L2 VPN versus L3 tunnel: viis kontrolli enne saidi sillutamist

Sillutate saidi, sest mõni tööriist nõuab, et see peab olema samas võrgus, ja kolm nädalat hiljem loete kell kaks öösel kommutaatori logisid. Selline tunnetus otsustab liiga paljude Ethernet-over-IP linkide saatuse. Siin on tõesti oluline ainult üks erinevus: kas terved kaadrid liiguvad otsast otsani või liiguvad ainult IP-paketid. Käivitage allolevad viis kontrolli järjest ja peatuge esimesel, mis ebaõnnestub.

Kontrollige, mida rakendus tegelikult juhtmesse paneb

Enne kui vestlusesse tuleb ükskõik milline tootenimi, salvestage minut liiklusest, mis peab lingi läbima: tcpdump -i eth0 -nn -e 'not ip'. Valik -e prindib linkkihi päise ja just selle osa heidab marsruuditud tunnel kõrvale. Kui salvestus jääb tühjaks, räägib teie rakendus IP-d ja L3 tunnel kannab seda muutumatult. Kui kaadrid siiski ilmuvad, märkige EtherType, sest 0x0806 on ARP, 0x88cc on LLDP ja tootja väärtus tähendab tavaliselt avastusprotokolli, millel pole IP-varuvarianti. Just selles punktis ei piisa enam tavalisest tun liidesest.

Korrake salvestust ka kaugemal poolel. Kaader, mis eksisteerib ainult ühe hosti virtuaalses kommutaatoris, ei ole põhjus laiendada ringhäälingu domeeni üle WAN-i.

Kontrollige, kas avastus peab lingi läbima

Marsruuditud tunnelil pole ühist segmenti, seega ei jõua gruppi adresseeritud liiklus teisele poole. ARP, DHCP ringhäälingud, mDNS aadressil 224.0.0.251, SSDP ja NetBIOS-i nimepäringud eeldavad kõik linki, mida kuuleb mitu hosti korraga.

Küsige, millest neist rakendus tegelikult sõltub, ja kas selle jaoks on juba puhverserver olemas. DHCP relee, mDNS peegeldus ja staatilised ARP-kirjed eemaldavad igaüks ühe sõltuvuse ja igaüks on veel üks teenus, mida käitada ja jälgida. Kui järele jääb kaks või kolm, on sillutamine aus vastus.

Kontrollige, kui palju lisapäis teile maksab

Kaadrid vajavad kohta, kus elada, seega saab kõik, mida saadate, enda ümber teise päisevirna. VXLAN-i ülekattes tähendab see välist IP-päist, UDP-päist ja 8-baidist VXLAN-päist, mis lükkab täissuuruses 1,500-baidise kandevõime tavalisest 1,500-baidisest internetilingist mööda tee MTU-st. OpenVPN tap režiimis lisab omapoolse ülekulu samas suunas. Ilma madalama MTU-ta sisemisel poolel saate lingi, mis vastab pingile ja jääb esimesel suurel ülekandel seisma.

Arve ei lõpe päisebaitidel. Ringhääling ja multisaade, mida kommutaator riistvaras käsitleb, sõidavad nüüd üle WAN-i ja iga sillutatud sait pärib sama aadressiplaani, DHCP-vahemiku ja duplikaatadresside käitumise. See teeb lingi märgatavalt raskemini auditeeritavaks kui marsruuditud bassein, kus igal saidil on üks prefiks.

Tehke arvutus enne valimist. Kolmele saidile kopeeritud hõivatud segment võib liigutada rohkem ringhäälinguliiklust kui need failisiirded, mille jaoks see ehitati.

Kontrollige, millist tüüpi L2 VPN-i teile pakutakse

Termin ise on mitmetähenduslik ja see mitmetähenduslikkus otsustab, kes teie liiklust kannab. Mõnikord kirjeldab see kandevõimet: Etherneti kaadrid IP sees, saadetud üle interneti nagu iga teine tunnel, nagu teevad VXLAN, ZeroTier ja OpenVPN-i tap režiim. Mõnikord kirjeldab see ostetud teenust: operaatori Ethernet-ahel või MPLS pseudotraat, mis ühendab kaks saiti ühe teenusepakkuja võrgu sees.

Mõlemad annavad teile segmendi, seega ei suuda rakendus neid eristada, kuid operatiivne erinevus on suur. Ülekanne jätab teile vastutuse MTU, krüpteerimise ja alumise tee eest. Operaatori teenus võtab selle üle ja küsib selle eest raha ning ei marsruudi teie kaadreid avaliku interneti kaudu üldse. Millist soovite, sõltub sellest, kas kaks saiti jagavad operaatorit või ainult ettevõtet.

Kontrollige odavamat lahendust enne sillutamist

Enamik sillutatud lingi taotlusi tuleb ühest katkisest nimelahendusest, mitte protokollist, mis tõesti kaadreid vajab. Saatke esmalt resolver ja otsingudomeen marsruuditud tunnelist läbi: dhcp-option DNS 10.8.0.1 koos dhcp-option DOMAIN internal.example OpenVPN-i serveri konfiguratsioonis lahendab üllatavalt paljud neist. Kaugemal poolel olev kohalik edastaja teeb sama töö ilma ringhäälinguliiklust liigutamata.

Kui üks vana tööriist ikka ebaõnnestub, pange see tööriist puhverserveri või hüpperaadi taha sihtsegmendis. Üks TCP edastaja on odavam käitada kui sillutatud WAN.

Sulgege otsus järjekorras: kas liiklus kannab mitte-IP EtherType'i, kas avastus peab üle minema, kas MTU suudab lisapäised alla neelata, kas operaatori ahel on tegelikult saadaval ja kas marsruuditud lahendus ebaõnnestus põhjusel, mille saate nimetada? Ei ühelgi sammul lõpetab vaidluse teie juba olemasoleva tunneli kasuks. Arhiveerige salvestus ja EtherType'i loend muudatuste kirjega, sest järgmine inimene küsib sama küsimust ega taha mõõtmist korrata.