Qui achemine entre vos sites : VPN de couche 2 ou de couche 3 ?

Commandez un VPN d’opérateur et quelqu’un finira par posséder le routage intersites, que vous ayez nommé ce propriétaire ou non. Signez une remise de couche 2 et l’opérateur livre un tuyau pendant que vos routeurs forment l’adjacence ; signez un service de couche 3 et l’opérateur transporte vos préfixes dans son propre contexte de routage. Les deux sont des produits légitimes avec des histoires d’astreinte différentes. Parcourez la commande du devis jusqu’au premier test de recette et le choix cesse d’être abstrait.

Commencez par le formulaire de remise, pas par la diapositive de topologie

Chaque opérateur finit par envoyer un formulaire qui demande ce qu’il doit vous remettre : un pseudowire, un segment Ethernet multipoint ou un raccordement routé sur un bord de service partagé. Cette seule réponse décide plus que n’importe quel schéma de la présentation commerciale, parce qu’elle fixe où commence votre responsabilité.

Un pseudowire point à point est un circuit entre deux raccordements, et un service Ethernet multipoint relie plusieurs sites dans un seul domaine de diffusion. Sur un schéma, ils se ressemblent et se comportent très différemment dès qu’une boucle ou une tempête de diffusion entre en jeu. Confirmez lequel est proposé avant de planifier l’adressage.

Les noms de produits ne tranchent pas. Une étiquette MPLS, une remise de fibre noire et une superposition par internet peuvent toutes s’appeler réseau privé, et les documents-cadres traitent le modèle de service et la séparation client-opérateur comme ce qu’il faut définir. Demandez la sémantique du raccordement par écrit, puis relisez-la à votre équipe en mots simples.

Lisez ce qui est arrivé le jour de la mise en service

Le jour de la mise en service, regardez l’interface qu’on vous a donnée avant d’y configurer quoi que ce soit. Un raccordement routé de couche 3 apparaît généralement comme un port avec un petit sous-réseau point à point ou comme un prochain saut à atteindre. Un raccordement de couche 2 apparaît comme un lien qui attend des trames, donc votre première commande utile est une vérification de pont ou de voisin plutôt qu’une recherche de route.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

Ces quatre lignes vous disent dans quel monde vous êtes. Une route par défaut pointant vers une adresse de l’opérateur signifie que l’opérateur route pour vous. Une interface sans adresse de couche 3 utile mais avec un pont peuplé signifie que c’est à vous de router, et tout préfixe manquant est à corriger de votre côté.

Un lien qui semble en mode promiscuité peut aussi signifier que la remise est étiquetée, alors confirmez l’accord VLAN avant d’accuser le circuit. Des adresses MAC dupliquées sur un service multipoint sont un symptôme de conception, pas une panne d’opérateur.

Attribuez un seul propriétaire par objet avant le premier préfixe

Parcourez la liste des objets et dites à voix haute le nom de l’équipe qui possède chacun. Les préfixes client et les annonces entre sites. L’adjacence ou l’identifiant de service qui forme la relation avec le bord de l’opérateur. Qui casse les boucles, et qui a accepté de vivre dans un domaine de diffusion plus large. Où se situe le plafond MTU, comment les pannes se remarquent et comment le service revient. La politique d’accès, plus tout chiffrement que le service n’inclut pas.

La liste est courte parce que c’est la partie qui casse lors d’un incident. Si deux équipes croient posséder la politique de routage, une panne produit deux changements contradictoires dans la même heure. Si personne ne la possède, le premier chemin asymétrique survit jusqu’à ce qu’un client le signale.

Un service routé vous donne généralement une frontière BGP ou statique, donc votre côté a besoin d’un état de session lisible : birdc show protocols ou l’équivalent sur votre routeur indique si l’adjacence est montée, et les compteurs indiquent si elle ne clignote qu’aux heures ouvrables. Une remise de couche 2 ne donne aucun signal de ce type, c’est pourquoi le client doit posséder une vérification d’accessibilité explicite.

Parcourez le cas de panne d’un site

Écrivez le test de recette avant la mise en production : coupez un raccordement de site et notez ce que voit chaque équipe. Sur un service de couche 3, l’opérateur retire l’accessibilité des préfixes de ce site, votre session journalise le retrait et les sites restants conservent leurs chemins. Sur un service de couche 2, le circuit tombe, votre protocole de routage remarque un voisin mort et la même convergence dépend entièrement de vos temporisateurs.

Rétablissez le lien et vérifiez la seconde moitié du cas, car l’état obsolète est le résidu habituel. Confirmez que l’adjacence revient, que les préfixes reviennent avec les attributs attendus et qu’aucune route statique temporaire ne reste dans la table depuis l’incident.

Testez aussi la panne ennuyeuse : un seul site qui double son trafic. Sur une remise routée, vous voyez des compteurs par préfixe ; sur une remise pontée, vous ne voyez peut-être que le débit de l’interface, ce qui vous laisse deviner quel hôte est responsable.

Ce que le contrat n’achète pas

Une étiquette de couche 2 ou 3 ne dit rien sur la latence, un réseau dorsal dédié ou le chiffrement. Ce sont des engagements distincts, et les chiffres de disponibilité n’en impliquent aucun. Lisez l’accord de service pour ce qui est promis et traitez tout le reste comme une hypothèse à tester.

Si votre besoin est un raccordement point à point entre deux routeurs client, un service de couche 2 convient sans demander à l’opérateur d’exploiter votre routage interne. Si votre besoin est de nombreux sites avec des sous-réseaux distincts et une petite équipe d’exploitation, un service routé retire généralement du travail que vous auriez sinon.

Aucun des deux n’est par défaut. Vérifiez la prise en charge de l’encapsulation par les équipements, les relations de trafic réelles entre sites, le modèle de redondance et la capacité de votre équipe à exploiter la partie qu’elle vient d’accepter. Inscrivez ensuite les noms des propriétaires dans le runbook, car c’est la seule partie de la décision qui survit aux changements de personnel.