Połączone mostem lokalizacje nadal potrzebują decyzji o lokalnym wyjściu do internetu

Rozszerzenie VLAN przeszło czysto: hosty w obu lokalizacjach widzą się, udostępnianie plików działa, a drukarki odpowiadają. Potem ktoś w mniejszej lokalizacji zauważa, że każde pobieranie korzysta z łącza internetowego drugiej lokalizacji, i zgłoszenie przychodzi jako skarga na przepustowość. Most zrobił dokładnie to, o co go poproszono. Przenosił ramki między dwoma budynkami i nigdy nie miał zdania na temat tego, którego routera te ramki powinny używać do internetu.

Most przenosi ramki, a nie decyzje

Rozszerzenie warstwy 2 sprawia, że dwie lokalizacje wyglądają jak jedna domena rozgłoszeniowa, więc żądania ARP, rozgłoszenia DHCP i ruch w tej samej podsieci przechodzą przez tunel. To cała usługa, którą zapewnia. Nic w moście nie sprawdza adresu docelowego, nie porównuje go z łączem wyjściowym lokalizacji ani nie kieruje ruchu ku bliższemu wyjściu. Każdy klient nadal sam podejmuje decyzję lokalna czy zdalna, używając adresu i maski, z którymi został skonfigurowany.

Umieść dwa routery w tej wspólnej podsieci, a oba staną się wiarygodnymi bramami, niezależnie od tego, czy któryś z nich jest blisko klienta, który go używa.

Jak klient wybiera swoją bramę

Decyzja IPv4 opisana w RFC 1122 jest prosta. Cel wewnątrz podłączonej podsieci klienta jest osiągany bezpośrednio, przez ARP, a cel poza nią trafia do skonfigurowanej bramy domyślnej. Dlatego ruch w tej samej podsieci między lokalizacjami może przechodzić przez most bez żadnego udziału routera, i dlatego ruch internetowy zależy całkowicie od adresu bramy, który klient otrzymał. Oba zachowania są niezależne, a działające udostępnianie plików dowodzi tylko pierwszego.

Jeśli klient w małej lokalizacji został skonfigurowany z routerem dużej lokalizacji, jego ramki internetowe najpierw przechodzą przez tunel i wychodzą tam.

Zmiana własnej trasy domyślnej urządzenia VPN nie przesuwa bramy tego klienta, ponieważ klient w ogóle nie używa urządzenia jako routera. Urządzenie potrzebuje też osobnej trasy do swojego zdalnego partnera, aby tunel przenoszący te ramki pozostał aktywny, a mieszanie tych dwóch rzeczy jest sposobem, w jaki rozszerzenie mostu wywraca własny transport.

Pozwól DHCP wyrazić zamierzone wyjście

Opcja 3 w odpowiedzi DHCP podaje listę adresów routerów w podsieci klienta w kolejności preferencji, a klienci zwykle biorą pierwszy, który odpowie. Mechanizm jest w porządku; własność to miejsce, w którym projekty się psują. Zapisuj, co daje rzeczywiste dzierżawienie w każdej lokalizacji, zamiast zakładać, że najbliższy serwer DHCP przydzieli najbliższą bramę.

Uruchom jeden skoordynowany przydzielacz albo dwa wyraźnie skonfigurowane dla tej samej polityki, i daj polityce właściciela. Drugi niezależny przydzielacz dodany w zdalnej lokalizacji nie tworzy lokalności, tworzy dwa autorytety dla tej samej domeny rozgłoszeniowej.

Nie przypisuj jednego adresu bramy dwóm niezależnie aktywnym routerom tylko po to, by ustawienia obu lokalizacji wyglądały identycznie. Wspólny adres wirtualny w segmencie połączonym mostem to projekt nadmiarowości pierwszego skoku z własnymi wymaganiami, a wersja zrobiona ręcznie powoduje konflikty ARP, które wyglądają jak okresowa utrata pakietów. Jeśli aplikacja naprawdę nie potrzebuje wspólnego segmentu warstwy 2, oddzielne prefiksy routowane z lokalnymi bramami domyślnymi są prostsze w utrzymaniu i łatwiejsze do wyjaśnienia podczas incydentu.

Przetestuj cztery rzeczy osobno

Poproś o cztery obserwacje, nie jedną. Weź nowe dzierżawienie DHCP w każdej lokalizacji i zapisz otrzymany router oraz maskę. Dotrzyj do usługi w tej samej podsieci w drugiej lokalizacji i potwierdź, że ścieżka prowadzi przez most, a nie routowanym objazdem. Pobierz coś z publicznego internetu w każdej lokalizacji i potwierdź, które łącze wyjściowe to przeniosło. Potem zerwij tunel i zobacz, co się psuje, ponieważ lokalizacja, która traci całą łączność, gdy most zawodzi, zależała od zdalnej bramy, a nikt tego nie zauważył.

Te cztery wyniki mówią, czy masz most między lokalizacjami, lokalne wyjście czy przypadkowy backhaul, a ich zebranie zajmuje dziesięć minut.

Zasada projektowa nie jest efektowna: mostowanie decyduje o osiągalności, DHCP decyduje o bramie, a tablica routingu na urządzeniu decyduje o własnej ścieżce tunelu. Trzymaj te trzy w osobnych rozmowach, ponieważ jedna zmiana, która próbuje naprawić wszystkie trzy, zwykle psuje dwie.