VPN L2 lodi si tunnel L3: ayẹwo marun ṣaaju ki o to so aaye pọ

O ń so aaye pọ nitori pe irinṣẹ kan tẹnumọ pe o gbọdọ wa lori nẹtiwọọki kan naa, ati ni ọsẹ mẹta lẹhinna o ń ka awọn akọsilẹ switichi ni aago meji ni alẹ. Iru iṣaro bẹẹ yan ju ọpọlọpọ awọn ọna asopọ Ethernet-lori-IP lọ. Nibi iyatọ kan ṣoṣo ni o ṣe pataki nitootọ: boya gbogbo fireemu ń rin irin-ajo lati opin de opin, tabi awọn apo IP nikan. Ṣe awọn ayẹwo marun ni isalẹ ni tẹlentẹle, ki o duro ni akọkọ ti o kuna.

Ṣayẹwo ohun ti ohun elo fi si ori waya

Ṣaaju ki orukọ ọja kan to wọ inu ijiroro, gba iṣẹju kan ti ijabọ ti o gbọdọ kọja ọna asopọ naa: tcpdump -i eth0 -nn -e 'not ip'. Aṣayan -e ń tẹ ori Layer-ọna asopọ jade, ati pe eyi ni pato apakan ti tunnel ti a tọ sile ń da nù. Ti igbasilẹ naa ba wa ni ofo, ohun elo rẹ ń sọ IP ati tunnel L3 ń gbe e laisi iyipada. Ti awọn fireemu ba farahan, kọ EtherType silẹ, nitori 0x0806 ni ARP, 0x88cc ni LLDP, ati iye olupese maa n tumọ si ilana wiwa ti ko ni ipinnu IP. Ni aaye yii, interfeese deede tun ko to mọ.

Tun igbasilẹ naa ṣe ni ẹgbẹ jijinna paapaa. Fireemu ti o wa nikan laarin switichi foju ti ọmọ-ile kan kii ṣe idi lati na agbegbe igbohunsafefe kọja WAN kan.

Ṣayẹwo boya wiwa gbọdọ kọja ọna asopọ naa

Tunnel ti a tọ sile ko ni apakan pinpin, nitorinaa ohunkohun ti a koju si ẹgbẹ kan ko de opin keji. ARP, awọn igbohunsafefe DHCP, mDNS ni 224.0.0.251, SSDP ati awọn ibeere orukọ NetBIOS gbogbo wọn ro ọna asopọ kan ti ọpọlọpọ ọmọ-ile gbọ ni akoko kan.

Beere eyi ti ohun elo gbarale nitootọ, ati boya proxy ti wa tẹlẹ fun wọn. Relay DHCP, ifihan mDNS ati awọn titẹ sii ARP iduroṣinṣin ọkọọkan yọ ipamo kan kuro, ati ọkọọkan jẹ iṣẹ miiran lati ṣiṣẹ ati lati tọju. Nigbati meji tabi mẹta ba ku, sisopọ jẹ idahun otitọ.

Ṣayẹwo iye ti ori afikun naa ń ná ọ

Awọn fireemu nilo ibi lati gbe, nitorinaa ohun gbogbo ti o fi ranṣẹ gba akopọ ori keji ni ayika rẹ. Ninu ibora VXLAN iyẹn tumọ si ori IP ita, ori UDP ati ori VXLAN ti baiti 8, eyi ti o ti ẹru kikun ti baiti 1,500 kọja MTU ọna ti ọna asopọ intanẹẹti deede ti baiti 1,500. OpenVPN ni ipo tap ń fi iye tirẹ kun ni ọna kanna. Laisi MTU kekere ni ẹgbẹ inu, o gba ọna asopọ ti o dahun ping ṣugbọn ti o duro ni gbigbe nla akọkọ.

Owo naa ko duro ni awọn baiti ori. Igbohunsafefe ati multicast ti switichi ń ṣe ninu ohun elo ni bayi ń gun WAN, ati aaye kọọkan ti a so pọ jogun ero adirẹsi kanna, iwọn DHCP kanna ati ihuwasi adirẹsi ilọpo meji. Iyẹn jẹ ki ọna asopọ ṣoro pupọ lati ṣe ayẹwo ju adagun ti a tọ sile pẹlu ipilẹ kan fun aaye kọọkan.

Ṣe iṣiro naa ṣaaju ki o to yan. Apakan ti o ń ṣiṣẹ ti a daakọ si awọn aaye mẹta le gbe ijabọ igbohunsafefe diẹ sii ju awọn gbigbe faili ti a kọ ọ fun lọ.

Ṣayẹwo iru VPN L2 ti a ń fun ọ

Ọrọ naa funrararẹ ko ṣe kedere, ati aidaniloju yẹn pinnu tani yoo gbe ijabọ rẹ. Nigba miiran o ṣapejuwe ẹru naa: awọn fireemu Ethernet inu IP, ti a fi ranṣẹ lori intanẹẹti bii tunnel miiran, gẹgẹbi VXLAN, ZeroTier ati ipo tap ti OpenVPN ṣe. Nigba miiran o ṣapejuwe iṣẹ ti a ra: Circuit Ethernet ti olupese tabi waya eke MPLS ti o so awọn aaye meji pọ laarin nẹtiwọọki olupese kan.

Awọn mejeeji fun ọ ni apakan, nitorinaa ohun elo ko le ṣe iyatọ wọn, ṣugbọn iyatọ iṣẹ ṣiṣe tobi. Ibora fi ojuse MTU, fifi ẹnọ kọ nkan ati ọna ti o wa ni isalẹ silẹ fun ọ. Iṣẹ olupese gba awọn wọnyẹn ati gba owo fun wọn, ati pe kii yoo tọ awọn fireemu rẹ kọja intanẹẹti gbogbo eniyan rara. Ewo ni o fẹ da lori boya awọn aaye meji naa pin olupese kan tabi pin ile-iṣẹ kan nikan.

Ṣayẹwo ojutu ti o din owo ṣaaju ki o to sopọ

Ọpọlọpọ awọn ibeere fun ọna asopọ ti a so pọ wa lati wiwa orukọ kan ti o bajẹ, kii ṣe lati ilana kan ti o nilo fireemu nitootọ. Kọkọ gbe oluyanju ati agbegbe wiwa kọja tunnel ti a tọ sile: dhcp-option DNS 10.8.0.1 pẹlu dhcp-option DOMAIN internal.example ninu iṣeto olupin OpenVPN ń yanju nọmba iyalẹnu ninu wọn. Olutẹsiwaju agbegbe ni ẹgbẹ jijinna ń ṣe iṣẹ kanna laisi gbigbe ijabọ igbohunsafefe eyikeyi.

Ti irinṣẹ atijọ kan ba tun kuna, fi irinṣẹ yẹn sile lẹhin proxy tabi ọmọ-ile fifo lori apakan ibi-afẹde. Olutẹsiwaju TCP kan din owo lati ṣiṣẹ ju WAN ti a so pọ lọ.

Pa ipinnu naa ni tẹlentẹle: ṣe ijabọ naa ń gbe EtherType ti kii ṣe IP, ṣe wiwa gbọdọ kọja, ṣe MTU le gbe awọn ori afikun, ṣe Circuit olupese wa nitootọ, ati ṣe ojutu ti a tọ sile kuna nitori idi ti o le darukọ? Rara ni igbesẹ eyikeyi ń pari ariyanjiyan ni ojurere ti tunnel ti o ti ni tẹlẹ. Fi igbasilẹ naa ati atokọ EtherType pamọ pẹlu igbasilẹ iyipada, nitori ẹni ti o tẹle yoo beere ibeere kanna ati kii yoo fẹ lati tun wiwọn naa ṣe.