L2 VPN ба L3 туннель: сайтыг гүүрээр холбохын өмнөх таван шалгалт

Та сайтыг гүүрээр холбож байгаа шалтгаан нь ямар нэг хэрэгсэл түүнийг ижил сүлжээнд байх ёстой гэж шаарддаг, гурав хоногийн дараа шөнийн хоёр цагт коммутаторын бүртгэл уншиж сууна. Ийм таамаг Ethernet-over-IP холболтын хэт олныг шийддэг. Энд үнэхээр чухал нэг л ялгаа байна: бүтэн кадрууд төгсгөлөөс төгсгөл хүртэл явдаг уу, эсвэл зөвхөн IP пакетууд явдаг уу. Доорх таван шалгалтыг дараалан хийж, эхний бүтэлгүйтсэн үед зогсоорой.

Программ үнэхээр утсанд юу тавьж байгааг шалгаарай

Ямар ч бүтээгдэхүүний нэр хэлэлцүүлэгт орохоос өмнө холбоосыг давах ёстой траффикийн нэг минутыг бичээрэй: tcpdump -i eth0 -nn -e 'not ip'. Энэ сонголт -e холбоосын түвшний толгойг хэвлэдэг бөгөөд энэ нь маршрутлагдсан туннелийн хаядаг хэсэг нь яг юм. Хэрэв бичлэг хоосон үлдвэл таны программ IP-ээр ярьж, L3 туннель үүнийг өөрчлөлтгүй дамжуулна. Хэрэв кадрууд гарч ирвэл EtherType-г тэмдэглээрэй, учир нь 0x0806 нь ARP, 0x88cc нь LLDP, харин үйлдвэрлэгчийн утга нь ихэвчлэн IP нөөцгүй илрүүлэх протоколыг илэрхийлдэг. Яг энэ үед энгийн tun интерфэйс хангалтгүй болдог.

Алслагч талд ч бичлэгийг давтаарай. Нэг хостны виртуал коммутатор дотор л байдаг кадр нь нэвтрүүлэх домайныг WAN даяар сунгах шалтгаан болохгүй.

Илрүүлэлт холбоосыг давах ёстой юу гэдгийг шалгаарай

Маршрутлагдсан туннель нийтлэг сегментгүй тул бүлэгт хаяглагдсан юу ч нөгөө захад хүрдэггүй. ARP, DHCP нэвтрүүлэг, 224.0.0.251 хаяг дахь mDNS, SSDP болон NetBIOS нэрийн асуулга бүгд хэд хэдэн хост нэгэн зэрэг сонсдог холбоосыг таамагладаг.

Программ эдгээрийн алинаас нь үнэхээр хамааралтай, түүнд аль хэдийн прокси байгаа эсэхийг асуугаарай. DHCP реле, mDNS тусгал, статик ARP бичлэг тус бүр нэг хамаарлыг арилгадаг бөгөөд тус бүр нь ажиллуулж хянах ёстой өөр нэг үйлчилгээ юм. Хоёр юмуу гурав үлдвэл гүүрээр холбох нь шударга хариулт юм.

Нэмэлт толгой танд хэр их зардал болохыг шалгаарай

Кадруудад амьдрах газар хэрэгтэй тул таны илгээсэн бүхэн эргэн тойрондоо хоёр дахь толгойн стектэй болно. VXLAN давхаргад энэ нь гадаад IP толгой, UDP толгой болон 8 байтын VXLAN толгой гэсэн үг бөгөөд энэ нь бүрэн хэмжээний 1,500 байтын ачааг энгийн 1,500 байтын интернэт холбоосын замын MTU-аас хэтэрүүлдэг. OpenVPN tap горимд өөрийн нэмэлт зардлыг мөн адил чиглэлд нэмдэг. Дотоод талд бага MTU байхгүй бол ping-д хариулдаг ч эхний том дамжуулалтад гацдаг холбоос гарна.

Тооцоо толгойн байтаар зогсдоггүй. Коммутаторын техник хангамжид боловсруулдаг нэвтрүүлэг болон мультикаст одоо WAN-аар явж, гүүрээр холбогдсон сайт бүр ижил хаягийн төлөвлөгөө, DHCP хүрээ, давхар хаягийн зан төлөвийг өвлөдөг. Энэ нь холбоосыг сайт бүрт нэг префикстэй маршрутлагдсан усан сангаас хамаагүй хүндрүүлж шалгадаг.

Сонгохоос өмнө тооцоолоорой. Гурван сайт руу хуулбарлагдсан завгүй сегмент нь түүнийг барихад зориулсан файл дамжуулалтаас илүү нэвтрүүлэг траффик зөөж болно.

Танд ямар төрлийн L2 VPN санал болгож байгааг шалгаарай

Нэр томьёо өөрөө хоёрдмол утгатай бөгөөд энэ хоёрдмол байдал нь таны траффикийг хэн зөөхийг шийддэг. Заримдаа энэ нь ачааг тодорхойлдог: IP доторх Ethernet кадрууд, бусад туннелийн адил интернэтээр илгээгддэг, VXLAN, ZeroTier болон OpenVPN-ий tap горим хийдэг шиг. Заримдаа энэ нь худалдан авсан үйлчилгээг тодорхойлдог: нэг үйлчилгээ үзүүлэгчийн сүлжээ дотор хоёр сайтыг холбодог операторын Ethernet хэлхээ эсвэл MPLS хуурамч утас.

Хоёулаа танд сегмент өгдөг тул программ тэдгээрийг ялгаж чадахгүй, гэхдээ ашиглалтын ялгаа том. Давхарга нь MTU, шифрлэлт болон доод замын хариуцлагыг танд үлдээдэг. Операторын үйлчилгээ тэдгээрийг өөртөө авч, төлбөр авдаг бөгөөд таны кадрыг нийтийн интернэтээр огт маршрутлахгүй. Алинаас нь хүсэх нь хоёр сайт операторыг хуваалцаж байгаа эсэх, эсвэл зөвхөн компанийг хуваалцаж байгаа эсэхээс хамаарна.

Гүүрээр холбохын өмнө хямд арга замыг шалгаарай

Гүүрээр холбосон холбоосын хүсэлтийн ихэнх нь нэг эвдэрсэн нэр хайлтаас гардаг, кадр үнэхээр хэрэгтэй протоколоос биш. Эхлээд шийдэгч болон хайлтын домайныг маршрутлагдсан туннелээр дамжуулаарай: dhcp-option DNS 10.8.0.1 хамт dhcp-option DOMAIN internal.example OpenVPN серверийн тохиргоонд тэдгээрийн гайхалтай олныг шийддэг. Алслагч талын орон нутгийн дамжуулагч ямар ч нэвтрүүлэг траффик зөөхгүйгээр мөн адил ажлыг хийдэг.

Хэрэв нэг хуучин хэрэгсэл одоо ч бүтэлгүйтвэл түүнийг очих сегмент дэх прокси эсвэл үсрэх хостны ард тавь. Нэг TCP дамжуулагчийг ажиллуулах нь гүүрээр холбосон WAN-аас хямд.

Шийдвэрийг дараалан хаагаарай: траффик IP бус EtherType зөөж байна уу, илрүүлэлт давах ёстой юу, MTU нэмэлт толгойг шингээж чадах уу, үйлчилгээ үзүүлэгчийн хэлхээ үнэхээр боломжтой юу, маршрутлагдсан арга зам таны нэрлэж чадах шалтгаанаар бүтэлгүйтсэн үү? Аль ч алхамд «үгүй» гэвэл таны аль хэдийн байгаа туннелийн талд маргаан дуусна. Бичлэг болон EtherType жагсаалтыг өөрчлөлтийн бүртгэлтэй хамт архивлаарай, учир нь дараагийн хүн мөн адил асуулт тавьж, хэмжилтийг давтахыг хүсэхгүй.