Een lab-WAN uit één VLAN: plat segment of gerouteerd transport

Eén beheerde switch en een extra VLAN geven je in één middag twee VPN-gateways die over een geïsoleerd segment praten. Wat dat segment bewijst, is smaller dan wat mensen van het woord WAN verwachten. Het reproduceert een direct Ethernet-pad, wat nuttig is, en het laat bijna alles weg wat het internet onderweg met pakketten doet. Kiezen tussen een plat segment en een gerouteerd labtransport is eigenlijk een vraag over welk gedrag je wilt testen.

Twee ontwerpen, twee verschillende lessen

Een plat segment zet beide WAN-interfaces en een testhost in één VLAN, met adressen uit dezelfde prefix. Alles bereikt alles direct, en het enige tussen de gateways is de switch. Dat is een echte topologie, alleen geen erg interessante.

Een gerouteerd transport voegt een labrouter en minstens twee segmenten toe, zodat de gateways op verschillende subnetten zitten met een standaardgateway ertussen. Die opstelling kost een extra apparaat en een routingtabel, en koopt het gedrag dat één broadcastdomein niet kan produceren.

Wat het platte segment bewijst

Het bewijst bereikbaarheid, authenticatie, overeenstemming over het voorstel en dat verkeer de tunnel binnenkomt en verlaat waar je het verwacht. Dat zijn de storingen die de meeste troubleshootingtijd kosten, en een plat segment vindt ze zonder enige routingcomplexiteit in de weg. Als de tunnel hier niet omhoog komt, helpt geen enkele hoeveelheid internetrealisme.

Het is ook de juiste vorm voor een herhaalbare basislijn. Wanneer een latere test mislukt, kun je het platte geval opnieuw draaien en weten of de wijziging of de nieuwe voorwaarde het veroorzaakte. Schrijf de basislijn met de adressen op, want je zult hem later opnieuw moeten opbouwen.

Wat routing toevoegt

Verschillende WAN-subnetten betekenen dat de gateways moeten routeren in plaats van elkaar on-link te adresseren, en hier verschijnen fouten met de standaardgateway en asymmetrische terugwegen. Tussenliggende filtering en een hop ertussen laten je testen wat er gebeurt als een pad niet direct is.

De prijs is meer plekken om fout te zitten. Elk extra apparaat is weer een configuratie die met de tekening in strijd kan zijn, en een lab dat niemand uit notities kan herbouwen houdt op een lab te zijn. Bewaar de configuratie van de router in die notities en niet alleen in zijn draaiende toestand.

Wat geen van beide ontwerpen reproduceert

De vertaling bij de provider is de grote weglating. Een gateway die on-link werkt, kan falen achter adresvertaling, en een plat segment heeft helemaal geen vertaling. Het wijzigen van bronadressen, een cellulaire overdracht en de wachtrijen waardoor een gesprek hapert ontbreken evenzeer.

Padgrootte is de tweede weglating. Een lab met één switch en één router produceert bijna nooit de kleinere maximale grootte die een echt pad oplegt, zodat een fragmentatiebug verborgen blijft tot de apparatuur op een locatie aankomt. Dat gat verklaart hoe een tunnel elke labtest doorstaat en toch bij de eerste installatie faalt. Het zet ook verwachtingen voor wat het lab mag beloven.

Voeg één voorwaarde tegelijk toe wanneer de oefening dat nodig heeft, en houd een run zonder die voorwaarde als basislijn. Anders wordt een storing toegeschreven aan internetgedrag dat het lab nooit heeft geïmplementeerd. Label elke run met de voorwaarde die hij toevoegde, of de basislijn betekent niets meer.

Het lab begrensd houden

Gebruik een goedgekeurd privébereik dat niet overlapt met productie en leg de toewijzing vast. Documentatiebereiken zijn voorbeelden voor diagrammen, geen adressen voor een werkend lab, en een overlap die later wordt ontdekt levert een routingfout op die op een VPN-bug lijkt.

Houd de positie van de testclient zichtbaar. Een host aan de privékant volgt een ander pad dan een host op de gesimuleerde WAN, en een onbedoelde switch-interface of tweede uplink kan de firewall omzeilen die je wilde testen. Een tekening met de clientpositie gemarkeerd voorkomt de meeste van die verrassingen.

Voordat enig deel van de apparatuur teruggaat naar een echte uplink, verwijder je de labspecifieke configuratie en laat je de productie-eigenaar die beoordelen. Een segment is waardevol omdat het gedrag bekend en begrensd is, en dat is precies wat het onveilig maakt om ongewijzigd naar productie te brengen.