L2 VPN немесе L3 туннелі: сайтты көпірмен қоспас бұрын бес тексеріс

Сайтты көпірмен қосасыз, өйткені қандай да бір құрал оның сол бір желіде болуын талап етеді, ал үш аптадан кейін түнгі екіде коммутатор журналдарын оқып отырасыз. Мұндай болжам Ethernet-over-IP байланыстарының тым көбін шешеді. Мұнда шынымен маңызды болып тұрған бір ғана айырмашылық бар: толық кадрлар шетінен шетіне бара ма, әлде тек IP пакеттері ғана бара ма. Төмендегі бес тексерісті ретімен орындаңыз және бірінші сәтсіз болғанында тоқтаңыз.

Қолданба шын мәнінде сымға не салатынын тексеріңіз

Кез келген өнім атауы талқылауға кіріспес бұрын, байланыстан өтуі тиіс трафиктің бір минутын жазып алыңыз: tcpdump -i eth0 -nn -e 'not ip'. Бұл опция -e арналық деңгей тақырыпшасын басып шығарады, ал бұл — маршрутталған туннель тастайтын дәл сол бөлік. Егер жазу бос қалса, қолданбаңыз IP-де сөйлейді және L3 туннелі оны өзгеріссіз тасымалдайды. Егер кадрлар бәрібір пайда болса, EtherType-ты жазып қойыңыз, өйткені 0x0806 — ARP, 0x88cc — LLDP, ал өндіруші мәні әдетте IP баламасы жоқ анықтау хаттамасын білдіреді. Дәл осы сәтте қарапайым tun интерфейсі жеткіліксіз болып қалады.

Жазуды алыс жақта да қайталаңыз. Бір хосттың виртуалды коммутаторының ішінде ғана бар кадр — хабар тарату доменін WAN арқылы созуға себеп емес.

Анықтау байланыстан өтуі керек пе, соны тексеріңіз

Маршрутталған туннельде ортақ сегмент жоқ, сондықтан топқа арналған ештеңе екінші шетке жетпейді. ARP, DHCP хабар таратулары, 224.0.0.251 мекенжайындағы mDNS, SSDP және NetBIOS атау сұраулары — бәрі бірнеше хост бір уақытта еститін байланысты болжайды.

Қолданба шынымен қайсысына тәуелді екенін және ол үшін прокси бар-жоғын сұраңыз. DHCP релесі, mDNS шағылысуы және статикалық ARP жазбаларының әрқайсысы бір тәуелділікті алып тастайды, және әрқайсысы іске қосып, бақылауға тиіс тағы бір қызмет. Екеуі немесе үшеуі қалса, көпірмен қосу — адал жауап.

Қосымша тақырыпша сізге қанша тұратынын тексеріңіз

Кадрларға тұратын жер керек, сондықтан жібергеннің бәрі айналасында екінші тақырыпшалар стекін алады. VXLAN қабатында бұл сыртқы IP тақырыпшасы, UDP тақырыпшасы және 8 байттық VXLAN тақырыпшасы деген сөз, бұл толық өлшемді 1,500 байттық жүктемені қарапайым 1,500 байттық интернет байланысының жол MTU-ынан асыра итереді. OpenVPN tap режимінде өз үстемесін сол бағытта қосады. Ішкі жақта төменірек MTU болмаса, ping-ге жауап беретін және бірінші үлкен тасымалдауда тұрып қалатын байланыс аласыз.

Шот тақырыпша байттарында тоқтамайды. Коммутатор аппараттық түрде өңдейтін хабар тарату мен мультикаст енді WAN арқылы жүреді, және әр көпірленген сайт бірдей мекенжай жоспарын, DHCP ауқымын және қайталанатын мекенжайлар тәртібін мұраға алады. Бұл байланысты әр сайтқа бір префикстен келетін маршрутталған пулға қарағанда әлдеқайда тексеруге қиын етеді.

Таңдамас бұрын есептеп алыңыз. Үш сайтқа көшірілген бос емес сегмент ол салынған файл тасымалдарынан көбірек хабар тарату трафигін жылжытуы мүмкін.

Сізге L2 VPN-нің қай түрі ұсынылып жатқанын тексеріңіз

Терминнің өзі екіұшты, және сол екіұштылық трафигіңізді кім таситынын шешеді. Кейде ол жүктемені сипаттайды: IP ішіндегі Ethernet кадрлары, кез келген басқа туннель сияқты интернет арқылы жіберіледі, VXLAN, ZeroTier және OpenVPN-нің tap режимі жасайтындай. Кейде ол сатып алынған қызметті сипаттайды: бір провайдер желісінің ішінде екі сайтты қосатын операторлық Ethernet тізбегі немесе MPLS жалған сымы.

Екеуі де сізге сегмент береді, сондықтан қолданба оларды ажырата алмайды, бірақ операциялық айырмашылық үлкен. Қабат MTU, шифрлау және астыңғы жол жауапкершілігін сізге қалдырады. Операторлық қызмет осының бәрін өзіне алады және ол үшін ақы алады, әрі кадрларыңызды ашық интернет арқылы мүлдем маршруттамайды. Қайсысын қалайтыныңыз екі сайт операторды бөлісе ме, әлде тек компанияны бөлісе ме — соған байланысты.

Көпірмен қоспас бұрын арзанырақ айналып өту жолын тексеріңіз

Көпірленген байланысқа сұраныстардың көбі бір бұзылған атау шешуден келеді, кадрлар шынымен керек хаттамадан емес. Алдымен шешуші мен іздеу доменін маршрутталған туннель арқылы өткізіңіз: dhcp-option DNS 10.8.0.1 бірге dhcp-option DOMAIN internal.example OpenVPN серверінің конфигурациясында олардың таңғаларлық көбін шешеді. Алыс жақтағы жергілікті жіберуші ешқандай хабар тарату трафигін жылжытпай-ақ сол жұмысты істейді.

Егер бір ескі құрал әлі де істемесе, оны мақсатты сегментте прокси немесе секіру хостының артына қойыңыз. Бір TCP жіберушісін басқару көпірленген WAN-нан арзанырақ.

Шешімді ретімен жабыңыз: трафик IP емес EtherType алып жүре ме, анықтау өтуі керек пе, MTU қосымша тақырыпшаларды сіңіре ала ма, провайдер тізбегі шынымен қолжетімді ме, және маршрутталған айналып өту жолы атай алатын себептен сәтсіз болды ма? Кез келген қадамдағы «жоқ» өзіңізде бұрыннан бар туннельдің пайдасына дауды аяқтайды. Жазуды және EtherType тізімін өзгеріс жазбасымен бірге мұрағаттаңыз, өйткені келесі адам дәл осы сұрақты қояды және өлшеуді қайталағысы келмейді.