Un WAN de labo à partir d’un VLAN : segment plat ou transport routé

Un commutateur administré et un VLAN libre vous donneront, en un après-midi, deux passerelles VPN qui dialoguent sur un segment isolé. Ce que ce segment prouve est plus étroit que ce que les gens attendent du mot WAN. Il reproduit un chemin Ethernet direct, ce qui est utile, et il omet presque tout ce que l’internet fait subir aux paquets en chemin. Choisir entre un segment plat et un transport de labo routé est en réalité une question sur les comportements que vous comptez tester.

Deux conceptions, deux leçons différentes

Un segment plat place les deux interfaces WAN et un hôte de test dans un même VLAN, avec des adresses du même préfixe. Tout atteint tout directement, et la seule chose entre les passerelles est le commutateur. C’est une topologie réelle, simplement pas très intéressante.

Un transport routé ajoute un routeur de labo et au moins deux segments, si bien que les passerelles se trouvent sur des sous-réseaux différents avec une passerelle par défaut entre elles. Cette disposition coûte un appareil de plus et une table de routage, et elle achète les comportements qu’un seul domaine de diffusion ne peut pas produire.

Ce que le segment plat prouve

Il prouve l’accessibilité, l’authentification, l’accord sur la proposition et le fait que le trafic entre dans le tunnel et en sort là où vous l’attendez. Ce sont les pannes qui consomment le plus de temps de dépannage, et un segment plat les trouve sans aucune complexité de routage sur le chemin. Si le tunnel ne monte pas ici, aucune quantité de réalisme d’internet n’aidera.

C’est aussi la bonne forme pour une base de référence reproductible. Quand un test ultérieur échoue, vous pouvez relancer le cas plat et savoir si le changement ou la nouvelle condition en est la cause. Notez la base avec ses adresses, car vous devrez la reconstruire plus tard.

Ce que le routage ajoute

Des sous-réseaux WAN différents signifient que les passerelles doivent router au lieu de s’adresser mutuellement sur le lien, et c’est là qu’apparaissent les erreurs de passerelle par défaut et les chemins de retour asymétriques. Le filtrage intermédiaire et un saut entre les deux vous permettent de tester ce qui se passe quand un chemin n’est pas direct.

Le coût, ce sont plus d’endroits où se tromper. Chaque appareil supplémentaire est une configuration de plus qui peut contredire le schéma, et un labo que personne ne peut reconstruire à partir de notes cesse d’être un labo. Gardez la configuration du routeur dans ces notes, et pas seulement dans son état d’exécution.

Ce qu’aucune des deux conceptions ne reproduit

La traduction de l’opérateur est la grande omission. Une passerelle qui fonctionne sur le lien peut échouer derrière la traduction d’adresses, et un segment plat n’a aucune traduction du tout. Le changement d’adresses source, un transfert cellulaire et la file d’attente qui fait bégayer un appel sont tout aussi absents.

La taille du chemin est la deuxième omission. Un labo avec un commutateur et un routeur ne produit presque jamais la taille maximale plus petite qu’impose un chemin réel, si bien qu’un bug de fragmentation reste caché jusqu’à ce que l’équipement arrive sur un site. Cet écart explique comment un tunnel passe tous les tests de labo et échoue quand même à la première installation. Il fixe aussi les attentes sur ce que le labo est autorisé à promettre.

Ajoutez une condition à la fois quand l’exercice le demande, et gardez une exécution sans cette condition comme base de référence. Sinon, une panne est imputée à un comportement d’internet que le labo n’a jamais mis en œuvre. Étiquetez chaque exécution avec la condition qu’elle a ajoutée, sinon la base ne signifie plus rien.

Garder le labo borné

Utilisez une plage privée approuvée qui ne chevauche pas la production et consignez l’attribution. Les plages de documentation sont des exemples pour les schémas, pas des adresses pour un labo en fonctionnement, et un chevauchement découvert plus tard produit une panne de routage qui ressemble à un bug VPN.

Gardez la position du client de test visible. Un hôte du côté privé emprunte un chemin différent d’un hôte sur le WAN simulé, et une interface de commutateur accidentelle ou un deuxième lien montant peut contourner le pare-feu que vous vouliez tester. Un schéma avec la position du client marquée évite la plupart de ces surprises.

Avant que la moindre partie de l’équipement ne retourne sur un lien montant réel, retirez la configuration propre au labo et faites-la relire par le responsable de production. Un segment a de la valeur parce que son comportement est connu et borné, et c’est exactement ce qui le rend dangereux à transposer en production sans changement.