L2 VPN laban sa L3 tunnel: limang pagsusuri bago tulayin ang isang site

Tinutulay mo ang isang site dahil may tool na nagsasabing dapat itong nasa parehong network, at pagkalipas ng tatlong linggo nagbabasa ka ng mga switch log alas-dos ng madaling-araw. Ang ganoong hunch ang nagpapasya sa napakaraming Ethernet-over-IP na link. Isang pagkakaiba lang ang talagang mahalaga dito: kung buong frame ang naglalakbay mula dulo hanggang dulo, o mga IP packet lang. Patakbuhin ang limang pagsusuri sa ibaba nang sunud-sunod, at huminto sa unang mabibigo.

Suriin kung ano talaga ang inilalagay ng aplikasyon sa kable

Bago pumasok ang anumang pangalan ng produkto sa usapan, kunan ng isang minutong traffic na kailangang tumawid sa link: tcpdump -i eth0 -nn -e 'not ip'. Ang opsyong -e ay nagpi-print ng header ng link layer, at iyon mismo ang bahaging itinatapon ng niruruta na tunnel. Kung mananatiling walang laman ang capture, nagsasalita ng IP ang aplikasyon mo at dinadala ito ng L3 tunnel nang walang pagbabago. Kung may lumitaw na mga frame, itala ang EtherType, dahil 0x0806 ay ARP, 0x88cc ay LLDP, at ang halaga ng vendor ay karaniwang nangangahulugang protocol ng pagtuklas na walang IP fallback. Sa puntong ito hindi na sapat ang karaniwang tun interface.

Ulitin ang capture sa kabilang dulo. Ang frame na umiiral lamang sa loob ng virtual switch ng isang host ay hindi dahilan para pahabain ang broadcast domain sa isang WAN.

Suriin kung kailangang tumawid ng discovery sa link

Walang shared segment ang nirurutang tunnel, kaya walang maabot ang kabilang dulo na naka-address sa isang grupo. ARP, mga broadcast ng DHCP, mDNS sa 224.0.0.251, SSDP at mga query ng pangalang NetBIOS ay pawang nagpapalagay ng link na naririnig ng ilang host nang sabay.

Itanong kung alin sa mga ito ang talagang pinagdedependehan ng aplikasyon, at kung may proxy na para sa kanila. Ang DHCP relay, mDNS reflection at mga static na ARP entry ay bawat isa ay nag-aalis ng isang dependency, at bawat isa ay isa pang serbisyong dapat patakbuhin at subaybayan. Kapag dalawa o tatlo ang natira, ang pagtulay ang tapat na sagot.

Suriin kung magkano ang gastos sa iyo ng dagdag na header

Kailangan ng mga frame ng matitirahan, kaya lahat ng ipinapadala mo ay may pangalawang stack ng header sa paligid. Sa isang VXLAN overlay, ibig sabihin nito ay panlabas na IP header, UDP header at 8-byte na VXLAN header, na nagtutulak ng buong 1,500-byte na payload lampas sa path MTU ng karaniwang 1,500-byte na internet link. Ang OpenVPN sa tap mode ay nagdadagdag ng sarili nitong overhead sa parehong direksyon. Kung walang mas mababang MTU sa loob, makakakuha ka ng link na sumasagot sa ping at natigil sa unang malaking transfer.

Hindi natatapos ang bayarin sa mga byte ng header. Ang broadcast at multicast na pinangangasiwaan ng switch sa hardware ay dumadaan na ngayon sa WAN, at bawat site na tinulay ay nagmamana ng parehong plano ng address, saklaw ng DHCP at pag-uugali sa doble-dobleng address. Ginagawa nitong mas mahirap i-audit ang link kaysa sa nirurutang pool na may isang prefix bawat site.

Gawin ang kalkulasyon bago pumili. Ang abalang segment na kinopya sa tatlong site ay maaaring maglipat ng mas maraming broadcast traffic kaysa sa mga file transfer na dahilan ng pagkakagawa nito.

Suriin kung anong uri ng L2 VPN ang iniaalok sa iyo

Ang termino mismo ay malabo, at ang kalabuan ang nagpapasya kung sino ang magdadala ng traffic mo. Minsan inilalarawan nito ang payload: mga Ethernet frame sa loob ng IP, ipinapadala sa internet tulad ng anumang ibang tunnel, gaya ng ginagawa ng VXLAN, ZeroTier at ng tap mode ng OpenVPN. Minsan inilalarawan nito ang biniling serbisyo: isang carrier Ethernet circuit o MPLS pseudowire na nag-uugnay sa dalawang site sa loob ng isang network ng provider.

Binibigyan ka ng pareho ng segment, kaya hindi sila makilala ng aplikasyon, ngunit malaki ang pagkakaiba sa operasyon. Ang overlay ay nag-iiwan sa iyo ng responsibilidad sa MTU, encryption at ang underlying path. Ang serbisyo ng operator ay tumatanggap niyon at naniningil para dito, at hindi nito iruruta ang mga frame mo sa pampublikong internet. Alin ang gusto mo ay depende kung ang dalawang site ay may iisang operator o iisang kumpanya lang.

Suriin ang mas murang solusyon bago tulayin

Karamihan ng kahilingan para sa tinulay na link ay nagmumula sa isang sirang paghahanap ng pangalan, hindi sa isang protocol na talagang kailangan ng mga frame. Ipasa muna ang resolver at ang search domain sa nirurutang tunnel: dhcp-option DNS 10.8.0.1 kasama ng dhcp-option DOMAIN internal.example sa isang configuration ng OpenVPN server ay nakakalutas ng nakakagulat na dami sa kanila. Ang lokal na forwarder sa kabilang dulo ay gumagawa ng parehong trabaho nang walang inililipat na broadcast traffic.

Kung ang isang lumang tool ay nabibigo pa rin, ilagay ang tool na iyon sa likod ng proxy o jump host sa segment ng destinasyon. Ang isang TCP forwarder ay mas mura patakbuhin kaysa sa tinulay na WAN.

Isara ang desisyon nang sunud-sunod: may bitbit bang EtherType na hindi IP ang traffic, kailangan bang tumawid ng discovery, kaya bang lunukin ng MTU ang dagdag na header, may tunay na available bang circuit ng provider, at nabigo ba ang nirurutang solusyon sa dahilang kaya mong pangalanan? Ang isang hindi sa anumang hakbang ay nagtatapos sa debate pabor sa tunnel na mayroon ka na. I-archive ang capture at ang listahan ng EtherType kasama ng change record, dahil ang susunod na tao ay magtatanong ng parehong tanong at ayaw niyang ulitin ang pagsukat.