L2 VPN kontra L3-tunnel: fem sjekkar før du bruar eit nettstad

Du bruar eit område fordi eit verktøy insisterer på at det må liggje på same nettverk, og tre veker seinare les du switch-loggar klokka to om natta. Den slags magekjensle avgjer altfor mange Ethernet-over-IP-lenkjer. Berre éin skilnad har eigentleg noko å seie her: om heile rammer reiser frå ende til ende, eller berre IP-pakkar. Køyr dei fem sjekkane nedanfor i rekkjefølgje, og stopp ved den første som feilar.

Sjekk kva applikasjonen faktisk legg på leidninga

Før eit produktnamn kjem inn i diskusjonen, fang eitt minutt av trafikken som må krysse lenkja: tcpdump -i eth0 -nn -e 'not ip'. Flagget -e skriv ut headeren på lenkjelaget, og det er nettopp den delen ein ruta tunnel kastar. Blir opptaket tomt, snakkar applikasjonen din IP og ein L3-tunnel fraktar han uendra. Dukkar det likevel opp rammer, noter EtherType, fordi 0x0806 er ARP, 0x88cc er LLDP, og ein leverandørverdi tyder vanlegvis ein oppdagingsprotokoll utan IP-fallback. Det er punktet der eit vanleg tun grensesnitt ikkje lenger er nok.

Gjenta opptaket på den fjerne sida òg. Ei ramme som berre finst inne i den virtuelle switchen til éin vert, er inga grunn til å strekkje eit kringkastingsdomene over eit WAN.

Sjekk om oppdaginga må krysse lenkja

Ein ruta tunnel har ingen delt segment, så ingenting adressert til ei gruppe når den andre enden. ARP, DHCP-kringkasting, mDNS på 224.0.0.251, SSDP og NetBIOS-namnespurnader føreset alle ei lenkje som fleire vertar høyrer samtidig.

Spør kva av desse applikasjonen faktisk er avhengig av, og om det allereie finst ein proxy for dei. DHCP-relay, mDNS-spegling og statiske ARP-oppføringar fjernar kvar éi avhengnad, og kvar av dei er nok ei teneste som må køyrast og overvakast. Når to eller tre er att, er bruing det ærlege svaret.

Sjekk kva den ekstra headeren kostar deg

Rammene treng ein stad å bu, så alt du sender får ein andre headerstabell pakka rundt seg. I eit VXLAN-overlegg tyder det ein ytre IP-header, ein UDP-header og ein 8-byte VXLAN-header, noko som skyv ei full 1,500-byte nyttelast forbi banens MTU på ei vanleg 1,500-byte internettlenkje. OpenVPN i tap modus legg på sin eigen overhead i same retning. Utan ein lågare MTU på innsida får du ei lenkje som svarar på ping og stoppar ved den første store overføringa.

Rekninga stoppar ikkje ved header-byta. Kringkasting og multicast som ein switch handterer i maskinvare, går no over WAN-et, og kvart område med bru arvar same adresseplan, DHCP-område og åtferd med dupliserte adresser. Det gjer lenkja monaleg vanskelegare å revidere enn ein ruta pool med eitt prefiks per område.

Rekn det ut før du vel. Eit travelt segment replikert til tre område kan flytte meir kringkastingstrafikk enn filoverføringane det vart bygt for.

Sjekk kva slags L2 VPN du blir tilboden

Sjølve omgrepet er tvitydig, og tvitydigheita avgjer kven som fraktar trafikken din. Nokre gonger skildrar det nyttelasta: Ethernet-rammer inne i IP, sende over internett som kvar annan tunnel, slik VXLAN, ZeroTier og OpenVPN tap modus gjer. Nokre gonger skildrar det ei kjøpt teneste: ein carrier Ethernet-krins eller ein MPLS-pseudoleidning som knyter to område inne i eitt leverandørnett.

Begge gir deg eit segment, så applikasjonen kan ikkje skilje dei, men den operative skilnaden er stor. Eit overlegg lèt deg sitje med ansvaret for MTU, kryptering og den underliggjande bana. Ei operatørteneste tek over dette og tar betalt for det, og ho vil slett ikkje rute rammene dine over det offentlege internettet. Kva du vil ha, avheng av om dei to stadene deler ein operatør eller berre deler eit selskap.

Sjekk den billegare løysinga før du bruar

Dei fleste førespurnader om ei lenkje med bru kjem frå eitt øydelagt namneoppslag, ikkje frå ein protokoll som verkeleg treng rammer. Skyv først resolvaren og søkjedomenet gjennom den ruta tunnelen: dhcp-option DNS 10.8.0.1 saman med dhcp-option DOMAIN internal.example i ein OpenVPN-serverkonfigurasjon løyser eit overraskande tal av dei. Ein lokal vidaresendar på den fjerne sida gjer same jobben utan å flytte nokon kringkastingstrafikk.

Viss eitt eldre verktøy framleis feilar, set det verktøyet bak ein proxy eller ein hoppvert på målsegmentet. Éin enkel TCP-vidaresendar er billegare å drifte enn eit WAN med bru.

Lukk avgjerda i rekkjefølgje: ber trafikken ein ikkje-IP EtherType, må oppdaginga krysse, kan MTU-en svelgje dei ekstra headerane, er ein leverandørkrins faktisk tilgjengeleg, og feila den ruta løysinga av ei grunn du kan namngje? Eit nei på eitkvart trinn avsluttar diskusjonen til fordel for tunnelen du allereie har. Arkiver opptaket og EtherType-lista saman med endringsloggen, fordi neste person vil stille same spørsmål og vil ikkje gjenta målinga.