L2 VPN बनाम L3 टनल: साइट ब्रिज करने से पहले पाँच जाँच

आप साइट ब्रिज करते हैं क्योंकि कोई उपकरण ज़ोर देता है कि उसे उसी नेटवर्क पर रहना ही है, और तीन हफ़्ते बाद आप रात दो बजे स्विच लॉग पढ़ रहे होते हैं। इस तरह का अंदाज़ा बहुत ज़्यादा Ethernet-over-IP लिंक तय कर देता है। यहाँ असल में सिर्फ़ एक फ़र्क़ मायने रखता है: पूरे फ़्रेम सिरे से सिरे तक जाते हैं या सिर्फ़ IP पैकेट। नीचे दी गई पाँच जाँच क्रम से करें और पहली जो विफल हो वहीं रुकें।

जाँचें कि एप्लिकेशन असल में तार पर क्या भेजता है

कोई भी उत्पाद नाम चर्चा में आने से पहले, उस ट्रैफ़िक का एक मिनट कैप्चर करें जिसे लिंक पार करना है: tcpdump -i eth0 -nn -e 'not ip'। यह विकल्प -e लिंक-लेयर हेडर छापता है, और यही वह हिस्सा है जिसे राउटेड टनल फेंक देता है। अगर कैप्चर ख़ाली रहता है, तो आपका एप्लिकेशन IP बोलता है और L3 टनल उसे बिना बदलाव ले जाता है। अगर फ़्रेम दिखें, तो EtherType नोट करें, क्योंकि 0x0806 ARP है, 0x88cc LLDP है, और विक्रेता का मान आमतौर पर ऐसे डिस्कवरी प्रोटोकॉल का मतलब है जिसके पास IP विकल्प नहीं है। यहीं एक सामान्य tun इंटरफ़ेस काफ़ी नहीं रहता।

दूसरे सिरे पर भी कैप्चर दोहराएँ। ऐसा फ़्रेम जो सिर्फ़ एक होस्ट के वर्चुअल स्विच के भीतर मौजूद है, WAN पर ब्रॉडकास्ट डोमेन खींचने की वजह नहीं है।

जाँचें कि क्या खोज को लिंक पार करना है

राउटेड टनल में कोई साझा सेगमेंट नहीं होता, इसलिए समूह को संबोधित कुछ भी दूसरे सिरे तक नहीं पहुँचता। ARP, DHCP ब्रॉडकास्ट, 224.0.0.251 पर mDNS, SSDP और NetBIOS नाम क्वेरी सभी ऐसे लिंक की अपेक्षा करते हैं जिसे कई होस्ट एक साथ सुन सकें।

पूछें कि एप्लिकेशन वास्तव में इनमें से किस पर निर्भर है, और क्या उसके लिए पहले से कोई प्रॉक्सी है। DHCP रिले, mDNS परावर्तन और स्थिर ARP प्रविष्टियाँ हर एक एक निर्भरता हटाती हैं, और हर एक चलाने व निगरानी करने योग्य एक और सेवा है। जब दो या तीन बचें, तो ब्रिज करना ईमानदार जवाब है।

जाँचें कि अतिरिक्त हेडर आपको कितना महँगा पड़ता है

फ़्रेम को रहने की जगह चाहिए, इसलिए आप जो भी भेजते हैं उसके चारों ओर दूसरा हेडर स्टैक लिपट जाता है। VXLAN ओवरले में इसका मतलब है बाहरी IP हेडर, UDP हेडर और 8-बाइट VXLAN हेडर, जो पूरे आकार का 1,500-बाइट पेलोड सामान्य 1,500-बाइट इंटरनेट लिंक के पाथ MTU से आगे धकेल देता है। OpenVPN tap मोड में उसी दिशा में अपना ओवरहेड जोड़ता है। भीतरी तरफ़ कम MTU के बिना आपको ऐसा लिंक मिलता है जो ping का जवाब देता है और पहले बड़े ट्रांसफ़र पर अटक जाता है।

बिल हेडर बाइट पर ख़त्म नहीं होता। स्विच हार्डवेयर में जो ब्रॉडकास्ट और मल्टीकास्ट संभालता है वह अब WAN पर चलता है, और हर ब्रिज की गई साइट वही एड्रेस योजना, DHCP स्कोप और डुप्लिकेट-एड्रेस व्यवहार विरासत में लेती है। इससे लिंक को हर साइट के लिए एक प्रीफ़िक्स वाले राउटेड पूल की तुलना में कहीं ज़्यादा ऑडिट-कठिन बना देता है।

चुनने से पहले गणित करें। तीन साइटों पर दोहराया गया व्यस्त सेगमेंट उन फ़ाइल ट्रांसफ़रों से ज़्यादा ब्रॉडकास्ट ट्रैफ़िक हिला सकता है जिनके लिए इसे बनाया गया था।

जाँचें कि आपको किस तरह का L2 VPN दिया जा रहा है

शब्द ख़ुद अस्पष्ट है, और यही अस्पष्टता तय करती है कि आपका ट्रैफ़िक कौन ढोएगा। कभी यह पेलोड बताता है: IP के भीतर Ethernet फ़्रेम, किसी भी अन्य टनल की तरह इंटरनेट पर भेजे गए, जैसे VXLAN, ZeroTier और OpenVPN का tap मोड करते हैं। कभी यह ख़रीदी हुई सेवा बताता है: कोई कैरियर Ethernet सर्किट या MPLS स्यूडोवायर जो दो साइटों को एक ही प्रदाता नेटवर्क के भीतर जोड़ता है।

दोनों आपको एक सेगमेंट देते हैं, इसलिए एप्लिकेशन उन्हें अलग नहीं कर सकता, लेकिन परिचालन फ़र्क़ बड़ा है। ओवरले MTU, एन्क्रिप्शन और नीचे के पाथ की ज़िम्मेदारी आप पर छोड़ देता है। कैरियर सेवा वे सब अपने ऊपर लेती है और उसका शुल्क लेती है, और आपके फ़्रेम सार्वजनिक इंटरनेट पर बिल्कुल नहीं राउट करेगी। कौन-सा चाहिए यह इस पर निर्भर है कि दोनों साइटें एक ऑपरेटर साझा करती हैं या सिर्फ़ एक कंपनी।

ब्रिज करने से पहले सस्ता उपाय जाँचें

ब्रिज किए गए लिंक के ज़्यादातर अनुरोध एक टूटी लुकअप से आते हैं, ऐसे प्रोटोकॉल से नहीं जिसे सचमुच फ़्रेम चाहिए। पहले रिज़ॉल्वर और सर्च डोमेन को राउटेड टनल से भेजें: dhcp-option DNS 10.8.0.1 के साथ dhcp-option DOMAIN internal.example OpenVPN सर्वर कॉन्फ़िगरेशन में उनमें से हैरान करने वाली संख्या सुलझा देता है। दूर के सिरे पर स्थानीय फ़ॉरवर्डर कोई ब्रॉडकास्ट ट्रैफ़िक हिलाए बिना वही काम करता है।

अगर एक पुराना उपकरण अब भी विफल हो, तो उसे गंतव्य सेगमेंट पर प्रॉक्सी या जंप होस्ट के पीछे रखें। एक TCP फ़ॉरवर्डर चलाना ब्रिज किए गए WAN से सस्ता है।

फ़ैसला क्रम से बंद करें: क्या ट्रैफ़िक गैर-IP EtherType ढोता है, क्या खोज को पार करना है, क्या MTU अतिरिक्त हेडर निगल सकता है, क्या प्रदाता का सर्किट सचमुच उपलब्ध है, और क्या राउटेड उपाय ऐसी वजह से विफल हुआ जिसका नाम आप बता सकें? किसी भी चरण पर ना आपके पास पहले से मौजूद टनल के पक्ष में बहस ख़त्म कर देता है। कैप्चर और EtherType सूची को परिवर्तन रिकॉर्ड के साथ संग्रहित करें, क्योंकि अगला व्यक्ति वही सवाल पूछेगा और माप दोहराना नहीं चाहेगा।