VPN L2 fronte a túnel L3: cinco comprobacións antes de pontar unha sede

Ponta unha sede porque unha ferramenta insiste en que debe estar na mesma rede, e tres semanas despois estás lendo rexistros de conmutadores ás dúas da mañá. Ese tipo de intuición decide demasiadas ligazóns Ethernet sobre IP. Aquí só importa de verdade unha diferenza: se viaxan tramas completas de extremo a extremo ou só paquetes IP. Executa as cinco comprobacións seguintes en orde e detente na primeira que falle.

Comproba que pon realmente a aplicación no cable

Antes de que ningún nome de produto entre na conversa, captura un minuto do tráfico que ten que cruzar a ligazón: tcpdump -i eth0 -nn -e 'not ip'. O indicador -e imprime a cabeceira da capa de ligazón, que é exactamente a parte que descarta un túnel encamiñado. Se a captura queda baleira, a túa aplicación fala IP e un túnel L3 transpórtaa sen cambios. Se aparecen tramas, anota o EtherType, porque 0x0806 é ARP, 0x88cc é LLDP, e un valor de fabricante adoita significar un protocolo de descubrimento sen alternativa IP. É o punto no que unha tun interface normal deixa de ser suficiente.

Repite a captura tamén no extremo remoto. Unha trama que só existe dentro do conmutador virtual dun host non é motivo para estender un dominio de difusión por unha WAN.

Comproba se o descubrimento ten que cruzar a ligazón

Un túnel encamiñado non ten ningún segmento compartido, así que nada dirixido a un grupo chega ao outro extremo. ARP, as difusións DHCP, mDNS en 224.0.0.251, SSDP e as consultas de nomes NetBIOS supoñen todos unha ligazón que varios hosts escoitan á vez.

Pregunta de cales deles depende realmente a aplicación e se xa existe un proxy para iso. O relé DHCP, a reflexión mDNS e as entradas ARP estáticas eliminan cada unha unha dependencia, e cada unha é outro servizo que executar e vixiar. Cando quedan dous ou tres, pontar é a resposta honesta.

Comproba canto te custa a cabeceira extra

As tramas necesitan un sitio onde vivir, así que todo o que envías leva unha segunda pila de cabeceiras ao redor. Nunha superposición VXLAN iso significa unha cabeceira IP exterior, unha cabeceira UDP e unha cabeceira VXLAN de 8 bytes, o que empurra unha carga completa de 1,500 bytes máis alá da MTU de ruta dunha ligazón de internet normal de 1,500 bytes. OpenVPN en modo tap engade a súa propia sobrecarga na mesma dirección. Sen unha MTU máis baixa no lado interno obténs unha ligazón que responde aos ping e atasca na primeira transferencia grande.

A factura non se detén nos bytes de cabeceira. A difusión e o multicast que un conmutador resolve en hardware agora viaxan pola WAN, e cada sede pontada herda o mesmo plan de enderezos, o mesmo ámbito DHCP e o mesmo comportamento con enderezos duplicados. Iso fai a ligazón bastante máis difícil de auditar que un grupo encamiñado cun prefixo por sede.

Fai as contas antes de elixir. Un segmento ocupado replicado a tres sedes pode mover máis tráfico de difusión que as transferencias de ficheiros para as que se construíu.

Comproba que tipo de VPN L2 che están ofrecendo

O propio termo é ambiguo, e a ambigüidade decide quen transporta o teu tráfico. Ás veces describe a carga: tramas Ethernet dentro de IP, enviadas por internet como calquera outro túnel, como fan VXLAN, ZeroTier e o modo tap de OpenVPN. Ás veces describe un servizo comprado: un circuíto Ethernet de operador ou un pseudocable MPLS que une dúas sedes dentro dunha soa rede de provedor.

Ambos che dan un segmento, así que a aplicación non pode distinguilos, pero a diferenza operativa é grande. Unha superposición déixache a responsabilidade da MTU, o cifrado e a ruta subxacente. Un servizo de operador encárgase diso e cóbrao, e non encamiñará as túas tramas por internet público en absoluto. Cal queres depende de se as dúas sedes comparten operador ou só comparten empresa.

Comproba a solución máis barata antes de pontar

A maioría das peticións dunha ligazón pontada veñen dunha soa consulta rota, non dun protocolo que realmente necesite tramas. Pasa primeiro o resolutor e o dominio de busca polo túnel encamiñado: dhcp-option DNS 10.8.0.1 xunto con dhcp-option DOMAIN internal.example nunha configuración de servidor OpenVPN resolve unha cantidade sorprendente delas. Un reenviador local no extremo remoto fai o mesmo traballo sen mover ningún tráfico de difusión.

Se unha ferramenta antiga segue fallando, pon esa ferramenta detrás dun proxy ou dun host de salto no segmento de destino. Un só reenviador TCP é máis barato de operar que unha WAN pontada.

Pecha a decisión en orde: leva o tráfico un EtherType que non é IP, ten o descubrimento que cruzar, pode a MTU absorber as cabeceiras extra, hai realmente dispoñible un circuíto de provedor, e fallou a solución encamiñada por un motivo que poidas nomear? Un non en calquera paso remata o debate a favor do túnel que xa tes. Arquiva a captura e a lista de EtherType co rexistro de cambios, porque a seguinte persoa fará a mesma pregunta e non quererá repetir a medición.