Quién enruta entre sus sedes: ¿VPN de capa 2 o de capa 3?

Pida una VPN de proveedor y alguien acabará asumiendo el enrutamiento entre sedes, tanto si ha nombrado a ese responsable como si no. Firme una entrega de capa 2 y el proveedor entrega un tubo mientras sus routers forman la adyacencia; firme un servicio de capa 3 y el proveedor transporta sus prefijos dentro de su propio contexto de enrutamiento. Ambos son productos legítimos con historias de guardia distintas. Recorra el pedido desde el presupuesto hasta la primera prueba de aceptación y la elección deja de ser abstracta.

Empiece por el formulario de entrega, no por la diapositiva de topología

Todo proveedor acaba enviando un formulario que pregunta qué debe entregarle: un pseudocircuito, un segmento Ethernet multipunto o un enlace enrutado en un borde de servicio compartido. Esa única respuesta decide más que cualquier diagrama de la presentación comercial, porque fija dónde empieza su responsabilidad.

Un pseudocircuito punto a punto es un circuito entre dos enlaces, y un servicio Ethernet multipunto une varias sedes en un solo dominio de difusión. En un diagrama se parecen y se comportan de forma muy distinta en cuanto hay un bucle o una tormenta de difusión. Confirme cuál se está presupuestando antes de planificar el direccionamiento.

Los nombres de producto no lo resuelven. Una etiqueta MPLS, una entrega de fibra oscura y una superposición por internet pueden llamarse red privada, y los documentos marco tratan el modelo de servicio y la separación cliente-proveedor como lo que hay que definir. Pida la semántica del enlace por escrito y luego léasela a su equipo con palabras llanas.

Lea lo que llegó el día de la puesta en marcha

El día de la puesta en marcha, mire la interfaz que le han dado antes de configurar nada encima. Un enlace enrutado de capa 3 suele aparecer como un puerto con una subred punto a punto pequeña o como un siguiente salto al que debe llegar. Un enlace de capa 2 aparece como un enlace que espera tramas, así que su primer comando útil es una comprobación de puente o de vecino, no una consulta de ruta.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

Esas cuatro líneas le dicen en qué mundo está. Una ruta por defecto que apunta a una dirección del proveedor significa que el proveedor enruta por usted. Una interfaz sin dirección de capa 3 útil pero con el puente poblado significa que se espera que enrute usted, y cualquier prefijo que falte es suyo para arreglarlo.

Un enlace que parece promiscuo también puede significar que la entrega va etiquetada, así que confirme el acuerdo de VLAN antes de culpar al circuito. Las direcciones MAC duplicadas en un servicio multipunto son un síntoma de diseño, no un fallo del proveedor.

Asigne un solo responsable por objeto antes del primer prefijo

Recorra la lista de objetos y diga en voz alta el nombre del equipo que posee cada uno. Prefijos de cliente y los anuncios entre sedes. La adyacencia o el identificador de servicio que forma la relación con el borde del proveedor. Quién rompe bucles y quién aceptó vivir dentro de un dominio de difusión más amplio. Dónde está el techo de MTU, cómo se notan los fallos y cómo vuelve el servicio. Política de acceso, más cualquier cifrado que el servicio no incluya.

La lista es corta porque es la parte que se rompe durante un incidente. Si dos equipos creen que poseen la política de enrutamiento, una caída produce dos cambios contradictorios en la misma hora. Si no la posee nadie, el primer camino asimétrico sobrevive hasta que un cliente lo reporta.

Un servicio enrutado suele darle una frontera BGP o estática, así que su lado necesita un estado de sesión que pueda leer: birdc show protocols o el equivalente en su router le dice si la adyacencia está activa, y los contadores le dicen si solo fluctúa en horario laboral. Una entrega de capa 2 no da esa señal, por eso el cliente debe tener una comprobación de alcance explícita.

Recorra el caso de fallo de una sede

Escriba la prueba de aceptación antes de que el servicio entre en producción: tumbe un enlace de sede y anote qué ve cada equipo. En un servicio de capa 3 el proveedor retira el alcance de los prefijos de esa sede, su sesión registra la retirada y las sedes restantes conservan sus caminos. En un servicio de capa 2 el circuito cae, su protocolo de enrutamiento detecta un vecino muerto y la misma convergencia depende por completo de sus temporizadores.

Restaure el enlace y compruebe la segunda mitad del caso, porque el estado obsoleto es el resto habitual. Confirme que la adyacencia vuelve, que los prefijos regresan con los atributos esperados y que no queda ninguna ruta estática temporal en la tabla del incidente.

Pruebe también el fallo aburrido: una sola sede que duplica su tráfico. En una entrega enrutada ve contadores por prefijo; en una puenteada quizá solo vea el caudal de la interfaz, lo que le deja adivinando qué host es el responsable.

Qué no compra el contrato

Una etiqueta de capa 2 o de capa 3 no dice nada sobre latencia, dorsales dedicadas ni cifrado. Son compromisos separados, y las cifras de disponibilidad no implican ninguno de ellos. Lea el acuerdo de servicio por lo que se promete y trate todo lo demás como una suposición que debe probar.

Si su requisito es un enlace punto a punto entre dos routers de cliente, un servicio de capa 2 encaja sin pedir al proveedor que lleve su enrutamiento interior. Si su requisito son muchas sedes con subredes distintas y un equipo de operaciones pequeño, un servicio enrutado suele eliminar trabajo que de otro modo sería suyo.

Ninguno es por defecto. Compruebe el soporte del dispositivo para la encapsulación, las relaciones reales de tráfico entre sedes, el modelo de redundancia y si su equipo puede operar la parte que acaba de aceptar. Luego escriba los nombres de los responsables en el runbook, porque es la única parte de la decisión que sobrevive a los cambios de personal.