L2 VPN géint L3-Tunnel: fënnef Kontrollen, ier Dir eng Plaz bréckt

Dir bréckt eng Plaz well e Geschier drop insistéiert, datt se am selwechten Netz muss sinn, an dräi Woche méi spéit liest Dir Ëm zwee Auer nuets Switch-Logs. Dës Zort Gefill entscheet ëm vill ze vill Ethernet-über-IP-Verbindungen. Hei ass just een Ënnerscheed wierklech wichteg: ob ganz Frames vum Enn bis zum Enn reesen oder nëmmen IP-Paketen. Fëllt déi fënnef Kontrollen hei drënner an der Rei aus, an hält bei der éischter un, déi feelt.

Kontrolléiert, wat d'Applikatioun tatsächlech op den Drot setzt

Ier en Produktnumm an d'Diskussioun kënnt, fänkt eng Minutt vum Trafik op, deen d'Verbindung missen iwwerqueeën: tcpdump -i eth0 -nn -e 'not ip'. D'Optioun -e dréckt de Kapp vun der Verbindungsschicht, an dat ass genee deen Deel, deen en geroutete Tunnel verwerft. Wann d'Aufnamung eidel bleift, schwätzt d'Applikatioun IP an en L3-Tunnel dréit se onverännert. Wann awer Frames optauchen, notéiert den EtherType, well 0x0806 ass ARP, 0x88cc ass LLDP, an e Wäert vun engem Hiersteller bedeit meeschtens en Entdeckungsprotokoll ouni IP-Ersatz. Dat ass de Punkt, wou en normale tun Interface net méi duergeet.

Widderhuelft d'Aufnamung och op der ferner Säit. E Frame, deen nëmmen am virtuelle Switch vun engem Host existéiert, ass kee Grond, en Broadcast-Domän iwwer e WAN ze spannen.

Kontrolléiert, ob d'Entdeckung d'Verbindung muss iwwerqueeën

En geroutete Tunnel huet kee gemeinsame Segment, dofir erreecht näischt, wat un eng Grupp adresséiert ass, déi aner Säit. ARP, DHCP-Broadcasts, mDNS op 224.0.0.251, SSDP an NetBIOS-Nummefroen setzen all eng Verbindung viraus, déi verschidden Hosts gläichzäiteg héieren.

Frot, vun wéien dovun d'Applikatioun wierklech ofhänkt, an ob et schonn e Proxy dofir gëtt. DHCP-Relay, mDNS-Spigelung a statesch ARP-Andräg huelen all eng Ofhängegkeet ewech, an all een ass nach en Déngscht, dee muss bedriwwe a iwwerwaacht ginn. Wa se zwou oder dräi bleiwen, ass d'Brécken déi éierlech Äntwert.

Kontrolléiert, wat den extra Kapp Iech kascht

Frames mussen irgendwou wunnen, dofir kritt alles, wat Dir schéckt, en zweeten Kapp-Stack ronderëm. An engem VXLAN-Overlay heescht dat en äusseren IP-Kapp, en UDP-Kapp an en 8-Byte VXLAN-Kapp, wat eng voll 1,500-Byte-Lescht iwwer d'Pfad-MTU vun enger normaler 1,500-Byte-Internetverbindung dréckt. OpenVPN am tap Modus setzt säin eegenen Iwwerkapp an déiselwecht Richtung derbäi. Ouni eng méi niddereg MTU op der bannenzeger Säit kritt Dir eng Verbindung, déi Ping äntwert an beim éischten groussen Transfer stoe bleift.

D'Rechnung hält net bei Kapp-Byte op. Broadcast a Multicast, déi e Switch an Hardware mécht, fueren elo iwwer de WAN, an all gebréckt Plaz ierft déiselwecht Adressplang, dee selwechten DHCP-Beräich an dat selwecht Verhalen bei duebelen Adressen. Dat mécht d'Verbindung vill méi schwéier z'auditéieren wéi e geroutete Pool mat engem Prefix pro Plaz.

Maacht d'Rechnung, ier Dir wielt. En beschäftegte Segment, dat op dräi Plaze replizéiert gëtt, kann méi Broadcast-Trafik beweegen wéi d'Dateitransferen, fir déi et gebaut gouf.

Kontrolléiert, wéi eng Zort L2 VPN Iech ugebuede gëtt

Den Term selwer ass zweedeiteg, an d'Zweedeitegkeet entscheet, wien Ären Trafik dréit. Heiansdo beschreift en d'Lescht: Ethernet-Frames an IP, iwwer den Internet geschéckt wéi all aneren Tunnel, sou wéi VXLAN, ZeroTier an OpenVPN tap Modus et maachen. Heiansdo beschreift en en kaaften Déngscht: eng Carrier-Ethernet-Leitung oder eng MPLS-Pseudodrot, déi zwou Plaze bannen engem Netzwierk vun engem Ubidder verbënnt.

Déi zwou ginn Iech e Segment, dofir kann d'Applikatioun se net ënnerscheeden, awer den operationellen Ënnerscheed ass grouss. En Overlay léisst Iech d'Verantwortung fir MTU, Verschlësselung an de Wee, deen drënner läit. En Ubidderdéngscht hëlt déi iwwer a berechent se, an en wäert Är Frames iwwerhaapt net iwwer den ëffentlechen Internet routen. Wéien Dir wëllt hänkt dovun of, ob déi zwou Plazen en Operateur deelen oder just eng Firma.

Kontrolléiert déi méi bëlleg Léisung, ier Dir bréckt

Déi meescht Ufroe fir eng gebréckt Verbindung kommen vun enger eenzeger futtisser Nummopfellung, net vun engem Protokoll, deen wierklech Frames braucht. Schéckt fir d'éischt de Resolver an d'Sichdomän duerch den gerouteten Tunnel: dhcp-option DNS 10.8.0.1 zesumme mat dhcp-option DOMAIN internal.example an enger OpenVPN-Serverkonfiguratioun léist iwwerraschend vill dovun. En lokalen Iwwerleeër op der ferner Säit mécht déiselwecht Aarbecht, ouni Broadcast-Trafik ze beweegen.

Wann een ale Geschier nach ëmmer feelt, setzt et hannert e Proxy oder en Iwwerspranghost am Zilsegment. En eenzegen TCP-Iwwerleeër ass méi bëlleg ze bedreiwen wéi en gebréckte WAN.

Maacht d'Entscheedung an der Rei zou: dréit den Trafik en Net-IP EtherType, muss d'Entdeckung iwwerquéieren, kann d'MTU déi extra Käpp ophuelen, ass eng Ubidderleitung tatsächlech verfügbar, an huet déi geroutete Léisung aus engem Grond gefeelt, deen Dir nenne kënnt? En Nee op engem Schrëtt mécht d'Diskussioun zugonschte vum Tunnel fäerdeg, deen Dir schonn hutt. Archivéiert d'Aufnamung an d'EtherType-Lëscht mam Ännerungsrecord, well déi nächst Persoun déiselwecht Fro stellt an d'Mooss net wëll widderhuelen.