Una WAN de laboratorio desde una VLAN: segmento plano o transporte enrutado

Un conmutador gestionado y una VLAN de reserva te darán dos puertas de enlace VPN que se comunican por un segmento aislado en una tarde. Lo que demuestra ese segmento es más estrecho de lo que la gente espera de la palabra WAN. Reproduce una ruta Ethernet directa, lo cual es útil, y omite casi todo lo que internet hace con los paquetes por el camino. Elegir entre un segmento plano y un transporte de laboratorio enrutado es en realidad una pregunta sobre qué comportamientos piensas probar.

Dos diseños, dos lecciones distintas

Un segmento plano coloca las dos interfaces WAN y un host de prueba en una VLAN, con direcciones del mismo prefijo. Todo llega a todo directamente, y lo único entre las puertas de enlace es el conmutador. Es una topología real, solo que no muy interesante.

Un transporte enrutado añade un enrutador de laboratorio y al menos dos segmentos, de modo que las puertas de enlace se sientan en subredes distintas con una puerta de enlace predeterminada entre ellas. Esa disposición cuesta otro dispositivo y una tabla de enrutamiento, y compra los comportamientos que un solo dominio de difusión no puede producir.

Qué demuestra el segmento plano

Demuestra alcanzabilidad, autenticación, acuerdo sobre la propuesta y que el tráfico entra y sale del túnel donde esperas. Esas son las fallas que consumen la mayor parte del tiempo de resolución de problemas, y un segmento plano las encuentra sin ninguna complejidad de enrutamiento en el camino. Si el túnel no levanta aquí, ninguna cantidad de realismo de internet ayudará.

También es la forma correcta para una línea base repetible. Cuando una prueba posterior falle, puedes volver a ejecutar el caso plano y saber si lo causó el cambio o la nueva condición. Anota la línea base con sus direcciones, porque más adelante tendrás que reconstruirla.

Qué añade el enrutamiento

Subredes WAN distintas significan que las puertas de enlace tienen que enrutar en lugar de direccionarse entre sí en el enlace, y aquí es donde aparecen los errores de puerta de enlace predeterminada y las rutas de retorno asimétricas. El filtrado intermedio y un salto entre medias te permiten probar qué pasa cuando una ruta no es directa.

El costo son más lugares donde equivocarse. Cada dispositivo extra es otra configuración que puede discrepar del dibujo, y un laboratorio que nadie puede reconstruir a partir de notas deja de ser un laboratorio. Guarda la configuración del enrutador en esas notas y no solo en su estado en ejecución.

Qué no reproduce ninguno de los dos diseños

La traducción del operador es la gran omisión. Una puerta de enlace que funciona en el enlace puede fallar detrás de la traducción de direcciones, y un segmento plano no tiene ninguna traducción. Cambiar direcciones de origen, un traspaso celular y las colas que hacen que una llamada se entrecorte también están ausentes.

El tamaño de ruta es la segunda omisión. Un laboratorio con un conmutador y un enrutador casi nunca produce el tamaño máximo más pequeño que impone una ruta real, así que un error de fragmentación queda oculto hasta que el equipo llega a una instalación. Esa brecha explica cómo un túnel pasa todas las pruebas de laboratorio y aun así falla en la primera instalación. También fija las expectativas sobre lo que se le permite prometer al laboratorio.

Añade una condición a la vez cuando el ejercicio lo necesite, y mantén una ejecución sin esa condición como línea base. De lo contrario, una falla se atribuye a un comportamiento de internet que el laboratorio nunca implementó. Etiqueta cada ejecución con la condición que añadió, o la línea base deja de significar nada.

Mantener el laboratorio acotado

Usa un rango privado aprobado que no se solape con producción y registra la asignación. Los rangos de documentación son ejemplos para diagramas, no direcciones para un laboratorio en funcionamiento, y un solapamiento descubierto después produce una falla de enrutamiento que parece un error de VPN.

Mantén visible la posición del cliente de prueba. Un host del lado privado recorre una ruta distinta de un host en la WAN simulada, y una interfaz de conmutador accidental o un segundo enlace ascendente pueden saltarse el cortafuegos que querías probar. Un dibujo con la posición del cliente marcada evita la mayoría de esas sorpresas.

Antes de que cualquier parte del equipo vuelva a un enlace ascendente real, elimina la configuración específica del laboratorio y haz que el propietario de producción la revise. Un segmento es valioso porque su comportamiento es conocido y acotado, y eso es exactamente lo que lo hace inseguro para llevarlo a producción sin cambios.