L2 VPN наспроти L3 тунел: пет проверки пред да поврзете локација

Ја поврзувате локацијата зашто некоја алатка инсистира дека мора да биде на истата мрежа, а три недели подоцна во два часот по полноќ читате дневници на комутатор. Таквата интуиција одлучува за премногу Ethernet-over-IP врски. Овде навистина е важна само една разлика: дали цели рамки патуваат од крај до крај, или само IP пакети. Изведете ги петте проверки подолу по ред и застанете на првата што ќе падне.

Проверете што апликацијата навистина става на жицата

Пред во дискусијата да влезе било какво име на производ, снимајте една минута од сообраќајот што мора да ја премине врската: tcpdump -i eth0 -nn -e 'not ip'. Оваа опција -e го печати заглавието на слојот за поврзување, а тоа е токму делот што рутиран тунел го отфрла. Ако снимката остане празна, апликацијата зборува IP и L3 тунел го пренесува неизменето. Ако рамки сепак се појават, запишете го EtherType, зашто 0x0806 е ARP, 0x88cc е LLDP, а вредноста од производител обично значи протокол за откривање без IP резерва. Токму во тој момент обичниот tun интерфејс веќе не е доволен.

Повторете ја снимката и на далечната страна. Рамка што постои само во виртуелниот комутатор на еден домаќин не е причина да се растегне домен на емитување преку WAN.

Проверете дали откривањето мора да ја премине врската

Рутираниот тунел нема заеднички сегмент, па ништо адресирано до група не стигнува до другиот крај. ARP, емитувањата на DHCP, mDNS на 224.0.0.251, SSDP и барањата за имиња на NetBIOS сите претпоставуваат врска што неколку домаќини ја слушаат истовремено.

Прашајте од кои од нив апликацијата навистина зависи и дали веќе постои прокси за нив. DHCP релето, одразување на mDNS и статичните ARP записи секој отстранува по една зависност, и секој е уште една услуга што треба да се извршува и надгледува. Кога остануваат два или три, поврзувањето е чесниот одговор.

Проверете колку ве чини дополнителното заглавие

Рамките мораат некаде да живеат, па сето што ќе пратите добива втор стек од заглавија околу себе. Во VXLAN покривка тоа значи надворешно IP заглавие, UDP заглавие и 8-бајтно VXLAN заглавие, што полн товар од 1,500 бајти го турка надвор од MTU на патеката на обична интернет врска од 1,500 бајти. OpenVPN во tap режим го додава својот сопствен товар во истата насока. Без понизок MTU од внатрешната страна добивате врска што одговара на ping и запира на првиот голем пренос.

Сметката не запира на бајтите од заглавието. Емитувањето и мултикастот што комутаторот ги обработува во хардвер сега одат преку WAN, и секоја поврзана локација наследува ист план на адреси, DHCP опсег и однесување со дупликат адреси. Тоа ја прави врската значително потешка за ревизија отколку рутиран базен со еден префикс по локација.

Пресметајте пред да изберете. Зафатен сегмент реплициран на три локации може да пренесе повеќе сообраќај на емитување отколку преносите на датотеки за кои е изграден.

Проверете каков вид L2 VPN ви се нуди

Самиот термин е двосмислен, и таа двосмисленост одлучува кој го пренесува вашиот сообраќај. Понекогаш го опишува товарот: Ethernet рамки во IP, испратени преку интернет како секој друг тунел, како што прават VXLAN, ZeroTier и режимот tap на OpenVPN. Понекогаш опишува купена услуга: Ethernet коло од оператор или MPLS псевдожица што поврзува две локации во една мрежа на провајдер.

Двете ви даваат сегмент, па апликацијата не може да ги различи, но оперативната разлика е голема. Покривката ви ја остава одговорноста за MTU, шифрирањето и долната патека. Услугата од оператор ги презема тие и ги наплатува, и воопшто нема да ги рутира вашите рамки преку јавниот интернет. Кое го сакате зависи од тоа дали двете локации делат оператор или само компанија.

Проверете го поевтиниот обиколен пат пред да поврзете

Повеќето барања за поврзана врска доаѓаат од едно расипано пребарување на име, а не од протокол што навистина бара рамки. Прво пропуштете го резолверот и доменот за пребарување низ рутираниот тунел: dhcp-option DNS 10.8.0.1 заедно со dhcp-option DOMAIN internal.example во конфигурација на OpenVPN сервер решава изненадувачки многу од нив. Локален препраќач на далечната страна ја врши истата работа без да преместува никаков сообраќај на емитување.

Ако една стара алатка сето уште не успева, ставете ја таа алатка зад прокси или скокачки домаќин на целниот сегмент. Еден TCP препраќач е поевтин за работа од поврзан WAN.

Затворете ја одлуката по ред: дали сообраќајот носи EtherType што не е IP, дали откривањето мора да помине, може ли MTU да ги проголта дополнителните заглавија, дали колото од оператор е навистина достапно, и дали рутираниот обиколен пат паднал од причина што можете да ја именувате? Едно не на кој и да е чекор ја завршува расправата во корист на тунелот што веќе го имате. Архивирајте ја снимката и списокот со EtherType заедно со записот за промена, зашто следниот човек ќе го постави истото прашање и нема да сака да го повтори мерењето.