L2 VPN prieš L3 tunelį: penki patikrinimai prieš sujungiant svetainę

Svetainę sujungiate todėl, kad kokia nors priemonė reikalauja, jog ji būtų tame pačiame tinkle, o po trijų savaičių antrą valandą nakties skaitote komutatoriaus žurnalus. Tokia nuojauta nulemia per daug Ethernet-over-IP jungčių. Čia tikrai svarbus tik vienas skirtumas: ar keliauja ištisi kadrai nuo galo iki galo, ar tik IP paketai. Atlikite penkis patikrinimus žemiau iš eilės ir sustokite ties pirmuoju, kuris nepavyksta.

Patikrinkite, ką programa iš tikrųjų padeda ant laido

Prieš bet kokiam produkto pavadinimui atsirandant diskusijoje, užfiksuokite minutę srauto, kuris turi kirsti jungtį: tcpdump -i eth0 -nn -e 'not ip'. Šis parametras -e išspausdina jungties lygmens antraštę, ir būtent šią dalį maršrutizuotas tunelis išmeta. Jei įrašas lieka tuščias, programa kalba IP ir L3 tunelis perduoda tai nepakeistą. Jei kadrai vis dėlto pasirodo, užsirašykite EtherType, nes 0x0806 yra ARP, 0x88cc yra LLDP, o gamintojo reikšmė paprastai reiškia atradimo protokolą be IP atsarginio varianto. Būtent šiuo metu įprastos tun sąsajos nebeužtenka.

Pakartokite įrašą ir tolimoje pusėje. Kadras, egzistuojantis tik vieno hosto virtualiame komutatoriuje, nėra priežastis tiesti transliacijos domeną per WAN.

Patikrinkite, ar atradimas turi kirsti jungtį

Maršrutizuotas tunelis neturi bendro segmento, todėl niekas, adresuotas grupei, nepasiekia kito galo. ARP, DHCP transliacijos, mDNS adresu 224.0.0.251, SSDP ir NetBIOS vardų užklausos visi numato jungtį, kurią keli hostai girdi vienu metu.

Paklauskite, nuo kurių jų programa iš tikrųjų priklauso, ir ar tam jau yra tarpinis serveris. DHCP relejas, mDNS atspindys ir statiniai ARP įrašai kiekvienas pašalina po vieną priklausomybę, ir kiekvienas yra dar viena paslauga, kurią reikia paleisti ir stebėti. Kai lieka du ar trys, sujungimas yra sąžiningas atsakymas.

Patikrinkite, kiek jums kainuoja papildoma antraštė

Kadrams reikia vietos gyventi, todėl viskas, ką siunčiate, gauna antrą antraščių krūvą aplink save. VXLAN perdangoje tai reiškia išorinę IP antraštę, UDP antraštę ir 8 baitų VXLAN antraštę, o tai stumia viso dydžio 1,500 baitų naudingąją apkrovą už įprastos 1,500 baitų interneto jungties maršruto MTU ribų. OpenVPN tap režimu prideda savo antkainį ta pačia kryptimi. Be mažesnio MTU vidinėje pusėje gausite jungtį, kuri atsako į ping ir sustoja per pirmąjį didelį perdavimą.

Sąskaita nesustoja ties antraštės baitais. Transliacija ir multtransliacija, kurias komutatorius apdoroja aparatūriškai, dabar keliauja WAN tinklu, ir kiekviena sujungta svetainė paveldi tą patį adresų planą, DHCP sritį ir pasikartojančių adresų elgseną. Tai daro jungtį kur kas sunkiau audituojamą nei maršrutizuotas telkinys su vienu priešdėliu kiekvienai svetainei.

Paskaičiuokite prieš rinkdamiesi. Užimtas segmentas, replikuojamas į tris svetaines, gali perkelti daugiau transliacijos srauto nei tie failų perdavimai, kuriems jis buvo pastatytas.

Patikrinkite, kokio tipo L2 VPN jums siūloma

Pats terminas dviprasmiškas, ir šis dviprasmiškumas lemia, kas neš jūsų srautą. Kartais jis apibūdina naudingąją apkrovą: Ethernet kadrai IP viduje, siunčiami per internetą kaip bet kuris kitas tunelis, kaip tai daro VXLAN, ZeroTier ir OpenVPN tap režimas. Kartais jis apibūdina pirktą paslaugą: operatoriaus Ethernet grandinę arba MPLS pseudolaidą, sujungiančią dvi svetaines vieno tiekėjo tinkle.

Abu duoda jums segmentą, todėl programa negali jų atskirti, bet operacinis skirtumas didelis. Perdanga palieka jums atsakomybę už MTU, šifravimą ir apatinį kelią. Operatoriaus paslauga tai perima ir už tai ima mokestį, ir ji visiškai nemaršrutizuos jūsų kadrų per viešąjį internetą. Kurio norite, priklauso nuo to, ar dvi svetainės dalijasi operatoriumi, ar tik įmone.

Patikrinkite pigesnį apėjimo kelią prieš sujungdami

Dauguma prašymų sujungti jungtį kyla iš vieno sugedusio vardų paieškos, o ne iš protokolo, kuriam tikrai reikia kadrų. Pirmiausia perleiskite sprendiklį ir paieškos domeną per maršrutizuotą tunelį: dhcp-option DNS 10.8.0.1 kartu su dhcp-option DOMAIN internal.example OpenVPN serverio konfigūracijoje išsprendžia stebėtinai daug jų. Vietinis peradresuotojas tolimoje pusėje atlieka tą patį darbą nejudindamas jokio transliacijos srauto.

Jei vienas senas įrankis vis dar nepavyksta, padėkite jį už tarpinio serverio arba šuolio hosto paskirties segmente. Vienas TCP peradresuotojas pigiau eksploatuojamas nei sujungtas WAN.

Uždarykite sprendimą iš eilės: ar srautas neša ne IP EtherType, ar atradimas turi kirsti, ar MTU gali sugerti papildomas antraštes, ar operatoriaus grandinė tikrai prieinama, ir ar maršrutizuotas apėjimas nepavyko dėl priežasties, kurią galite įvardyti? Ne bet kuriame žingsnyje baigia ginčą jau turimo tunelio naudai. Archyvuokite įrašą ir EtherType sąrašą kartu su pakeitimo žurnalu, nes kitas žmogus užduos tą patį klausimą ir nenorės kartoti matavimo.