Uma WAN de laboratório a partir de uma VLAN: segmento plano ou transporte roteado

Um switch gerenciado e uma VLAN extra darão a você dois gateways VPN que conversam por um segmento isolado em uma tarde. O que esse segmento prova é mais estreito do que as pessoas esperam da palavra WAN. Ele reproduz um caminho Ethernet direto, o que é útil, e omite quase tudo o que a internet faz com os pacotes pelo caminho. Escolher entre um segmento plano e um transporte de laboratório roteado é na verdade uma pergunta sobre quais comportamentos você pretende testar.

Dois desenhos, duas lições diferentes

Um segmento plano coloca as duas interfaces WAN e um host de teste em uma VLAN, com endereços do mesmo prefixo. Tudo alcança tudo diretamente, e a única coisa entre os gateways é o switch. É uma topologia real, só não muito interessante.

Um transporte roteado adiciona um roteador de laboratório e pelo menos dois segmentos, então os gateways ficam em sub-redes diferentes com um gateway padrão entre eles. Essa disposição custa mais um dispositivo e uma tabela de roteamento, e compra os comportamentos que um único domínio de broadcast não pode produzir.

O que o segmento plano prova

Ele prova alcançabilidade, autenticação, acordo sobre a proposta e que o tráfego entra e sai do túnel onde você espera. Essas são as falhas que consomem a maior parte do tempo de solução de problemas, e um segmento plano as encontra sem qualquer complexidade de roteamento no caminho. Se o túnel não subir aqui, nenhuma quantidade de realismo de internet ajudará.

Ele também é a forma certa para uma linha de base repetível. Quando um teste posterior falhar, você pode executar novamente o caso plano e saber se a mudança ou a nova condição o causou. Anote a linha de base com os endereços dela, porque você precisará reconstruí-la mais tarde.

O que o roteamento acrescenta

Sub-redes WAN diferentes significam que os gateways precisam rotear em vez de se endereçarem no link, e é aqui que aparecem erros de gateway padrão e caminhos de retorno assimétricos. A filtragem intermediária e um salto entre eles permitem testar o que acontece quando um caminho não é direto.

O custo são mais lugares para errar. Cada dispositivo extra é outra configuração que pode discordar do desenho, e um laboratório que ninguém consegue reconstruir a partir de notas deixa de ser um laboratório. Guarde a configuração do roteador nessas notas, não apenas no estado em execução.

O que nenhum dos dois desenhos reproduz

A tradução da operadora é a grande omissão. Um gateway que funciona no link pode falhar atrás da tradução de endereços, e um segmento plano não tem tradução alguma. Mudar endereços de origem, uma transferência celular e as filas que fazem uma chamada falhar também estão ausentes.

O tamanho do caminho é a segunda omissão. Um laboratório com um switch e um roteador quase nunca produz o tamanho máximo menor que um caminho real impõe, então um bug de fragmentação fica escondido até o equipamento chegar a um site. Essa lacuna explica como um túnel passa em todos os testes de laboratório e ainda falha na primeira instalação. Ela também define as expectativas sobre o que o laboratório pode prometer.

Adicione uma condição de cada vez quando o exercício precisar, e mantenha uma execução sem essa condição como linha de base. Caso contrário, uma falha é atribuída a um comportamento de internet que o laboratório nunca implementou. Etiquete cada execução com a condição que ela acrescentou, ou a linha de base deixa de significar qualquer coisa.

Manter o laboratório delimitado

Use uma faixa privada aprovada que não se sobreponha à produção e registre a atribuição. As faixas de documentação são exemplos para diagramas, não endereços para um laboratório em funcionamento, e uma sobreposição descoberta depois produz uma falha de roteamento que parece um bug de VPN.

Mantenha visível a posição do cliente de teste. Um host do lado privado percorre um caminho diferente de um host na WAN simulada, e uma interface de switch acidental ou um segundo uplink pode contornar o firewall que você queria testar. Um desenho com a posição do cliente marcada evita a maioria dessas surpresas.

Antes de qualquer parte do equipamento voltar a um uplink real, remova a configuração específica do laboratório e faça o proprietário da produção revisá-la. Um segmento é valioso porque o comportamento dele é conhecido e delimitado, e é exatamente isso que o torna inseguro para levar à produção sem mudanças.