EVPN firewall siyasəti: mərkəzləşdirilmiş şlüz və paylanmış IRB

İki EVPN dizaynı kirayəçi şlüzünü müxtəlif yerlərdə yerləşdirir və firewall hər birində fərqli trafik görür. Mərkəzləşdirilmiş şlüz ilə subnetlər arası trafik firewall-a çatır, çünki marşrutlaşdırma elə orada baş verir. Paylanmış IRB ilə leaf kommutatorları yerli olaraq marşrutlaşdırır və firewall heç nə görmür, əgər siz onu qəsdən ora daxil etməmisinizsə. Heç bir model səhv deyil. Səhv olan odur ki, firewall-u sərhədə bağlayıb fabric-in trafiki ona çatdıracağını güman edəsiniz.

İki model, iki fərqli yoxlama nöqtəsi

Əvvəlcə yoxlama tələb edən axınları adlandırın, çünki iki model onlara fərqli yanaşır.

Eyni subnet daxilindəki trafik insanların unutduğu sətirdir. Bir VLAN-dakı iki host körpü vasitəsilə danışır və ayrı bir Layer 2 yoxlama dizaynı müdaxilə etməsə, həmin yolda marşrutlaşdıran firewall yoxdur. Bu hər iki modeldə doğrudur, yəni bu, onların müqayisəsi deyil, dizayn boşluğudur.

Digər üç sətir modellərin həqiqətən ayrıldığı yerdir.

Mərkəzləşdirilmiş şlüz: sadə yoxlama, real tranzit xərci

Kirayəçi VLAN-larını Layer 2 xidmətləri kimi saxlayın və onların marşrutlaşdırma şlüzlərini firewall-a yerləşdirin. Subnetlər arası trafik sonra həmin şlüzə gedib geri qayıdır, hətta hər iki host eyni leaf-də olanda belə. Yoxlama nöqtəsi birmənalıdır və bu, dizaynın bütün əsaslandırmasıdır. Xərc firewall üzərində tranzit yükü və indi mühəndislik tələb edən mərkəzi tutum və əlçatanlıq asılılığıdır.

Dəyişikliyi nəzərdə tutduğunuz kirayəçi şlüzləri ilə məhdudlaşdırın. İdarəetmə, underlay və platforma interfeyslərinin ayrı vəzifələri olanda hər VLAN ünvanını silmək çox genişdir. İkinci aktiv şlüzü də yoxlayın, çünki hələ də firewall-un ətrafından marşrutlaşdıran biri dizaynı səssizcə sıradan çıxarır.

Bu modeli auditordan izah etmək daha asandır. İstismarı avtomatik olaraq daha ucuz deyil.

Paylanmış IRB: sürətli yol, standart olaraq yoxlama yoxdur

Paylanmış anycast şlüzlərlə hər leaf kirayəçi trafikini yerli olaraq marşrutlaşdırır və RFC 9135 bunun mərkəzləşdirilmiş şlüzün geri daşınmasından niyə yayındığını təsvir edir. Fayda realdır və birbaşa nəticəsi var: yoxlamanı firewall-un haraya qoşulduğundan çıxarmaq olmaz. Sərhəd leaf-ə qoşulmuş firewall xarici trafiki və açıq şəkildə ona yönəltdiyiniz hər şeyi görür.

Xidməti platformanın həqiqətən dəstəklədiyi mexanizmlə daxil edin: siyasət əsaslı yönləndirmə, xidmət node-u və ya firewall vasitəsilə nəzarətli VRF-lər arası marşrutlaşdırma. Nəzərdə tutulan trafiki onun real giriş nöqtəsində uyğunlaşdırın. Host-a baxan interfeysdə yazılmış siyasət overlay-dən gələn paketi əhatə etmir.

Nəzərdə tutulan default əvəzinə quraşdırılmış marşrutları oxuyun. Birbaşa idxal edilən daha spesifik kirayəçi prefiksi firewall-a işarə edən default marşrutu keçə bilər və konfiqurasiyada heç nə səhv görünməyəcək.

Simmetriya marşrutlaşdırma xassəsidir, yoxlama zəmanəti deyil

Simmetrik IRB giriş və çıxış provider edge node-larının axın üçün marşrutlaşdırma və körpüləməni necə idarə etdiyini təsvir edir. Hər iki istiqamətin eyni stateful cihaza çatıb-çatmadığı barədə heç nə demir. ECMP, anycast və firewall-un yüksək əlçatanlığı hansı node-un qayıdış trafikini görməsinə təsir edir və klasterin dəstəklənən state modeli bunun məqbul olub-olmadığını müəyyən edir.

Əhəmiyyətli hər axın üçün qayıdış yolunu açıq şəkildə izləyin. NAT bu işin universal əvəzi deyil və ona güvənən dizaynlar boşluğu adətən qurmada deyil, failover zamanı tapır.

Dizaynı təsdiqləməzdən əvvəl bir tələb olunan və bir qəsdən istisna edilən axını hər iki istiqamətdə gəzin.

Necə seçmək və hər halda nəyi test etmək

Yoxlama əhatəsi tranzit tutumundan vacib olduqda və mərkəzi asılılığı ödəyə bildikdə mərkəzləşdirilmiş şlüzü seçin. Yerli marşrutlaşdırma əsas məqsəddirsə paylanmış IRB-ni seçin və açıq xidmət daxil etməyi güman etmək əvəzinə ona büdcə ayırın.

Sonra həqiqətən quraşdırdığınız marşrutlaşdırmanı test edin, çünki iki dizayn ən çox burada fərqlənir:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Testə xidmət node-unun sıradan çıxması və bərpasını daxil edin. Yoxlamanı səssizcə yan keçən ehtiyat marşrut planlanmış fail-open siyasətindən fərqli qərardır və adətən onlardan yalnız biri nəzərdə tutulur. Tamamlanmış dizayn hər trafik sinfinin harada marşrutlaşdığını, harada yoxlandığını və həmin yoxlama yolu əlçatmaz olanda nə baş verdiyini adlandırır.