L2 VPN proti tunelu L3: pet preverjanj, preden lokacijo povežete z mostom

Lokacijo povežete z mostom, ker neko orodje vztraja, da mora biti v istem omrežju, in tri tedne pozneje ob dveh zjutraj berete dnevnike stikala. Takšna intuicija odloča o preveč povezavah Ethernet-over-IP. Tu je res pomembna le ena razlika: ali potujejo celi okviri od konca do konca ali samo paketi IP. Izvedite pet preverjanj spodaj po vrsti in ustavite se pri prvem, ki ne uspe.

Preverite, kaj aplikacija v resnici pošilja na žico

Preden v razpravo pride kakršno koli ime izdelka, zajemite minuto prometa, ki mora prečkati povezavo: tcpdump -i eth0 -nn -e 'not ip'. Stikalo -e izpiše glavo povezavnega sloja in to je natanko tisti del, ki ga usmerjeni tunel zavrže. Če zajem ostane prazen, vaša aplikacija govori IP in tunel L3 jo prenaša nespremenjeno. Če se okviri vseeno pojavijo, zapišite EtherType, ker 0x0806 je ARP, 0x88cc je LLDP, vrednost proizvajalca pa običajno pomeni protokol odkrivanja brez rezervne poti prek IP. Na tej točki običajen tun vmesnik ne zadošča več.

Zajem ponovite tudi na oddaljeni strani. Okvir, ki obstaja le znotraj navideznega stikala enega gostitelja, ni razlog za raztegovanje območja razširjanja čez WAN.

Preverite, ali mora odkrivanje prečkati povezavo

Usmerjeni tunel nima skupnega segmenta, zato nič naslovljeno na skupino ne doseže drugega konca. ARP, razširjanja DHCP, mDNS na 224.0.0.251, SSDP in poizvedbe imen NetBIOS vse predpostavljajo povezavo, ki jo sliši več gostiteljev hkrati.

Vprašajte, od katerih od teh je aplikacija res odvisna in ali zanje že obstaja posrednik. Posrednik DHCP, odsev mDNS in statični vnosi ARP vsak odstranijo eno odvisnost in vsak je še ena storitev, ki jo je treba poganjati in nadzorovati. Ko ostaneta dva ali trije, je povezava z mostom pošten odgovor.

Preverite, koliko vas stane dodatna glava

Okviri morajo nekje živeti, zato vse, kar pošljete, dobi okoli sebe drug sklad glav. V prekrivanju VXLAN to pomeni zunanjo glavo IP, glavo UDP in 8-bajtno glavo VXLAN, kar potisne polno 1,500-bajtno breme čez MTU poti običajne internetne povezave s 1,500 bajti. OpenVPN v načinu tap doda svoje lastne stroške v isto smer. Brez nižjega MTU na notranji strani dobite povezavo, ki odgovarja na ping in se ustavi pri prvem velikem prenosu.

Račun se ne ustavi pri bajtih glave. Razširjanje in multicast, ki ju stikalo obdela v strojni opremi, zdaj potujeta čez WAN, in vsaka lokacija z mostom podeduje isti načrt naslovov, isto območje DHCP in enako vedenje pri podvojenih naslovih. To naredi povezavo veliko težje revidirati kot usmerjeni nabor z eno predpono na lokacijo.

Izračunajte, preden izberete. Zaseden segment, repliciran na tri lokacije, lahko premakne več razširjevalnega prometa kot prenosi datotek, za katere je bil zgrajen.

Preverite, kakšno vrsto L2 VPN vam ponujajo

Sam izraz je dvoumen in ta dvoumnost odloča, kdo prenaša vaš promet. Včasih opisuje breme: okvire Ethernet znotraj IP, poslane prek interneta kot vsak drug tunel, kot to počnejo VXLAN, ZeroTier in način tap OpenVPN. Včasih opisuje kupljeno storitev: vod Ethernet operaterja ali psevdožič MPLS, ki poveže dve lokaciji znotraj enega omrežja ponudnika.

Oba vam data segment, zato ju aplikacija ne more ločiti, a operativna razlika je velika. Prekrivanje vam pusti odgovornost za MTU, šifriranje in spodnjo pot. Storitev operaterja to prevzame in zaračuna, svojih okvirov pa sploh ne bo usmerjala po javnem internetu. Katerega želite, je odvisno od tega, ali si dve lokaciji delita operaterja ali samo podjetje.

Preverite cenejšo rešitev, preden povežete z mostom

Večina zahtev za povezavo z mostom izhaja iz enega pokvarjenega iskanja imen, ne iz protokola, ki res potrebuje okvire. Najprej spustite razreševalnik in iskalno domeno skozi usmerjeni tunel: dhcp-option DNS 10.8.0.1 skupaj z dhcp-option DOMAIN internal.example v konfiguraciji strežnika OpenVPN reši presenetljivo veliko od njih. Lokalni posredovalnik na oddaljeni strani opravi isto delo, ne da bi premaknil kakršen koli razširjevalni promet.

Če eno staro orodje še vedno ne uspe, ga postavite za posrednik ali skočnega gostitelja v ciljnem segmentu. En sam posredovalnik TCP je cenejši za upravljanje kot WAN z mostom.

Zaprite odločitev po vrsti: ali promet nosi EtherType, ki ni IP, ali mora odkrivanje prečkati povezavo, ali lahko MTU absorbira dodatne glave, ali je vod ponudnika res na voljo in ali je usmerjena rešitev spodletela iz razloga, ki ga znate imenovati? Ne v katerem koli koraku konča razpravo v korist tunela, ki ga že imate. Arhivirajte zajem in seznam EtherType skupaj z zapisom spremembe, ker bo naslednja oseba postavila isto vprašanje in ne bo želela ponoviti meritve.