Ai định tuyến giữa các site của bạn: VPN lớp 2 hay lớp 3?

Đặt một VPN từ nhà cung cấp và cuối cùng sẽ có người sở hữu việc định tuyến giữa các site, dù bạn có đặt tên cho chủ sở hữu đó hay không. Ký nhận bàn giao lớp 2 thì nhà cung cấp giao một đường ống còn các router của bạn tạo lập quan hệ láng giềng; ký dịch vụ lớp 3 thì nhà cung cấp mang các tiền tố của bạn trong ngữ cảnh định tuyến của chính họ. Cả hai đều là sản phẩm hợp pháp với câu chuyện trực chiến khác nhau. Đi hết đơn hàng từ báo giá đến bài kiểm tra nghiệm thu đầu tiên và lựa chọn không còn trừu tượng.

Bắt đầu từ mẫu bàn giao, không phải từ slide sơ đồ mạng

Mọi nhà cung cấp cuối cùng đều gửi một mẫu hỏi sẽ bàn giao gì cho bạn: một pseudowire, một đoạn Ethernet đa điểm hay một kết nối định tuyến trên biên dịch vụ dùng chung. Câu trả lời duy nhất đó quyết định nhiều hơn mọi sơ đồ trong bài trình bày bán hàng, vì nó xác định trách nhiệm của bạn bắt đầu từ đâu.

Pseudowire điểm-điểm là một mạch giữa hai kết nối, còn dịch vụ Ethernet đa điểm nối nhiều site vào một miền quảng bá. Trên sơ đồ chúng trông giống nhau và hành xử hoàn toàn khác khi có vòng lặp hoặc bão quảng bá. Xác nhận cái nào đang được báo giá trước khi bạn lập kế hoạch địa chỉ.

Tên sản phẩm không giải quyết điều này. Nhãn MPLS, bàn giao sợi tối và lớp phủ qua internet đều có thể được gọi là mạng riêng, và các tài liệu khung coi mô hình dịch vụ cùng sự phân tách khách hàng-nhà cung cấp là thứ cần định nghĩa. Yêu cầu ngữ nghĩa của kết nối bằng văn bản, rồi đọc lại cho đội của bạn bằng từ ngữ đơn giản.

Đọc những gì đến vào ngày khai trương

Vào ngày khai trương, hãy xem giao diện bạn được cấp trước khi cấu hình bất cứ thứ gì trên đó. Kết nối định tuyến lớp 3 thường xuất hiện như một cổng với subnet điểm-điểm nhỏ hoặc như một bước nhảy kế tiếp mà bạn phải đến được. Kết nối lớp 2 xuất hiện như một liên kết chờ khung, nên lệnh hữu ích đầu tiên của bạn là kiểm tra cầu hoặc láng giềng chứ không phải tra cứu tuyến.

ip -br link show
ip -br addr show
ip route show default
ip neigh show

Bốn dòng đó cho bạn biết mình đang ở thế giới nào. Tuyến mặc định trỏ tới địa chỉ của nhà cung cấp nghĩa là nhà cung cấp định tuyến thay bạn. Một giao diện không có địa chỉ lớp 3 hữu ích nhưng cầu đã đầy nghĩa là bạn phải định tuyến, và mọi tiền tố thiếu đều là việc của bạn.

Một liên kết trông như promiscuous cũng có thể nghĩa là bàn giao đã được gắn thẻ, nên xác nhận thỏa thuận VLAN trước khi đổ lỗi cho mạch. Địa chỉ MAC trùng nhau trên dịch vụ đa điểm là triệu chứng thiết kế, không phải lỗi nhà cung cấp.

Chỉ định một chủ sở hữu cho mỗi đối tượng trước tiền tố đầu tiên

Đi qua danh sách đối tượng và nói to tên đội sở hữu từng thứ. Tiền tố khách hàng và các quảng bá giữa các site. Quan hệ láng giềng hoặc định danh dịch vụ tạo nên mối quan hệ với biên nhà cung cấp. Ai phá vòng lặp, và ai đã đồng ý sống trong một miền quảng bá rộng hơn. Trần MTU nằm ở đâu, sự cố được nhận ra thế nào và dịch vụ trở lại ra sao. Chính sách truy cập, cùng mọi mã hóa mà dịch vụ không bao gồm.

Danh sách ngắn vì đó chính là phần vỡ khi có sự cố. Nếu hai đội đều tin mình sở hữu chính sách tuyến, một lần gián đoạn tạo ra hai thay đổi xung đột trong cùng một giờ. Nếu không ai sở hữu, đường đi bất đối xứng đầu tiên tồn tại cho đến khi khách hàng báo cáo.

Dịch vụ định tuyến thường cho bạn một biên BGP hoặc tĩnh, nên phía bạn cần trạng thái phiên đọc được: birdc show protocols hoặc tương đương trên router của bạn cho biết quan hệ láng giềng đã lên chưa, và các bộ đếm cho biết nó chỉ nhấp nháy trong giờ làm việc. Bàn giao lớp 2 không cho tín hiệu như vậy, nên khách hàng phải có kiểm tra khả năng tiếp cận rõ ràng.

Đi qua trường hợp sự cố của một site

Viết bài kiểm tra nghiệm thu trước khi dịch vụ đi vào hoạt động: ngắt một kết nối site và ghi lại những gì mỗi đội thấy. Trong dịch vụ lớp 3, nhà cung cấp rút khả năng tiếp cận các tiền tố của site đó, phiên của bạn ghi nhận việc rút, và các site còn lại giữ đường đi của mình. Trong dịch vụ lớp 2, mạch đứt, giao thức định tuyến của bạn nhận ra láng giềng đã chết, và cùng một hội tụ phụ thuộc hoàn toàn vào bộ định thời của bạn.

Khôi phục liên kết và kiểm tra nửa sau của trường hợp, vì trạng thái cũ là phần dư thường gặp. Xác nhận quan hệ láng giềng trở lại, các tiền tố trở lại với thuộc tính mong đợi và không còn tuyến tĩnh tạm thời nào trong bảng từ sự cố.

Cũng hãy thử sự cố nhàm chán: một site tăng gấp đôi lưu lượng. Trong bàn giao định tuyến bạn thấy bộ đếm theo tiền tố; trong bàn giao có cầu bạn có thể chỉ thấy thông lượng giao diện, khiến bạn phải đoán máy chủ nào chịu trách nhiệm.

Điều hợp đồng không mua

Nhãn lớp 2 hay lớp 3 không nói gì về độ trễ, đường trục riêng hay mã hóa. Đó là những cam kết riêng, và các con số sẵn sàng không hàm ý bất kỳ điều nào trong đó. Hãy đọc thỏa thuận dịch vụ về những gì được hứa và coi mọi thứ khác là giả định bạn nên kiểm tra.

Nếu yêu cầu của bạn là kết nối điểm-điểm giữa hai router khách hàng, dịch vụ lớp 2 phù hợp mà không cần yêu cầu nhà cung cấp vận hành định tuyến nội bộ của bạn. Nếu yêu cầu là nhiều site với subnet khác nhau và một đội vận hành nhỏ, dịch vụ định tuyến thường loại bỏ công việc mà nếu không bạn sẽ phải gánh.

Không cái nào là mặc định. Kiểm tra hỗ trợ thiết bị cho việc đóng gói, quan hệ lưu lượng thực tế giữa các site, mô hình dự phòng, và liệu đội của bạn có vận hành được phần vừa chấp nhận hay không. Sau đó ghi tên các chủ sở hữu vào runbook, vì đó là phần duy nhất của quyết định tồn tại qua thay đổi nhân sự.