VPN L2 kontra tunnel L3: ħames verifiki qabel ma tgħaqqad sit

Tgħaqqad sit għax xi għodda tinsisti li jrid ikun fuq l-istess netwerk, u tliet ġimgħat wara tkun qed taqra r-reġistri tas-switch fit-tieni ta' filgħodu. Dan it-tip ta' tħassib jiddeċiedi wisq kollegamenti Ethernet-fuq-IP. Hawnhekk tabilħaqq timporta differenza waħda biss: jekk frejms sħaħ jivvjaġġawx minn tarf għall-ieħor, jew jekk jivvjaġġawx biss pakketti IP. Mexxi l-ħames verifiki hawn taħt fil-qasam, u waqaf fl-ewwel waħda li tfalli.

Iċċekkja x'qiegħed verament ipoġġi l-applikazzjoni fuq il-wajer

Qabel ma jidħol xi isem ta' prodott fid-diskussjoni, aqbad minuta mit-traffiku li jrid jaqsam il-kollegament: tcpdump -i eth0 -nn -e 'not ip'. L-għażla -e tipprintja l-intestatura tas-saff tal-kollegament, u dik hija eżattament il-parti li tunnel bl-instradar jarmi. Jekk il-qabda tibqa' vojta, l-applikazzjoni tiegħek titkellem IP u tunnel L3 iġorrha bla ma jbiddel xejn. Jekk jidhru frejms, innota l-EtherType, għax 0x0806 huwa ARP, 0x88cc huwa LLDP, u valur tal-fornitur normalment ifisser protokoll ta' skoperta mingħajr alternattiva IP. F'dan il-punt interfaċċa tun ordinarja ma tibqax biżżejjed.

Erġa' għamel il-qabda fuq in-naħa l-bogħida wkoll. Frejm li jeżisti biss ġewwa switch virtwali ta' host wieħed mhuwiex raġuni biex tittawwal dominju ta' xandir tul WAN.

Iċċekkja jekk l-iskoperta tridx taqsam il-kollegament

Tunnel bl-instradar m'għandux segment maqsum, għalhekk xejn indirizzat lil grupp ma jasal għat-tarf l-ieħor. ARP, xandiriet DHCP, mDNS fuq 224.0.0.251, SSDP u mistoqsijiet tal-isem NetBIOS kollha jassumu kollegament li diversi hosts jisimgħu fl-istess ħin.

Staqsi liema minnhom l-applikazzjoni tiddependi verament, u jekk diġà jeżistix proxy għalihom. Relay DHCP, riflessjoni mDNS u entrati ARP statiċi kull wieħed ineħħi dipendenza waħda, u kull wieħed huwa servizz ieħor li jrid jiġi mniedi u mmonitorat. Meta jibqgħu tnejn jew tlieta, it-tqabbid huwa t-tweġiba onesta.

Iċċekkja kemm tiswiek l-intestatura żejda

Il-frejms iridu jgħixu x'imkien, għalhekk kull ma tibgħat jikseb it-tieni munzell ta' intestaturi madwaru. F'kisja VXLAN dan ifisser intestatura IP ta' barra, intestatura UDP u intestatura VXLAN ta' 8 bajt, li timbotta tagħbija sħiħa ta' 1,500 bajt lil hinn mill-MTU tal-passaġġ ta' kollegament internet ordinarju ta' 1,500 bajt. OpenVPN fil-mod tap iżid l-ispiża tiegħu stess fl-istess direzzjoni. Mingħajr MTU aktar baxx fuq in-naħa ta' ġewwa jkollok kollegament li jwieġeb għall-ping u jeħel fl-ewwel trasferiment kbir.

Il-kont ma jieqafx fil-bajts tal-intestatura. Ix-xandir u l-multicast li switch jimmaniġġja fil-hardware issa jsuqu fuq il-WAN, u kull sit imqabbad jiret l-istess pjan tal-indirizzi, l-istess firxa DHCP u l-istess imġieba tal-indirizzi doppji. Dan jagħmel il-kollegament ferm aktar diffiċli biex jiġi awditjat minn pool bl-instradar b'prefiss wieħed għal kull sit.

Agħmel il-kalkoli qabel tagħżel. Segment mimli replikat fuq tliet siti jista' jċaqlaq aktar traffiku tax-xandir mit-trasferimenti tal-fajls li għalihom inbena.

Iċċekkja liema tip ta' VPN L2 qed jiġi offrut lilek

It-terminu nnifsu huwa ambigwu, u l-ambigwità tiddeċiedi min iġorr it-traffiku tiegħek. Xi drabi jiddeskrivi t-tagħbija: frejms Ethernet ġewwa IP, mibgħuta mill-internet bħal kull tunnel ieħor, kif jagħmlu VXLAN, ZeroTier u l-mod tap ta' OpenVPN. Xi drabi jiddeskrivi servizz mixtri: ċirkwit Ethernet ta' trasport jew wajer falz MPLS li jgħaqqad żewġ siti ġewwa netwerk wieħed ta' fornitur.

It-tnejn jagħtuk segment, għalhekk l-applikazzjoni ma tistax tiddistingwihom, iżda d-differenza operattiva hija kbira. Kisja tħalli f'idejk ir-responsabbiltà għall-MTU, il-kriptaġġ u l-passaġġ ta' taħt. Servizz ta' trasport jieħu dawk fuqu u jħallashom, u mhux se jinstrada l-frejms tiegħek mill-internet pubbliku xejn. Liema trid jiddependi milli jekk iż-żewġ siti jaqsmu operatur jew biss jaqsmu kumpanija.

Iċċekkja s-soluzzjoni irħas qabel ma tgħaqqad

Il-biċċa l-kbira tat-talbiet għal kollegament imqabbad jiġu minn tfittxija waħda miksura, mhux minn protokoll li verament għandu bżonn frejms. Erfa' l-ewwel ir-resolver u d-dominju tat-tfittxija mit-tunnel bl-instradar: dhcp-option DNS 10.8.0.1 flimkien ma' dhcp-option DOMAIN internal.example f'konfigurazzjoni ta' server OpenVPN issolvi numru sorprendenti minnhom. Forwarder lokali fuq in-naħa l-bogħida jagħmel l-istess xogħol mingħajr ma jċaqlaq ebda traffiku tax-xandir.

Jekk għodda antika waħda xorta tfalli, poġġi dik l-għodda wara proxy jew host tal-qabża fis-segment tad-destinazzjoni. Forwarder TCP wieħed jiswa inqas biex jitħaddem minn WAN imqabbad.

Agħlaq id-deċiżjoni fil-qasam: it-traffiku jġorr EtherType li mhuwiex IP, l-iskoperta tridx taqsam, jista' l-MTU jassorbi l-intestaturi żejda, ċirkwit tal-fornitur huwa verament disponibbli, u s-soluzzjoni bl-instradar falliet għal raġuni li tista' ssemmi? Le fi kwalunkwe pass itemm id-dibattitu favur it-tunnel li diġà għandek. Arkivja l-qabda u l-lista tal-EtherType mar-rekord tal-bidla, għax il-persuna li jmiss se tistaqsi l-istess mistoqsija u ma tridx tirrepeti l-kejl.