L2 VPN va L3 tunnel: saytni ko'prik bilan ulashdan oldin besh tekshiruv

Saytni ko'prik bilan ulaysiz, chunki qandaydir vosita u bir xil tarmoqda bo'lishi kerakligini talab qiladi, uch haftadan keyin esa tungi soat ikkida kommutator jurnallarini o'qib o'tirasiz. Bunday taxmin Ethernet-over-IP ulanishlarining haddan tashqari ko'pini hal qiladi. Bu yerda chindan muhim bo'lgan yagona farq bor: to'liq kadrlar uchekma-uch boradimi yoki faqat IP paketlari. Quyidagi besh tekshiruvni tartib bilan bajaring va birinchi muvaffaqiyatsiz bo'lganida to'xtang.

Dastur aslida simga nima qo'yishini tekshiring

Har qanday mahsulot nomi muhokamaga kirishidan oldin, ulanishdan o'tishi kerak bo'lgan trafikning bir daqiqasini yozib oling: tcpdump -i eth0 -nn -e 'not ip'. Bu parametr -e ulanish qatlami sarlavhasini chop etadi, va bu aynan marshrutlangan tunnel tashlab yuboradigan qism. Agar yozuv bo'sh qolsa, dasturingiz IP tilida gaplashadi va L3 tunnel uni o'zgartirmasdan olib o'tadi. Agar kadrlar baribir paydo bo'lsa, EtherType ni yozib qo'ying, chunki 0x0806 — ARP, 0x88cc — LLDP, ishlab chiqaruvchi qiymati esa odatda IP zaxirasiz aniqlash protokolini bildiradi. Aynan shu nuqtada oddiy tun interfeys yetarli bo'lmay qoladi.

Yozuvni uzoq tomonda ham takrorlang. Faqat bitta xostning virtual kommutatori ichida mavjud bo'lgan kadr WAN bo'ylab eshittirish domenini cho'zishga sabab emas.

Aniqlash ulanishdan o'tishi kerakmi, tekshiring

Marshrutlangan tunnelda umumiy segment yo'q, shuning uchun guruhga manzillangan hech narsa ikkinchi chetga yetib bormaydi. ARP, DHCP eshittirishlari, 224.0.0.251 manzilidagi mDNS, SSDP va NetBIOS nom so'rovlari — barchasi bir necha xost bir vaqtda eshitadigan ulanishni nazarda tutadi.

Dastur aslida qaysi biriga bog'liqligini va ular uchun allaqachon proksi bormi-yo'qligini so'rang. DHCP rele, mDNS aks ettirish va statik ARP yozuvlari har biri bitta bog'liqlikni olib tashlaydi, va har biri ishga tushirish hamda kuzatish kerak bo'lgan yana bitta xizmat. Ikki yoki uchtasi qolsa, ko'prik bilan ulash halol javob.

Qo'shimcha sarlavha sizga qancha turishini tekshiring

Kadrlarga yashash uchun joy kerak, shuning uchun yuborgan hamma narsangiz atrofida ikkinchi sarlavhalar to'plami o'raladi. VXLAN qoplamasida bu tashqi IP sarlavhasi, UDP sarlavhasi va 8 baytli VXLAN sarlavhasi degani, bu esa to'liq o'lchamdagi 1,500 baytli yukni oddiy 1,500 baytli internet ulanishining yo'l MTU sidan oshirib yuboradi. OpenVPN tap rejimida o'z xarajatini xuddi shu yo'nalishda qo'shadi. Ichki tomonda pastroq MTU bo'lmasa, ping ga javob beradigan, lekin birinchi katta uzatishda tiqilib qoladigan ulanishga ega bo'lasiz.

Hisob sarlavha baytlarida tugamaydi. Kommutator apparat darajasida bajaradigan eshittirish va multikast endi WAN bo'ylab yuradi, va har bir ko'prik bilan ulangan sayt bir xil manzil rejasi, DHCP qamrovi va takroriy manzillar xatti-harakatini meros oladi. Bu ulanishni har bir sayt uchun bitta prefiksli marshrutlangan hovuzdan ancha qiyin audit qiladigan qiladi.

Tanlashdan oldin hisoblang. Uch saytga nusxalangan band segment uni qurish sababi bo'lgan fayl uzatishlaridan ko'ra ko'proq eshittirish trafigini ko'chirishi mumkin.

Sizga qanday turdagi L2 VPN taklif qilinayotganini tekshiring

Atamaning o'zi noaniq, va bu noaniqlik trafigingizni kim olib o'tishini hal qiladi. Ba'zan u yukni tasvirlaydi: IP ichidagi Ethernet kadrlari, boshqa har qanday tunnel kabi internet orqali yuboriladi, VXLAN, ZeroTier va OpenVPN ning tap rejimi qilganidek. Ba'zan u sotib olingan xizmatni tasvirlaydi: bitta provayder tarmog'i ichida ikki saytni bog'laydigan operator Ethernet sxemasi yoki MPLS soxta simi.

Ikkalasi ham sizga segment beradi, shuning uchun dastur ularni ajrata olmaydi, lekin operatsion farq katta. Qoplama MTU, shifrlash va ostidagi yo'l mas'uliyatini sizga qoldiradi. Operator xizmati ularni o'z zimmasiga oladi va ular uchun haq oladi, va kadrlaringizni ochiq internet orqali umuman marshrutlamaydi. Qaysi birini xohlashingiz ikki sayt operatorni baham ko'radimi yoki faqat kompaniyani baham ko'radimi — shunga bog'liq.

Ko'prik bilan ulashdan oldin arzonroq yechimni tekshiring

Ko'prik bilan ulangan liniyaga so'rovlarning aksariyati bitta buzilgan nom qidiruvidan keladi, kadrlar chindan kerak bo'lgan protokoldan emas. Avval hal qiluvchi va qidiruv domenini marshrutlangan tunnel orqali o'tkazing: dhcp-option DNS 10.8.0.1 bilan birga dhcp-option DOMAIN internal.example OpenVPN server konfiguratsiyasida ularning hayratlanarli qismini hal qiladi. Uzoq tomondagi mahalliy yo'naltiruvchi hech qanday eshittirish trafigini ko'chirmasdan xuddi shu ishni qiladi.

Agar bitta eski vosita hali ham ishlamasa, uni maqsad segmentida proksi yoki sakrash xosti orqasiga qo'ying. Bitta TCP yo'naltiruvchisini yuritish ko'prik bilan ulangan WAN dan arzon.

Qarorni tartib bilan yoping: trafik IP bo'lmagan EtherType olib yuradimi, aniqlash o'tishi kerakmi, MTU qo'shimcha sarlavhalarni yutib yubora oladimi, provayder sxemasi chindan mavjudmi va marshrutlangan yechim siz ayta oladigan sabab bilan muvaffaqiyatsiz bo'ldimi? Har qanday qadamda «yo'q» sizda allaqachon bor tunnel foydasiga bahsni tugatadi. Yozuvni va EtherType ro'yxatini o'zgartirish yozuvi bilan birga arxivlang, chunki keyingi odam xuddi shu savolni beradi va o'lchovni takrorlashni xohlamaydi.