L2 VPN pret L3 tuneli: piecas pārbaudes pirms vietnes savienošanas

Jūs savienojat vietni, jo kāds rīks uzstāj, ka tai jāatrodas tajā pašā tīklā, un pēc trim nedēļām divos naktī jūs lasāt komutatora žurnālus. Šāda nojauta izšķir pārāk daudz Ethernet-over-IP savienojumu. Šeit tiešām svarīga ir tikai viena atšķirība: vai ceļo veseli kadri no gala līdz galam, vai tikai IP paketes. Izpildiet piecas pārbaudes zemāk pēc kārtas un apstājieties pie pirmās, kas neizdodas.

Pārbaudiet, ko lietojumprogramma patiešām liek uz vada

Pirms jebkurš produkta nosaukums nonāk diskusijā, ierakstiet minūti tā satiksmes, kam jāšķērso savienojums: tcpdump -i eth0 -nn -e 'not ip'. Šis parametrs -e izdrukā saites slāņa galveni, un tieši šo daļu maršrutēts tunelis izmet. Ja ieraksts paliek tukšs, jūsu lietojumprogramma runā IP un L3 tunelis to pārraida nemainītu. Ja kadri tomēr parādās, pierakstiet EtherType, jo 0x0806 ir ARP, 0x88cc ir LLDP, un ražotāja vērtība parasti nozīmē atklāšanas protokolu bez IP rezerves. Tieši šajā brīdī parastas tun saskarnes vairs nepietiek.

Atkārtojiet ierakstu arī tālajā pusē. Kadrs, kas pastāv tikai viena resursdatora virtuālajā komutatorā, nav iemesls stiept apraides domēnu pāri WAN.

Pārbaudiet, vai atklāšanai jāšķērso savienojums

Maršrutētam tunelim nav kopīga segmenta, tāpēc nekas, kas adresēts grupai, neaizsniedz otru galu. ARP, DHCP apraides, mDNS adresē 224.0.0.251, SSDP un NetBIOS nosaukumu vaicājumi visi pieņem savienojumu, ko vairāki resursdatori dzird vienlaikus.

Pajautājiet, no kuriem no tiem lietojumprogramma patiešām ir atkarīga, un vai tam jau ir starpniekserveris. DHCP relejs, mDNS atspulgs un statiski ARP ieraksti katrs noņem vienu atkarību, un katrs ir vēl viens pakalpojums, kas jāpalaiž un jāuzrauga. Kad paliek divi vai trīs, savienošana ir godīgā atbilde.

Pārbaudiet, cik jums izmaksā papildu galvene

Kadriem vajag vietu, kur dzīvot, tāpēc viss, ko sūtāt, iegūst otru galveņu kaudzi ap sevi. VXLAN pārklājumā tas nozīmē ārēju IP galveni, UDP galveni un 8 baitu VXLAN galveni, kas pilna izmēra 1,500 baitu kravu iebīda aiz parastas 1,500 baitu interneta saites ceļa MTU. OpenVPN tap režīmā pievieno savu uzcenojumu tajā pašā virzienā. Bez zemāka MTU iekšējā pusē jūs iegūstat savienojumu, kas atbild uz ping un apstājas pirmajā lielajā pārsūtīšanā.

Rēķins neapstājas pie galvenes baitiem. Apraide un multiraide, ko komutators apstrādā aparatūrā, tagad brauc pa WAN, un katra savienotā vietne manto to pašu adrešu plānu, DHCP apgabalu un uzvedību ar dublētām adresēm. Tas padara savienojumu daudz grūtāk auditējamu nekā maršrutētu pūlu ar vienu prefiksu katrai vietnei.

Aprēķiniet pirms izvēles. Noslogots segments, kas replicēts uz trim vietnēm, var pārvietot vairāk apraides satiksmes nekā tie failu pārraidīšanas gadījumi, kuriem tas tika būvēts.

Pārbaudiet, kāda veida L2 VPN jums tiek piedāvāts

Pats termins ir divdomīgs, un šī divdomība izšķir, kas pārvadā jūsu satiksmi. Dažkārt tas apraksta kravu: Ethernet kadri IP iekšienē, sūtīti pa internetu kā jebkurš cits tunelis, kā to dara VXLAN, ZeroTier un OpenVPN tap režīms. Dažkārt tas apraksta iegādātu pakalpojumu: operatora Ethernet līniju vai MPLS pseidovadu, kas savieno divas vietnes viena pakalpojumu sniedzēja tīklā.

Abi dod jums segmentu, tāpēc lietojumprogramma tos nevar atšķirt, bet operatīvā atšķirība ir liela. Pārklājums atstāj jums atbildību par MTU, šifrēšanu un apakšējo ceļu. Operatora pakalpojums to pārņem un par to iekasē maksu, un tas nemaz nemaršrutēs jūsu kadrus pa publisko internetu. Kuru vēlaties, ir atkarīgs no tā, vai divas vietnes dala operatoru vai tikai uzņēmumu.

Pārbaudiet lētāko apiešanas ceļu pirms savienošanas

Lielākā daļa pieprasījumu pēc savienota kanāla nāk no vienas salauztas nosaukumu atrisināšanas, nevis no protokola, kam tiešām vajag kadrus. Vispirms izlaidiet atrisinātāju un meklēšanas domēnu caur maršrutēto tuneli: dhcp-option DNS 10.8.0.1 kopā ar dhcp-option DOMAIN internal.example OpenVPN servera konfigurācijā atrisina pārsteidzoši daudz no tiem. Vietējais pārsūtītājs tālajā pusē dara to pašu darbu, nepārvietojot nekādu apraides satiksmi.

Ja viens vecs rīks joprojām neizdodas, novietojiet to aiz starpniekservera vai lēciena resursdatora galamērķa segmentā. Viens TCP pārsūtītājs ir lētāk ekspluatējams nekā savienots WAN.

Noslēdziet lēmumu pēc kārtas: vai satiksme nes ne-IP EtherType, vai atklāšanai jāšķērso, vai MTU spēj uzņemt papildu galvenes, vai operatora līnija tiešām ir pieejama, un vai maršrutētā apiešana neizdevās iemesla dēļ, ko varat nosaukt? Nē jebkurā solī izbeidz strīdu par labu tunelim, kas jums jau ir. Arhivējiet ierakstu un EtherType sarakstu kopā ar izmaiņu žurnālu, jo nākamais cilvēks uzdos to pašu jautājumu un negribēs atkārtot mērījumu.