VPN لایه ۲ در برابر تونل لایه ۳: پنج بررسی پیش از پل زدن یک سایت

یک سایت را پل می‌زنید چون ابزاری اصرار دارد که باید در همان شبکه باشد، و سه هفته بعد ساعت دو بامداد گزارش‌های سوئیچ را می‌خوانید. این نوع حدس دربارهٔ بیش از حد بسیاری از پیوندهای Ethernet روی IP تصمیم می‌گیرد. فقط یک تفاوت واقعاً مهم است: اینکه فریم‌های کامل سرتاسر سفر کنند یا فقط بسته‌های IP. پنج بررسی زیر را به ترتیب اجرا کنید و در اولین موردی که شکست می‌خورد متوقف شوید.

بررسی کنید که برنامه در واقع چه چیزی روی سیم می‌گذارد

پیش از آنکه هیچ نام محصولی وارد بحث شود، یک دقیقه از ترافیکی را که باید از پیوند بگذرد ضبط کنید: tcpdump -i eth0 -nn -e 'not ip'. گزینهٔ -e سرآیند لایهٔ پیوند را چاپ می‌کند و همان بخشی است که تونل مسیریابی‌شده دور می‌ریزد. اگر ضبط خالی بماند، برنامهٔ شما IP صحبت می‌کند و تونل L3 آن را بدون تغییر حمل می‌کند. اگر فریم‌ها ظاهر شدند، EtherType را یادداشت کنید، چون 0x0806 همان ARP است، 0x88cc همان LLDP است، و مقدار یک فروشنده معمولاً یعنی پروتکل کشفی که جایگزین IP ندارد. همین‌جا است که یک tun رابط معمولی دیگر کافی نیست.

ضبط را در سمت دور هم تکرار کنید. فریمی که فقط داخل سوئیچ مجازی یک میزبان وجود دارد دلیلی برای کشیدن یک دامنهٔ پخش روی یک WAN نیست.

بررسی کنید که آیا کشف باید از پیوند بگذرد

تونل مسیریابی‌شده هیچ قطعهٔ مشترکی ندارد، پس هیچ چیزِ آدرس‌دهی‌شده به یک گروه به سر دیگر نمی‌رسد. ARP، پخش‌های DHCP، mDNS روی 224.0.0.251، SSDP و پرس‌وجوهای نام NetBIOS همه پیوندی را فرض می‌کنند که چند میزبان همزمان می‌شنوند.

بپرسید برنامه واقعاً به کدام‌یک از آن‌ها وابسته است و آیا از قبل پروکسی‌ای برایش وجود دارد. رلهٔ DHCP، بازتاب mDNS و ورودی‌های ایستای ARP هر یک یک وابستگی را برمی‌دارند، و هر یک سرویس دیگری است که باید اجرا و پایش شود. وقتی دو یا سه تا باقی بماند، پل زدن پاسخ صادقانه است.

بررسی کنید که سرآیند اضافه چقدر برایتان هزینه دارد

فریم‌ها جایی برای زندگی لازم دارند، پس هر چیزی که می‌فرستید یک پشتهٔ سرآیند دوم دورش می‌پیچد. در همپوشانی VXLAN این یعنی یک سرآیند IP بیرونی، یک سرآیند UDP و یک سرآیند 8 بایتی VXLAN، که یک بار کامل 1,500 بایتی را از MTU مسیر یک پیوند اینترنت معمولی 1,500 بایتی عبور می‌دهد. OpenVPN در حالت tap سرباری خودش را در همان جهت اضافه می‌کند. بدون MTU پایین‌تر در سمت داخلی، پیوندی می‌گیرید که به ping پاسخ می‌دهد و در اولین انتقال بزرگ گیر می‌کند.

صورتحساب در بایت‌های سرآیند متوقف نمی‌شود. پخش و چندپخشی که سوئیچ در سخت‌افزار انجامش می‌دهد حالا از WAN عبور می‌کند، و هر سایت پل‌شده همان نقشهٔ آدرس، همان محدودهٔ DHCP و همان رفتار آدرس‌های تکراری را به ارث می‌برد. این کار بررسی پیوند را بسیار سخت‌تر از یک استخر مسیریابی‌شده با یک پیشوند برای هر سایت می‌کند.

پیش از انتخاب حساب کنید. یک قطعهٔ شلوغ که به سه سایت تکرار شود می‌تواند ترافیک پخش بیشتری از انتقال فایل‌هایی که برای آن ساخته شده جابه‌جا کند.

بررسی کنید چه نوع L2 VPN به شما پیشنهاد می‌شود

خود اصطلاح مبهم است و همین ابهام تعیین می‌کند چه کسی ترافیک شما را حمل کند. گاهی بار داده را توصیف می‌کند: فریم‌های Ethernet درون IP که مثل هر تونل دیگری روی اینترنت فرستاده می‌شوند، همان‌طور که VXLAN و ZeroTier و حالت tap OpenVPN انجام می‌دهند. گاهی یک سرویس خریداری‌شده را توصیف می‌کند: مدار Ethernet یک اپراتور یا شبه‌سیم MPLS که دو سایت را داخل یک شبکهٔ یک ارائه‌دهنده به هم می‌دوزد.

هر دو یک قطعه به شما می‌دهند، پس برنامه نمی‌تواند تشخیصشان دهد، اما تفاوت عملیاتی بزرگ است. همپوشانی مسئولیت MTU، رمزنگاری و مسیر زیرین را به شما واگذار می‌کند. سرویس اپراتور آن‌ها را برمی‌دارد و برایشان پول می‌گیرد، و فریم‌های شما را اصلاً از اینترنت عمومی مسیریابی نمی‌کند. کدام را می‌خواهید بستگی دارد به اینکه دو سایت یک اپراتور را شریک‌اند یا فقط یک شرکت را.

پیش از پل زدن، راه‌حل ارزان‌تر را بررسی کنید

بیشتر درخواست‌های یک پیوند پل‌شده از یک جویش شکسته می‌آید، نه از پروتکلی که واقعاً به فریم نیاز دارد. اول تفکیک‌کننده و دامنهٔ جست‌وجو را از تونل مسیریابی‌شده عبور دهید: dhcp-option DNS 10.8.0.1 همراه با dhcp-option DOMAIN internal.example در پیکربندی سرور OpenVPN تعداد شگفت‌انگیزی از آن‌ها را حل می‌کند. یک ارسال‌کنندهٔ محلی در سمت دور همان کار را بدون جابه‌جا کردن هیچ ترافیک پخشی انجام می‌دهد.

اگر یک ابزار قدیمی هنوز شکست می‌خورد، آن ابزار را پشت یک پروکسی یا میزبان پرش در قطعهٔ مقصد بگذارید. یک ارسال‌کنندهٔ TCP ارزان‌تر از یک WAN پل‌شده اداره می‌شود.

تصمیم را به ترتیب ببندید: آیا ترافیک EtherType غیر IP حمل می‌کند، آیا کشف باید عبور کند، آیا MTU می‌تواند سرآیندهای اضافه را ببلعد، آیا مدار ارائه‌دهنده واقعاً موجود است، و آیا راه‌حل مسیریابی‌شده به دلیلی شکست خورد که می‌توانید نامش را ببرید؟ یک نه در هر مرحله بحث را به سود تونلی که از قبل دارید پایان می‌دهد. ضبط و فهرست EtherType را با سابقهٔ تغییر بایگانی کنید، چون نفر بعدی همان پرسش را می‌پرسد و نمی‌خواهد اندازه‌گیری را تکرار کند.