一つのVLANから作るラボWAN：フラットセグメントかルーティング転送か

管理スイッチ一台と予備のVLANがあれば、午後の一度で、分離セグメントを介して通信する二つのVPNゲートウェイを作れます。そのセグメントが証明するものは、人々がWANという言葉から期待するより狭いものです。直接のEthernet経路を再現しますが、それは有用であり、インターネットが途中でパケットに行うほぼすべてを省きます。フラットセグメントとルーティングされたラボ転送のどちらを選ぶかは、実際にはどの挙動をテストしたいかという問いです。

二つの設計、二つの異なる教訓

フラットセグメントは、二つのWANインターフェースと一台のテストホストを同じVLANに置き、同じプレフィックスのアドレスを使います。すべてが直接すべてに到達し、ゲートウェイの間にあるのはスイッチだけです。実在するトポロジーですが、あまり面白くはありません。

ルーティングされた転送は、ラボルーターと少なくとも二つのセグメントを追加するので、ゲートウェイは異なるサブネットに座り、その間にデフォルトゲートウェイがあります。その構成はもう一台の機器とルーティングテーブルを要し、単一のブロードキャストドメインでは作れない挙動を買います。

フラットセグメントが証明すること

到達性、認証、提案の合意、そしてトラフィックが期待する場所でトンネルに入り出ることを証明します。これらはトラブルシューティング時間の大半を食う障害であり、フラットセグメントは経路上にルーティングの複雑さを伴わずにそれらを見つけます。ここでトンネルが上がらないなら、どれだけインターネットらしさを足しても助けになりません。

また、繰り返せるベースラインに適した形でもあります。後続のテストが失敗したとき、フラットなケースを再実行して、変更か新しい条件のどちらが原因かを知れます。後で再構築する必要があるので、ベースラインはアドレスとともに書き留めてください。

ルーティングが加えるもの

WANサブネットが異なると、ゲートウェイはリンク上で互いにアドレスを与えるのではなくルーティングする必要があり、デフォルトゲートウェイの誤りと非対称な戻り経路が現れるのはここです。中間のフィルタリングとその間の一ホップにより、経路が直接でないときに何が起きるかを試せます。

コストは間違えられる場所が増えることです。追加の機器ごとに、図面と食い違う可能性のある設定が一つ増え、ノートから誰も再構築できないラボはラボでなくなります。ルーターの設定は実行状態だけでなく、そのノートに残してください。

どちらの設計も再現しないもの

キャリアの変換が最大の欠落です。リンク上で動くゲートウェイはアドレス変換の背後で失敗し得ますし、フラットセグメントには変換がまったくありません。送信元アドレスの変更、セルラーハンドオーバー、通話を途切れさせるキューイングも同様にありません。

経路サイズが二つ目の欠落です。スイッチ一台とルーター一台のラボは、実際の経路が課すより小さい最大サイズをほとんど生み出さないので、フラグメンテーションの不具合は機器が現場に届くまで隠れます。その差が、トンネルがすべてのラボテストを通りながら最初の設置で失敗する理由を説明します。ラボが何を約束してよいかの期待も定めます。

演習が必要とするときは一度に一つの条件を加え、その条件なしの実行をベースラインとして保ってください。そうしないと、失敗はラボが実装していないインターネット挙動のせいにされます。そうしないとベースラインは意味を失うので、各実行に加えた条件をラベル付けしてください。

ラボを境界内に保つ

本番と重ならない承認済みのプライベート範囲を使い、割り当てを記録してください。後で見つかる重なりはVPNの不具合に見えるルーティング障害を生むので、ドキュメント用の範囲は図の例であり、稼働するラボのアドレスではありません。

テストクライアントの位置を見えるように保ってください。プライベート側のホストは、シミュレートされたWAN上のホストとは別の経路を通り、偶然のスイッチインターフェースや二本目のアップリンクが、テストしたかったファイアウォールを迂回することがあります。クライアントの位置を記した図は、そうした驚きの大半を防ぎます。

機器のどの部分も実際のアップリンクに戻す前に、ラボ固有の設定を外し、本番の責任者に確認してもらってください。セグメントが価値を持つのは、その挙動が既知で境界があるからであり、だからこそ変更せずに本番へ持ち込むのは安全でないのです。