VPN L2 lawan terowong L3: lima semakan sebelum menjambatani tapak

Anda menjambatani tapak kerana sesuatu alat berkeras bahawa ia mesti berada pada rangkaian yang sama, dan tiga minggu kemudian anda membaca log suis pada pukul dua pagi. Gerak hati seperti itu menentukan terlalu banyak pautan Ethernet-atas-IP. Di sini hanya satu perbezaan yang benar-benar penting: sama ada bingkai penuh bergerak dari hujung ke hujung, atau hanya paket IP. Jalankan lima semakan di bawah mengikut urutan, dan berhenti pada yang pertama gagal.

Semak apa yang sebenarnya diletakkan aplikasi pada wayar

Sebelum mana-mana nama produk masuk ke dalam perbincangan, tangkap satu minit trafik yang mesti melintasi pautan: tcpdump -i eth0 -nn -e 'not ip'. Pilihan -e mencetak pengepala lapisan pautan, dan itulah tepat bahagian yang dibuang terowong berpenghala. Jika tangkapan kekal kosong, aplikasi anda bercakap IP dan terowong L3 membawanya tanpa perubahan. Jika bingkai muncul, catat EtherType, kerana 0x0806 ialah ARP, 0x88cc ialah LLDP, dan nilai vendor biasanya bermaksud protokol penemuan tanpa sandaran IP. Di sinilah antara muka tun biasa tidak lagi mencukupi.

Ulang tangkapan di bahagian jauh juga. Bingkai yang hanya wujud di dalam suis maya satu hos bukan alasan untuk meregangkan domain siaran merentasi WAN.

Semak sama ada penemuan mesti melintasi pautan

Terowong berpenghala tidak mempunyai segmen dikongsi, jadi tiada apa yang dialamatkan kepada kumpulan sampai ke hujung sana. ARP, siaran DHCP, mDNS pada 224.0.0.251, SSDP dan pertanyaan nama NetBIOS semuanya menganggap pautan yang didengar beberapa hos serentak.

Tanya yang mana antaranya benar-benar diperlukan aplikasi, dan sama ada proksi sudah wujud untuknya. Geganti DHCP, pantulan mDNS dan entri ARP statik masing-masing membuang satu kebergantungan, dan masing-masing ialah satu lagi perkhidmatan untuk dijalankan dan dipantau. Apabila tinggal dua atau tiga, menjambatani ialah jawapan yang jujur.

Semak berapa kos pengepala tambahan kepada anda

Bingkai perlu tempat tinggal, jadi semua yang anda hantar mendapat tindanan pengepala kedua di sekelilingnya. Dalam tindihan VXLAN itu bermaksud pengepala IP luar, pengepala UDP dan pengepala VXLAN 8 bait, yang menolak muatan penuh 1,500 bait melepasi MTU laluan pautan internet biasa 1,500 bait. OpenVPN dalam mod tap menambah overhednya sendiri ke arah yang sama. Tanpa MTU lebih rendah di sebelah dalam, anda mendapat pautan yang menjawab ping dan tersekat pada pemindahan besar pertama.

Bil tidak berhenti pada bait pengepala. Siaran dan multicast yang dikendalikan suis dalam perkakasan kini menunggang WAN, dan setiap tapak yang dijambatani mewarisi pelan alamat, skop DHCP dan tingkah laku alamat pendua yang sama. Itu menjadikan pautan jauh lebih sukar diaudit daripada kumpulan berpenghala dengan satu awalan setiap tapak.

Buat kiraan sebelum memilih. Segmen sibuk yang direplikasi ke tiga tapak boleh memindahkan lebih banyak trafik siaran daripada pemindahan fail yang menjadi sebab ia dibina.

Semak jenis VPN L2 yang ditawarkan kepada anda

Istilah itu sendiri kabur, dan kekaburan itulah yang menentukan siapa membawa trafik anda. Kadang-kadang ia menghuraikan muatan: bingkai Ethernet di dalam IP, dihantar melalui internet seperti mana-mana terowong lain, seperti yang dilakukan VXLAN, ZeroTier dan mod tap OpenVPN. Kadang-kadang ia menghuraikan perkhidmatan yang dibeli: litar Ethernet pembawa atau wayar palsu MPLS yang menyambung dua tapak di dalam satu rangkaian penyedia.

Kedua-duanya memberi anda segmen, jadi aplikasi tidak dapat membezakannya, tetapi perbezaan operasi besar. Tindihan meninggalkan tanggungjawab MTU, penyulitan dan laluan di bawahnya kepada anda. Perkhidmatan pembawa mengambil alih semuanya dan mengenakan bayaran, dan ia tidak akan menghalakan bingkai anda melalui internet awam sama sekali. Yang mana anda mahu bergantung pada sama ada kedua-dua tapak berkongsi pengendali atau hanya berkongsi syarikat.

Semak jalan pintas yang lebih murah sebelum menjambatani

Kebanyakan permintaan pautan jambatan datang daripada satu carian nama yang rosak, bukan daripada protokol yang benar-benar memerlukan bingkai. Salurkan penyelesai dan domain carian melalui terowong berpenghala dahulu: dhcp-option DNS 10.8.0.1 bersama dhcp-option DOMAIN internal.example dalam konfigurasi pelayan OpenVPN menyelesaikan jumlah yang mengejutkan. Penghantar tempatan di bahagian jauh melakukan kerja yang sama tanpa memindahkan sebarang trafik siaran.

Jika satu alat lama masih gagal, letakkan alat itu di belakang proksi atau hos lompat pada segmen destinasi. Satu penghantar TCP lebih murah dikendalikan daripada WAN yang dijambatani.

Tutup keputusan mengikut urutan: adakah trafik membawa EtherType bukan IP, adakah penemuan mesti melintas, bolehkah MTU menyerap pengepala tambahan, adakah litar penyedia benar-benar tersedia, dan adakah jalan pintas berpenghala gagal atas sebab yang anda boleh namakan? Tidak pada mana-mana langkah menamatkan perdebatan memihak kepada terowong yang anda sudah ada. Arkibkan tangkapan dan senarai EtherType bersama rekod perubahan, kerana orang seterusnya akan bertanya soalan yang sama dan tidak mahu mengulang pengukuran.