Política de tallafoc a EVPN: passarel·la centralitzada versus IRB distribuït

Dos dissenys EVPN col·loquen la passarel·la de l'inquilí en llocs diferents, i el tallafoc veu trànsit diferent a cadascun. Amb una passarel·la centralitzada, el trànsit entre subxarxes arriba al tallafoc perquè és allà on es fa l'encaminament. Amb IRB distribuït, els commutadors leaf encaminen localment i el tallafoc no veu res tret que l'hi inseriu deliberadament. Cap dels dos models no és incorrecte. El que és incorrecte és fixar un tallafoc a la frontera i suposar que el fabric hi farà arribar el trànsit.

Dos models, dos punts d'inspecció diferents

Primer anomeneu els fluxos que necessiten inspecció, perquè els dos models els tracten de manera diferent.

El trànsit dins de la mateixa subxarxa és la fila que la gent oblida. Dos hosts en una VLAN parlen per pont, i en aquest camí no hi ha cap tallafoc encaminat tret que un disseny d'inspecció de capa 2 separat l'intercepti. Això és cert en tots dos models, així que és un buit de disseny i no una comparació entre ells.

Les altres tres files són on els models divergeixen de debò.

Passarel·la centralitzada: inspecció simple, cost real de trànsit

Manteniu les VLAN de l'inquilí com a serveis de capa 2 i poseu-ne les passarel·les d'encaminament al tallafoc. El trànsit entre subxarxes viatja llavors a aquesta passarel·la i torna, possiblement fins i tot quan tots dos hosts són al mateix leaf. El punt d'inspecció és inequívoc, i aquest és tot l'argument del disseny. El cost és la càrrega de trànsit al tallafoc més una dependència central de capacitat i disponibilitat que ara heu d'enginyar.

Limiteu el canvi a les passarel·les d'inquilí que voleu. Treure cada adreça VLAN és massa ampli quan la gestió, l'underlay i les interfícies de plataforma tenen deures separats. Comproveu també una segona passarel·la activa, perquè una que encara encamina al voltant del tallafoc desfà el disseny en silenci.

Aquest model és més fàcil d'explicar a un auditor. No és automàticament més barat d'operar.

IRB distribuït: via ràpida, sense inspecció per defecte

Amb passarel·les anycast distribuïdes, cada leaf encamina el trànsit de l'inquilí localment, i RFC 9135 descriu per què això evita el retorn per una passarel·la centralitzada. El benefici és real i té una conseqüència directa: la inspecció no es pot inferir d'on està endollat el tallafoc. Un tallafoc connectat a un leaf de frontera veu el trànsit extern i tot el que hi redirigiu explícitament.

Inseriu el servei amb un mecanisme que la plataforma realment admeti: redirecció basada en polítiques, un node de servei o encaminament controlat entre VRF a través del tallafoc. Feu coincidir el trànsit previst al seu punt d'entrada real. Una política escrita en una interfície orientada als hosts no cobreix un paquet que arriba de l'overlay.

Llegiu les rutes instal·lades i no la ruta per defecte prevista. Un prefix d'inquilí més específic importat directament pot saltar-se la ruta per defecte que apunta al tallafoc, i res de la configuració no semblarà incorrecte.

La simetria és una propietat d'encaminament, no una garantia d'inspecció

L'IRB simètric descriu com els nodes provider edge d'entrada i sortida gestionen l'encaminament i el pont per a un flux. No diu res sobre si totes dues direccions arriben al mateix dispositiu amb estat. ECMP, anycast i l'alta disponibilitat del tallafoc afecten quin node veu el trànsit de retorn, i el model d'estat admès del clúster decideix si això és acceptable.

Seguiu el camí de retorn explícitament per a cada flux que us importi. NAT no és un substitut universal d'aquesta feina, i els dissenys que hi confien solen trobar el buit durant un failover i no durant la construcció.

Recorreu un flux obligatori i un flux exclòs deliberadament, en totes dues direccions, abans d'aprovar el disseny.

Com triar i què provar en qualsevol cas

Trieu la passarel·la centralitzada quan la cobertura d'inspecció importi més que la capacitat de trànsit i us pugueu permetre la dependència central. Trieu IRB distribuït quan l'encaminament local sigui el punt, i pressuposteu la inserció explícita de servei en lloc de suposar-la.

Després proveu l'encaminament que heu instal·lat de debò, perquè és aquí on els dos dissenys difereixen més:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Incloeu la fallada i la recuperació del node de servei a la prova. Una ruta de reserva que evita la inspecció en silenci és una decisió diferent d'una política fail-open planificada, i normalment només se n'ha volgut una. El disseny acabat anomena on encamina cada classe de trànsit, on s'inspecciona i què passa quan aquest camí d'inspecció no és disponible.