Các site nối cầu vẫn cần quyết định về lối ra internet cục bộ

Việc mở rộng VLAN đã qua thử nghiệm sạch sẽ: máy chủ ở cả hai site thấy nhau, chia sẻ tệp hoạt động và máy in phản hồi. Rồi ai đó ở site nhỏ hơn nhận ra rằng mọi lượt tải xuống đang dùng đường internet của site kia, và phiếu sự cố đến như một khiếu nại về băng thông. Cầu đã làm đúng điều được yêu cầu. Nó chở khung giữa hai tòa nhà, và chưa bao giờ có ý kiến về việc những khung đó nên dùng bộ định tuyến nào cho internet.

Cầu chở khung, không chở quyết định

Việc mở rộng lớp 2 khiến hai địa điểm trông như một miền quảng bá duy nhất, nên các yêu cầu ARP, quảng bá DHCP và lưu lượng trong cùng một mạng con đều đi qua đường hầm. Đó là toàn bộ dịch vụ mà nó cung cấp. Không có gì trong cầu kiểm tra địa chỉ đích, so sánh nó với đường lên của site hay lái lưu lượng về lối ra gần hơn. Mỗi máy khách vẫn tự quyết định cục bộ hay từ xa bằng địa chỉ và mặt nạ mà nó được cấu hình.

Đặt hai bộ định tuyến trên mạng con dùng chung đó và cả hai đều trở thành cổng khả dĩ, bất kể một trong hai có gần máy khách đang dùng nó hay không.

Máy khách chọn cổng của mình như thế nào

Quyết định IPv4 mô tả trong RFC 1122 rất đơn giản. Đích nằm trong mạng con được kết nối của máy khách được tới trực tiếp bằng ARP, còn đích bên ngoài thì đi tới cổng mặc định đã cấu hình. Đó là lý do lưu lượng trong cùng mạng con giữa các site có thể đi qua cầu mà không cần bộ định tuyến tham gia, và cũng là lý do lưu lượng internet phụ thuộc hoàn toàn vào địa chỉ cổng mà máy khách nhận được. Hai hành vi là độc lập, và một chia sẻ tệp đang hoạt động chỉ chứng minh điều thứ nhất.

Nếu một máy khách ở site nhỏ được cấu hình với bộ định tuyến của site lớn, các khung internet của nó đi qua đường hầm trước rồi ra khỏi đó.

Việc đổi tuyến mặc định của chính thiết bị VPN không di chuyển cổng của máy khách đó, vì máy khách hoàn toàn không dùng thiết bị làm bộ định tuyến. Thiết bị cũng cần một tuyến riêng tới đối tác xa của nó để đường hầm chở những khung đó duy trì, và việc trộn lẫn hai điều này chính là cách một lần mở rộng cầu làm sập chính đường truyền của nó.

Hãy để DHCP diễn đạt lối ra dự định

Tùy chọn 3 trong một phản hồi DHCP cung cấp danh sách địa chỉ bộ định tuyến trên mạng con của máy khách theo thứ tự ưu tiên, và máy khách thường lấy địa chỉ đầu tiên trả lời. Cơ chế này ổn; quyền sở hữu mới là nơi thiết kế sai. Hãy ghi lại một hợp đồng thuê thực tế cung cấp gì ở mỗi site thay vì giả định máy chủ DHCP gần nhất sẽ cấp cổng gần nhất.

Hãy chạy một bộ cấp phát được phối hợp, hoặc hai bộ được cấu hình rõ ràng cho cùng một chính sách, và giao cho chính sách một người sở hữu. Bộ cấp phát độc lập thứ hai được thêm ở site xa không tạo ra tính cục bộ, nó tạo ra hai thẩm quyền cho cùng một miền quảng bá.

Đừng gán một địa chỉ cổng cho hai bộ định tuyến hoạt động độc lập chỉ để cấu hình của hai site trông giống nhau. Một địa chỉ ảo dùng chung trên phân đoạn nối cầu là một thiết kế dự phòng bước nhảy đầu tiên với những yêu cầu riêng, và phiên bản tự chế tạo ra xung đột ARP trông như mất gói rải rác. Nếu ứng dụng thực sự không cần một phân đoạn lớp 2 dùng chung, các tiền tố được định tuyến riêng với cổng mặc định cục bộ dễ vận hành hơn và dễ giải thích hơn khi có sự cố.

Hãy kiểm tra bốn điều riêng rẽ

Yêu cầu bốn quan sát, không phải một. Lấy một hợp đồng thuê DHCP mới ở mỗi site và ghi lại bộ định tuyến cùng mặt nạ nhận được. Tới một dịch vụ trong cùng mạng con ở site kia và xác nhận đường đi là cầu chứ không phải một vòng tránh được định tuyến. Tải một thứ gì đó từ internet công cộng ở mỗi site và xác nhận đường lên nào đã chở nó. Sau đó hạ đường hầm và xem cái gì hỏng, vì một site mất toàn bộ kết nối khi cầu thất bại đã phụ thuộc vào cổng xa mà không ai để ý.

Bốn kết quả đó cho bạn biết liệu bạn có một cầu giữa các site, một lối ra cục bộ hay một đường hồi lưu tình cờ, và việc thu thập chúng mất mười phút.

Nguyên tắc thiết kế không hào nhoáng: cầu quyết định khả năng tới, DHCP quyết định cổng, và bảng định tuyến trên thiết bị quyết định đường đi riêng của đường hầm. Hãy giữ ba điều đó trong các cuộc trò chuyện riêng, vì một thay đổi duy nhất cố sửa cả ba thường làm hỏng hai.