Quem encaminha entre as suas sedes: VPN de camada 2 ou de camada 3?

Peça uma VPN a um fornecedor e alguém acabará por assumir o encaminhamento entre sedes, tenha você nomeado esse responsável ou não. Assine uma entrega de camada 2 e o fornecedor entrega um tubo enquanto os seus routers formam a adjacência; assine um serviço de camada 3 e o fornecedor transporta os seus prefixos dentro do seu próprio contexto de encaminhamento. Ambos são produtos legítimos com histórias de piquete diferentes. Percorra o pedido desde o orçamento até ao primeiro teste de aceitação e a escolha deixa de ser abstrata.

Comece pelo formulário de entrega, não pelo diapositivo da topologia

Todos os fornecedores acabam por enviar um formulário que pergunta o que devem entregar-lhe: um pseudocircuito, um segmento Ethernet multiponto ou uma ligação encaminhada numa extremidade de serviço partilhada. Essa única resposta decide mais do que qualquer diagrama da apresentação comercial, porque fixa onde começa a sua responsabilidade.

Um pseudocircuito ponto a ponto é um circuito entre duas ligações, e um serviço Ethernet multiponto junta várias sedes num único domínio de difusão. Num diagrama parecem iguais e comportam-se de forma muito diferente assim que há um ciclo ou uma tempestade de difusão. Confirme qual está a ser orçamentado antes de planear o endereçamento.

Os nomes dos produtos não resolvem isto. Uma etiqueta MPLS, uma entrega de fibra escura e uma sobreposição por internet podem todas chamar-se rede privada, e os documentos de referência tratam o modelo de serviço e a separação cliente-fornecedor como aquilo que tem de ser definido. Peça a semântica da ligação por escrito e depois leia-a à sua equipa em palavras simples.

Leia o que chegou no dia da ativação

No dia da ativação, olhe para a interface que lhe deram antes de configurar qualquer coisa por cima dela. Uma ligação encaminhada de camada 3 aparece normalmente como uma porta com uma sub-rede ponto a ponto pequena ou como um próximo salto que tem de alcançar. Uma ligação de camada 2 aparece como um elo que espera tramas, por isso o seu primeiro comando útil é uma verificação de ponte ou de vizinho, não uma consulta de rota.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

Essas quatro linhas dizem-lhe em que mundo está. Uma rota predefinida que aponta para um endereço do fornecedor significa que o fornecedor encaminha por si. Uma interface sem endereço de camada 3 útil mas com a ponte preenchida significa que se espera que encaminhe você, e qualquer prefixo em falta é seu para corrigir.

Um elo que parece promíscuo também pode significar que a entrega está marcada, por isso confirme o acordo de VLAN antes de culpar o circuito. Endereços MAC duplicados num serviço multiponto são um sintoma de conceção, não uma falha do fornecedor.

Atribua um único responsável por objeto antes do primeiro prefixo

Percorra a lista de objetos e diga em voz alta o nome da equipa que possui cada um. Prefixos de cliente e os anúncios entre sedes. A adjacência ou o identificador de serviço que forma a relação com a extremidade do fornecedor. Quem quebra ciclos e quem aceitou viver num domínio de difusão mais amplo. Onde está o teto de MTU, como se notam as falhas e como o serviço regressa. Política de acesso, mais qualquer cifra que o serviço não inclua.

A lista é curta porque é a parte que se rompe durante um incidente. Se duas equipas acreditam ambas que possuem a política de encaminhamento, uma falha produz duas alterações contraditórias na mesma hora. Se ninguém a possuir, o primeiro caminho assimétrico sobrevive até um cliente o reportar.

Um serviço encaminhado dá-lhe normalmente uma fronteira BGP ou estática, por isso o seu lado precisa de um estado de sessão que possa ler: birdc show protocols ou o equivalente no seu router diz se a adjacência está ativa, e os contadores dizem se só oscila em horário laboral. Uma entrega de camada 2 não dá esse sinal, por isso o cliente tem de possuir uma verificação de alcance explícita.

Percorra o caso de falha de uma sede

Escreva o teste de aceitação antes de o serviço entrar em produção: derrube uma ligação de sede e registe o que cada equipa vê. Num serviço de camada 3 o fornecedor retira o alcance dos prefixos dessa sede, a sua sessão registra a retirada e as restantes sedes mantêm os seus caminhos. Num serviço de camada 2 o circuito cai, o seu protocolo de encaminhamento deteta um vizinho morto e a mesma convergência depende inteiramente dos seus temporizadores.

Restaure o elo e verifique a segunda metade do caso, porque o estado obsoleto é o resíduo habitual. Confirme que a adjacência regressa, que os prefixos voltam com os atributos esperados e que não fica nenhuma rota estática temporária na tabela do incidente.

Teste também a falha aborrecida: uma única sede a duplicar o seu tráfego. Numa entrega encaminhada vê contadores por prefixo; numa ligada por ponte talvez só veja o caudal da interface, o que o deixa a adivinhar que anfitrião é o responsável.

O que o contrato não compra

Uma etiqueta de camada 2 ou de camada 3 não diz nada sobre latência, espinhas dorsais dedicadas ou cifra. São compromissos separados, e as cifras de disponibilidade não implicam nenhum deles. Leia o acordo de serviço quanto ao que é prometido e trate tudo o resto como uma suposição que deve testar.

Se o seu requisito é uma ligação ponto a ponto entre dois routers de cliente, um serviço de camada 2 encaixa sem pedir ao fornecedor que opere o seu encaminhamento interior. Se o requisito são muitas sedes com sub-redes distintas e uma pequena equipa de operações, um serviço encaminhado normalmente retira trabalho que de outro modo seria seu.

Nenhum dos dois é predefinido. Verifique o suporte dos equipamentos para a encapsulação, as relações reais de tráfego entre sedes, o modelo de redundância e se a sua equipa consegue operar a parte que acabou de aceitar. Depois escreva os nomes dos responsáveis no runbook, porque é a única parte da decisão que sobrevive a mudanças de pessoal.