Hvem ruter mellom nettstedene dine: VPN på lag 2 eller lag 3?

Bestill en leverandør-VPN, og noen ender opp med å eie rutingen mellom nettstedene, enten du navnga den eieren eller ikke. Signer for en lag 2-overlevering og leverandøren leverer et rør mens ruteren din danner nabolaget; signer for en lag 3-tjeneste og leverandøren bærer prefiksene dine i sin egen rutingskontekst. Begge er legitime produkter med ulike vakttelefonhistorier. Gå gjennom bestillingen fra tilbudet til den første aksepttesten, og valget slutter å være abstrakt.

Start med overleveringsskjemaet, ikke med topologiskyen

Hver leverandør sender før eller siden et skjema som spør hva den skal overlevere deg: en pseudowire, et multipoint Ethernet-segment eller en rutet tilkobling på en delt tjenestekant. Det ene svaret avgjør mer enn noe diagram i salgspresentasjonen, fordi det fastsetter hvor ansvaret ditt begynner.

En punkt-til-punkt-pseudowire er én krets mellom to tilkoblinger, og en multipoint Ethernet-tjeneste kobler flere nettsteder i ett kringkastingsdomene. På et diagram ser de like ut og oppfører seg helt forskjellig når en løkke eller en kringkastingsstorm er involvert. Bekreft hvilken som tilbys før du planlegger adressering.

Produktnavn avgjør ikke dette. En MPLS-etikett, en overlevering av mørk fiber og et internettbasert overlegg kan alle kalles et privat nett, og rammedokumentene behandler tjenestemodellen og delingen kunde-leverandør som det som må defineres. Be om tilkoblingens semantikk skriftlig, og les den deretter tilbake til teamet ditt med enkle ord.

Les hva som ankom på idriftsettelsesdagen

På idriftsettelsesdagen ser du på grensesnittet du fikk før du konfigurerer noe på det. En rutet lag 3-tilkobling vises vanligvis som en port med et lite punkt-til-punkt-subnett eller som et neste hopp du må nå. En lag 2-tilkobling vises som en lenke som forventer rammer, så den første nyttige kommandoen er en bro- eller nabo-sjekk i stedet for et ruteoppslag.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

De fire linjene forteller deg hvilken verden du er i. En standardrute som peker på en leverandøradresse betyr at leverandøren ruter for deg. Et grensesnitt uten nyttig lag 3-adresse, men med en fylt bro, betyr at du forventes å rute, og hvert manglende prefiks er ditt å rette.

En lenke som ser promiskuøs ut kan også bety at overleveringen er tagget, så bekreft VLAN-avtalen før du klandrer kretsen. Dupliserte MAC-adresser over en multipoint-tjeneste er et designsymptom, ikke en leverandørfeil.

Tildel én eier per objekt før det første prefikset

Gå gjennom objektlisten og si høyt navnet på teamet som eier hvert enkelt. Kundeprefikser og annonseringene mellom nettsteder. Nabolaget eller tjenesteidentifikatoren som danner forholdet til leverandørkanten. Hvem bryter løkker, og hvem har godtatt å leve i ett bredere kringkastingsdomene. Hvor MTU-taket ligger, hvordan feil oppdages og hvordan tjenesten kommer tilbake. Tilgangspolicy, pluss enhver kryptering tjenesten ikke inneholder.

Listen er kort fordi det er den delen som bryter sammen under en hendelse. Hvis to team begge tror de eier rutepolicyen, gir et avbrudd to motstridende endringer i samme time. Hvis ingen eier den, overlever den første asymmetriske stien til en kunde rapporterer den.

En rutet tjeneste gir deg vanligvis en BGP- eller statisk grense, så din side trenger en lesbar sesjonstilstand: birdc show protocols eller tilsvarende på ruteren din forteller om nabolaget er oppe, og tellerne forteller om det flapper bare i arbeidstiden. En lag 2-overlevering gir ingen slik signal, derfor må kunden eie en eksplisitt tilgjengelighetssjekk.

Gå gjennom feiltilfellet for ett nettsted

Skriv aksepttesten før tjenesten går live: dropp én nettstedstilkobling og noter hva hvert team ser. På en lag 3-tjeneste trekker leverandøren tilgjengeligheten for det nettstedets prefikser tilbake, sesjonen din logger tilbaketrekningen, og de øvrige nettstedene beholder stiene sine. På en lag 2-tjeneste går kretsen ned, rutingsprotokollen din oppdager en død nabo, og den samme konvergensen avhenger helt av tidtakerne dine.

Gjenopprett lenken og sjekk den andre halvdelen av tilfellet, fordi utdatert tilstand er den vanlige resten. Bekreft at nabolaget kommer tilbake, at prefiksene kommer tilbake med de forventede attributtene, og at ingen midlertidig statisk rute blir liggende i tabellen fra hendelsen.

Test også den kjedelige feilen: ett nettsted som dobler trafikken sin. På en rutet overlevering ser du tellere per prefiks; på en broet ser du kanskje bare grensesnittets gjennomstrømning, noe som lar deg gjette hvilken vert som er ansvarlig.

Hva kontrakten ikke kjøper

En lag 2- eller lag 3-etikett sier ingenting om latens, en dedikert ryggrad eller kryptering. Det er separate forpliktelser, og tilgjengelighetstall innebærer ingen av dem. Les tjenesteavtalen for det som loves, og behandle alt annet som en forutsetning du bør teste.

Hvis kravet ditt er en punkt-til-punkt-tilkobling mellom to kunderutere, passer en lag 2-tjeneste uten å be leverandøren kjøre din interne ruting. Hvis kravet er mange nettsteder med ulike subnett og et lite driftsteam, fjerner en rutet tjeneste vanligvis arbeid du ellers ville eid.

Ingen av dem er standard. Sjekk enhetsstøtten for innkapslingen, de faktiske trafikkforholdene mellom nettsteder, redundansmodellen, og om teamet ditt kan drifte delen det nettopp har akseptert. Skriv deretter eiernavnene i runbooken, fordi det er den eneste delen av beslutningen som overlever bemanningsendringer.