Quen encamiña entre as súas sedes: VPN de capa 2 ou de capa 3?

Pida unha VPN de provedor e alguén acabará asumindo o encamiñamento entre sedes, tanto se nomeou ese responsable como se non. Asine unha entrega de capa 2 e o provedor entrega un tubo mentres os seus routers forman a adxacencia; asine un servizo de capa 3 e o provedor transporta os seus prefixos dentro do seu propio contexto de encamiñamento. Ambos son produtos lexítimos con historias de garda distintas. Percorra o pedido desde o orzamento ata a primeira proba de aceptación e a elección deixa de ser abstracta.

Empece polo formulario de entrega, non pola diapositiva de topoloxía

Todo provedor acaba enviando un formulario que pregunta que debe entregarlle: un pseudocircuíto, un segmento Ethernet multipunto ou unha conexión encamiñada nun bordo de servizo compartido. Esa única resposta decide máis que calquera diagrama da presentación comercial, porque fixa onde comeza a súa responsabilidade.

Un pseudocircuíto punto a punto é un circuíto entre dúas conexións, e un servizo Ethernet multipunto une varias sedes nun só dominio de difusión. Nun diagrama parécense e compórtanse de forma moi distinta en canto hai un bucle ou unha tormenta de difusión. Confirme cal se está orzamentando antes de planificar o direccionamento.

Os nomes de produto non o resolven. Unha etiqueta MPLS, unha entrega de fibra escura e unha superposición por internet poden chamarse rede privada, e os documentos marco tratan o modelo de servizo e a separación cliente-provedor como o que hai que definir. Pida a semántica da conexión por escrito e despois léaa ao seu equipo con palabras claras.

Lea o que chegou o día da posta en marcha

O día da posta en marcha, mire a interface que lle deron antes de configurar nada enriba. Unha conexión encamiñada de capa 3 adoita aparecer como un porto cunha subrede punto a punto pequena ou como un seguinte salto ao que debe chegar. Unha conexión de capa 2 aparece como unha ligazón que espera tramas, así que o seu primeiro comando útil é unha comprobación de ponte ou de veciño, non unha consulta de ruta.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

Eses catro liñas dinlle en que mundo está. Unha ruta por defecto que apunta a un enderezo do provedor significa que o provedor encamiña por vostede. Unha interface sen enderezo de capa 3 útil pero coa ponte poboada significa que se espera que encamiñe vostede, e calquera prefixo que falte é seu para arranxalo.

Unha ligazón que parece promiscua tamén pode significar que a entrega vai etiquetada, así que confirme o acordo de VLAN antes de culpar o circuíto. Os enderezos MAC duplicados nun servizo multipunto son un síntoma de deseño, non un fallo do provedor.

Asigne un único responsable por obxecto antes do primeiro prefixo

Percorra a lista de obxectos e diga en voz alta o nome do equipo que posúe cada un. Prefixos de cliente e os anuncios entre sedes. A adxacencia ou o identificador de servizo que forma a relación co bordo do provedor. Quen rompe bucles e quen aceptou vivir dentro dun dominio de difusión máis amplo. Onde está o teito de MTU, como se notan os fallos e como volve o servizo. Política de acceso, máis calquera cifrado que o servizo non inclúa.

A lista é curta porque é a parte que se rompe durante un incidente. Se dous equipos cren que posúen a política de encamiñamento, unha caída produce dous cambios contraditorios na mesma hora. Se non a posúe ninguén, o primeiro camiño asimétrico sobrevive ata que un cliente o reporta.

Un servizo encamiñado adoita darlle unha fronteira BGP ou estática, así que o seu lado necesita un estado de sesión que poida ler: birdc show protocols ou o equivalente no seu router dille se a adxacencia está activa, e os contadores dinlle se só fluctúa en horario laboral. Unha entrega de capa 2 non dá esa sinal, por iso o cliente debe ter unha comprobación de alcance explícita.

Percorra o caso de fallo dunha sede

Escriba a proba de aceptación antes de que o servizo entre en produción: tire unha conexión de sede e anote que ve cada equipo. Nun servizo de capa 3 o provedor retira o alcance dos prefixos desa sede, a súa sesión rexistra a retirada e as sedes restantes conservan os seus camiños. Nun servizo de capa 2 o circuíto cae, o seu protocolo de encamiñamento detecta un veciño morto e a mesma converxencia depende por completo dos seus temporizadores.

Restaure a ligazón e comprobe a segunda metade do caso, porque o estado obsoleto é o resto habitual. Confirme que a adxacencia volve, que os prefixos regresan cos atributos esperados e que non queda ningunha ruta estática temporal na táboa do incidente.

Probe tamén o fallo aburrido: unha soa sede que duplica o seu tráfico. Nunha entrega encamiñada ve contadores por prefixo; nunha ponteada quizais só vexa o caudal da interface, o que o deixa adiviñando que host é o responsable.

Que non compra o contrato

Unha etiqueta de capa 2 ou de capa 3 non di nada sobre latencia, dorsais dedicadas nin cifrado. Son compromisos separados, e as cifras de dispoñibilidade non implican ningún deles. Lea o acordo de servizo polo que se promete e trate todo o demais como unha suposición que debe probar.

Se o seu requisito é unha conexión punto a punto entre dous routers de cliente, un servizo de capa 2 encaixa sen pedir ao provedor que leve o seu encamiñamento interior. Se o requisito son moitas sedes con subredes distintas e un equipo de operacións pequeno, un servizo encamiñado adoita eliminar traballo que doutro xeito sería seu.

Ningún dos dous é por defecto. Comprobe o soporte do dispositivo para a encapsulación, as relacións reais de tráfico entre sedes, o modelo de redundancia e se o seu equipo pode operar a parte que acaba de aceptar. Despois escriba os nomes dos responsables no runbook, porque é a única parte da decisión que sobrevive aos cambios de persoal.