EVPN ফায়ারওয়াল নীতি: কেন্দ্রীভূত গেটওয়ে বনাম বিতরণকৃত IRB
কেন্দ্রীভূত গেটওয়ে টেন্যান্ট ট্রাফিক ফায়ারওয়াল দিয়ে পাঠায়, বিতরণকৃত IRB পাঠায় না। কোনটি কোথায় পরীক্ষা করে এবং দ্রুত পথে কী যোগ করতে হয় তা তুলনা করুন।
দুটি EVPN নকশা টেন্যান্ট গেটওয়েকে ভিন্ন জায়গায় রাখে, আর ফায়ারওয়াল প্রতিটিতে ভিন্ন ট্রাফিক দেখে। কেন্দ্রীভূত গেটওয়েতে সাবনেট-মধ্যবর্তী ট্রাফিক ফায়ারওয়ালে পৌঁছায়, কারণ রাউটিং সেখানেই ঘটে। বিতরণকৃত IRB-তে leaf সুইচগুলো স্থানীয়ভাবে রাউট করে এবং ফায়ারওয়াল কিছুই দেখে না, যতক্ষণ না আপনি সচেতনভাবে এটি সেখানে ঢোকান। কোনও মডেলই ভুল নয়। ভুল হলো প্রান্তে একটি ফায়ারওয়াল জুড়ে দেওয়া এবং ধরে নেওয়া যে ফ্যাব্রিক ট্রাফিক সেখানে পৌঁছে দেবে।
দুটি মডেল, দুটি ভিন্ন পরিদর্শন বিন্দু
প্রথমে সেই ফ্লোগুলো চিহ্নিত করুন যেগুলোর পরিদর্শন দরকার, কারণ দুটি মডেল সেগুলোকে ভিন্নভাবে দেখে।
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
একই সাবনেটের ট্রাফিক হলো সেই সারি যা মানুষ ভুলে যায়। একটি VLAN-এ দুটি হোস্ট ব্রিজিংয়ের মাধ্যমে কথা বলে, এবং সেই পথে কোনো রাউটেড ফায়ারওয়াল থাকে না, যদি না আলাদা লেয়ার 2 পরিদর্শন নকশা সেটি আটকায়। এটি দুই মডেলেই সত্য, তাই এটি তাদের মধ্যে তুলনা নয়, বরং নকশার একটি ফাঁক।
বাকি তিনটি সারি হলো যেখানে মডেল দুটি সত্যিই আলাদা হয়।
কেন্দ্রীভূত গেটওয়ে: সরল পরিদর্শন, বাস্তব ট্রানজিট ব্যয়
টেন্যান্ট VLAN-গুলোকে লেয়ার 2 সেবা হিসেবে রাখুন এবং তাদের রাউটিং গেটওয়ে ফায়ারওয়ালে রাখুন। সাবনেট-মধ্যবর্তী ট্রাফিক তখন সেই গেটওয়েতে যায় ও ফিরে আসে, এমনকি যখন দুটি হোস্ট একই leaf-এ থাকে তখনও। পরিদর্শন বিন্দু দ্ব্যর্থহীন, এবং এটিই এই নকশার পুরো যুক্তি। ব্যয় হলো ফায়ারওয়ালে ট্রানজিট লোড এবং একটি কেন্দ্রীয় ধারণক্ষমতা ও প্রাপ্যতা-নির্ভরতা, যা এখন আপনাকে ইঞ্জিনিয়ার করতে হবে।
পরিবর্তনটি আপনার ইচ্ছাকৃত টেন্যান্ট গেটওয়েগুলোর মধ্যে সীমাবদ্ধ রাখুন। ম্যানেজমেন্ট, underlay ও প্ল্যাটফর্ম ইন্টারফেসের আলাদা দায়িত্ব থাকলে প্রতিটি VLAN ঠিকানা সরানো খুবই বিস্তৃত। একটি দ্বিতীয় সক্রিয় গেটওয়েও দেখুন, কারণ যেটি এখনও ফায়ারওয়ালের পাশ কাটিয়ে রাউট করে, সেটি নকশাটিকে নীরবে ব্যর্থ করে।
এই মডেলটি নিরীক্ষকের কাছে ব্যাখ্যা করা সহজ। এটি চালানো স্বয়ংক্রিয়ভাবে সস্তা নয়।
বিতরণকৃত IRB: দ্রুত পথ, ডিফল্টে কোনো পরিদর্শন নেই
বিতরণকৃত anycast গেটওয়েতে প্রতিটি leaf টেন্যান্ট ট্রাফিক স্থানীয়ভাবে রাউট করে, এবং RFC 9135 ব্যাখ্যা করে কেন এটি কেন্দ্রীভূত গেটওয়ের ব্যাকহল এড়ায়। সুবিধাটি বাস্তব, এবং এর সরাসরি পরিণতি আছে: ফায়ারওয়াল কোথায় লাগানো আছে তা থেকে পরিদর্শন অনুমান করা যায় না। প্রান্তিক leaf-এ যুক্ত ফায়ারওয়াল বাহ্যিক ট্রাফিক এবং আপনি স্পষ্টভাবে যা সেখানে পাঠান তা দেখে।
প্ল্যাটফর্ম সত্যিই যে প্রক্রিয়া সমর্থন করে তা দিয়ে সেবাটি ঢোকান: নীতি-ভিত্তিক রিডাইরেকশন, একটি সার্ভিস নোড, বা ফায়ারওয়ালের মাধ্যমে নিয়ন্ত্রিত VRF-মধ্যবর্তী রাউটিং। অভীষ্ট ট্রাফিককে তার প্রকৃত প্রবেশ বিন্দুতে মেলান। হোস্ট-মুখী ইন্টারফেসে লেখা নীতি overlay থেকে আসা প্যাকেটকে ঢাকে না।
অভীষ্ট ডিফল্টের বদলে ইনস্টল করা রুট পড়ুন। সরাসরি আমদানি করা আরও নির্দিষ্ট টেন্যান্ট প্রিফিক্স ফায়ারওয়ালের দিকে নির্দেশ করা ডিফল্ট রুটকে পাশ কাটাতে পারে, আর কনফিগারেশনে কিছুই ভুল দেখাবে না।
প্রতিসাম্য একটি রাউটিং বৈশিষ্ট্য, পরিদর্শনের নিশ্চয়তা নয়
প্রতিসম IRB বর্ণনা করে কীভাবে ইনগ্রেস ও ইগ্রেস provider edge নোডগুলো একটি ফ্লোর জন্য রাউটিং ও ব্রিজিং সামলায়। এটি বলে না যে দুই দিক একই stateful ডিভাইসে পৌঁছায় কি না। ECMP, anycast ও ফায়ারওয়ালের উচ্চ প্রাপ্যতা সবই প্রভাবিত করে কোন নোড ফেরত ট্রাফিক দেখে, আর ক্লাস্টারের সমর্থিত স্টেট মডেল ঠিক করে তা গ্রহণযোগ্য কি না।
আপনার গুরুত্বপূর্ণ প্রতিটি ফ্লোর জন্য ফেরত পথ স্পষ্টভাবে অনুসরণ করুন। NAT এই কাজের সার্বজনীন বিকল্প নয়, এবং যেসব নকশা এর উপর ভরসা করে তারা সাধারণত নির্মাণের সময় নয়, failover-এর সময় ফাঁকটি খুঁজে পায়।
নকশা অনুমোদনের আগে একটি আবশ্যক ফ্লো এবং একটি সচেতনভাবে বাদ দেওয়া ফ্লো দুই দিকেই হেঁটে দেখুন।
কীভাবে বাছবেন, এবং যেভাবেই হোক কী পরীক্ষা করবেন
পরিদর্শন কভারেজ যখন ট্রানজিট ধারণক্ষমতার চেয়ে বেশি গুরুত্বপূর্ণ এবং আপনি কেন্দ্রীয় নির্ভরতা সামলাতে পারেন, তখন কেন্দ্রীভূত গেটওয়ে বাছুন। স্থানীয় রাউটিংই যখন মূল কথা, তখন বিতরণকৃত IRB বাছুন, এবং ধরে নেওয়ার বদলে স্পষ্ট সেবা-প্রবেশের জন্য বাজেট রাখুন।
তারপর আপনি আসলে যে রাউটিং ইনস্টল করেছেন তা পরীক্ষা করুন, কারণ এখানেই দুটি নকশা সবচেয়ে বেশি আলাদা:
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixপরীক্ষায় সার্ভিস নোডের ব্যর্থতা ও পুনরুদ্ধার অন্তর্ভুক্ত করুন। যে ফলব্যাক রুট নীরবে পরিদর্শন এড়িয়ে যায় তা পরিকল্পিত fail-open নীতির চেয়ে ভিন্ন সিদ্ধান্ত, এবং সাধারণত দুটির একটিই অভীষ্ট। চূড়ান্ত নকশা বলে দেয় প্রতিটি ট্রাফিক শ্রেণি কোথায় রাউট হয়, কোথায় পরিদর্শিত হয়, এবং সেই পরিদর্শন পথ অনুপলব্ধ হলে কী ঘটে।