L2 VPN kontra tunel L3: pięć kontroli przed połączeniem lokalizacji mostem

Łączysz lokalizację mostem, bo jakieś narzędzie upiera się, że musi być w tej samej sieci, a trzy tygodnie później o drugiej w nocy czytasz logi przełącznika. Tego rodzaju przeczucie rozstrzyga o zbyt wielu łączach Ethernet-over-IP. Naprawdę ważna jest tu tylko jedna różnica: czy przemieszczają się całe ramki od końca do końca, czy tylko pakiety IP. Wykonaj pięć kontroli poniżej po kolei i zatrzymaj się na pierwszej, która zawiedzie.

Sprawdź, co aplikacja naprawdę wysyła do sieci

Zanim w dyskusji pojawi się jakakolwiek nazwa produktu, przechwyć minutę ruchu, który musi przejść przez łącze: tcpdump -i eth0 -nn -e 'not ip'. Opcja -e drukuje nagłówek warstwy łącza i to jest dokładnie ta część, którą odrzuca tunel routowany. Jeśli zrzut pozostanie pusty, aplikacja mówi po IP, a tunel L3 przenosi ją bez zmian. Jeśli ramki się pojawią, zapisz EtherType, bo 0x0806 to ARP, 0x88cc to LLDP, a wartość producenta zwykle oznacza protokół odkrywania bez awaryjnej ścieżki IP. W tym momencie zwykły tun interfejs przestaje wystarczać.

Powtórz zrzut także po drugiej stronie. Ramka, która istnieje tylko wewnątrz wirtualnego przełącznika jednego hosta, nie jest powodem, by rozciągać domenę rozgłoszeniową przez WAN.

Sprawdź, czy odkrywanie musi przekraczać łącze

Tunel routowany nie ma wspólnego segmentu, więc nic zaadresowane do grupy nie dociera na drugi koniec. ARP, rozgłoszenia DHCP, mDNS pod 224.0.0.251, SSDP i zapytania o nazwy NetBIOS zakładają łącze, które kilka hostów słyszy naraz.

Zapytaj, od których z nich aplikacja naprawdę zależy i czy istnieje już dla nich proxy. Przekaźnik DHCP, odbicie mDNS i statyczne wpisy ARP usuwają po jednej zależności, a każde z nich to kolejna usługa do uruchamiania i monitorowania. Gdy zostaną dwie lub trzy, połączenie mostem jest uczciwą odpowiedzią.

Sprawdź, ile kosztuje cię dodatkowy nagłówek

Ramki muszą gdzieś mieszkać, więc wszystko, co wysyłasz, dostaje wokół siebie drugi stos nagłówków. W nakładce VXLAN oznacza to zewnętrzny nagłówek IP, nagłówek UDP i 8-bajtowy nagłówek VXLAN, co wypycha pełny ładunek 1,500 bajtów poza MTU ścieżki zwykłego łącza internetowego o 1,500 bajtów. OpenVPN w trybie tap dokłada własny narzut w tym samym kierunku. Bez niższego MTU po stronie wewnętrznej dostajesz łącze, które odpowiada na ping i zatyka się przy pierwszym dużym transferze.

Rachunek nie kończy się na bajtach nagłówka. Rozgłaszanie i multicast, które przełącznik obsługuje w sprzęcie, jadą teraz przez WAN, a każda połączona mostem lokalizacja dziedziczy ten sam plan adresacji, zakres DHCP i zachowanie przy zduplikowanych adresach. To czyni łącze znacznie trudniejszym do audytu niż pula routowana z jednym prefiksem na lokalizację.

Policz, zanim wybierzesz. Zajęty segment replikowany do trzech lokalizacji może przenieść więcej ruchu rozgłoszeniowego niż transfery plików, dla których go zbudowano.

Sprawdź, jaki rodzaj L2 VPN ci oferują

Sam termin jest niejednoznaczny, a ta niejednoznaczność decyduje, kto przenosi twój ruch. Czasem opisuje ładunek: ramki Ethernet w IP, wysyłane przez internet jak każdy inny tunel, tak jak robią to VXLAN, ZeroTier i tryb tap OpenVPN. Czasem opisuje kupioną usługę: linię Ethernet operatora albo pseudoprzewód MPLS, który łączy dwie lokalizacje w jednej sieci dostawcy.

Oba dają ci segment, więc aplikacja nie potrafi ich rozróżnić, ale różnica operacyjna jest duża. Nakładka zostawia odpowiedzialność za MTU, szyfrowanie i ścieżkę poniżej. Usługa operatora przejmuje to i pobiera za to opłatę, a twoich ramek w ogóle nie będzie routować przez publiczny internet. Który wariant chcesz, zależy od tego, czy dwie lokalizacje dzielą operatora, czy tylko firmę.

Sprawdź tańsze obejście, zanim połączysz mostem

Większość próśb o połączone łącze bierze się z jednego zepsutego wyszukiwania nazw, a nie z protokołu, który naprawdę potrzebuje ramek. Przepuść najpierw resolver i domenę wyszukiwania przez tunel routowany: dhcp-option DNS 10.8.0.1 razem z dhcp-option DOMAIN internal.example w konfiguracji serwera OpenVPN rozwiązuje zaskakująco wiele z nich. Lokalny forwarder po drugiej stronie robi to samo, nie przenosząc żadnego ruchu rozgłoszeniowego.

Jeśli jedno stare narzędzie nadal zawodzi, umieść je za proxy lub hostem pośredniczącym w segmencie docelowym. Pojedynczy forwarder TCP jest tańszy w utrzymaniu niż połączony mostem WAN.

Zamknij decyzję po kolei: czy ruch niesie EtherType inny niż IP, czy odkrywanie musi przekroczyć łącze, czy MTU wchłonie dodatkowe nagłówki, czy linia operatora jest rzeczywiście dostępna i czy obejście routowane zawiodło z powodu, który umiesz nazwać? Nie na każdym etapie kończy spór na korzyść tunelu, który już masz. Zarchiwizuj zrzut i listę EtherType wraz z zapisem zmian, bo następna osoba zada to samo pytanie i nie będzie chciała powtarzać pomiaru.