L2 VPN と L3 トンネルの比較：拠点をブリッジする前の5つの確認

同じネットワークに置かなければならないとツールが主張するので拠点をブリッジし、三週間後には午前二時にスイッチのログを読んでいる。そういう勘で Ethernet over IP の接続が決まりすぎている。ここで本当に重要な違いは一つだけだ：フレーム全体が端から端まで運ばれるのか、それとも IP パケットだけか。以下の五つの確認を順番に実行し、最初に失敗したところで止めてほしい。

アプリケーションが実際にワイヤに何を流しているかを確認する

製品名が議論に出る前に、リンクを越える必要のあるトラフィックを一分間キャプチャする： tcpdump -i eth0 -nn -e 'not ip'。オプション -e は、ルーテッドトンネルが捨てる部分そのものであるリンク層のヘッダーを表示する。キャプチャが空のままなら、アプリケーションは IP を話しており、L3 トンネルはそのまま運ぶ。フレームが現れるなら EtherType を記録しておいてほしい、なぜなら 0x0806 は ARP、 0x88cc は LLDP であり、ベンダー固有の値は通常 IP の代替手段を持たないディスカバリプロトコルを意味する。ここが、普通の tun インターフェースでは足りなくなる地点だ。

遠端でも同じキャプチャを繰り返す。一つのホストの仮想スイッチの中にしか存在しないフレームは、ブロードキャストドメインを WAN へ広げる理由にならない。

ディスカバリがリンクを越える必要があるかを確認する

ルーテッドトンネルには共有セグメントがないので、グループ宛てのものはどれも反対側に届かない。ARP、DHCP ブロードキャスト、mDNS（ 224.0.0.251）、SSDP、NetBIOS の名前問い合わせは、いずれも複数のホストが同時に聞けるリンクを前提にしている。

それらのどれにアプリケーションが本当に依存しているのか、すでに代理の仕組みがあるのかを尋ねる。DHCP リレー、mDNS リフレクション、静的 ARP エントリはそれぞれ一つの依存を消し、どれも運用と監視が必要なもう一つのサービスになる。二つか三つが残るなら、ブリッジが正直な答えだ。

余分なヘッダーがいくらかかるかを確認する

フレームには住む場所が要るので、送るものはすべて二つ目のヘッダースタックで包まれる。VXLAN オーバーレイでは外側の IP ヘッダー、UDP ヘッダー、8 バイトの VXLAN ヘッダーが付き、フルサイズの 1,500 バイトのペイロードが普通の 1,500 バイトのインターネットリンクのパス MTU を超えてしまう。OpenVPN の tap モードも同じ方向に自前のオーバーヘッドを足す。内側の MTU を下げなければ、ping には応答するのに最初の大きな転送で止まるリンクになる。

請求はヘッダーのバイトで止まらない。スイッチがハードウェアで処理するブロードキャストとマルチキャストが WAN を流れ、ブリッジした各拠点は同じアドレス設計、DHCP スコープ、重複アドレスの挙動を引き継ぐ。そのため拠点ごとに一つのプレフィックスを持つルーテッドプールより、監査がはるかに難しくなる。

選ぶ前に計算する。三つの拠点に複製される混雑したセグメントは、それを作った目的であるファイル転送よりも多くのブロードキャストトラフィックを動かしうる。

どんな種類の L2 VPN を提示されているかを確認する

用語自体が曖昧で、その曖昧さが誰があなたのトラフィックを運ぶかを決める。ペイロードを指すこともある：IP の中の Ethernet フレームを、ほかのトンネルと同じようにインターネット越しに送るもので、VXLAN、ZeroTier、OpenVPN の tap モードがそうだ。購入したサービスを指すこともある：二つの拠点を一つの事業者網の中で結ぶ、キャリア Ethernet 回線や MPLS 疑似回線だ。

どちらもセグメントを渡すので、アプリケーションには区別できないが、運用上の違いは大きい。オーバーレイは MTU、暗号化、下位の経路の責任をあなたに残す。キャリアサービスはそれらを引き受け、その分を請求し、公衆インターネット越しにあなたのフレームを路由することは決してない。どちらを選ぶかは、二つの拠点が事業者を共有しているのか、会社だけを共有しているのかで決まる。

ブリッジする前に安い回避策を確認する

ブリッジしたリンクの要望のほとんどは、一つの壊れた名前解決から来るのであって、フレームを本当に必要とするプロトコルからではない。まずリゾルバと検索ドメインをルーテッドトンネル越しに通す： dhcp-option DNS 10.8.0.1 と dhcp-option DOMAIN internal.example を OpenVPN サーバー設定に置けば、驚くほど多くが片付く。遠端のローカルフォワーダーはブロードキャストを一切動かさずに同じ仕事をする。

レガシーツールが一つまだ失敗するなら、そのツールを宛先セグメントのプロキシやジャンプホストの後ろに置く。TCP フォワーダー一つは、ブリッジした WAN より運用が安い。

判断は順番に閉じる：トラフィックは IP 以外の EtherType を運んでいるか、ディスカバリは越えなければならないか、MTU は余分なヘッダーを吸収できるか、事業者の回線は実際に利用できるか、そしてルーテッドの回避策は名前を挙げられる理由で失敗したか。どの段階でも「いいえ」が出れば、すでにあるトンネルの側で議論は終わる。 キャプチャと EtherType の一覧を変更記録に添えて保管してほしい、なぜなら次の担当者は同じ質問をし、測定を繰り返したくはないからだ。