VPN L2 versus tunnel L3: lima pemeriksaan sebelum menjembatani situs

Anda menjembatani situs karena sebuah alat bersikeras bahwa alat itu harus berada di jaringan yang sama, dan tiga minggu kemudian Anda membaca log switch pada pukul dua pagi. Dugaan semacam itu menentukan terlalu banyak tautan Ethernet-over-IP. Hanya satu perbedaan yang benar-benar penting di sini: apakah frame utuh melakukan perjalanan dari ujung ke ujung, atau hanya paket IP. Jalankan lima pemeriksaan di bawah ini secara berurutan, dan berhenti pada yang pertama gagal.

Periksa apa yang sebenarnya dikirim aplikasi ke kabel

Sebelum nama produk apa pun masuk ke diskusi, tangkap satu menit lalu lintas yang harus melintasi tautan: tcpdump -i eth0 -nn -e 'not ip'. Opsi -e mencetak header lapisan tautan, dan itulah tepatnya bagian yang dibuang tunnel terrutekan. Jika tangkapan tetap kosong, aplikasi Anda berbicara IP dan tunnel L3 membawanya tanpa perubahan. Jika frame muncul, catat EtherType, karena 0x0806 adalah ARP, 0x88cc adalah LLDP, dan nilai vendor biasanya berarti protokol penemuan tanpa cadangan IP. Di titik itulah antarmuka tun biasa tidak lagi cukup.

Ulangi tangkapan di sisi jauh juga. Frame yang hanya ada di dalam switch virtual satu host bukan alasan untuk merentangkan domain siaran melintasi WAN.

Periksa apakah penemuan harus melintasi tautan

Tunnel terrutekan tidak punya segmen bersama, jadi tidak ada yang dialamatkan ke grup yang mencapai ujung lain. ARP, siaran DHCP, mDNS pada 224.0.0.251, SSDP, dan kueri nama NetBIOS semuanya mengasumsikan tautan yang didengar beberapa host sekaligus.

Tanyakan mana di antaranya yang benar-benar dibutuhkan aplikasi, dan apakah sudah ada proksi untuknya. Relay DHCP, pemantulan mDNS, dan entri ARP statis masing-masing menghapus satu ketergantungan, dan masing-masing adalah layanan lain untuk dijalankan dan dipantau. Ketika tersisa dua atau tiga, menjembatani adalah jawaban yang jujur.

Periksa berapa biaya header tambahan bagi Anda

Frame perlu tempat tinggal, jadi semua yang Anda kirim mendapat tumpukan header kedua yang membungkusnya. Dalam overlay VXLAN itu berarti header IP luar, header UDP, dan header VXLAN 8 byte, yang mendorong muatan penuh 1,500 byte melewati MTU jalur tautan internet biasa 1,500 byte. OpenVPN dalam mode tap menambahkan overhead-nya sendiri ke arah yang sama. Tanpa MTU lebih rendah di sisi dalam, Anda mendapat tautan yang menjawab ping dan macet pada transfer besar pertama.

Tagihan tidak berhenti pada byte header. Siaran dan multicast yang ditangani switch di perangkat keras kini menumpang WAN, dan setiap situs yang dijembatani mewarisi rencana alamat, cakupan DHCP, dan perilaku alamat duplikat yang sama. Itu membuat tautan jauh lebih sulit diaudit daripada kumpulan terrutekan dengan satu prefiks per situs.

Lakukan perhitungan sebelum memilih. Segmen sibuk yang direplikasi ke tiga situs bisa memindahkan lebih banyak lalu lintas siaran daripada transfer file yang menjadi alasan pembangunannya.

Periksa jenis VPN L2 apa yang ditawarkan kepada Anda

Istilahnya sendiri ambigu, dan ambiguitas itulah yang menentukan siapa yang membawa lalu lintas Anda. Kadang istilah itu menggambarkan muatan: frame Ethernet di dalam IP, dikirim melalui internet seperti tunnel lain, sebagaimana dilakukan VXLAN, ZeroTier, dan mode tap OpenVPN. Kadang istilah itu menggambarkan layanan yang dibeli: sirkuit Ethernet operator atau pseudowire MPLS yang menyatukan dua situs di dalam satu jaringan penyedia.

Keduanya memberi Anda segmen, jadi aplikasi tidak bisa membedakannya, tetapi perbedaan operasionalnya besar. Overlay menyerahkan tanggung jawab MTU, enkripsi, dan jalur di bawahnya kepada Anda. Layanan operator mengambil alih semuanya dan menagihnya, dan sama sekali tidak akan merutekan frame Anda melalui internet publik. Mana yang Anda inginkan bergantung pada apakah kedua situs berbagi operator atau hanya berbagi perusahaan.

Periksa jalan pintas yang lebih murah sebelum menjembatani

Sebagian besar permintaan tautan jembatan datang dari satu pencarian nama yang rusak, bukan dari protokol yang benar-benar butuh frame. Lewatkan dulu resolver dan domain pencarian melalui tunnel terrutekan: dhcp-option DNS 10.8.0.1 bersama dhcp-option DOMAIN internal.example dalam konfigurasi server OpenVPN menyelesaikan jumlah yang mengejutkan. Penerus lokal di sisi jauh melakukan pekerjaan yang sama tanpa memindahkan lalu lintas siaran apa pun.

Jika satu alat lama masih gagal, letakkan alat itu di belakang proksi atau host lompat pada segmen tujuan. Satu penerus TCP lebih murah dioperasikan daripada WAN yang dijembatani.

Tutup keputusan secara berurutan: apakah lalu lintas membawa EtherType non-IP, apakah penemuan harus melintas, dapatkah MTU menyerap header tambahan, apakah sirkuit penyedia benar-benar tersedia, dan apakah jalan pintas terrutekan gagal karena alasan yang bisa Anda sebutkan? Tidak pada langkah mana pun mengakhiri perdebatan demi tunnel yang sudah Anda miliki. Arsipkan tangkapan dan daftar EtherType bersama catatan perubahan, karena orang berikutnya akan menanyakan hal yang sama dan tidak ingin mengulang pengukuran.