VPN L2 kundrejt tunelit L3: pesë kontrolle përpara se të ura një vend

Ju uroni një vend sepse një mjet këmbëngul se duhet të jetë në të njëjtin rrjet, dhe tri javë më vonë lexoni regjistrat e ndërprerësit në orën dy të mëngjesit. Ky lloj parandjenje vendos për shumë lidhje Ethernet-mbi-IP. Këtu vërtet rëndësi ka vetëm një ndryshim: nëse kornizat e plota udhëtojnë nga njëri skaj në tjetrin, apo vetëm paketat IP. Kryeni pesë kontrollet më poshtë me radhë dhe ndaloni në të parën që dështon.

Kontrolloni çfarë vendos në të vërtetë aplikacioni në tel

Përpara se ndonjë emër produkti të hyjë në diskutim, kapni një minutë të trafikut që duhet të kalojë lidhjen: tcpdump -i eth0 -nn -e 'not ip'. Opsioni -e shtyp kryetaren e shtresës së lidhjes, dhe pikërisht kjo është pjesa që hedh tej një tunel i rrugëzuar. Nëse kapja mbetet bosh, aplikacioni juaj flet IP dhe një tunel L3 e transporton të pandryshuar. Nëse shfaqen korniza, shënoni EtherType, sepse 0x0806 është ARP, 0x88cc është LLDP, dhe një vlerë prodhuesi zakonisht do të thotë protokoll zbulimi pa alternativë IP. Pikërisht në këtë pikë një tun ndërfaqe e zakonshme nuk mjafton më.

Përsëriteni kapjen edhe në anën e largët. Një kornizë që ekziston vetëm brenda ndërprerësit virtual të një hosti nuk është arsye për të zgjatur një domen transmetimi përgjatë një WAN.

Kontrolloni nëse zbulimi duhet ta kalojë lidhjen

Një tunel i rrugëzuar nuk ka segment të përbashkët, pra asgjë e adresuar për një grup nuk arrin në skajin tjetër. ARP, transmetimet DHCP, mDNS në 224.0.0.251, SSDP dhe kërkesat për emra NetBIOS të gjitha supozojnë një lidhje që disa hoste e dëgjojnë njëkohësisht.

Pyetni nga cila prej tyre varet vërtet aplikacioni dhe nëse ekziston tashmë një proxy për to. Releu DHCP, reflektimi mDNS dhe zërat statikë ARP secili heq nga një varësi, dhe secili është edhe një shërbim tjetër që duhet nisur dhe mbikëqyrur. Kur mbeten dy ose tre, ura është përgjigjja e ndershme.

Kontrolloni sa ju kushton kryetarja shtesë

Kornizat kanë nevojë për një vend ku të jetojnë, prandaj gjithçka që dërgoni merr një pirg të dytë kryetarësh përreth. Në një shtresëzim VXLAN kjo do të thotë një kryetare IP të jashtme, një kryetare UDP dhe një kryetare VXLAN prej 8 bajtësh, çka e shtyn një ngarkesë të plotë prej 1,500 bajtësh përtej MTU-së së rrugës të një lidhje interneti të zakonshme prej 1,500 bajtësh. OpenVPN në modalitetin tap shton sipërfaqen e vet në të njëjtin drejtim. Pa një MTU më të ulët në anën e brendshme merrni një lidhje që përgjigjet ndaj ping dhe ngec në transferimin e parë të madh.

Fatura nuk ndalon te bajtët e kryetares. Transmetimi dhe multicast-i që ndërprerësi trajton në harduer tani udhëtojnë përmes WAN-it, dhe çdo vend i uruar trashëgon të njëjtin plan adresash, të njëjtin fushë DHCP dhe të njëjtën sjellje me adresa të dyfishta. Kjo e bën lidhjen shumë më të vështirë për auditim sesa një pishinë e rrugëzuar me një prefiks për vend.

Bëni llogaritë përpara se të zgjidhni. Një segment i zënë i replikuar në tre vende mund të lëvizë më shumë trafik transmetimi sesa transferimet e skedarëve për të cilat u ndërtua.

Kontrolloni çfarë lloj VPN L2 po ju ofrohet

Vetë termi është i paqartë, dhe paqartësia vendos kush e transporton trafikun tuaj. Ndonjëherë përshkruan ngarkesën: korniza Ethernet brenda IP, të dërguara përmes internetit si çdo tunel tjetër, siç bëjnë VXLAN, ZeroTier dhe modaliteti tap i OpenVPN. Ndonjëherë përshkruan një shërbim të blerë: një qark Ethernet operatori ose një pseudo-tel MPLS që bashkon dy vende brenda një rrjeti të vetëm të një ofruesi.

Të dy ju japin një segment, prandaj aplikacioni nuk mund t'i dallojë, por ndryshimi operativ është i madh. Shtresëzimi ju lë përgjegjësinë për MTU-në, kriptimin dhe rrugën nën të. Një shërbim operatori i merr ato përsipër dhe i faturon, dhe nuk do t'i rrugëzojë fare kornizat tuaja përmes internetit publik. Cilin dëshironi varet nga fakti nëse dy vendet ndajnë një operator apo thjesht ndajnë një kompani.

Kontrolloni zgjidhjen më të lirë përpara se të uroni

Shumica e kërkesave për një lidhje të uruar vijnë nga një kërkim i prishur emri, jo nga një protokoll që ka vërtet nevojë për korniza. Fillimisht kaloni zgjidhësin dhe domenin e kërkimit përmes tunelit të rrugëzuar: dhcp-option DNS 10.8.0.1 bashkë me dhcp-option DOMAIN internal.example në një konfigurim serveri OpenVPN zgjidh një numër befasues të tyre. Një përcjellës lokal në anën e largët bën të njëjtën punë pa lëvizur asnjë trafik transmetimi.

Nëse një mjet i vjetër vazhdon të dështojë, vendoseni atë mjet prapa një proxy ose një hosti kërcimi në segmentin e destinacionit. Një përcjellës i vetëm TCP është më i lirë për t'u operuar sesa një WAN i uruar.

Mbyllni vendimin me radhë: a mbart trafiku një EtherType jo-IP, a duhet ta kalojë zbulimi lidhjen, a mund ta thithë MTU-ja kryetarët shtesë, a është vërtet i disponueshëm një qark ofruesi dhe a dështoi zgjidhja e rrugëzuar për një arsye që mund ta emërtoni? Një jo në çdo hap e përfundon debatin në favor të tunelit që tashmë e keni. Arkivoni kapjen dhe listën e EtherType bashkë me regjistrin e ndryshimit, sepse personi tjetër do të bëjë të njëjtën pyetje dhe nuk do të dojë ta përsëritë matjen.