L2 VPN vai L3-tunneli: viisi tarkistusta ennen kuin siltaat toimipisteen

Sillataat toimipisteen, koska jokin työkalu vaatii, että sen on oltava samassa verkossa, ja kolme viikkoa myöhemmin luet kytkimen lokeja kahdelta yöllä. Sellainen aavistus ratkaisee aivan liian monta Ethernet-over-IP-linkkiä. Tässä on todella merkitystä vain yhdellä erolla: kulkevatko kokonaiset kehykset päästä päähän vai vain IP-paketit. Suorita alla olevat viisi tarkistusta järjestyksessä ja pysähdy ensimmäiseen, joka epäonnistuu.

Tarkista, mitä sovellus todella lähettää johtoon

Ennen kuin mikään tuotenimi tulee keskusteluun, tallenna minuutti liikennettä, jonka on ylitettävä linkki: tcpdump -i eth0 -nn -e 'not ip'. Valitsin -e tulostaa siirtokerroksen otsikon, ja juuri sen reititetty tunneli pudottaa. Jos tallenne jää tyhjäksi, sovelluksesi puhuu IP:tä ja L3-tunneli kuljettaa sen muuttumattomana. Jos kehyksiä kuitenkin ilmaantuu, merkitse EtherType, sillä 0x0806 on ARP, 0x88cc on LLDP, ja valmistajan arvo tarkoittaa yleensä löytöprotokollaa, jolla ei ole IP-varavaihtoehtoa. Juuri siinä pisteessä tavallinen tun liitäntä ei enää riitä.

Toista tallennus myös kaukopäässä. Kehys, joka on olemassa vain yhden isännän virtuaalikytkimessä, ei ole syy venyttää lähetysaluetta WANin yli.

Tarkista, onko löydön ylitettävä linkki

Reititetyllä tunnelilla ei ole yhteistä segmenttiä, joten mikään ryhmälle osoitettu ei saavuta toista päätä. ARP, DHCP-lähetykset, mDNS osoitteessa 224.0.0.251, SSDP ja NetBIOS-nimikyselyt olettavat kaikki linkin, jonka useat isännät kuulevat yhtä aikaa.

Kysy, mistä niistä sovellus todella riippuu ja onko sille jo välityspalvelin. DHCP-välitys, mDNS-heijastus ja staattiset ARP-merkinnät poistavat kukin yhden riippuvuuden, ja jokainen on vielä yksi palvelu, jota pitää ajaa ja valvoa. Kun jäljellä on kaksi tai kolme, sillan rakentaminen on rehellinen vastaus.

Tarkista, mitä ylimääräinen otsikko sinulle maksaa

Kehykset tarvitsevat paikan, jossa elää, joten kaikki lähettämäsi saa ympärilleen toisen otsikkopinon. VXLAN-peitteessä se tarkoittaa ulkoista IP-otsikkoa, UDP-otsikkoa ja 8-tavuista VXLAN-otsikkoa, mikä työntää täysikokoisen 1,500-tavuisen hyötykuorman tavallisen 1,500-tavuisen internet-linkin polun MTU:n yli. OpenVPN tap tilassa lisää oman ylikuormansa samaan suuntaan. Ilman pienempää MTU:ta sisäpuolella saat linkin, joka vastaa pingiin ja pysähtyy ensimmäisessä suuressa siirrossa.

Lasku ei lopu otsikkotavuihin. Lähetys ja monilähetys, jotka kytkin hoitaa laitteistossa, kulkevat nyt WANin yli, ja jokainen sillattu toimipiste perii saman osoitesuunnitelman, DHCP-alueen ja kaksoisosoitteiden käyttäytymisen. Se tekee linkistä huomattavasti vaikeamman auditoida kuin reititetty allas, jossa on yksi etuliite toimipistettä kohden.

Laske ennen kuin valitset. Kolmeen toimipisteeseen kopioitu kiireinen segmentti voi siirtää enemmän lähetysliikennettä kuin ne tiedostonsiirrot, joita varten se rakennettiin.

Tarkista, millaista L2 VPN:ää sinulle tarjotaan

Termi itsessään on moniselitteinen, ja moniselitteisyys ratkaisee, kuka kuljettaa liikennettäsi. Joskus se kuvaa hyötykuormaa: Ethernet-kehykset IP:n sisällä, lähetettyinä internetin yli kuten mikä tahansa muu tunneli, kuten VXLAN, ZeroTier ja OpenVPNin tap tila tekevät. Joskus se kuvaa ostettua palvelua: operaattorin Ethernet-piiri tai MPLS-pseudolanka, joka yhdistää kaksi toimipistettä yhden palveluntarjoajan verkossa.

Molemmat antavat sinulle segmentin, joten sovellus ei voi erottaa niitä toisistaan, mutta operatiivinen ero on suuri. Peite jättää sinulle vastuun MTU:sta, salauksesta ja alla olevasta polusta. Operaattoripalvelu ottaa ne hoitaakseen ja veloittaa niistä, eikä se reititä kehyksiäsi julkisen internetin yli lainkaan. Kumpaa haluat, riippuu siitä, jakavatko kaksi toimipistettä operaattorin vai vain yrityksen.

Tarkista halvempi kiertotie ennen kuin siltaat

Useimmat sillattua linkkiä koskevat pyynnöt tulevat yhdestä rikkinäisestä nimihakusta, eivät protokollasta, joka todella tarvitsee kehyksiä. Työnnä ensin nimipalvelin ja hakutoimialue reititetyn tunnelin läpi: dhcp-option DNS 10.8.0.1 yhdessä dhcp-option DOMAIN internal.example OpenVPN-palvelimen kokoonpanossa ratkaisee hämmästyttävän monta niistä. Kaukopäässä oleva paikallinen välittäjä tekee saman työn siirtämättä lainkaan lähetysliikennettä.

Jos yksi vanha työkalu yhä epäonnistuu, laita se välityspalvelimen tai hyppypalvelimen taakse kohdesegmentissä. Yksi TCP-välittäjä on halvempi ylläpitää kuin sillattu WAN.

Sulje päätös järjestyksessä: kuljettaako liikenne muuta kuin IP-EtherTypeä, onko löydön ylitettävä linkki, pystyykö MTU nielemään ylimääräiset otsikot, onko operaattorin piiri todella saatavilla, ja epäonnistuiko reititetty kiertotie syystä, jonka osaat nimetä? Ei missään vaiheessa päättää väittelyn jo omistamasi tunnelin hyväksi. Arkistoi tallenne ja EtherType-luettelo muutostietueen kanssa, koska seuraava henkilö kysyy saman kysymyksen eikä halua toistaa mittausta.