L2 VPN թե L3 թունել. հինգ ստուգում՝ նախքան կայքը կամրջելը

Դուք կամրջում եք կայքը, որովհետև ինչ-որ գործիք պնդում է, թե այն պետք է լինի նույն ցանցում, և երեք շաբաթ անց գիշերվա երկուսին կարդում եք կոմուտատորի մատյանները։ Նման ինտուիցիան որոշում է չափազանց շատ Ethernet-over-IP կապեր։ Այստեղ իրոք կարևոր է միայն մեկ տարբերություն՝ ամբողջ շրջանակնե՞րն են շարժվում ծայրից ծայր, թե՞ միայն IP փաթեթները։ Կատարեք ստորև նշված հինգ ստուգումները հաջորդականությամբ և կանգ առեք առաջինի վրա, որ ձախողվում է։

Ստուգեք, թե հավելվածն իրականում ինչ է դնում լարի վրա

Նախքան որևէ ապրանքանիշի անուն քննարկման մեջ կհայտնվի, ձայնագրեք մեկ րոպե այն երթևեկությունից, որը պետք է անցնի կապով. tcpdump -i eth0 -nn -e 'not ip'։ Այս ընտրանքը -e տպում է կապող շերտի վերնագիրը, և դա հենց այն մասն է, որը դեն է նետում երթուղային թունելը։ Եթե ձայնագրությունը դատարկ մնա, ձեր հավելվածը խոսում է IP-ով, և L3 թունելը տեղափոխում է այն անփոփոխ։ Եթե շրջանակներ այնուամենայնիվ հայտնվեն, նշեք EtherType-ը, քանի որ 0x0806 ARP է, 0x88cc ՝ LLDP, և արտադրողի արժեքը սովորաբար նշանակում է հայտնաբերման արձանագրություն առանց IP այլընտրանքի։ Հենց այս կետում սովորական tun ինտերֆեյսն այլևս բավարար չէ։

Կրկնեք ձայնագրությունը նաև հեռավոր կողմում։ Շրջանակը, որը գոյություն ունի միայն մեկ հոսթի վիրտուալ կոմուտատորում, պատճառ չէ հեռարձակման տիրույթը WAN-ով ձգելու։

Ստուգեք՝ արդյոք հայտնաբերումը պետք է անցնի կապով

Երթուղային թունելը ընդհանուր հատված չունի, ուստի խմբին հասցեագրված ոչինչ չի հասնում մյուս ծայրը։ ARP-ը, DHCP հեռարձակումները, 224.0.0.251 հասցեում mDNS-ը, SSDP-ն և NetBIOS անվանական հարցումները բոլորը ենթադրում են կապ, որը մի քանի հոսթ լսում են միաժամանակ։

Հարցրեք, թե դրանցից որոնցից է հավելվածն իրականում կախված, և արդյոք դրա համար արդեն պրոքսի կա։ DHCP ռելեը, mDNS արտացոլումը և ստատիկ ARP գրառումները յուրաքանչյուրը հեռացնում է մեկ կախվածություն, և յուրաքանչյուրը ևս մեկ ծառայություն է, որ պետք է աշխատեցնել և վերահսկել։ Երբ մնում են երկուսը կամ երեքը, կամրջելը ազնիվ պատասխանն է։

Ստուգեք, թե ինչ արժե ձեզ լրացուցիչ վերնագիրը

Շրջանակներին պետք է տեղ, որտեղ ապրել, ուստի ամեն ինչ, ինչ ուղարկում եք, իր շուրջը ստանում է վերնագրերի երկրորդ շերտ։ VXLAN ծածկույթում դա նշանակում է արտաքին IP վերնագիր, UDP վերնագիր և 8 բայթանոց VXLAN վերնագիր, ինչը լրիվ 1,500 բայթանոց բեռը մղում է սովորական 1,500 բայթանոց ինտերնետ կապի ուղու MTU-ից այն կողմ։ OpenVPN-ը tap ռեժիմում իր ավելցուկն ավելացնում է նույն ուղղությամբ։ Ներքին կողմում ավելի ցածր MTU-ի բացակայության դեպքում դուք ստանում եք կապ, որը պատասխանում է ping-ին և կանգ է առնում առաջին խոշոր փոխանցման ժամանակ։

Հաշիվը չի դադարում վերնագրի բայթերում։ Հեռարձակումն ու բազմահեռարձակումը, որոնք կոմուտատորը մշակում է ապարատային մակարդակում, այժմ անցնում են WAN-ով, և յուրաքանչյուր կամրջված կայք ժառանգում է նույն հասցեային պլանը, DHCP տիրույթը և կրկնվող հասցեների վարքը։ Դա կապը դարձնում է շատ ավելի դժվար աուդիտի ենթարկելի, քան երթուղային լողավազանը՝ մեկ նախածանց յուրաքանչյուր կայքի համար։

Հաշվեք նախքան ընտրելը։ Զբաղված հատվածը, որը կրկնօրինակվում է երեք կայքում, կարող է ավելի շատ հեռարձակման երթևեկություն տեղափոխել, քան այն ֆայլային փոխանցումները, որոնց համար կառուցվել է։

Ստուգեք, թե L2 VPN-ի որ տեսակն են ձեզ առաջարկում

Տերմինն ինքնին երկիմաստ է, և այդ երկիմաստությունը որոշում է, թե ով է տեղափոխում ձեր երթևեկությունը։ Երբեմն այն նկարագրում է բեռը. Ethernet շրջանակներ IP-ի ներսում, ուղարկված ինտերնետով ինչպես ցանկացած այլ թունել, ինչպես անում են VXLAN-ը, ZeroTier-ը և OpenVPN-ի tap ռեժիմը։ Երբեմն այն նկարագրում է գնված ծառայություն. օպերատորի Ethernet շղթա կամ MPLS կեղծալար, որը միացնում է երկու կայք մեկ մատակարարի ցանցի ներսում։

Երկուսն էլ ձեզ հատված են տալիս, ուստի հավելվածը չի կարող տարբերել դրանք, բայց գործառնական տարբերությունը մեծ է։ Ծածկույթը ձեզ է թողնում MTU-ի, գաղտնագրման և ներքևի ուղու պատասխանատվությունը։ Օպերատորի ծառայությունը վերցնում է դրանք և գանձում դրա համար, և այն բոլորովին չի երթուղավորի ձեր շրջանակները հանրային ինտերնետով։ Որն եք ուզում, կախված է նրանից՝ երկու կայքերը կիսում են օպերատոր, թե միայն ընկերություն։

Ստուգեք ավելի էժան լուծումը նախքան կամրջելը

Կամրջված կապի հարցումների մեծ մասը գալիս է մեկ փչացած անվանման լուծումից, ոչ թե արձանագրությունից, որին իսկապես շրջանակներ են պետք։ Նախ լուծիչն ու որոնման տիրույթը անցկացրեք երթուղային թունելով. dhcp-option DNS 10.8.0.1 հետ միասին dhcp-option DOMAIN internal.example OpenVPN սերվերի կարգավորումում լուծում է դրանցից զարմանալիորեն շատերը։ Հեռավոր կողմում տեղական փոխանցիչը նույն աշխատանքն է անում առանց հեռարձակման երթևեկություն տեղափոխելու։

Եթե մեկ հին գործիք դեռ ձախողվում է, դրեք այդ գործիքը պրոքսիի կամ ցատկային հոսթի հետևում նպատակային հատվածում։ Մեկ TCP փոխանցիչը ավելի էժան է շահագործել, քան կամրջված WAN-ը։

Փակեք որոշումը հերթականությամբ. արդյոք երթևեկությունը կրում է ոչ IP EtherType, արդյոք հայտնաբերումը պետք է անցնի, կարո՞ղ է MTU-ն կլանել լրացուցիչ վերնագրերը, արդյոք մատակարարի շղթան իրականում հասանելի է, և արդյոք երթուղային լուծումը ձախողվել է պատճառով, որը կարող եք անվանել։ Ցանկացած քայլում «ոչ»-ը ավարտում է վեճը հօգուտ այն թունելի, որն արդեն ունեք։ Արխիվացրեք ձայնագրությունն ու EtherType ցանկը փոփոխության գրառման հետ, քանի որ հաջորդ մարդը կտա նույն հարցը և չի ցանկանա կրկնել չափումը։