VPN L2 so với đường hầm L3: năm kiểm tra trước khi bắc cầu một chi nhánh

Bạn bắc cầu một chi nhánh vì một công cụ khăng khăng rằng nó phải nằm trên cùng một mạng, và ba tuần sau bạn đang đọc nhật ký switch lúc hai giờ sáng. Kiểu linh cảm đó quyết định quá nhiều liên kết Ethernet-over-IP. Ở đây chỉ có một khác biệt thực sự quan trọng: liệu toàn bộ khung có đi từ đầu đến cuối, hay chỉ có gói IP. Hãy chạy năm kiểm tra dưới đây theo thứ tự, và dừng ở kiểm tra đầu tiên thất bại.

Kiểm tra xem ứng dụng thực sự đặt gì lên dây

Trước khi bất kỳ tên sản phẩm nào đi vào cuộc thảo luận, hãy bắt một phút lưu lượng phải đi qua liên kết: tcpdump -i eth0 -nn -e 'not ip'. Tùy chọn -e in phần đầu lớp liên kết, và đó chính là phần mà một đường hầm định tuyến vứt bỏ. Nếu bản bắt vẫn trống, ứng dụng của bạn nói IP và đường hầm L3 mang nó đi không đổi. Nếu khung xuất hiện, hãy ghi lại EtherType, vì 0x0806 là ARP, 0x88cc là LLDP, và một giá trị của nhà sản xuất thường có nghĩa là giao thức khám phá không có phương án dự phòng qua IP. Đây chính là điểm mà một tun giao diện thông thường không còn đủ.

Lặp lại bản bắt ở phía xa nữa. Một khung chỉ tồn tại bên trong switch ảo của một máy chủ không phải lý do để kéo dài miền quảng bá qua một WAN.

Kiểm tra xem việc khám phá có phải đi qua liên kết không

Một đường hầm định tuyến không có phân đoạn dùng chung, nên không gì được gửi tới một nhóm có thể tới đầu bên kia. ARP, quảng bá DHCP, mDNS tại 224.0.0.251, SSDP và các truy vấn tên NetBIOS đều giả định một liên kết mà nhiều máy chủ nghe thấy cùng lúc.

Hãy hỏi ứng dụng thực sự phụ thuộc vào cái nào trong số đó, và đã có proxy cho chúng chưa. Chuyển tiếp DHCP, phản chiếu mDNS và các mục ARP tĩnh mỗi thứ loại bỏ một phụ thuộc, và mỗi thứ là thêm một dịch vụ phải chạy và giám sát. Khi còn lại hai hoặc ba, bắc cầu là câu trả lời trung thực.

Kiểm tra xem phần đầu thêm vào tốn của bạn bao nhiêu

Khung cần chỗ để sống, nên mọi thứ bạn gửi đều được bọc thêm một chồng phần đầu thứ hai. Trong một lớp phủ VXLAN, điều đó nghĩa là một phần đầu IP bên ngoài, một phần đầu UDP và một phần đầu VXLAN 8 byte, đẩy một tải trọng đầy đủ 1,500 byte vượt quá MTU đường đi của một liên kết internet thông thường 1,500 byte. OpenVPN ở chế độ tap cũng thêm chi phí riêng của nó theo cùng hướng. Không có MTU thấp hơn ở phía trong, bạn sẽ có một liên kết trả lời ping nhưng kẹt ở lần truyền lớn đầu tiên.

Hóa đơn không dừng ở các byte phần đầu. Quảng bá và multicast mà switch xử lý bằng phần cứng giờ đi trên WAN, và mỗi chi nhánh được bắc cầu thừa hưởng cùng một kế hoạch địa chỉ, cùng phạm vi DHCP và cùng hành vi với địa chỉ trùng. Điều đó khiến liên kết khó kiểm toán hơn nhiều so với một nhóm định tuyến có một tiền tố cho mỗi chi nhánh.

Hãy tính toán trước khi chọn. Một phân đoạn bận rộn được sao chép tới ba chi nhánh có thể chuyển nhiều lưu lượng quảng bá hơn các lần truyền tệp mà nó được xây dựng để phục vụ.

Kiểm tra xem bạn đang được cung cấp loại VPN L2 nào

Bản thân thuật ngữ này mơ hồ, và sự mơ hồ đó quyết định ai mang lưu lượng của bạn. Đôi khi nó mô tả tải trọng: khung Ethernet bên trong IP, được gửi qua internet như bất kỳ đường hầm nào khác, như VXLAN, ZeroTier và chế độ tap của OpenVPN làm. Đôi khi nó mô tả một dịch vụ đã mua: một mạch Ethernet của nhà cung cấp hoặc một dây giả MPLS nối hai chi nhánh bên trong một mạng của nhà cung cấp.

Cả hai đều cho bạn một phân đoạn, nên ứng dụng không thể phân biệt chúng, nhưng khác biệt vận hành thì lớn. Lớp phủ để lại cho bạn trách nhiệm về MTU, mã hóa và đường đi bên dưới. Dịch vụ của nhà cung cấp nhận những thứ đó và tính phí, và nó sẽ hoàn toàn không định tuyến khung của bạn qua internet công cộng. Bạn muốn cái nào phụ thuộc vào việc hai chi nhánh có chung một nhà vận hành hay chỉ chung một công ty.

Kiểm tra giải pháp rẻ hơn trước khi bắc cầu

Phần lớn yêu cầu về một liên kết được bắc cầu đến từ một lần tra cứu tên bị hỏng, không phải từ một giao thức thực sự cần khung. Trước hết hãy đưa trình phân giải và miền tìm kiếm qua đường hầm định tuyến: dhcp-option DNS 10.8.0.1 cùng với dhcp-option DOMAIN internal.example trong một cấu hình máy chủ OpenVPN giải quyết được một số lượng đáng ngạc nhiên trong số đó. Một bộ chuyển tiếp cục bộ ở phía xa làm cùng công việc mà không di chuyển lưu lượng quảng bá nào.

Nếu một công cụ cũ vẫn thất bại, hãy đặt công cụ đó sau một proxy hoặc một máy chủ nhảy trên phân đoạn đích. Một bộ chuyển tiếp TCP duy nhất rẻ hơn để vận hành so với một WAN được bắc cầu.

Kết thúc quyết định theo thứ tự: lưu lượng có mang EtherType không phải IP không, việc khám phá có phải đi qua không, MTU có thể hấp thụ các phần đầu thêm không, có thực sự sẵn có một mạch của nhà cung cấp không, và giải pháp định tuyến có thất bại vì một lý do bạn có thể nêu tên không? Một câu không ở bất kỳ bước nào cũng kết thúc cuộc tranh luận theo hướng có lợi cho đường hầm bạn đã có. Lưu trữ bản bắt và danh sách EtherType cùng với hồ sơ thay đổi, vì người tiếp theo sẽ hỏi đúng câu đó và không muốn lặp lại phép đo.