用一个 VLAN 搭建实验 WAN：扁平网段还是路由传输

一台受管交换机和一段备用 VLAN，就能在一个下午让两个 VPN 网关通过隔离网段通信。这个网段所能证明的东西，比人们从 WAN 一词所期待的要窄。它复现了一条直连以太网路径，这有用，却也省略了互联网在途中对数据包做的几乎一切。在扁平网段和路由式实验传输之间选择，其实是在问你想验证哪些行为。

两种设计，两种不同的经验

扁平网段把两个 WAN 接口和一台测试主机放进同一个 VLAN，地址来自同一前缀。所有东西都直接互通，网关之间只隔着交换机。这是真实拓扑，只是不太有意思。

路由式传输会增加一台实验路由器和至少两个网段，让网关位于不同子网，中间有一个默认网关。这种安排多花一台设备和一张路由表，换来单一广播域无法产生的行为。

扁平网段能证明什么

它证明可达性、认证、提案协商一致，以及流量在你预期的位置进出隧道。这些正是消耗大部分排障时间的故障，而扁平网段能在没有路由复杂度的前提下把它们找出来。如果隧道在这里都起不来，再多互联网真实感也帮不上忙。

它也是可重复基线的正确形态。后续测试失败时，你可以重跑扁平用例，判断是改动还是新条件造成的。把基线连同地址写下来，因为以后还要重建它。

路由增加了什么

WAN 子网不同，意味着网关必须在链路上路由，而不是直接互相寻址，默认网关错误和不对称回程路径正是出现在这里。中间过滤和中间的一跳，让你可以测试路径并非直连时会发生什么。

代价是更多可能出错的地方。每多一台设备，就多一份可能与图纸不符的配置；而一个没人能照笔记重建的实验环境，就不再是实验室。把路由器配置写进那些笔记，而不是只留在它的运行状态里。

两种设计都无法复现什么

运营商转换是最大的缺失。在链路上正常的网关，可能在地址转换后面失效，而扁平网段完全没有转换。源地址变化、蜂窝切换，以及让通话卡顿的排队，同样都不存在。

路径尺寸是第二个缺失。只有一台交换机和一台路由器的实验环境，几乎不会产生真实路径施加的更小最大尺寸，于是分片缺陷会一直隐藏到设备进现场。这个缺口解释了为什么隧道能通过所有实验室测试，却仍在首次安装时失败。它也划定了实验室可以承诺的范围。

练习需要时，一次只加一个条件，并把不带该条件的一次运行保留为基线。否则失败会被归咎于实验室从未实现的互联网行为。给每次运行标上所加的条件，否则基线就失去意义。

让实验室保持有界

使用不与生产重叠的已批准私有地址段，并记录分配。文档地址段只是图表示例，不是工作实验室的地址；日后发现的地址重叠会产生看起来像 VPN 缺陷的路由故障。

让测试客户端的位置保持可见。私有侧主机走的路径与模拟 WAN 上的主机不同，意外接上的交换机接口或第二条上联可能绕过你本想测试的防火墙。标出客户端位置的图纸能避免大部分这类意外。

在任何设备回到真实上联之前，先移除实验室专用配置，并让生产负责人复核。网段之所以有价值，是因为其行为已知且有界，而这恰恰使它不宜原样带进生产。