Палітыка міжсеткавага экрана EVPN: цэнтралізаваны шлюз супраць размеркаванага IRB

Дзве схемы EVPN размяшчаюць шлюз арандатара ў розных месцах, і міжсеткавы экран бачыць у кожнай розны трафік. Пры цэнтралізаваным шлюзе трафік паміж падсеткамі даходзіць да міжсеткавага экрана, бо маршрутызацыя адбываецца менавіта там. Пры размеркаваным IRB лісцевыя камутатары маршрутызуюць лакальна, і міжсеткавы экран не бачыць нічога, пакуль вы наўмысна яго туды не ўставіце. Ні адна мадэль не памылковая. Памылка ў тым, каб падключыць міжсеткавы экран на мяжы і меркаваць, што фабрыка даставіць яму трафік.

Дзве мадэлі, дзве розныя кропкі праверкі

Спачатку назавіце патокі, якія патрабуюць праверкі, бо дзве мадэлі абыходзяцца з імі па-рознаму.

Трафік унутры адной падсеткі — гэта радок, які забываюць. Два хасты ў адным VLAN размаўляюць праз мастававанне, і ніякі маршрутызаваны міжсеткавы экран не стаіць на гэтым шляху, калі асобная схема праверкі Layer 2 не перахоплівае яго. Гэта справядліва для абедзвюх мадэляў, таму гэта прабел у схеме, а не параўнанне паміж імі.

Астатнія тры радкі — гэта месца, дзе мадэлі сапраўды разыходзяцца.

Цэнтралізаваны шлюз: простая праверка, рэальная цана транзіту

Пакіньце VLAN арандатара як Паслугі Layer 2 і размясціце іх шлюзы маршрутызацыі на міжсеткавым экране. Трафік паміж падсеткамі тады ідзе да гэтага шлюза і назад, магчыма, нават калі абодва хасты знаходзяцца на адным лісце. Кропка праверкі адназначная, і гэта ўвесь аргумент на карысць схемы. Цана — нагрузка транзіту на міжсеткавым экране плюс цэнтральная залежнасць ад ёмістасці і даступнасці, якую цяпер трэба праектаваць.

Абмяжуйце змену тымі шлюзамі арандатара, якія маеце на ўвазе. Выдаляць кожны адрас VLAN занадта шырока, калі інтэрфейсы кіравання, underlay і платформы маюць асобныя абавязкі. Праверце таксама другі актыўны шлюз, бо той, што ўсё яшчэ маршрутызуе ў абыход міжсеткавага экрана, ціха знішчае схему.

Гэту мадэль прасцей патлумачыць аўдытару. Яна не становіцца аўтаматычна таннейшай у эксплуатацыі.

Размеркаваны IRB: хуткі шлях без праверкі па змаўчанні

З размеркаванымі anycast-шлюзамі кожны ліст маршрутызуе трафік арандатара лакальна, і RFC 9135 тлумачыць, чаму гэта пазбягае зваротнай перадачы праз цэнтральны шлюз. Перавага рэальная, і ў яе ёсць прамое следства: праверку нельга вывесці з таго, куды ўключаны міжсеткавы экран. Міжсеткавы экран, падключаны да мяжовага ліста, бачыць знешні трафік і ўсё, што вы яму яўна перанакіруеце.

Устаўце паслугу механізмам, які платформа сапраўды падтрымлівае: перанакіраванне на аснове палітык, вузел паслуг або кантраляваная маршрутызацыя паміж VRF праз міжсеткавы экран. Супастаўце меркаваны трафік у яго рэальнай кропцы ўваходу. Палітыка, напісаная на інтэрфейсе, звернутым да хаста, не пакрывае пакет, які прыходзіць з overlay.

Чытайце ўсталяваныя маршруты, а не меркаваны default. Больш канкрэтны прэфікс арандатара, імпартаваны напрамую, можа абысці default-маршрут, які паказвае на міжсеткавы экран, і нішто ў канфігурацыі не будзе выглядаць няправільным.

Сіметрыя — уласцівасць маршрутызацыі, а не гарантыя праверкі

Сіметрычны IRB апісвае, як уваходныя і выходныя вузлы provider edge апрацоўваюць маршрутызацыю і мастававанне для патоку. Ён нічога не кажа пра тое, ці дасягаюць абодва кірункі адной і той жа stateful-прылады. ECMP, anycast і высокая даступнасць міжсеткавага экрана ўплываюць на тое, які вузел бачыць зваротны трафік, а падтрыманая мадэль стану кластара вырашае, ці гэта прымальна.

Прасочвайце зваротны шлях яўна для кожнага патоку, які для вас важны. NAT не з'яўляецца ўніверсальнай заменай гэтай працы, і схемы, якія на яго абапіраюцца, звычайна знаходзяць прабел падчас failover, а не падчас будаўніцтва.

Прайдзіце адзін патрабаваны паток і адзін наўмысна выключаны паток у абодвух кірунках, перш чым зацвердзіць схему.

Як выбіраць і што правяраць у любым выпадку

Выбірайце цэнтралізаваны шлюз, калі пакрыццё праверкай важнейшае за транзітную ёмістасць і вы можаце дазволіць сабе цэнтральную залежнасць. Выбірайце размеркаваны IRB, калі лакальная маршрутызацыя — гэта мэта, і закладайце бюджэт на яўнае ўключэнне паслугі замест таго, каб меркаваць яго.

Затым праверце маршрутызацыю, якую вы сапраўды ўсталявалі, бо менавіта тут дзве схемы адрозніваюцца найбольш:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Уключыце ў тэст адмову і аднаўленне вузла паслуг. Рэзервовы маршрут, які ціха абыходзіць праверку, — гэта іншае рашэнне, чым запланаваная палітыка fail-open, і звычайна маецца на ўвазе толькі адна з іх. Гатовая схема называе, куды маршрутызуецца кожны клас трафіку, дзе ён правяраецца і што адбываецца, калі гэты шлях праверкі недаступны.