Layer-2-lab versus gerouteerde VLAN's naarmate je thuislab groeit: wanneer moet de gateway dichter bij de edge komen?
Houd het lab voornamelijk op laag 2 wanneer VLAN's eindigen bij één betrouwbare gateway, er weinig trunks zijn, switches dicht bij elkaar staan en het uitbreiden van hetzelfde subnet tussen hosts migratie en tests vereenvoudigt. Kies voor gerouteerde VLAN's of laag-3-verbindingen wanneer VLAN's zich over meerdere switches of locaties uitstrekken, storingen in spanning tree en trunks een te groot deel van het lab beïnvloeden, of beleid en padcontrole kleinere storingsdomeinen vereisen.
Definieer de twee architecturen
Een laag-2-lab transporteert meestal meerdere VLAN's via switchtrunks en plaatst hun standaardgateways op één router, firewall of centrale laag-3-switch. Apparaten in dezelfde VLAN kunnen tussen toegangsswitches worden verplaatst zonder de IP-subnets te wijzigen. Inter-VLAN-verkeer keert terug naar de centrale gateway.
Een gerouteerd ontwerp brengt laag 3-grenzen dichter bij toegangsswitches, racks of labzones. Verbindingen tussen netwerkapparaten worden gerouteerde point-to-pointnetwerken, terwijl lokale VLAN's dichter bij de eindpunten eindigen. Statische of dynamische routering maakt bekend welke subnets zich achter elk knooppunt bevinden.
Cisco's overzicht van routering tussen VLAN's legt uit dat routering vereist is wanneer verkeer tussen VLAN's beweegt. De architecturale vraag is waar die routeringsgrens moet liggen.
| Beslisas | Centraal laag 2 | Gerouteerde VLAN's |
|---|---|---|
| Subnetmobiliteit | Dezelfde VLAN kan zich over meerdere switches uitstrekken | Subnets zijn normaal gesproken lokaal binnen een gerouteerde zone |
| Gateway | Centrale firewall, router of core-switch | Dichter bij toegangsswitches of labzones |
| Storingsbereik | Problemen met trunks, lussen, STP of broadcasts kunnen zich over de VLAN uitstrekken | Storingen op laag 2 blijven binnen kleinere lokale segmenten |
| Beleid | Centraal ACL- en firewallbeleid | Gedistribueerde routering en ACL-beleid |
| Vaardigheid | Tags, trunks, STP en één gateway | Subnetting, routes, adjacency's, ACL's en convergentie |
Laag 2 wint zolang het lab één logische plek is
Eén centrale gateway en enkele trunks zijn eenvoudig te begrijpen. Een VM-host, NAS, toegangspunt en labswitch kunnen opslag-, beheer- en applicatie-VLAN's delen zonder routeringsprotocol of nieuw subnet op elke locatie.
Mobiliteit binnen dezelfde VLAN is nuttig voor virtualisatie en experimenten. Een service kan tussen hosts worden verplaatst terwijl het IP-adres, de gateway, het firewallbeleid en het DNS-record behouden blijven.
Het ontwerp blijft gezond zolang elke VLAN een reden heeft om zich over elke switch uit te strekken. Elke VLAN overal naartoe transporteren creëert onnodig veel broadcastbereik en maakt trunkfouten moeilijker te isoleren.
Uitgebreide VLAN's vergroten verborgen gedeelde toestand
Een Layer 2-fabric leert MAC-adressen, floodt onbekende bestemmingen, transporteert broadcasts en multicast en vertrouwt op luspreventie. Naarmate één VLAN meer verbindingen passeert, nemen meer switches deel aan de forwardingstatus en kunnen meer apparaten worden getroffen door één lus of trunkmismatch.
MikroTiks documentatie over de bridge-VLAN-tabel laat zien dat getagd lidmaatschap, ingressbeleid en de bridge-CPU-poort allemaal onderdeel worden van correct doorsturen.
Het waarschuwingssignaal is operationele onduidelijkheid: de beheerder weet niet meer waar een VLAN is toegestaan, welke trunk het voert of waarom verkeer een switch bereikt waarop geen lokaal lid van dat VLAN aanwezig is.
Gerouteerde grenzen beperken Layer 2-storingen
Een gerouteerde verbinding stuurt geen gewone Layer 2-broadcasts door en breidt niet aan beide uiteinden één MAC-tabel uit. Een lus of luidruchtige broadcast binnen één lokaal VLAN blijft achter de gateway, in plaats van zich te verspreiden over elke switch die het VLAN voert.
Junipers richtlijnen voor geïntegreerde routering en bridging laten zien hoe een switch VLAN's kan beëindigen en ertussen kan routeren. Het principe is ook van toepassing op een groeiend lab, hoewel het referentieontwerp op grotere netwerken is gericht.
Het voordeel wordt zichtbaar wanneer het lab meerdere fysieke zones, racks, gebouwen of zelfstandige experimenteergebieden heeft. Door per zone één subnet te routeren, kan instabiel labverkeer worden weggehouden van huishoudelijke en opslagnetwerken.
Centraal beleid is eenvoudiger totdat het een knelpunt wordt
Een centrale firewall kan elke inter-VLAN-sessie inspecteren, één beleidsmodel toepassen, verkeer loggen en integratie bieden met DNS, DHCP, NAT en externe toegang. Dat is waardevol zolang het hoofddoel het leren van diensten is en niet het beheren van gedistribueerde routering.
Naarmate oost-westverkeer toeneemt, kan het verwerken van elke inter-VLAN-gegevensstroom via één firewall interfaces, CPU-capaciteit en uplinkcapaciteit opsouperen. Opslag-, cluster-, back-up- en migratieverkeer kan de centrale gateway passeren, zelfs wanneer de eindpunten op één accesswitch zijn aangesloten.
Door geselecteerde routering naar een Layer 3-switch te verplaatsen, kan de centrale beveiliging voor beheer- en internetpaden behouden blijven, terwijl lokaal routeren van vertrouwd verkeer met een hoog volume mogelijk wordt. Het ACL-beleid moet expliciet blijven.
Gerouteerde VLAN's vereisen een adresseringsplan
Door één management-VLAN door het hele lab uit te breiden, kunnen apparaten een subnet delen. Routing dichter bij de rand wijst doorgaans aan elke zone een ander subnet toe. Het ontwerp heeft daarom samenvatbare adresblokken, stabiele gatewaylocaties, DNS-updates en route-advertenties nodig.
De documentatie over inter-VLAN-routing van Netgate beschrijft hoe hosts verkeer naar een gateway sturen met interfaces in de relevante netwerken.
Statische routes volstaan voor enkele stabiele zones. Dynamische routing wordt nuttig wanneer meerdere routers, redundante verbindingen of vaak veranderende labprefixen handmatige updates van next hops onbetrouwbaar maken.
Dynamische routing is een uitbreiding, geen vereiste
OSPF of een ander interior gateway protocol kan verbonden subnetten adverteren en reageren op wijzigingen in verbindingen. RFC 2328 definieert OSPF als een link-stateprotocol waarin routers een topologiedatabase opbouwen en paden berekenen.
Voeg geen OSPF toe alleen omdat er twee VLAN's bestaan. Het introduceert router-ID's, adjacenties, metrics, authenticatie, filtering en foutscenario's die een enkele gateway niet heeft.
Het protocol wordt gerechtvaardigd wanneer het lab redundante gerouteerde paden, meerdere routers, automatisch geleerde testnetwerken of doelbewuste oefening met routing in productiestijl nodig heeft.
Opslag en virtualisatie kunnen routing vertragen
Hypervisormigratie, multipathing voor opslag, clustering en sommige appliances geven de voorkeur aan Layer 2-adjacentie. Bij het verplaatsen van een VM tussen gerouteerde zones kan een nieuw adres of een overlay nodig zijn, terwijl het uitbreiden van het VLAN de service-identiteit behoudt.
De 10GbE-upgradevergelijking van ZimaSpace biedt de aangrenzende throughputbeperking. Houd opslag- en migratie-VLAN's lokaal op de hosts die ze nodig hebben, in plaats van ze via niet-gerelateerde switches uit te breiden.
Een gerouteerd lab kan één klein Layer 2-clusterdomein behouden waarin gedrag binnen hetzelfde subnet echte meerwaarde biedt.
Toegang via routing maakt paden explicieter
In een gerouteerd ontwerp heeft elk apparaat direct verbonden netwerken en next hops. Een ontbrekende route, verbroken adjacency of onjuist prefix verschijnt in de routerings- en buurstatus. Forwarding is minder afhankelijk van een ver verwijderd spanning-tree-pad en gedistribueerd MAC-leren.
De afweging bestaat uit meer control planes. De beheerder moet routes, ARP- of buurttabellen, ACL's, DHCP-relay, protocolstatus en de lokale VLAN-configuratie controleren.
Kies het model waarvan u de foutsignalen begrijpt. Layer 2 is niet eenvoudiger wanneer de actieve topologie onzichtbaar is, en Layer 3 is niet eenvoudiger wanneer routeringstabellen onbekend zijn.
Gebruik een gefaseerde migratie naar Layer 3
- Breng elk VLAN, elke trunk, gateway, broadcastafhankelijkheid en fysieke locatie in kaart.
- Verwijder ongebruikte VLAN's uit trunks.
- Kies één zone die geen Layer 2-mobiliteit tussen locaties vereist.
- Maak een lokaal subnet en een gerouteerde point-to-point-uplink.
- Voeg statische routes toe en controleer ACL's, DNS, DHCP-relay, monitoring en herstel.
- Introduceer dynamische routing alleen wanneer redundante paden dit rechtvaardigen.
Het doel is niet om elke trunk te elimineren. Het doel is om broadcastdomeinen niet verder uit te rekken dan de locaties waar gedrag binnen hetzelfde subnet waarde oplevert.
Welke architectuur past?
Behoud een Layer 2-lab wanneer
Behoud centrale gateways en trunks wanneer het lab zich op één locatie bevindt, er weinig switches zijn, mobiliteit van VM's of opslag belangrijk is en de topologie eenvoudig te herstellen blijft.
Schakel over op gerouteerde VLAN's wanneer
Routeer dichter bij de rand wanneer VLAN's zich uitstrekken over niet-gerelateerde switches of locaties, de foutomvang van broadcasts en spanning tree te groot is, of verkeer met hoge volumes de centrale gateway overbelast.
Gebruik een hybride ontwerp wanneer
Routeer tussen labzones en behoud kleine lokale Layer 2-domeinen voor clusters, opslag of diensten die sterk afhankelijk zijn van discovery.
Veelgestelde vragen
Maakt routed access VLAN's overbodig?
Nee. Lokale toegangsnetwerken kunnen nog steeds VLAN's gebruiken. Het verschil is dat VLAN's dichter bij hun eindpunten worden beëindigd in plaats van over de hele infrastructuur te worden doorgetrokken.
Hebben homelabs OSPF nodig?
De meeste niet. Statische routes volstaan voor enkele stabiele zones. OSPF wordt nuttig voor het leren van routes, redundante paden, meerdere routers of prefixen die vaak wijzigen.
Kunnen VM's tussen gerouteerde subnetten worden verplaatst zonder het IP-adres te wijzigen?
Niet met alleen gewone routing. De VM heeft doorgaans een nieuw subnetadres nodig, of de omgeving heeft een overlay, een uitgerekt VLAN of een mobiliteitsontwerp op applicatieniveau nodig.
Eindoordeel
Houd het lab op Layer 2 zolang één centrale gateway, enkele trunks en mobiliteit binnen hetzelfde subnet eenvoudig te beheren blijven. Verplaats geselecteerde zones naar gerouteerde VLAN's wanneer een Layer 2-bereik grotere foutdomeinen, onduidelijke paden of centrale knelpunten veroorzaakt. Een hybride ontwerp is meestal het praktische eindpunt.
Aanbevolen producten
Productvergelijkingen
Meer om te lezen
VPS-tunnel versus port forwarding thuis voor openbare zelfgehoste diensten: welke toegangsroute is eenvoudiger te beheren?
Gebruik port forwarding voor de eenvoudigste directe route; gebruik een VPS-tunnel bij CGNAT, wanneer adresprivacy, gecentraliseerde toegang of flexibele routering belangrijk is.
Consumentenrouter versus speciale firewall voor een gescheiden homelab: wanneer moet je de gateway scheiden?
Gebruik de consumentenrouter zolang segmentatie eenvoudig blijft; stap over op een speciale firewall wanneer beleid, inzicht, interfaces of herstelmogelijkheden de router ontgroeien.
Directe 10GbE-verbinding versus een beheerde 10GbE-switch voor één werkstation en NAS: wat moet je als eerste bouwen?
Gebruik een directe verbinding voor één werkstation en één NAS; voeg een beheerde switch toe zodra er een tweede snelle client, gedeelde routering of...
