L2 VPN kontra L3-tunnel: fem sjekker før du broer et nettsted

Du broer et område fordi et verktøy insisterer på at det må ligge på samme nettverk, og tre uker senere leser du switch-logger klokken to om natten. Den slags magefølelse avgjør altfor mange Ethernet-over-IP-lenker. Bare én forskjell betyr egentlig noe her: om hele rammer reiser fra ende til ende, eller bare IP-pakker. Kjør de fem sjekkene nedenfor i rekkefølge, og stopp ved den første som feiler.

Sjekk hva applikasjonen faktisk legger på ledningen

Før et produktnavn kommer inn i diskusjonen, fang ett minutt av trafikken som må krysse lenken: tcpdump -i eth0 -nn -e 'not ip'. Flagget -e skriver ut headeren på lenkelaget, og det er nettopp den delen en rutet tunnel kaster. Hvis opptaket blir tomt, snakker applikasjonen din IP og en L3-tunnel frakter den uendret. Hvis det likevel dukker opp rammer, noter EtherType, fordi 0x0806 er ARP, 0x88cc er LLDP, og en leverandørverdi betyr vanligvis en oppdagelsesprotokoll uten IP-fallback. Det er punktet der et vanlig tun grensesnitt ikke lenger er nok.

Gjenta opptaket på den fjerne siden også. En ramme som bare finnes inne i den virtuelle switchen til én vert, er ingen grunn til å strekke et kringkastingsdomene over et WAN.

Sjekk om oppdagelsen må krysse lenken

En rutet tunnel har ingen delt segment, så ingenting adressert til en gruppe når den andre enden. ARP, DHCP-kringkasting, mDNS på 224.0.0.251, SSDP og NetBIOS-navnespørringer forutsetter alle en lenke som flere verter hører samtidig.

Spør hvilke av disse applikasjonen faktisk er avhengig av, og om det allerede finnes en proxy for dem. DHCP-relay, mDNS-speiling og statiske ARP-oppføringer fjerner hver én avhengighet, og hver av dem er nok en tjeneste som må kjøres og overvåkes. Når to eller tre er igjen, er broing det ærlige svaret.

Sjekk hva den ekstra headeren koster deg

Rammene trenger et sted å bo, så alt du sender får en andre headerstabel pakket rundt seg. I et VXLAN-overlegg betyr det en ytre IP-header, en UDP-header og en 8-byte VXLAN-header, noe som skyver en full 1,500-byte nyttelast forbi banens MTU på en vanlig 1,500-byte internettlenke. OpenVPN i tap modus legger på sin egen overhead i samme retning. Uten en lavere MTU på innsiden får du en lenke som svarer på ping og stopper ved den første store overføringen.

Regningen stopper ikke ved header-bytene. Kringkasting og multicast som en switch håndterer i maskinvare, går nå over WAN-et, og hvert område med bro arver samme adresseplan, DHCP-område og oppførsel med dupliserte adresser. Det gjør lenken betydelig vanskeligere å revidere enn en rutet pool med ett prefiks per område.

Regn det ut før du velger. Et travelt segment replikert til tre områder kan flytte mer kringkastingstrafikk enn filoverføringene det ble bygget for.

Sjekk hva slags L2 VPN du blir tilbudt

Selve begrepet er tvetydig, og tvetydigheten avgjør hvem som frakter trafikken din. Noen ganger beskriver det nyttelasten: Ethernet-rammer inne i IP, sendt over internett som enhver annen tunnel, slik VXLAN, ZeroTier og OpenVPN tap modus gjør. Noen ganger beskriver det en kjøpt tjeneste: en carrier Ethernet-krets eller en MPLS-pseudowire som forbinder to områder inne i ett leverandørnett.

Begge gir deg et segment, så applikasjonen kan ikke skille dem, men den operative forskjellen er stor. Et overlegg lar deg sitte med ansvaret for MTU, kryptering og den underliggende banen. En operatørtjeneste overtar dette og tar betalt for det, og den vil slett ikke rute rammene dine over det offentlige internettet. Hvilken du vil ha, avhenger av om de to stedene deler en operatør eller bare deler et selskap.

Sjekk den billigere løsningen før du broer

De fleste forespørsler om en lenke med bro kommer fra ett ødelagt navneoppslag, ikke fra en protokoll som virkelig trenger rammer. Skyv først resolveren og søkedomenet gjennom den rutet tunnelen: dhcp-option DNS 10.8.0.1 sammen med dhcp-option DOMAIN internal.example i en OpenVPN-serverkonfigurasjon løser et overraskende antall av dem. En lokal videresender på den fjerne siden gjør samme jobben uten å flytte noen kringkastingstrafikk.

Hvis ett eldre verktøy fortsatt feiler, sett det verktøyet bak en proxy eller en hoppvert på målsegmentet. Én enkelt TCP-videresender er billigere å drifte enn et WAN med bro.

Lukk beslutningen i rekkefølge: bærer trafikken en ikke-IP EtherType, må oppdagelsen krysse, kan MTU-en svelge de ekstra headerne, er en leverandørkrets faktisk tilgjengelig, og feilet den rutet løsningen av en grunn du kan navngi? Et nei på ethvert trinn avslutter diskusjonen til fordel for tunnelen du allerede har. Arkiver opptaket og EtherType-listen sammen med endringsloggen, fordi neste person vil stille samme spørsmål og ikke vil gjenta målingen.