Лабораторная WAN из одного VLAN: плоский сегмент или маршрутизируемый транспорт

Один управляемый коммутатор и запасной VLAN за один день дадут вам два шлюза VPN, которые общаются через изолированный сегмент. То, что доказывает этот сегмент, уже, чем люди ожидают от слова WAN. Он воспроизводит прямой путь Ethernet, что полезно, и опускает почти всё, что интернет делает с пакетами по дороге. Выбор между плоским сегментом и маршрутизируемым лабораторным транспортом на самом деле является вопросом о том, какие поведения вы собираетесь проверять.

Две схемы, два разных урока

Плоский сегмент помещает оба интерфейса WAN и тестовый хост в один VLAN, с адресами из одного префикса. Всё достигает всего напрямую, и единственное, что находится между шлюзами, — это коммутатор. Это реальная топология, просто не очень интересная.

Маршрутизируемый транспорт добавляет лабораторный маршрутизатор и как минимум два сегмента, поэтому шлюзы сидят в разных подсетях со шлюзом по умолчанию между ними. Такая схема стоит ещё одно устройство и таблицу маршрутизации, и покупает поведения, которые один широковещательный домен не может создать.

Что доказывает плоский сегмент

Он доказывает доступность, аутентификацию, согласие по предложению и то, что трафик входит в туннель и выходит там, где вы ожидаете. Это те отказы, которые съедают большую часть времени поиска неисправностей, и плоский сегмент находит их без какой-либо сложности маршрутизации на пути. Если туннель здесь не поднимается, никакое количество интернет-реализма не поможет.

Это также правильная форма для повторяемой базовой линии. Когда более поздний тест не удаётся, вы можете ещё раз запустить плоский случай и узнать, вызвало ли это изменение или новое условие. Запишите базовую линию с её адресами, потому что позже её придётся восстанавливать заново.

Что добавляет маршрутизация

Разные подсети WAN означают, что шлюзы должны маршрутизировать, а не адресовать друг друга на канале, и именно здесь появляются ошибки шлюза по умолчанию и асимметричные обратные пути. Промежуточная фильтрация и один переход между ними позволяют вам проверить, что происходит, когда путь не является прямым.

Цена — больше мест, где можно ошибиться. Каждое дополнительное устройство — это ещё одна конфигурация, которая может расходиться с чертежом, а лаборатория, которую никто не может восстановить по заметкам, перестаёт быть лабораторией. Храните конфигурацию маршрутизатора в этих заметках, а не только в его рабочем состоянии.

Чего не воспроизводит ни одна из схем

Преобразование у оператора — это большой пропуск. Шлюз, который работает на канале, может отказать за преобразованием адресов, а у плоского сегмента преобразования нет вовсе. Изменение исходных адресов, сотовое переключение и очереди, из-за которых звонок заикается, также отсутствуют.

Размер пути — второй пропуск. Лаборатория с одним коммутатором и одним маршрутизатором почти никогда не создаёт меньший максимальный размер, который навязывает реальный путь, поэтому ошибка фрагментации остаётся скрытой, пока оборудование не доедет до площадки. Этот разрыв объясняет, как туннель проходит каждый лабораторный тест и всё же отказывает при первой установке. Он также задаёт ожидания относительно того, что лаборатории разрешено обещать.

Добавляйте по одному условию за раз, когда этого требует упражнение, и сохраняйте прогон без этого условия в качестве базовой линии. Иначе сбой списывают на поведение интернета, которое лаборатория никогда не реализовала. Помечайте каждый прогон условием, которое он добавил, иначе базовая линия перестаёт что-либо значить.

Как удержать лабораторию в границах

Используйте одобренный частный диапазон, который не пересекается с производством, и фиксируйте назначение. Диапазоны документации — это примеры для диаграмм, а не адреса для работающей лаборатории, и пересечение, обнаруженное позже, порождает сбой маршрутизации, который выглядит как ошибка VPN.

Держите позицию тестового клиента видимой. Хост на частной стороне проходит иной путь, чем хост в моделируемой WAN, а случайный интерфейс коммутатора или второе восходящее соединение могут обойти межсетевой экран, который вы хотели проверить. Чертёж с отмеченной позицией клиента предотвращает большую часть таких сюрпризов.

Прежде чем какая-либо часть оборудования вернётся на реальное восходящее соединение, удалите конфигурацию, специфичную для лаборатории, и дайте владельцу производства её проверить. Сегмент ценен тем, что его поведение известно и ограничено, и именно это делает опасным переносить его в производство без изменений.