN L2 σας προσφέρεται

Ο ίδιος ο όρος είναι διφορούμενος, και η ασάφεια αποφασίζει ποιος μεταφέρει την κίνησή σας. Μερικές φορές περιγράφει το ωφέλιμο φορτίο: πλαίσια Ethernet μέσα σε IP, σταλμένα μέσω ίντερνετ όπως κάθε άλλη σήραγγα, όπως κάνουν το VXLAN, το ZeroTier και η λειτουργία tap του OpenVPN. Μερικές φορές περιγράφει μια αγορασμένη υπηρεσία: ένα κύκλωμα Ethernet παρόχου ή ένα ψευδοσύρμα MPLS που ενώνει δύο τοποθεσίες μέσα σε ένα δίκτυο παρόχου.

Και τα δύο σας δίνουν ένα τμήμα, οπότε η εφαρμογή δεν μπορεί να τα ξεχωρίσει, αλλά η επιχειρησιακή διαφορά είναι μεγάλη. Ένα overlay αφήνει σε εσάς την ευθύνη για το MTU, την κρυπτογράφηση και την υποκείμενη διαδρομή. Μια υπηρεσία παρόχου τα αναλαμβάνει και τα χρεώνει, και δεν θα δρομολογήσει καθόλου τα πλαίσια σας μέσω του δημόσιου ίντερνετ. Ποιο θέλετε εξαρτάται από το αν οι δύο τοποθεσίες μοιράζονται έναν πάροχο ή απλώς μια εταιρεία.

Ελέγξτε τη φθηνότερη λύση πριν γεφυρώσετε

Τα περισσότερα αιτήματα για γεφυρωμένη ζεύξη προέρχονται από μία χαλασμένη αναζήτηση, όχι από ένα πρωτόκολλο που χρειάζεται πραγματικά πλαίσια. Περάστε πρώτα τον resolver και τον τομέα αναζήτησης μέσα από τη δρομολογημένη σήραγγα: dhcp-option DNS 10.8.0.1 μαζί με dhcp-option DOMAIN internal.example σε μια διαμόρφωση διακομιστή OpenVPN λύνει εντυπωσιακά πολλά από αυτά. Ένας τοπικός προωθητής στην απέναντι πλευρά κάνει την ίδια δουλειά χωρίς να μετακινεί καθόλου κίνηση εκπομπής.

Αν ένα παλιό εργαλείο εξακολουθεί να αποτυγχάνει, βάλτε το πίσω από έναν διαμεσολαβητή ή έναν κεντρικό υπολογιστή άλματος στο τμήμα προορισμού. Ένας μόνο προωθητής TCP είναι φθηνότερος στη λειτουργία από ένα γεφυρωμένο WAN.

Κλείστε την απόφαση με σειρά: μεταφέρει η κίνηση EtherType εκτός IP, πρέπει η ανακάλυψη να περάσει, μπορεί το MTU να απορροφήσει τις επιπλέον κεφαλίδες, είναι πραγματικά διαθέσιμο ένα κύκλωμα παρόχου, και απέτυχε η δρομολογημένη λύση για έναν λόγο που μπορείτε να ονομάσετε; Ένα όχι σε οποιοδήποτε βήμα τελειώνει τη συζήτηση υπέρ της σήραγγας που έχετε ήδη. Καταχωρίστε την καταγραφή και τη λίστα EtherType στο αρχείο αλλαγών, γιατί ο επόμενος θα κάνει την ίδια ερώτηση και δεν θα θέλει να επαναλάβει τη μέτρηση.