L2 VPN наспрам L3 тунела: пет провера пре спајања локације мостом

Локацију повезујете мостом јер неки алат инсистира на томе да мора бити на истој мрежи, а три недеље касније у два сата ујутру читате дневнике свича. Таква интуиција одлучује о превише Ethernet-over-IP веза. Овде је заиста важна само једна разлика: да ли цели оквири путују од краја до краја или само IP пакети. Изведите пет провера испод редом и зауставите се на првој која падне.

Проверите шта апликација заиста шаље на мрежу

Пре него што се у разговору појави било које име производа, снимите минут саобраћаја који мора да пређе везу: tcpdump -i eth0 -nn -e 'not ip'. Опција -e штампа заглавље слоја везе, а то је управо део који рутирани тунел одбацује. Ако снимак остане празан, ваша апликација говори IP и L3 тунел је преноси непромењено. Ако се оквири ипак појаве, забележите EtherType, јер 0x0806 је ARP, 0x88cc је LLDP, а вредност произвођача обично значи протокол откривања без IP резерве. У том тренутку обичан tun интерфејс више није довољан.

Поновите снимак и на удаљеној страни. Оквир који постоји само унутар виртуелног свича једног домаћина није разлог да се broadcast домен растегне преко WAN-а.

Проверите да ли откривање мора да пређе везу

Рутирани тунел нема заједнички сегмент, па ништа адресирано на групу не стиже на другу страну. ARP, DHCP broadcast-ови, mDNS на 224.0.0.251, SSDP и упити имена NetBIOS сви претпостављају везу коју неколико домаћина чује истовремено.

Питајте од којих од њих апликација заиста зависи и да ли за њих већ постоји прокси. DHCP релеј, одраз mDNS и статички ARP уноси сваки уклањају по једну зависност, а сваки је још једна услуга коју треба покретати и надгледати. Када остану два или три, спајање мостом је искрен одговор.

Проверите колико вас кошта додатно заглавље

Оквирима треба место за живот, па све што пошаљете добија други стек заглавља око себе. У VXLAN преклопу то значи спољно IP заглавље, UDP заглавље и 8-бајтно VXLAN заглавље, што пун терет од 1,500 бајтова гура преко MTU путање обичне интернет везе од 1,500 бајтова. OpenVPN у режиму tap додаје свој сопствени трошак у истом смеру. Без нижег MTU на унутрашњој страни добијате везу која одговара на ping и застаје на првом великом преносу.

Рачун се не зауставља на бајтовима заглавља. Broadcast и multicast које свич обрађује у хардверу сада иду преко WAN-а, и свака локација спојена мостом наслеђује исти план адреса, исти DHCP опсег и исто понашање са дуплим адресама. То чини везу знатно тежом за ревизију од рутираног пула са једним префиксом по локацији.

Израчунајте пре него што изаберете. Заузет сегмент реплициран на три локације може да пренесе више broadcast саобраћаја од преноса датотека за које је направљен.

Проверите која врста L2 VPN-а вам се нуди

Сам термин је двосмислен, а та двосмисленост одлучује ко преноси ваш саобраћај. Понекад описује терет: Ethernet оквире унутар IP-а, послате преко интернета као и сваки други тунел, како то раде VXLAN, ZeroTier и режим tap OpenVPN-а. Понекад описује купљену услугу: Ethernet коло оператера или MPLS псеудожицу која спаја две локације унутар једне мреже провајдера.

Оба вам дају сегмент, па их апликација не може разликовати, али оперативна разлика је велика. Преклоп оставља вама одговорност за MTU, шифровање и доњу путању. Услуга оператера то преузима и наплаћује, и уопште неће рутирати ваше оквире преко јавног интернета. Који желите зависи од тога да ли две локације деле оператера или само компанију.

Проверите јефтиније решење пре спајања мостом

Већина захтева за спојену везу долази од једног поквареног претраживања имена, а не од протокола коме оквири заиста требају. Прво пропустите резолвер и домен претраге кроз рутирани тунел: dhcp-option DNS 10.8.0.1 заједно са dhcp-option DOMAIN internal.example у конфигурацији OpenVPN сервера решава изненађујуће много њих. Локални прослеђивач на удаљеној страни ради исти посао без премештања било каквог broadcast саобраћаја.

Ако један стари алат и даље не ради, ставите тај алат иза проксија или скок-домаћина на одредишном сегменту. Један TCP прослеђивач је јефтинији за рад од спојеног WAN-а.

Затворите одлуку редом: носи ли саобраћај не-IP EtherType, мора ли откривање да пређе, може ли MTU да упије додатна заглавља, је ли коло провајдера заиста доступно и је ли рутирано решење пало због разлога који можете именовати? Не на било ком кораку завршава расправу у корист тунела који већ имате. Приложите снимак и листу EtherType уз запис о измени, јер ће следећа особа поставити исто питање и неће хтети да понови мерење.