Kto routuje między Twoimi lokalizacjami: VPN warstwy 2 czy warstwy 3?

Zamów VPN u dostawcy, a ktoś w końcu będzie posiadał routing między lokalizacjami, niezależnie od tego, czy tego właściciela nazwałeś. Podpisz przekazanie warstwy 2, a dostawca dostarczy rurę, podczas gdy Twoje routery utworzą sąsiedztwo; podpisz usługę warstwy 3, a dostawca przeniesie Twoje prefiksy we własnym kontekście routingu. Oba są legalnymi produktami z różnymi historiami dyżuru. Przejdź zamówienie od oferty do pierwszego testu odbiorczego, a wybór przestanie być abstrakcyjny.

Zacznij od formularza przekazania, nie od slajdu topologii

Każdy dostawca w końcu wysyła formularz, który pyta, co ma Ci przekazać: pseudowire, wielopunktowy segment Ethernet albo przyłącz routowany na współdzielonej krawędzi usługi. Ta jedna odpowiedź rozstrzyga więcej niż jakikolwiek diagram w prezentacji sprzedażowej, bo ustala, gdzie zaczyna się Twoja odpowiedzialność.

Pseudowire punkt-punkt to jeden obwód między dwoma przyłączami, a usługa Ethernet wielopunktowa łączy kilka lokalizacji w jedną domenę rozgłaszania. Na diagramie wyglądają podobnie i zachowują się zupełnie inaczej, gdy pojawi się pętla albo burza rozgłoszeniowa. Potwierdź, który wariant jest oferowany, zanim zaplanujesz adresację.

Nazwy produktów tego nie rozstrzygają. Etykieta MPLS, przekazanie ciemnego włókna i nakładka internetowa mogą wszystkie nazywać się siecią prywatną, a dokumenty ramowe traktują model usługi i podział klient-dostawca jako to, co trzeba zdefiniować. Poproś o semantykę przyłącza na piśmie, a potem odczytaj ją swojemu zespołowi prostymi słowami.

Przeczytaj, co dotarło w dniu uruchomienia

W dniu uruchomienia spójrz na interfejs, który dostałeś, zanim cokolwiek na nim skonfigurujesz. Przyłącz routowany warstwy 3 zwykle pojawia się jako port z małą podsiecią punkt-punkt albo jako następny skok, do którego musisz dotrzeć. Przyłącz warstwy 2 pojawia się jako łącze oczekujące ramek, więc pierwsze użyteczne polecenie to sprawdzenie mostu lub sąsiada, a nie szukanie trasy.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

Te cztery linie mówią, w jakim świecie jesteś. Trasa domyślna wskazująca adres dostawcy oznacza, że dostawca routuje za Ciebie. Interfejs bez użytecznego adresu warstwy 3, ale z wypełnionym mostem, oznacza, że routingu oczekuje się od Ciebie, a każdy brakujący prefiks jest Twój do naprawienia.

Łącze wyglądające promiskuitycznie może też oznaczać, że przekazanie jest tagowane, więc potwierdź uzgodnienie VLAN, zanim obwinisz obwód. Zduplikowane adresy MAC w usłudze wielopunktowej są objawem projektu, nie awarią dostawcy.

Przydziel jednego właściciela na obiekt przed pierwszym prefiksem

Przejdź listę obiektów i powiedz na głos nazwę zespołu, który posiada każdy z nich. Prefiksy klienta i ogłoszenia między lokalizacjami. Sąsiedztwo lub identyfikator usługi, które tworzą relację z krawędzią dostawcy. Kto przerywa pętle i kto zgodził się żyć w jednej szerszej domenie rozgłaszania. Gdzie jest sufit MTU, jak zauważane są awarie i jak wraca usługa. Polityka dostępu oraz wszelkie szyfrowanie, którego usługa nie obejmuje.

Lista jest krótka, bo właśnie ta część psuje się podczas incydentu. Jeśli dwa zespoły oba wierzą, że posiadają politykę tras, awaria daje dwie sprzeczne zmiany w tej samej godzinie. Jeśli nie posiada jej nikt, pierwsza asymetryczna ścieżka przetrwa, aż klient ją zgłosi.

Usługa routowana zwykle daje granicę BGP albo statyczną, więc Twoja strona potrzebuje czytelnego stanu sesji: birdc show protocols lub odpowiednik na Twoim routerze mówi, czy sąsiedztwo jest podniesione, a liczniki mówią, czy migocze tylko w godzinach pracy. Przekazanie warstwy 2 nie daje takiego sygnału, dlatego klient musi mieć wyraźne sprawdzenie osiągalności.

Przejdź przypadek awarii jednej lokalizacji

Napisz test odbiorczy, zanim usługa wejdzie do produkcji: wyłącz przyłącz jednej lokalizacji i zapisz, co widzi każdy zespół. W usłudze warstwy 3 dostawca wycofuje osiągalność prefiksów tej lokalizacji, Twoja sesja rejestruje wycofanie, a pozostałe lokalizacje zachowują swoje ścieżki. W usłudze warstwy 2 obwód pada, Twój protokół routingu zauważa martwego sąsiada, a ta sama zbieżność zależy wyłącznie od Twoich timerów.

Przywróć łącze i sprawdź drugą połowę przypadku, bo nieaktualny stan jest zwykłą pozostałością. Potwierdź, że sąsiedztwo wraca, prefiksy wracają z oczekiwanymi atrybutami i że w tabeli nie została żadna tymczasowa trasa statyczna po incydencie.

Przetestuj też nudną awarię: jedna lokalizacja podwaja ruch. Przy przekazaniu routowanym widzisz liczniki na prefiks; przy mostkowanym może widzisz tylko przepustowość interfejsu, co zostawia Cię z zgadywaniem, który host jest odpowiedzialny.

Czego umowa nie kupuje

Etykieta warstwy 2 lub 3 nie mówi nic o opóźnieniu, dedykowanym szkielecie ani szyfrowaniu. To odrębne zobowiązania, a liczby dostępności nie implikują żadnego z nich. Przeczytaj umowę o usługę pod kątem tego, co obiecane, a wszystko inne traktuj jako założenie, które powinieneś przetestować.

Jeśli Twoim wymaganiem jest przyłącz punkt-punkt między dwoma routerami klienta, usługa warstwy 2 pasuje bez proszenia dostawcy o prowadzenie Twojego routingu wewnętrznego. Jeśli wymaganiem jest wiele lokalizacji z odrębnymi podsieciami i mały zespół operacyjny, usługa routowana zwykle usuwa pracę, którą w przeciwnym razie byś miał.

Żadne nie jest domyślne. Sprawdź wsparcie urządzeń dla enkapsulacji, rzeczywiste relacje ruchu między lokalizacjami, model nadmiarowości i to, czy Twój zespół potrafi obsługiwać część, którą właśnie zaakceptował. Potem wpisz nazwy właścicieli do runbooka, bo to jedyna część decyzji, która przetrwa zmiany personelu.