L2 VPN tsjin L3-tunnel: fiif kontrôles foardat jo in lokaasje oerbringe

Jo oerbringe in lokaasje om't in helpmiddel derop stiet dat it op itselde netwurk wêze moat, en trije wiken letter lêze jo om twa oere nachts switch-logs. Soksoarte gefoel beslút folle te folle Ethernet-oer-IP-ferbiningen. Hjir is mar ien ferskil echt fan belang: oft folsleine frames fan ein oant ein reizgje, of allinnich IP-pakketten. Rin de fiif kontrôles hjirûnder yn folchoarder, en stop by de earste dy't mislearret.

Kontrolearje wat de tapassing echt op 'e tried set

Foardat der in produktnamme yn 'e diskusje komt, fêstlizze jo in minút fan it ferkear dat de ferbining oerstekke moat: tcpdump -i eth0 -nn -e 'not ip'. De opsje -e printsje de kop fan 'e keppelingslaach, en dat is krekt it part dat in rûtearre tunnel fuortsmyt. As de opname leech bliuwt, praat jo tapassing IP en in L3-tunnel ferfiert dy ûnferoare. As der wol frames ferskine, skriuw dan de EtherType op, want 0x0806 is ARP, 0x88cc is LLDP, en in wearde fan in leveransier betsjut meast in ûntdekkingsprotokoll sûnder IP-fallback. Dat is it punt dêr't in gewoane tun ynterface net mear genôch is.

Werhelje de opname ek oan 'e oare kant. In frame dat allinnich binnen de firtuele switch fan ien host bestiet, is gjin reden om in broadcast-domein oer in WAN te spannen.

Kontrolearje oft ûntdekking de ferbining oerstekke moat

In rûtearre tunnel hat gjin dield segmint, dus neat dat oan in groep rjochte is, berikt de oare kant. ARP, DHCP-broadcasts, mDNS op 224.0.0.251, SSDP en NetBIOS-namme-query's geane allegear út fan in ferbining dy't ferskate hosts tagelyk hearre.

Freegje hokker fan dy't de tapassing echt nedich hat, en oft der al in proxy foar bestiet. DHCP-relay, mDNS-spiegeling en statyske ARP-ynfieringen ferwiderje elk ien ôfhinklikens, en elk is wer in tsjinst om te draaien en te folgjen. As der twa of trije oerbliuwe, is oerbringe it earlike antwurd.

Kontrolearje wat de ekstra kop jo kostet

Frames moatte earne libje, dus alles wat jo stjoere krijt in twadde stapel koppen der omhinne. Yn in VXLAN-oerlaach betsjut dat in bûtenste IP-kop, in UDP-kop en in 8-byte VXLAN-kop, wat in folsleine 1,500-byte lading foarby de paad-MTU fan in gewoane 1,500-byte ynternetferbining skoot. OpenVPN yn 'e tap modus foeget syn eigen oerhead ta yn deselde rjochting. Sûnder in legere MTU oan 'e binnenkant krije jo in ferbining dy't ping beantwurdet en by de earste grutte oerdracht fêststiet.

De rekken hâldt net op by kop-bytes. Broadcast en multicast dy't in switch yn hardware docht, ride no oer it WAN, en elke oerbrochte lokaasje erft itselde adresplan, deselde DHCP-omfang en itselde gedrach by dûbele adressen. Dat makket de ferbining folle dreger te auditearjen as in rûtearre pool mei ien prefiks per lokaasje.

Doch de rekken foardat jo kieze. In drok segmint dat nei trije lokaasjes replisearre wurdt, kin mear broadcast-ferkear ferpleatse as de bestânsoerdrachten dêr't it foar boud is.

Kontrolearje hokker soarte L2 VPN jo oanbean wurdt

De term sels is dûbelsinnich, en de dûbelsinnigens beslút wa't jo ferkear draacht. Soms beskriuwt er de lading: Ethernet-frames yn IP, oer it ynternet stjoerd lykas elke oare tunnel, sa't VXLAN, ZeroTier en OpenVPN tap modus dogge. Soms beskriuwt er in kochte tsjinst: in carrier-Ethernet-sirkwy of in MPLS-pseudodraad dy't twa lokaasjes yn ien netwurk fan in provider ferbynt.

Beide jouwe jo in segmint, dus de tapassing kin se net ûnderskiede, mar it operasjonele ferskil is grut. In oerlaach lit jo ferantwurdlik foar MTU, fersifering en it ûnderlizzende paad. In tsjinst fan in operator nimt dat oer en rekkenet derfoar, en hy sil jo frames hielendal net oer it iepenbiere ynternet rûte. Hokker jo wolle hinget derfan ôf oft de twa lokaasjes in operator diele of allinnich in bedriuw.

Kontrolearje de goedkeapere oplossing foardat jo oerbringe

De measte fersiken foar in oerbrochte ferbining komme fan ien stikken lookup, net fan in protokoll dat echt frames nedich hat. Stjoer earst de resolver en it sykdomain troch de rûtearre tunnel: dhcp-option DNS 10.8.0.1 tegearre mei dhcp-option DOMAIN internal.example yn in OpenVPN-serverkonfiguraasje regelt in ferrassend oantal dêrfan. In lokale trochstjoerder oan 'e oare kant docht itselde wurk sûnder broadcast-ferkear te ferpleatsen.

As ien âld helpmiddel noch mislearret, set dat helpmiddel dan efter in proxy of in springhost op it bestimmingssegmint. Ien TCP-trochstjoerder is goedkeaper te draaien as in oerbrocht WAN.

Slút de beslissing yn folchoarder: draacht it ferkear in net-IP EtherType, moat ûntdekking oerstekke, kin de MTU de ekstra koppen opfange, is in sirkwy fan in provider echt beskikber, en mislearre de rûtearre oplossing om in reden dy't jo beneame kinne? In nee by elke stap einiget de diskusje yn it foardiel fan de tunnel dy't jo al hawwe. Argivearje de opname en de EtherType-list by it feroaringsrekord, want de folgjende persoan sil deselde fraach stelle en sil de mjitting net werhelje wolle.