L2 VPN же L3 туннели: сайтты көпүрө менен туташтырганга чейин беш текшерүү

Сайтты көпүрө менен туташтырасыз, анткени кандайдыр бир курал анын ошол эле тармакта болушун талап кылат, ал эми үч жумадан кийин түнкү саат экиде коммутатор журналдарын окуп отурасыз. Мындай божомол Ethernet-over-IP байланыштарынын өтө көбүн чечет. Бул жерде чын эле маанилүү болгон бир гана айырма бар: толук кадрлар четинен четине барабы, же болбосо IP пакеттери гана барабы. Төмөнкү беш текшерүүнү ирети менен аткарыңыз жана биринчи ийгиликсиз болгон жерде токтоңуз.

Колдонмо чындыгында зымга эмне саларын текшериңиз

Кандайдыр бир продукт аталышы талкууга кирээрден мурун, байланыштан өтүүгө тийиш болгон трафиктин бир мүнөтүн жазып алыңыз: tcpdump -i eth0 -nn -e 'not ip'. Бул параметр -e каналдык деңгээлдин аталышын басып чыгарат, ал эми бул — маршрутталган туннель таштаган так ошол бөлүк. Эгер жазуу бош калса, колдонмоңуз IP менен сүйлөйт жана L3 туннели аны өзгөртүүсүз ташыйт. Эгер кадрлар баары бир пайда болсо, EtherType жазып коюңуз, анткени 0x0806 — ARP, 0x88cc — LLDP, ал эми өндүрүүчүнүн мааниси адатта IP альтернативасы жок аныктоо протоколун билдирет. Так ушул учурда кадимки tun интерфейси жетишсиз болуп калат.

Жазууну алыскы тарапта да кайталаңыз. Бир хосттун виртуалдык коммутаторунун ичинде гана болгон кадр — трансляция доменин WAN аркылуу созууга себеп эмес.

Аныктоо байланыштан өтүүгө тийишпи, ошону текшериңиз

Маршрутталган туннелдин жалпы сегменти жок, ошондуктан топко даректтелген эч нерсе экинчи четине жетпейт. ARP, DHCP трансляциялары, 224.0.0.251 дарегиндеги mDNS, SSDP жана NetBIOS аталыш сурамдары — баары бир нече хост бир убакта уга алган байланышты болжолдойт.

Колдонмо чын эле кайсынысына көз каранды экенин жана ал үчүн прокси барбы-жокпу сураңыз. DHCP релеси, mDNS чагылышы жана статикалык ARP жазууларынын ар бири бир көз карандылыкты алып салат, жана ар бири иштетип, көзөмөлдөөгө тийиш болгон дагы бир кызмат. Эки же үчөө калса, көпүрө менен туташтыруу — чынчыл жооп.

Кошумча аталыш сизге канча турарын текшериңиз

Кадрларга жашоочу жай керек, ошондуктан жибергендин баары айланасында экинчи аталыштар стегин алат. VXLAN катмарында бул сырткы IP аталышы, UDP аталышы жана 8 байттык VXLAN аталышы дегенди билдирет, бул толук өлчөмдүү 1,500 байттык жүктү кадимки 1,500 байттык интернет байланышынын жол MTU-сунан ашырат. OpenVPN tap режиминде өзүнүн үстөмдүк чыгымын ошол эле багытта кошот. Ички тарапта төмөнүрөөк MTU болбосо, ping ге жооп берген жана биринчи чоң өткөрмөдө тыгылган байланыш аласыз.

Эсеп аталыш байттарында токтобойт. Коммутатор аппараттык жактан иштеп чыккан трансляция жана мультикаст эми WAN аркылуу жүрөт, жана ар бир көпүрөлөнгөн сайт бирдей дарек планын, DHCP диапазонун жана кайталанган даректердин жүрүм-турумун мураска алат. Бул байланышты ар бир сайтка бир префикстен турган маршрутталган пулга караганда алда канча текшерүүгө оор кылат.

Тандоодон мурун эсептеңиз. Үч сайтка көчүрүлгөн бош эмес сегмент ал курулган файл өткөрмөлөрүнөн көбүрөөк трансляция трафигин жылдырышы мүмкүн.

Сизге L2 VPNдин кайсы түрү сунушталып жатканын текшериңиз

Терминдин өзү эки маанилүү, жана ошол эки маанилүүлүк трафигиңизди ким ташыйарын чечет. Кээде ал жүктү сүрөттөйт: IP ичиндеги Ethernet кадрлары, кандайдыр бир башка туннель сыяктуу интернет аркылуу жиберилет, VXLAN, ZeroTier жана OpenVPNдин tap режими кылгандай. Кээде ал сатып алынган кызматты сүрөттөйт: бир провайдердин тармагынын ичинде эки сайтты бириктирген оператордук Ethernet чынжыры же MPLS жасалма зымы.

Экөө тең сизге сегмент берет, ошондуктан колдонмо аларды ажырата албайт, бирок операциялык айырма чоң. Катмар MTU, шифрлөө жана астынкы жол үчүн жоопкерчиликти сизге калтырат. Оператордук кызмат ошолордун баарын өзүнө алат жана ага акы алат, жана кадрларыңызды ачык интернет аркылуу такыр маршруттабайт. Кайсынысын каалаарыңыз эки сайт операторду бөлүшөбү же болбосо компанияны гана бөлүшөбү — ошого байланыштуу.

Көпүрө менен туташтырганга чейин арзаныраак айланып өтүү жолун текшериңиз

Көпүрөлөнгөн байланышка сурамдардын көбү бир бузулган атты чечүүдөн келет, кадрлар чын эле керек болгон протоколдон эмес. Адегенде чечүүчү менен издөө доменин маршрутталган туннель аркылуу өткөрүңүз: dhcp-option DNS 10.8.0.1 менен бирге dhcp-option DOMAIN internal.example OpenVPN серверинин конфигурациясында алардын таң каларлык көбүн чечет. Алыскы тараптагы жергиликтүү жиберүүчү трансляция трафигин такыр жылдырбастан ошол эле ишти аткарат.

Эгер бир эски курал дагы эле иштебесе, аны максаттуу сегментте проксинин же секирүү хосттун артына коюңуз. Бир TCP жиберүүчүсүн башкаруу көпүрөлөнгөн WANдан арзаныраак.

Чечимди ирети менен жабыңыз: трафик IP эмес EtherType алып жүрөбү, аныктоо өтүүгө тийишпи, MTU кошумча аталыштарды сиңире алабы, провайдердин чынжыры чын эле жеткиликтүүбү, жана маршрутталган айланып өтүү жолу сиз атай алган себептен ийгиликсиз болдубу? Каалаган кадамдагы «жок» сизде мурунтан бар туннелдин пайдасына талашты бүтүрөт. Жазууну жана EtherType тизмесин өзгөрүү жазуусу менен бирге архивдеңиз, анткени кийинки адам ушул эле суроону берет жана өлчөөнү кайталагысы келбейт.