L2 VPN verzus L3 tunel: päť kontrol pred premostením lokality

Prepájate lokalitu, pretože nejaký nástroj trvá na tom, že musí byť v tej istej sieti, a o tri týždne neskôr o druhej ráno čítate logy prepínača. Takýto pocit rozhoduje o príliš mnohých spojeniach Ethernet-over-IP. Tu je naozaj dôležitý len jeden rozdiel: či putujú celé rámce od konca do konca, alebo len IP pakety. Vykonajte päť kontrol nižšie po poradí a zastavte sa pri prvej, ktorá zlyhá.

Skontrolujte, čo aplikácia skutočne posiela do siete

Skôr než sa v diskusii objaví akékoľvek meno produktu, zachyťte minútu prevádzky, ktorá musí prejsť spojením: tcpdump -i eth0 -nn -e 'not ip'. Prepínač -e vypisuje hlavičku linkovej vrstvy, a to je presne tá časť, ktorú smerovaný tunel zahadzuje. Ak záznam zostane prázdny, vaša aplikácia hovorí IP a L3 tunel ju prenáša bez zmeny. Ak sa rámce predsa objavia, poznačte EtherType, pretože 0x0806 je ARP, 0x88cc je LLDP a hodnota výrobcu zvyčajne znamená objavovací protokol bez záložnej cesty cez IP. V tomto bode už bežné tun rozhranie nestačí.

Zachyťte prevádzku aj na vzdialenej strane. Rámec, ktorý existuje len vnútri virtuálneho prepínača jedného hostiteľa, nie je dôvod naťahovať broadcastovú doménu cez WAN.

Skontrolujte, či objavovanie musí prekročiť spojenie

Smerovaný tunel nemá žiadny zdieľaný segment, takže nič adresované skupine sa na druhú stranu nedostane. ARP, broadcasty DHCP, mDNS na 224.0.0.251, SSDP a dopyty na mená NetBIOS všetky predpokladajú spojenie, ktoré počuje niekoľko hostiteľov naraz.

Opýtajte sa, od ktorých z nich aplikácia skutočne závisí a či na ne už existuje proxy. DHCP relay, odraz mDNS a statické záznamy ARP každý odstraňujú jednu závislosť a každý je ďalšia služba, ktorú treba prevádzkovať a sledovať. Keď zostanú dve alebo tri, premostenie je poctivá odpoveď.

Skontrolujte, koľko vás stojí hlavička navyše

Rámce potrebujú niekde žiť, takže všetko, čo odošlete, dostane okolo seba druhý zásobník hlavičiek. V prekrytí VXLAN to znamená vonkajšiu IP hlavičku, UDP hlavičku a 8-bajtovú hlavičku VXLAN, čo vytlačí plnohodnotný 1,500-bajtový obsah za MTU cesty bežného internetového spoja s 1,500 bajtmi. OpenVPN v režime tap pridáva svoju vlastnú réžiu rovnakým smerom. Bez nižšieho MTU na vnútornej strane dostanete spojenie, ktoré odpovedá na ping a zasekne sa pri prvom veľkom prenose.

Účet sa nekončí pri bajtoch hlavičky. Broadcast a multicast, ktoré prepínač spracúva v hardvéri, teraz idú cez WAN a každá premostená lokalita dedí rovnaký plán adries, rozsah DHCP a správanie pri duplicitných adresách. To robí spojenie podstatne ťažšie auditovateľné než smerovaný fond s jedným prefixom na lokalitu.

Spočítajte to skôr, než si vyberiete. Zaneprázdnený segment replikovaný do troch lokalít môže preniesť viac broadcastovej prevádzky než prenosy súborov, pre ktoré vznikol.

Skontrolujte, aký druh L2 VPN vám ponúkajú

Samotný termín je nejednoznačný a tá nejednoznačnosť rozhoduje o tom, kto ponesie vašu prevádzku. Niekedy opisuje obsah: Ethernetové rámce vnútri IP, posielané cez internet ako každý iný tunel, ako to robia VXLAN, ZeroTier a režim tap OpenVPN. Niekedy opisuje kúpenú službu: okruh Ethernet od operátora alebo pseudovodič MPLS, ktorý spája dve lokality vnútri jednej siete poskytovateľa.

Oba vám dajú segment, takže ich aplikácia nerozozná, ale prevádzkový rozdiel je veľký. Prekrytie necháva na vás MTU, šifrovanie a spodnú cestu. Služba operátora to preberá a účtuje si to a vaše rámce vôbec nebude smerovať cez verejný internet. Ktorý chcete, závisí od toho, či dve lokality zdieľajú operátora alebo len firmu.

Skontrolujte lacnejšie obídenie, než premostíte

Väčšina žiadostí o premostené spojenie prichádza z jedného pokazeného vyhľadávania mien, nie z protokolu, ktorý rámce naozaj potrebuje. Najprv prežeňte resolver a vyhľadávaciu doménu smerovaným tunelom: dhcp-option DNS 10.8.0.1 spolu s dhcp-option DOMAIN internal.example v konfigurácii servera OpenVPN vyrieši prekvapivo veľa z nich. Miestny preposielač na vzdialenej strane robí tú istú prácu bez presúvania akejkoľvek broadcastovej prevádzky.

Ak jeden starší nástroj stále zlyháva, umiestnite ho za proxy alebo skokového hostiteľa v cieľovom segmente. Jeden preposielač TCP sa prevádzkuje lacnejšie než premostený WAN.

Uzavrite rozhodnutie po poradí: nesie prevádzka iný EtherType ako IP, musí objavovanie prekročiť spojenie, dokáže MTU pohltiť hlavičky navyše, je okruh poskytovateľa skutočne dostupný a zlyhalo smerované obídenie z dôvodu, ktorý viete pomenovať? Nie v ktoromkoľvek kroku ukončí spor v prospech tunela, ktorý už máte. Priložte záznam a zoznam EtherType k záznamu o zmene, pretože ďalší človek položí tú istú otázku a nebude chcieť meranie opakovať.