Una WAN da laboratorio da una VLAN: segmento piatto o trasporto instradato

Uno switch gestito e una VLAN libera ti daranno due gateway VPN che parlano su un segmento isolato in un pomeriggio. Ciò che quel segmento dimostra è più ristretto di quanto le persone si aspettino dalla parola WAN. Riproduce un percorso Ethernet diretto, il che è utile, e omette quasi tutto ciò che internet fa ai pacchetti lungo il percorso. Scegliere tra un segmento piatto e un trasporto di laboratorio instradato è in realtà una domanda su quali comportamenti intendi testare.

Due progetti, due lezioni diverse

Un segmento piatto mette entrambe le interfacce WAN e un host di test in una sola VLAN, con indirizzi dello stesso prefisso. Tutto raggiunge tutto direttamente, e l’unica cosa tra i gateway è lo switch. È una topologia reale, solo non molto interessante.

Un trasporto instradato aggiunge un router di laboratorio e almeno due segmenti, così i gateway stanno su sottoreti diverse con un gateway predefinito in mezzo. Quella disposizione costa un altro dispositivo e una tabella di instradamento, e compra i comportamenti che un singolo dominio di broadcast non può produrre.

Ciò che il segmento piatto dimostra

Dimostra raggiungibilità, autenticazione, accordo sulla proposta e che il traffico entra ed esce dal tunnel dove te lo aspetti. Sono i guasti che consumano la maggior parte del tempo di risoluzione dei problemi, e un segmento piatto li trova senza alcuna complessità di instradamento lungo il percorso. Se il tunnel non sale qui, nessuna quantità di realismo di internet aiuterà.

È anche la forma giusta per una baseline ripetibile. Quando un test successivo fallisce, puoi rieseguire il caso piatto e sapere se l’ha causato la modifica o la nuova condizione. Scrivi la baseline con i suoi indirizzi, perché più avanti dovrai ricostruirla.

Ciò che l’instradamento aggiunge

Sottoreti WAN diverse significano che i gateway devono instradare invece di indirizzarsi a vicenda sul collegamento, ed è qui che compaiono gli errori di gateway predefinito e i percorsi di ritorno asimmetrici. Il filtraggio intermedio e un salto in mezzo ti permettono di testare cosa succede quando un percorso non è diretto.

Il costo sono più punti in cui sbagliare. Ogni dispositivo in più è un’altra configurazione che può discordare dal disegno, e un laboratorio che nessuno può ricostruire dalle note smette di essere un laboratorio. Tieni la configurazione del router in quelle note, non solo nel suo stato di esecuzione.

Ciò che nessuno dei due progetti riproduce

La traduzione dell’operatore è la grande omissione. Un gateway che funziona sul collegamento può fallire dietro la traduzione degli indirizzi, e un segmento piatto non ha alcuna traduzione. Il cambio di indirizzi di origine, un handover cellulare e le code che fanno singhiozzare una chiamata mancano altrettanto.

La dimensione del percorso è la seconda omissione. Un laboratorio con uno switch e un router quasi mai produce la dimensione massima più piccola imposta da un percorso reale, quindi un bug di frammentazione resta nascosto finché l’apparecchiatura non arriva in un sito. Questo divario spiega come un tunnel superi ogni test di laboratorio e fallisca comunque alla prima installazione. Fissa anche le aspettative su ciò che al laboratorio è permesso promettere.

Aggiungi una condizione alla volta quando l’esercizio lo richiede, e tieni un’esecuzione senza quella condizione come baseline. Altrimenti un guasto viene attribuito a un comportamento di internet che il laboratorio non ha mai implementato. Etichetta ogni esecuzione con la condizione che ha aggiunto, altrimenti la baseline smette di significare qualcosa.

Mantenere il laboratorio circoscritto

Usa un intervallo privato approvato che non si sovrapponga alla produzione e registra l’assegnazione. Gli intervalli di documentazione sono esempi per i diagrammi, non indirizzi per un laboratorio funzionante, e una sovrapposizione scoperta più tardi produce un guasto di instradamento che sembra un bug VPN.

Tieni visibile la posizione del client di test. Un host sul lato privato percorre un percorso diverso da un host sulla WAN simulata, e un’interfaccia di switch accidentale o un secondo uplink possono aggirare il firewall che volevi testare. Un disegno con la posizione del client segnata previene la maggior parte di quelle sorprese.

Prima che qualsiasi parte dell’apparecchiatura torni su un uplink reale, rimuovi la configurazione specifica del laboratorio e fai controllare al responsabile della produzione. Un segmento è prezioso perché il suo comportamento è noto e circoscritto, ed è esattamente questo che lo rende insicuro da portare in produzione senza modifiche.