Vem routar mellan dina platser: VPN på lager 2 eller lager 3?

Beställ ett leverantörs-VPN och någon kommer till slut att äga routingen mellan platserna, oavsett om du namngav den ägaren eller inte. Teckna en lager 2-överlämning och leverantören levererar ett rör medan dina routrar bildar grannskapet; teckna en lager 3-tjänst och leverantören bär dina prefix inom sin egen routingkontext. Båda är legitima produkter med olika jourhistorier. Gå igenom beställningen från offerten till det första acceptanstestet och valet slutar vara abstrakt.

Börja med överlämningsformuläret, inte med topologibilden

Varje leverantör skickar förr eller senare ett formulär som frågar vad den ska lämna över till dig: en pseudowire, ett multipoint Ethernet-segment eller en routad anslutning på en delad tjänstekant. Det enda svaret avgör mer än något diagram i säljpresentationen, eftersom det fastställer var ditt ansvar börjar.

En punkt-till-punkt-pseudowire är en krets mellan två anslutningar, och en multipoint Ethernet-tjänst kopplar flera platser i en enda broadcastdomän. På ett diagram ser de lika ut och beter sig helt olika så snart en slinga eller en broadcaststorm är inblandad. Bekräfta vilken som erbjuds innan du planerar adresseringen.

Produktnamn avgör inte detta. En MPLS-etikett, en överlämning av mörk fiber och ett internetbaserat överlägg kan alla kallas ett privat nät, och ramdokumenten behandlar tjänstemodellen och delningen kund-leverantör som det som måste definieras. Begär anslutningens semantik skriftligt och läs sedan upp den för ditt team med enkla ord.

Läs vad som anlände på driftsättningsdagen

På driftsättningsdagen tittar du på det gränssnitt du fick innan du konfigurerar något på det. En routad lager 3-anslutning visas vanligtvis som en port med ett litet punkt-till-punkt-subnät eller som ett nästa hopp du måste nå. En lager 2-anslutning visas som en länk som väntar på ramar, så ditt första användbara kommando är en bro- eller grannkontroll i stället för en routeuppslagning.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

De fyra raderna berättar vilken värld du är i. En standardrutt som pekar på en leverantörsadress betyder att leverantören routar åt dig. Ett gränssnitt utan användbar lager 3-adress men med en fylld bro betyder att du förväntas routa, och varje saknat prefix är ditt att rätta.

En länk som ser promiskuös ut kan också betyda att överlämningen är taggad, så bekräfta VLAN-avtalet innan du skyller på kretsen. Dubbla MAC-adresser över en multipoint-tjänst är ett designsymtom, inte ett leverantörsfel.

Tilldela en ägare per objekt före det första prefixet

Gå igenom objektlistan och säg högt namnet på teamet som äger varje. Kundprefix och annonseringarna mellan platser. Grannskapet eller tjänsteidentifieraren som bildar förhållandet till leverantörskanten. Vem bryter slingor, och vem har accepterat att leva i en bredare broadcastdomän. Var MTU-taket ligger, hur fel upptäcks och hur tjänsten kommer tillbaka. Åtkomstpolicy, plus all kryptering som tjänsten inte innehåller.

Listan är kort eftersom det är den delen som brister vid en incident. Om två team båda tror att de äger routpolicyn ger ett avbrott två motstridiga ändringar samma timme. Om ingen äger den överlever den första asymmetriska vägen tills en kund rapporterar den.

En routad tjänst ger dig vanligtvis en BGP- eller statisk gräns, så din sida behöver ett läsbart sessionstillstånd: birdc show protocols eller motsvarande på din router berättar om grannskapet är uppe, och räknarna berättar om det fladdrar bara under kontorstid. En lager 2-överlämning ger ingen sådan signal, därför måste kunden äga en uttrycklig nåbarhetskontroll.

Gå igenom felet för en plats

Skriv acceptanstestet innan tjänsten går live: fäll en platsanslutning och notera vad varje team ser. På en lager 3-tjänst drar leverantören tillbaka nåbarheten för den platsens prefix, din session loggar tillbakadragningen, och de övriga platserna behåller sina vägar. På en lager 2-tjänst faller kretsen, din routingprotokoll märker en död granne, och samma konvergens beror helt på dina timers.

Återställ länken och kontrollera den andra halvan av fallet, eftersom föråldrat tillstånd är den vanliga resten. Bekräfta att grannskapet kommer tillbaka, att prefixen kommer tillbaka med de förväntade attributen och att ingen tillfällig statisk rutt ligger kvar i tabellen från incidenten.

Testa också det tråkiga felet: en enda plats som fördubblar sin trafik. På en routad överlämning ser du räknare per prefix; på en bryggad ser du kanske bara gränssnittets genomströmning, vilket lämnar dig att gissa vilken värd som är ansvarig.

Vad avtalet inte köper

En lager 2- eller lager 3-etikett säger ingenting om latens, ett dedikerat stamnät eller kryptering. Det är separata åtaganden, och tillgänglighetssiffror innebär inget av dem. Läs tjänsteavtalet för det som utlovas och behandla allt annat som ett antagande du bör testa.

Om ditt krav är en punkt-till-punkt-anslutning mellan två kundroutrar passar en lager 2-tjänst utan att be leverantören köra din interna routing. Om kravet är många platser med olika subnät och ett litet driftsteam tar en routad tjänst vanligtvis bort arbete du annars skulle äga.

Ingen av dem är standard. Kontrollera enhetsstödet för inkapslingen, de faktiska trafikförhållandena mellan platser, redundansmodellen och om ditt team kan drifta den del det just har accepterat. Skriv sedan ägarnamnen i runbooken, eftersom det är den enda delen av beslutet som överlever personalbyten.