Laboratoryjny WAN z jednego VLAN: płaski segment czy transport routowany

Jeden zarządzany przełącznik i zapasowy VLAN dadzą ci w jedno popołudnie dwie bramy VPN, które rozmawiają przez izolowany segment. To, co ten segment udowadnia, jest węższe niż to, czego ludzie oczekują od słowa WAN. Odtwarza bezpośrednią ścieżkę Ethernet, co jest przydatne, i pomija prawie wszystko, co internet robi z pakietami po drodze. Wybór między płaskim segmentem a routowanym transportem laboratoryjnym to właściwie pytanie o to, jakie zachowania zamierzasz testować.

Dwa projekty, dwie różne lekcje

Płaski segment umieszcza oba interfejsy WAN i hosta testowego w jednym VLAN, z adresami z tego samego prefiksu. Wszystko dociera do wszystkiego bezpośrednio, a jedyną rzeczą między bramami jest przełącznik. To prawdziwa topologia, tylko niezbyt interesująca.

Routowany transport dodaje router laboratoryjny i co najmniej dwa segmenty, więc bramy siedzą w różnych podsieciach z bramą domyślną pomiędzy nimi. Ten układ kosztuje jeszcze jedno urządzenie i tablicę routingu, a kupuje zachowania, których jedna domena rozgłoszeniowa nie może wytworzyć.

Co udowadnia płaski segment

Udowadnia osiągalność, uwierzytelnianie, zgodę co do propozycji i to, że ruch wchodzi do tunelu i wychodzi z niego tam, gdzie oczekujesz. To właśnie awarie, które pochłaniają większość czasu rozwiązywania problemów, a płaski segment znajduje je bez żadnej złożoności routingu na drodze. Jeśli tunel tu nie wstanie, żadna ilość realizmu internetu nie pomoże.

To także właściwa forma dla powtarzalnej linii bazowej. Gdy późniejszy test zawiedzie, możesz ponownie uruchomić przypadek płaski i wiedzieć, czy spowodowała to zmiana, czy nowy warunek. Zapisz linię bazową wraz z jej adresami, bo później będziesz musiał ją odtworzyć.

Co dodaje routing

Różne podsieci WAN oznaczają, że bramy muszą routować, zamiast adresować się nawzajem na łączu, i właśnie tutaj pojawiają się błędy bramy domyślnej i asymetryczne ścieżki powrotne. Filtrowanie pośrednie i jeden przeskok pomiędzy nimi pozwalają ci sprawdzić, co się dzieje, gdy ścieżka nie jest bezpośrednia.

Koszt to więcej miejsc, w których można się pomylić. Każde dodatkowe urządzenie to kolejna konfiguracja, która może nie zgadzać się z rysunkiem, a laboratorium, którego nikt nie potrafi odtworzyć z notatek, przestaje być laboratorium. Trzymaj konfigurację routera w tych notatkach, a nie tylko w jego stanie działania.

Czego nie odtwarza żaden z obu projektów

Tłumaczenie u operatora to duże pominięcie. Brama, która działa na łączu, może zawieść za tłumaczeniem adresów, a płaski segment nie ma żadnego tłumaczenia. Zmiana adresów źródłowych, przekazanie komórkowe i kolejki, od których rozmowa się jąka, również nie występują.

Rozmiar ścieżki to drugie pominięcie. Laboratorium z jednym przełącznikiem i jednym routerem prawie nigdy nie wytwarza mniejszego maksymalnego rozmiaru, który narzuca prawdziwa ścieżka, więc błąd fragmentacji pozostaje ukryty, dopóki sprzęt nie dotrze na miejsce. Ta luka wyjaśnia, jak tunel przechodzi każdy test laboratoryjny i mimo to zawodzi przy pierwszej instalacji. Ustala też oczekiwania co do tego, co laboratorium może obiecać.

Dodawaj po jednym warunku na raz, gdy ćwiczenie tego wymaga, i utrzymuj przebieg bez tego warunku jako linię bazową. Inaczej awaria jest przypisywana zachowaniu internetu, którego laboratorium nigdy nie zaimplementowało. Oznacz każdy przebieg dodanym warunkiem, inaczej linia bazowa przestaje cokolwiek znaczyć.

Utrzymywanie laboratorium w granicach

Używaj zatwierdzonego zakresu prywatnego, który nie nakłada się na produkcję, i zapisuj przydział. Zakresy dokumentacyjne to przykłady do diagramów, a nie adresy dla działającego laboratorium, a nakładanie się odkryte później daje błąd routingu, który wygląda jak błąd VPN.

Utrzymuj widoczną pozycję klienta testowego. Host po stronie prywatnej idzie inną ścieżką niż host w symulowanym WAN, a przypadkowy interfejs przełącznika lub drugi uplink może ominąć zaporę, którą chciałeś przetestować. Rysunek z zaznaczoną pozycją klienta zapobiega większości tych niespodzianek.

Zanim jakakolwiek część sprzętu wróci do prawdziwego uplinku, usuń konfigurację specyficzną dla laboratorium i pozwól właścicielowi produkcji ją przejrzeć. Segment jest cenny, ponieważ jego zachowanie jest znane i ograniczone, i właśnie to czyni go niebezpiecznym do przeniesienia do produkcji bez zmian.