Zásady firewallu v EVPN: centralizovaná brána versus distribuovaný IRB

Dva návrhy EVPN umisťují bránu nájemce na různá místa a firewall v každém vidí jiný provoz. U centralizované brány se provoz mezi podsítěmi dostane k firewallu, protože právě tam probíhá směrování. U distribuovaného IRB směrují listové přepínače lokálně a firewall nevidí nic, pokud jej tam úmyslně nevložíte. Ani jeden model není špatný. Špatné je připojit firewall na hranici a předpokládat, že mu fabric provoz doručí.

Dva modely, dva různé body inspekce

Nejprve pojmenujte toky, které potřebují inspekci, protože oba modely k nim přistupují jinak.

Provoz v rámci stejné podsítě je řádek, na který se zapomíná. Dva hostitelé na jedné VLAN komunikují přes přemostění a v této cestě nestojí žádný směrovaný firewall, pokud jej nezachytí samostatný návrh inspekce vrstvy 2. To platí v obou modelech, takže jde o mezeru v návrhu, ne o srovnání mezi nimi.

Zbývající tři řádky jsou místem, kde se modely skutečně rozcházejí.

Centralizovaná brána: jednoduchá inspekce, skutečné náklady na tranzit

Ponechte VLAN nájemce jako služby vrstvy 2 a umístěte jejich směrovací brány na firewall. Provoz mezi podsítěmi pak putuje k této bráně a zpět, potenciálně i tehdy, když oba hostitelé sedí na stejném listu. Místo inspekce je jednoznačné a to je celý argument pro tento návrh. Nákladem je tranzitní zátěž firewallu plus centrální závislost na kapacitě a dostupnosti, kterou teď musíte navrhnout.

Omezte změnu na brány nájemce, které zamýšlíte. Odstranění každé adresy VLAN je příliš široké, když správa, underlay a rozhraní platformy mají oddělené úlohy. Zkontrolujte také druhou aktivní bránu, protože ta, která stále směruje mimo firewall, návrh tiše ruší.

Tento model se auditorovi vysvětluje snáze. Není automaticky levnější na provoz.

Distribuovaný IRB: rychlá cesta, ve výchozím stavu bez inspekce

U distribuovaných anycast bran každý list směruje provoz nájemce lokálně a RFC 9135 popisuje, proč se tím vyhýbá zpětnému vedení přes centralizovanou bránu. Přínos je skutečný a má přímý důsledek: inspekci nelze odvodit z toho, kam je firewall zapojen. Firewall připojený k hraničnímu listu vidí vnější provoz a vše, co k němu výslovně přesměrujete.

Vložte službu mechanismem, který platforma skutečně podporuje: přesměrování na základě zásad, servisní uzel nebo řízené směrování mezi VRF přes firewall. Slučte zamýšlený provoz v jeho skutečném vstupním bodě. Zásada napsaná na rozhraní obráceném k hostitelům nepokrývá paket přicházející z overlay.

Čtěte nainstalované trasy, ne zamýšlenou výchozí trasu. Konkrétnější prefix nájemce importovaný přímo může obejít výchozí trasu, která ukazuje na firewall, a v konfiguraci nebude nic vypadat špatně.

Symetrie je vlastnost směrování, ne záruka inspekce

Symetrický IRB popisuje, jak vstupní a výstupní uzly provider edge zpracovávají směrování a přemostění pro tok. Neříká nic o tom, zda oba směry dorazí ke stejnému stavovému zařízení. ECMP, anycast a vysoká dostupnost firewallu ovlivňují, který uzel vidí zpětný provoz, a podporovaný stavový model clusteru rozhoduje, zda je to přijatelné.

Pro každý tok, na kterém vám záleží, sledujte zpětnou cestu výslovně. NAT není univerzální náhradou této práce a návrhy, které se na něj spoléhají, obvykle mezeru najdou během failoveru, ne během stavby.

Projděte jeden povinný tok a jeden úmyslně vyloučený tok v obou směrech, než návrh schválíte.

Jak vybrat a co testovat v obou případech

Zvolte centralizovanou bránu, když je pokrytí inspekcí důležitější než tranzitní kapacita a můžete si dovolit centrální závislost. Zvolte distribuovaný IRB, když je lokální směrování to hlavní, a naplánujte rozpočet na výslovné vložení služby místo předpokladu.

Pak otestujte směrování, které jste skutečně nainstalovali, protože právě tam se oba návrhy nejvíce liší:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Zahrňte do testu selhání a obnovu servisního uzlu. Záložní trasa, která tiše obchází inspekci, je jiné rozhodnutí než plánovaná zásada fail-open a obvykle je zamýšlena jen jedna z nich. Hotový návrh pojmenovává, kam se každá třída provozu směruje, kde se kontroluje a co se stane, když je tato inspekční cesta nedostupná.