L2 VPN თუ L3 გვირაბი: ხუთი შემოწმება, სანამ საიტს დააკავშირებ

საიტს აკავშირებთ იმიტომ, რომ რომელიღაც ინსტრუმენტი დაჟინებით მოითხოვს, რომ ის ერთსა და იმავე ქსელში იყოს, და სამი კვირის შემდეგ ღამის ორ საათზე კომუტატორის ჟურნალებს კითხულობთ. ასეთი ინტუიცია ძალიან ბევრ Ethernet-over-IP კავშირს წყვეტს. აქ ნამდვილად მხოლოდ ერთი განსხვავებაა მნიშვნელოვანი: მთლიანი კადრები მიდის თუ არა ბოლოდან ბოლომდე, თუ მხოლოდ IP პაკეტები. შეასრულეთ ქვემოთ მოცემული ხუთი შემოწმება თანმიმდევრობით და გაჩერდით პირველზე, რომელიც ვერ გაივლის.

შეამოწმეთ, რას დებს აპლიკაცია სინამდვილეში მავთულზე

სანამ რომელიმე პროდუქტის სახელი საუბარში შემოვა, ჩაიწერეთ ერთი წუთი იმ ტრაფიკისა, რომელმაც კავშირი უნდა გადაკვეთოს: tcpdump -i eth0 -nn -e 'not ip'. ეს ვარიანტი -e ბეჭდავს კავშირის დონის სათაურს და ეს არის ზუსტად ის ნაწილი, რომელსაც მარშრუტიზებული გვირაბი აგდებს. თუ ჩანაწერი ცარიელი დარჩა, თქვენი აპლიკაცია IP-ზე ლაპარაკობს და L3 გვირაბი მას უცვლელად გადაიტანს. თუ კადრები მაინც გამოჩნდა, ჩაიწერეთ EtherType, რადგან 0x0806 არის ARP, 0x88cc არის LLDP, ხოლო მწარმოებლის მნიშვნელობა ჩვეულებრივ ნიშნავს აღმოჩენის პროტოკოლს IP-ის ალტერნატივის გარეშე. სწორედ ამ მომენტში ჩვეულებრივი tun ინტერფეისი აღარ არის საკმარისი.

გაიმეორეთ ჩანაწერი შორეულ მხარესაც. კადრი, რომელიც მხოლოდ ერთი ჰოსტის ვირტუალურ კომუტატორში არსებობს, არ არის მიზეზი, გაშალოთ მაუწყებლობის დომენი WAN-ზე.

შეამოწმეთ, უნდა გადაკვეთოს თუ არა აღმოჩენამ კავშირი

მარშრუტიზებულ გვირაბს საერთო სეგმენტი არ აქვს, ამიტომ ჯგუფზე მიმართული არაფერი აღწევს მეორე ბოლომდე. ARP, DHCP მაუწყებლობები, mDNS მისამართზე 224.0.0.251, SSDP და NetBIOS სახელის მოთხოვნები ყველა ისეთ კავშირს ვარაუდობს, რომელსაც რამდენიმე ჰოსტი ერთდროულად ისმენს.

იკითხეთ, რომელ მათგანზეა აპლიკაცია ნამდვილად დამოკიდებული და არსებობს თუ არა უკვე პროქსი მისთვის. DHCP რელე, mDNS ასახვა და სტატიკური ARP ჩანაწერები თითოეული ერთ დამოკიდებულებას აცილებს, და თითოეული კიდევ ერთი სერვისია, რომელიც უნდა გაუშვათ და მონიტორინგი გაუწიოთ. როცა ორი ან სამი რჩება, დაკავშირება პატიოსანი პასუხია.

შეამოწმეთ, რა ჯდება დამატებითი სათაური

კადრებს საცხოვრებელი ადგილი სჭირდება, ამიტომ ყველაფერი, რასაც აგზავნით, გარშემო მეორე სათაურების დასტას იძენს. VXLAN გადაფარვაში ეს ნიშნავს გარე IP სათაურს, UDP სათაურს და 8 ბაიტიან VXLAN სათაურს, რაც სრული ზომის 1,500 ბაიტიან დატვირთვას ჩვეულებრივი 1,500 ბაიტიანი ინტერნეტ კავშირის ბილიკის MTU-ს მიღმა უბიძგებს. OpenVPN tap რეჟიმში თავის ზედნადებს იმავე მიმართულებით ამატებს. შიდა მხარეს დაბალი MTU-ს გარეშე მიიღებთ კავშირს, რომელიც ping-ს პასუხობს და პირველ დიდ გადაცემაზე ჩერდება.

ანგარიში სათაურის ბაიტებზე არ ჩერდება. მაუწყებლობა და მულტიკასტი, რომელსაც კომუტატორი აპარატულად ამუშავებს, ახლა WAN-ზე გადის, და ყოველი დაკავშირებული საიტი იმავე მისამართების გეგმას, DHCP დიაპაზონსა და დუბლირებული მისამართების ქცევას მემკვიდრეობით იღებს. ეს კავშირს გაცილებით უფრო რთულად სამაუდიტოდ ხდის, ვიდრე მარშრუტიზებული აუზი ერთი პრეფიქსით თითო საიტზე.

გამოთვალეთ არჩევამდე. დატვირთული სეგმენტი, რომელიც სამ საიტზე მეორდება, შეიძლება იმაზე მეტი მაუწყებლობის ტრაფიკი გადაადგილოს, ვიდრე ის ფაილური გადაცემები, რისთვისაც ის აშენდა.

შეამოწმეთ, რა სახის L2 VPN-ს გთავაზობენ

თავად ტერმინი ორაზროვანია და ეს ორაზროვნება წყვეტს, ვინ გადაიტანს თქვენს ტრაფიკს. ზოგჯერ ის დატვირთვას აღწერს: Ethernet კადრები IP-ის შიგნით, ინტერნეტით გაგზავნილი, როგორც ნებისმიერი სხვა გვირაბი, როგორც ამას VXLAN, ZeroTier და OpenVPN-ის tap რეჟიმი აკეთებს. ზოგჯერ ის ნაყიდ სერვისს აღწერს: ოპერატორის Ethernet წრე ან MPLS ფსევდო-მავთული, რომელიც ორ საიტს ერთი პროვაიდერის ქსელში აერთიანებს.

ორივე სეგმენტს გაძლევთ, ამიტომ აპლიკაცია ვერ გაარჩევს მათ, მაგრამ ოპერაციული სხვაობა დიდია. გადაფარვა MTU-ს, დაშიფვრისა და ქვედა ბილიკის პასუხისმგებლობას თქვენ გიტოვებთ. ოპერატორის სერვისი ამ ყველაფერს იღებს და მას ფასს უნიშნავს, და ის საერთოდ არ გადაამისამართებს თქვენს კადრებს საჯარო ინტერნეტში. რომელი გსურთ, დამოკიდებულია იმაზე, ორი საიტი ოპერატორს იზიარებს თუ მხოლოდ კომპანიას.

შეამოწმეთ იაფი გვერდის ავლის გზა დაკავშირებამდე

დაკავშირებულ კავშირზე მოთხოვნების უმეტესობა ერთი გატეხილი სახელის ძიებიდან მოდის და არა პროტოკოლიდან, რომელსაც ნამდვილად კადრები სჭირდება. ჯერ რეზოლვერი და ძიების დომენი მარშრუტიზებულ გვირაბში გაატარეთ: dhcp-option DNS 10.8.0.1 ერთად dhcp-option DOMAIN internal.example OpenVPN სერვერის კონფიგურაციაში მათგან გასაოცრად ბევრს წყვეტს. შორეულ მხარეს ლოკალური გადამცემი იმავე საქმეს აკეთებს მაუწყებლობის ტრაფიკის გადაადგილების გარეშე.

თუ ერთი ძველი ინსტრუმენტი კვლავ ვერ მუშაობს, ჩადეთ ის პროქსის ან ნახტომი ჰოსტის უკან დანიშნულების სეგმენტზე. ერთი TCP გადამცემის მართვა უფრო იაფია, ვიდრე დაკავშირებული WAN-ის.

დახურეთ გადაწყვეტილება თანმიმდევრობით: ატარებს ტრაფიკი არა-IP EtherType-ს, უნდა გადაკვეთოს აღმოჩენამ, შეუძლია MTU-ს დამატებითი სათაურები შთანთქას, ნამდვილად ხელმისაწვდომია პროვაიდერის წრე, და ჩავარდა მარშრუტიზებული გვერდის ავლის გზა იმ მიზეზით, რომელსაც შეგიძლიათ დაასახელოთ? ნებისმიერ საფეხურზე „არა“ ამთავრებს კამათს თქვენ უკვე არსებული გვირაბის სასარგებლოდ. დაარქივეთ ჩანაწერი და EtherType სია ცვლილების ჩანაწერთან ერთად, რადგან შემდეგი ადამიანი იმავე კითხვას დასვამს და გაზომვის გამეორება არ მოუნდება.