Postavte hranici EVPN kolem exportní politiky, ne kolem připojení

Běžný předpoklad je, že model připojení Layer 2 na hranici určuje vše nad ním, takže návrh začíná párem vPC a postupuje nahoru. Obvykle to skončí směrovacími rozhodnutími učiněnými náhodou. Hranice EVPN je především směrovací hranice: směrovací kontext tenanta se potkává s externí směrovací doménou a to, co tuto linii překračuje, je politické prohlášení. Vyberte trasy, vztah ASN a cesty selhání dřív, než se někdo začne hádat o port-channels. Model připojení pak vychází z požadavku, místo aby ho diktoval.

Začněte tím, co překračuje hranici

Zapište trasy, které mají být viditelné na každé straně, směr, kterým putují, a kdo schvaluje změnu tohoto seznamu. Hranice, která přijímá vše a ohlašuje vše, nemá politiku, jen kabel.

Pak pojmenujte selhání, které hodláte provozovat: jeden uplink mimo provoz, jeden border leaf mimo provoz nebo celá externí doména nedostupná. Každá odpověď mění, zda potřebujete dva nezávislé sousedy, sdílené připojení Layer 2, nebo obojí.

Teprve když oba seznamy existují, je otázka připojení zodpověditelná. Předtím vypadá každý mechanismus stejně platný. Potom se většina sama vyloučí. To je celý argument pro to udělat nejdřív směrovací práci.

Ukotvěte hranici ASN a peeringu

Fabric s privátními AS obvykle peeruje s veřejnou hraniční doménou přes eBGP a zajímavá část je politika na obou stranách. Rozhodněte, které prefixy se přijímají, které se ohlašují a jakou AS path má upstream dostat.

RFC 6996 vyhrazuje rozsah ASN pro soukromé použití a tyto ASN by se neměly objevovat v globálních ohlášeních. Aplikujte platformou podporovanou politiku odstranění nebo filtrování a výsledné ohlášení ověřte, místo abyste předpokládali, že to zařízení udělalo. Tento krok vám také nedává právo ohlašovat libovolný veřejný prefix, to je samostatný rozhovor s vlastníkem adresy.

Konfederace nebo funkce local-AS je návrhová volba pro konkrétní topologii. Ani jedno není povinné jen proto, že fabric a upstream používají různé role ASN, a přijetí jednoho bez požadavku přidává pohyblivé části do každé budoucí změny.

Uplinky Layer 3 nepotřebují multichassis LAG

Nezávislá směrovaná rozhraní s vlastními sousedy BGP dávají dvě jasné cesty a dvě jasné domény selhání. vPC nebo jiný multichassis LAG slouží požadavku na připojení Layer 2 a je správným nástrojem, když takový požadavek existuje.

Paušální pravidlo, že každá hraniční dvojice musí používat vPC, nebo se mu musí vyhýbat, skrývá podmínky, které případ skutečně rozhodují. Zeptejte se, co má připojení přenášet, a pak vyberte mechanismus, který to přenáší s nejmenším počtem sdílených režimů selhání.

Směrovací politika, kterou jste napsali první, se nemění, když se změní mechanismus připojení, což je dobré znamení, že pořadí bylo správné.

Exportujte jen to, co tenant potřebuje

Tenant může potřebovat výchozí trasu, sadu vybraných externích prefixů nebo mnohem větší tabulku. Vyberte tento rozsah podle skutečné kapacity přeposílání a řídicí roviny, ne podle starého počtu internetových tras, který nikdo znovu nezměřil.

Trasa EVPN IP Prefix, běžně nazývaná Type 5 a definovaná v RFC 9136, nese informaci o prefixu v overlayi. Implementace stále potřebuje odpovídající exportní a importní politiku plus rozlišení next-hop, takže přijetí externí trasy BGP na hranici neznamená, že ji každý tenantův VRF importuje.

Ne každý leaf potřebuje kompletní tabulku jen proto, že ji hranice drží. Rozdělte to, co provoz tenanta vyžaduje, a zbytek ať vlastní hranice.

Ověřte jeden prefix od začátku do konce

Vyberte reprezentativní externí prefix a projděte ho zamýšleným VRF hranice, exportní politikou, kontextem přeposílání přijímajícího leafu a zpáteční cestou ke zdroji tenanta. Prefix, který se objeví na jednom místě a na dalším ne, chybu okamžitě lokalizuje.

Potvrďte, jak se next hop rozlišuje přes overlay, protože trasa přítomná s nerozlišeným next hopem nic nepřeposílá. Poté kontrolu zopakujte po změně uplinku, protože tehdy se politika a rozlišení next-hop nejčastěji rozejdou.

Pořadí práce: vypište trasy překračující hranici, dohodněte politiku ASN, vyberte připojení podle jeho skutečné úlohy, vymezte export pro každého tenanta a pak ověřte jeden prefix a jeho zpáteční cestu.