Wie routeert tussen je sites: laag 2- of laag 3-VPN?

Bestel een provider-VPN en iemand zal uiteindelijk het routeren tussen sites bezitten, of je die eigenaar nu hebt benoemd of niet. Teken je voor een laag 2-overdracht, dan levert de provider een buis terwijl jouw routers de adjacency vormen; teken je voor een laag 3-dienst, dan draagt de provider je prefixen binnen zijn eigen routeringscontext. Beide zijn legitieme producten met verschillende bereikbaarheidsverhalen. Loop de bestelling door van offerte tot de eerste acceptatietest en de keuze is niet langer abstract.

Begin bij het overdrachtsformulier, niet bij de topologiedia

Elke provider stuurt uiteindelijk een formulier dat vraagt wat hij je moet overdragen: een pseudowire, een multipoint Ethernet-segment of een gerouteerde aansluiting op een gedeelde service-rand. Dat ene antwoord beslist meer dan welk diagram in de verkooppresentatie dan ook, omdat het vastlegt waar jouw verantwoordelijkheid begint.

Een point-to-point pseudowire is één circuit tussen twee aansluitingen, en een multipoint Ethernet-dienst verbindt meerdere sites in één broadcastdomein. Op een diagram lijken ze op elkaar en gedragen ze zich totaal anders zodra er een lus of een broadcaststorm in het spel is. Bevestig welke variant wordt geoffreerd voordat je adressering plant.

Productnamen beslissen dat niet. Een MPLS-label, een darkfibre-overdracht en een internetgebaseerde overlay kunnen allemaal een privénetwerk heten, en de kaderdocumenten beschouwen het dienstmodel en de klant-providerverdeling als het punt dat gedefinieerd moet worden. Vraag de semantiek van de aansluiting op schrift en lees die daarna in gewone woorden aan je eigen team voor.

Lees wat er op de dag van oplevering binnenkwam

Kijk op de dag van oplevering naar de interface die je hebt gekregen voordat je er iets op configureert. Een gerouteerde laag 3-aansluiting verschijnt meestal als een poort met een klein point-to-point-subnet of als een next hop die je moet bereiken. Een laag 2-aansluiting verschijnt als een link die frames verwacht, dus je eerste nuttige commando is een bridge- of buurcontrole in plaats van een routeopzoeking.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

Die vier regels vertellen je in welke wereld je zit. Een standaardroute die naar een provideradres wijst betekent dat de provider voor je routeert. Een interface zonder bruikbaar laag 3-adres maar met een gevulde bridge betekent dat er van jou routeren wordt verwacht, en elk ontbrekend prefix is aan jou om te repareren.

Een link die promiscue lijkt kan ook betekenen dat de overdracht getagd is, dus bevestig de VLAN-afspraak voordat je het circuit de schuld geeft. Dubbele MAC-adressen over een multipoint-dienst zijn een ontwerpsymptoom, geen providerstoring.

Wijs één eigenaar per object aan vóór het eerste prefix

Loop de objectlijst door en zeg hardop de naam van het team dat elk object bezit. Klantprefixen en de aankondigingen tussen sites. De adjacency of service-identifier die de relatie met de provider-rand vormt. Wie lussen doorbreekt, en wie heeft ingestemd met leven in één breder broadcastdomein. Waar het MTU-plafond zit, hoe storingen worden opgemerkt en hoe de dienst terugkomt. Toegangsbeleid, plus elke versleuteling die de dienst niet bevat.

De lijst is kort omdat dat het deel is dat tijdens een incident breekt. Als twee teams allebei menen de routepolicy te bezitten, levert een storing twee tegenstrijdige wijzigingen in hetzelfde uur op. Als niemand hem bezit, overleeft het eerste asymmetrische pad tot een klant het meldt.

Een gerouteerde dienst geeft je meestal een BGP- of statische grens, dus jouw kant heeft een leesbare sessietoestand nodig: birdc show protocols of het equivalent op je router vertelt of de adjacency omhoog is, en de tellers vertellen of die alleen tijdens kantooruren flappert. Een laag 2-overdracht geeft zo'n signaal niet, daarom moet de klant een expliciete bereikbaarheidscontrole bezitten.

Loop het storingsgeval voor één site door

Schrijf de acceptatietest voordat de dienst live gaat: laat één site-aansluiting vallen en noteer wat elk team ziet. Bij een laag 3-dienst trekt de provider de bereikbaarheid van de prefixen van die site in, je sessie logt de intrekking, en de overige sites behouden hun paden. Bij een laag 2-dienst valt het circuit weg, je routeringsprotocol merkt een dode buur op, en dezelfde convergentie hangt volledig van je timers af.

Herstel de link en controleer de tweede helft van het geval, want verouderde toestand is de gebruikelijke rest. Bevestig dat de adjacency terugkomt, dat de prefixen met de verwachte attributen terugkomen en dat er geen tijdelijke statische route uit het incident in de tabel blijft staan.

Test ook de saaie storing: één site die zijn verkeer verdubbelt. Bij een gerouteerde overdracht zie je tellers per prefix; bij een gebrugde zie je misschien alleen de interface-doorvoer, waardoor je moet raden welke host verantwoordelijk is.

Wat het contract niet koopt

Een laag 2- of laag 3-label zegt niets over latentie, een toegewijde backbone of versleuteling. Dat zijn afzonderlijke toezeggingen, en beschikbaarheidscijfers impliceren geen daarvan. Lees de serviceovereenkomst voor wat belooft en behandel al het andere als een aanname die je moet testen.

Als je eis een point-to-point-aansluiting tussen twee klantrouters is, past een laag 2-dienst zonder de provider te vragen jouw interne routering te draaien. Als je eis veel sites met verschillende subnetten en een klein operationeel team is, haalt een gerouteerde dienst meestal werk weg dat je anders zou bezitten.

Geen van beide is standaard. Controleer de apparaatondersteuning voor de inkapseling, de werkelijke verkeersrelaties tussen sites, het redundantiemodel en of je team het deel dat het zojuist heeft geaccepteerd kan beheren. Schrijf daarna de namen van de eigenaren in de runbook, want dat is het enige deel van de beslissing dat personeelswisselingen overleeft.