L2 VPN edo L3 tunela: bost egiaztapen gune bat zubiratu aurretik

Gune bat zubiratzen duzu tresna batek sare berean egon behar duela tematzen delako, eta hiru aste geroago goizeko ordu bietan etengailuaren erregistroak irakurtzen ari zara. Sena horrek Ethernet-over-IP esteka gehiegi erabakitzen ditu. Hemen diferentzia bakarra da benetan garrantzitsua: marko osoak muturretik muturrera bidaiatzen duten ala IP paketeak soilik. Exekutatu beheko bost egiaztapenak ordenan eta gelditu lehenengoan huts egiten duenean.

Egiaztatu aplikazioak zer jartzen duen kablean

Produktu-izen bat elkarrizketara iritsi aurretik, harrapatu esteka zeharkatu behar duen trafikoaren minutu bat: tcpdump -i eth0 -nn -e 'not ip'. Aukerak -e esteka-geruzaren goiburua inprimatzen du, eta hori da hain zuzen bideratutako tunelak baztertzen duen zatia. Harrapaketak hutsik jarraitzen badu, zure aplikazioak IP hitz egiten du eta L3 tunel batek aldaketarik gabe garraiatzen du. Markoak agertzen badira, idatzi EtherType-a, zeren 0x0806 ARP da, 0x88cc LLDP da, eta hornitzaile-balio batek IP fallbackik gabeko aurkikuntza-protokoloa esan ohi du. Puntu horretan tun interfaze arrunt bat ez da nahikoa izaten.

Errepikatu harrapaketa urruneko aldean ere. Ostalari baten etengailu birtualaren barruan soilik dagoen marko bat ez da broadcast domeinu bat WAN baten zehar luzatzeko arrazoia.

Egiaztatu aurkikuntzak esteka zeharkatu behar duen

Bideratutako tunel batek ez du segmentu partekaturik, beraz talde batera zuzendutako ezer ez da beste muturrera iristen. ARP, DHCP broadcastak, 224.0.0.251-n mDNS, SSDP eta NetBIOS izen-kontsultak esteka bat suposatzen dute, hainbat ostalarik aldi berean entzuten dutena.

Galdetu aplikazioak horietako zeintzuk behar dituen benetan eta badagoen dagoeneko proxy bat horretarako. DHCP erreleak, mDNS islak eta ARP sarrera estatikoek mendekotasun bana kentzen dute, eta bakoitza exekutatu eta monitorizatu beharreko zerbitzu bat da. Bi edo hiru geratzen direnean, zubiratzea da erantzun zintzoa.

Egiaztatu zenbat kostatzen zaizun goiburu gehigarriak

Markoek nonbait bizi behar dute, beraz bidaltzen duzun guztiak bigarren goiburu-pila bat jasotzen du inguruan. VXLAN gainjartze batean horrek IP goiburu kanpokoa, UDP goiburu bat eta 8 byteko VXLAN goiburu bat esan nahi du, eta horrek 1,500 byteko karga osoa 1,500 byteko internet esteka arrunt baten bide-MTUaz harago bultzatzen du. OpenVPNek tap moduan bere gainkarga gehitzen du norabide berean. Barnealdean MTU baxuagoa ez baduzu, ping-ari erantzuten dion eta lehen transferentzia handian trabatzen den esteka lortzen duzu.

Fakturak ez du goiburu-byteetan amaitzen. Etengailuak hardwarean kudeatzen duen broadcast eta multicast trafikoak orain WAN-etik doaz, eta zubiratutako gune bakoitzak helbide-plana, DHCP eremua eta helbide bikoizketa-portaera bera heredatzen ditu. Horrek esteka askoz ere zailagoa egiten du auditatzeko, gune bakoitzeko prefijo bat duen bideratutako multzo bat baino.

Egin kalkuluak aukeratu aurretik. Hiru gunetara errepikatutako segmentu lanpetuta batek eraiki zen fitxategi-transferentziek baino broadcast trafiko gehiago mugi dezake.

Egiaztatu zein L2 VPN mota eskaintzen ari zaizun

Termino bera anbiguoa da, eta anbiguotasunak erabakitzen du nor arduratzen den zure trafikoaz. Batzuetan karga deskribatzen du: Ethernet markoak IP barruan, internetetik bidaliak beste edozein tunel bezala, VXLANek, ZeroTierrek eta OpenVPNen tap moduak egiten duten bezala. Batzuetan erositako zerbitzu bat deskribatzen du: operadore baten Ethernet zirkuitua edo MPLS sasi-hari bat, bi gune hornitzaile baten sare bakar baten barruan lotzen dituena.

Biek segmentu bat ematen dizute, beraz aplikazioak ezin ditu bereizi, baina eragiketa-aldea handia da. Gainjartze batek zure gain uzten du MTU, zifratzea eta azpiko bidea. Operadore-zerbitzu batek horiek bere gain hartzen ditu eta kobratu egiten du, eta ez ditu zure markoak internet publikoan zehar bideratuko inola ere. Zein nahi duzun bi gunek operadore bat partekatzen duten ala enpresa bat soilik partekatzen duten araberakoa da.

Egiaztatu konponbide merkeagoa zubiratu aurretik

Esteka zubiratu baten eskaerarik gehienak bilaketa hautsitik datoz, ez markoak benetan behar dituen protokolo batetik. Pasa itzazu lehenengo resolverra eta bilaketa-domeinua bideratutako tunelatik: dhcp-option DNS 10.8.0.1 batera dhcp-option DOMAIN internal.example OpenVPN zerbitzari-konfigurazio batean horietako harrigarri asko konpontzen ditu. Urruneko aldean tokiko birbidaltzaile batek lan bera egiten du broadcast trafikorik mugitu gabe.

Tresna zahar batek oraindik huts egiten badu, jarri tresna hori proxy baten edo jauzi-ostalari baten atzean helmuga-segmentuan. TCP birbidaltzaile bakar bat zubiratutako WAN bat baino merkeagoa da ustiatzeko.

Itxi erabakia ordenan: trafikoak IP ez den EtherType bat dakar, aurkikuntzak zeharkatu behar du, MTUk goiburu gehigarriak xurga ditzake, hornitzaile-zirkuitu bat benetan eskuragarri dago, eta bideratutako konponbideak huts egin du izenda dezakezun arrazoi batengatik? Edozein urratsean ez batek argudioa amaitzen du jada duzun tunelaren alde. Artxibatu harrapaketa eta EtherType zerrenda aldaketa-erregistroarekin, zeren hurrengo pertsonak galdera bera egingo du eta ez baitu neurketa errepikatu nahi izango.