L2 VPN kontraŭ L3-tunelo: kvin kontroloj antaŭ ol ponti ejon

Vi pontas ejon ĉar iu ilo insistas, ke ĝi devas sidi en la sama reto, kaj tri semajnojn poste vi legas protokolojn de ŝaltilo je la dua matene. Tia intuicio decidas multe tro da Ethernet-sur-IP-ligoj. Nur unu diferenco vere gravas ĉi tie: ĉu tutaj kadroj vojaĝas de fino al fino, aŭ nur IP-paketoj. Rulu la kvin kontrolojn sube sinsekve, kaj haltu ĉe la unua, kiu malsukcesas.

Kontrolu, kion la aplikaĵo efektive metas sur la draton

Antaŭ ol ajna produkta nomo eniras la diskuton, kaptu unu minuton da la trafiko, kiu devas transiri la ligon: tcpdump -i eth0 -nn -e 'not ip'. La flago -e presas la kapon de la liga tavolo, kiu estas ĝuste la parto, kiun enkursigita tunelo forĵetas. Se la kaptaĵo restas malplena, via aplikaĵo parolas IP kaj L3-tunelo transportas ĝin senŝanĝe. Se kadroj tamen aperas, notu la EtherType, ĉar 0x0806 estas ARP, 0x88cc estas LLDP, kaj provizanta valoro kutime signifas malkovran protokolon sen IP-rezervo. Ĝuste en tiu punkto ordinara tun interfaco ne plu sufiĉas.

Ripetu la kaptadon ankaŭ ĉe la malproksima flanko. Kadro, kiu ekzistas nur ene de la virtuala ŝaltilo de unu gastiganto, ne estas kialo etendi dissendan domajnon trans WAN.

Kontrolu, ĉu malkovro devas transiri la ligon

Enkursigita tunelo havas neniun komunan segmenton, do nenio adresita al grupo atingas la alian finon. ARP, DHCP-dissendoj, mDNS ĉe 224.0.0.251, SSDP kaj NetBIOS-nomdemandoj ĉiuj supozas ligon, kiun pluraj gastigantoj aŭdas samtempe.

Demandu, de kiuj el ili la aplikaĵo vere dependas, kaj ĉu jam ekzistas prokuro por ĝi. DHCP-relajso, mDNS-reflekto kaj statikaj ARP-enskribaĵoj ĉiu forigas unu dependon, kaj ĉiu estas ankoraŭ unu servo por ruli kaj monitori. Kiam restas du aŭ tri, pontado estas la honesta respondo.

Kontrolu, kiom kostas al vi la plia kapo

Kadroj bezonas lokon por vivi, do ĉio, kion vi sendas, ricevas duan stakon da kapoj ĉirkaŭ si. En VXLAN-tavolo tio signifas eksteran IP-kapon, UDP-kapon kaj 8-bajtan VXLAN-kapon, kio puŝas plengrandan 1,500-bajtan ŝarĝon preter la voja MTU de ordinara 1,500-bajta interreta ligo. OpenVPN en la tap reĝimo aldonas sian propran superkoston en la sama direkto. Sen pli malalta MTU sur la interna flanko vi ricevas ligon, kiu respondas al ping kaj haltas ĉe la unua granda transdono.

La fakturo ne haltas ĉe kapaj bajtoj. Dissendo kaj multdissendo, kiujn ŝaltilo traktas en aparataro, nun veturas la WAN-on, kaj ĉiu pontita ejo heredas la saman adresplanon, DHCP-gamuton kaj konduton pri duoblaj adresoj. Tio igas la ligon konsiderinde pli malfacila por revizii ol enkursigita baseno kun unu prefikso por ejo.

Faru la aritmetikon antaŭ ol elekti. Okupata segmento reproduktita al tri ejoj povas movi pli da dissenda trafiko ol la dosieraj transdonoj, por kiuj ĝi estis konstruita.

Kontrolu, kian specion de L2 VPN oni proponas al vi

La termino mem estas ambigua, kaj la ambigueco decidas, kiu portas vian trafikon. Foje ĝi priskribas la ŝarĝon: Ethernet-kadroj ene de IP, senditaj tra la interreto kiel ajna alia tunelo, kiel faras VXLAN, ZeroTier kaj la tap reĝimo de OpenVPN. Foje ĝi priskribas aĉetitan servon: funkciigista Ethernet-cirkvito aŭ MPLS-pseŭdodrato, kiu kunigas du ejojn ene de unu provizanta reto.

Ambaŭ donas al vi segmenton, do la aplikaĵo ne povas distingi ilin, sed la operacia diferenco estas granda. Tavolo lasas al vi la respondecon pri MTU, ĉifrado kaj la suba vojo. Funkciigista servo transprenas tion kaj fakturas ĝin, kaj ĝi tute ne enkursigos viajn kadrojn tra la publika interreto. Kiun vi volas dependas de tio, ĉu la du ejoj kunhavas funkciigiston aŭ nur kunhavas firmaon.

Kontrolu la pli malmultekostan solvon antaŭ ol ponti

Plej multaj petoj pri pontita ligo venas de unu rompita serĉo, ne de protokolo, kiu vere bezonas kadrojn. Unue puŝu la solvilon kaj la serĉan domajnon tra la enkursigita tunelo: dhcp-option DNS 10.8.0.1 kune kun dhcp-option DOMAIN internal.example en OpenVPN-servila agordo solvas surprize multajn el ili. Loka plusendilo ĉe la malproksima flanko faras la saman laboron sen movi iun ajn dissendan trafikon.

Se unu malnova ilo ankoraŭ malsukcesas, metu tiun ilon malantaŭ prokuron aŭ saltan gastiganton en la celan segmenton. Unu TCP-plusendilo estas pli malmultekosta por funkciigi ol pontita WAN.

Fermu la decidon laŭvice: ĉu la trafiko portas ne-IP EtherType, ĉu malkovro devas transiri, ĉu la MTU povas sorbi la pliajn kapojn, ĉu funkciigista cirkvito vere haveblas, kaj ĉu la enkursigita solvo malsukcesis pro kialo, kiun vi povas nomi? Ne ĉe ajna paŝo finas la disputon favore al la tunelo, kiun vi jam havas. Arkivu la kaptaĵon kaj la EtherType-liston kune kun la ŝanĝoprotokolo, ĉar la sekva homo demandos la saman demandon kaj ne volos ripeti la mezuradon.