L2 VPN ile L3 tüneli: bir sahayı köprülemeden önce beş kontrol

Bir sahayı köprülüyorsunuz çünkü bir araç aynı ağda olması gerektiğinde ısrar ediyor, üç hafta sonra da gecenin ikisinde anahtar günlüklerini okuyorsunuz. Bu tür bir önsezi çok fazla Ethernet-over-IP bağlantısı hakkında karar veriyor. Burada gerçekten önemli olan tek bir fark var: tam çerçeveler uçtan uca mı gidiyor, yoksa yalnızca IP paketleri mi. Aşağıdaki beş kontrolü sırayla yapın ve ilk başarısız olanda durun.

Uygulamanın kabloya gerçekte ne koyduğunu kontrol edin

Herhangi bir ürün adı tartışmaya girmeden önce, bağlantıyı geçmesi gereken trafikten bir dakika yakalayın: tcpdump -i eth0 -nn -e 'not ip'. Seçenek -e bağlantı katmanı başlığını yazdırır ve yönlendirilmiş bir tünelin attığı kısım tam olarak budur. Yakalama boş kalırsa uygulamanız IP konuşuyor ve L3 tüneli onu değiştirmeden taşıyor. Yine de çerçeveler görünürse EtherType'ı not edin, çünkü 0x0806 ARP'dir, 0x88cc LLDP'dir ve üretici değeri genellikle IP yedeği olmayan bir keşif protokolü anlamına gelir. Bu noktada sıradan bir tun arayüz artık yetmez.

Yakalamayı uzak tarafta da tekrarlayın. Yalnızca bir ana makinenin sanal anahtarı içinde var olan bir çerçeve, bir yayın alanını WAN boyunca germek için neden değildir.

Keşfin bağlantıyı geçmesi gerekip gerekmediğini kontrol edin

Yönlendirilmiş tünelin paylaşılan segmenti yoktur, bu yüzden bir gruba adreslenmiş hiçbir şey diğer uca ulaşmaz. ARP, DHCP yayınları, 224.0.0.251 adresindeki mDNS, SSDP ve NetBIOS ad sorguları hep birden çok ana makinenin aynı anda duyduğu bir bağlantı varsayar.

Uygulamanın gerçekte bunlardan hangisine bağlı olduğunu ve onlar için zaten bir vekil sunucu olup olmadığını sorun. DHCP aktarıcısı, mDNS yansıması ve statik ARP girdileri her biri bir bağımlılığı kaldırır ve her biri çalıştırılıp izlenmesi gereken bir hizmet daha demektir. İki veya üç tanesi kalırsa köprüleme dürüst cevaptır.

Fazladan başlığın size ne kadar pahalıya geldiğini kontrol edin

Çerçevelerin yaşayacak bir yeri olmalı, bu yüzden gönderdiğiniz her şeyin çevresine ikinci bir başlık yığını sarılır. Bir VXLAN kaplamasında bu, dış bir IP başlığı, bir UDP başlığı ve 8 baytlık bir VXLAN başlığı demektir; bu da tam boyutlu 1,500 baytlık yükü sıradan 1,500 baytlık bir internet bağlantısının yol MTU'sunun ötesine iter. OpenVPN tap kipinde kendi ek yükünü aynı yönde ekler. İç tarafta daha düşük bir MTU olmadan ping'e yanıt veren ama ilk büyük aktarımda tıkanan bir bağlantı elde edersiniz.

Fatura başlık baytlarında bitmez. Anahtarın donanımda işlediği yayın ve çoklu yayın artık WAN üzerinden gider ve köprülenen her saha aynı adres planını, DHCP kapsamını ve yinelenen adres davranışını devralır. Bu, bağlantıyı saha başına tek önekli yönlendirilmiş bir havuza göre denetlemesi çok daha zor hale getirir.

Seçmeden önce hesabı yapın. Üç sahaya çoğaltılan yoğun bir segment, kurulma amacı olan dosya aktarımlarından daha fazla yayın trafiği taşıyabilir.

Size hangi tür L2 VPN teklif edildiğini kontrol edin

Terimin kendisi belirsizdir ve bu belirsizlik trafiğinizi kimin taşıyacağına karar verir. Bazen yükü tanımlar: IP içindeki Ethernet çerçeveleri, herhangi bir tünel gibi internet üzerinden gönderilir, VXLAN, ZeroTier ve OpenVPN'in tap kipinin yaptığı gibi. Bazen satın alınmış bir hizmeti tanımlar: iki sahayı tek bir sağlayıcı ağı içinde birleştiren bir taşıyıcı Ethernet devresi veya MPLS sözde teli.

İkisi de size bir segment verir, bu yüzden uygulama onları ayırt edemez, ama operasyonel fark büyüktür. Kaplama MTU, şifreleme ve altındaki yolun sorumluluğunu size bırakır. Taşıyıcı hizmeti bunları üstlenir ve ücretini alır, çerçevelerinizi genel internet üzerinden hiç yönlendirmez. Hangisini istediğiniz iki sahanın bir operatörü mü yoksa yalnızca bir şirketi mi paylaştığına bağlıdır.

Köprülemeden önce daha ucuz çözümü kontrol edin

Köprülenmiş bir bağlantı taleplerinin çoğu tek bir bozuk ad çözümlemesinden gelir, gerçekten çerçeve gereken bir protokolden değil. Önce çözümleyiciyi ve arama alan adını yönlendirilmiş tünelden geçirin: dhcp-option DNS 10.8.0.1 ile birlikte dhcp-option DOMAIN internal.example bir OpenVPN sunucu yapılandırmasında bunların şaşırtıcı bir kısmını çözer. Uzak taraftaki yerel iletici hiçbir yayın trafiği taşımadan aynı işi yapar.

Bir eski araç hâlâ başarısız olursa, o aracı hedef segmentte bir vekil sunucunun veya sıçrama ana makinesinin arkasına koyun. Tek bir TCP ileticisi köprülenmiş bir WAN'dan daha ucuza işletilir.

Kararı sırayla kapatın: trafik IP dışı bir EtherType taşıyor mu, keşfin karşıya geçmesi gerekiyor mu, MTU ek başlıkları yutabiliyor mu, bir sağlayıcı devresi gerçekten mevcut mu ve yönlendirilmiş çözüm adını koyabildiğiniz bir nedenle mi başarısız oldu? Herhangi bir adımda hayır, tartışmayı zaten sahip olduğunuz tünelin lehine bitirir. Yakalamayı ve EtherType listesini değişiklik kaydıyla birlikte arşivleyin, çünkü sıradaki kişi aynı soruyu soracak ve ölçümü tekrarlamak istemeyecek.