EVPN-firewallpolitik: centraliseret gateway kontra distribueret IRB

To EVPN-design placerer lejerens gateway forskellige steder, og firewalleen ser forskellig trafik i hvert af dem. Med en centraliseret gateway når trafik mellem undernet frem til firewalleen, fordi det er der, routing foregår. Med distribueret IRB router leaf-switchne lokalt, og firewalleen ser intet, medmindre du indsætter den med vilje. Ingen af modellerne er forkerte. Det forkerte er at sætte en firewall på grænsen og antage, at fabric leverer trafikken til den.

To modeller, to forskellige inspektionspunkter

Navngiv først de flows, der skal inspiceres, fordi de to modeller behandler dem forskelligt.

Trafik inden for samme undernet er den række, folk glemmer. To hosts på et VLAN taler via brokobling, og der sidder ingen routet firewall på den vej, medmindre et separat inspektionsdesign for lag 2 opfanger den. Det gælder i begge modeller, så det er et hul i designet snarere end en sammenligning mellem dem.

De øvrige tre rækker er, hvor modellerne faktisk divergerer.

Centraliseret gateway: enkel inspektion, reel transitomkostning

Behold lejerens VLAN'er som lag 2-tjenester og placer deres routing-gateways på firewalleen. Trafik mellem undernet rejser derefter til den gateway og tilbage, muligvis endda når begge hosts sidder på samme leaf. Inspektionspunktet er entydigt, og det er hele argumentet for designet. Omkostningen er transitlast på firewalleen plus en central afhængighed af kapacitet og tilgængelighed, som du nu skal konstruere.

Afgræns ændringen til de lejer-gateways, du har til hensigt. At fjerne hver VLAN-adresse er for bredt, når styring, underlay og platforminterfaces har separate opgaver. Tjek også en anden aktiv gateway, fordi en, der stadig router uden om firewalleen, stille og roligt undergraver designet.

Denne model er lettere at forklare for en revisor. Den er ikke automatisk billigere at drive.

Distribueret IRB: hurtig vej, ingen inspektion som standard

Med distribuerede anycast-gateways router hver leaf lejerens trafik lokalt, og RFC 9135 beskriver, hvorfor det undgår tilbageføringen til en centraliseret gateway. Fordelen er reel, og den har en direkte konsekvens: inspektion kan ikke udledes af, hvor firewalleen er tilsluttet. En firewall tilsluttet en grænse-leaf ser ekstern trafik og alt, hvad du udtrykkeligt omdirigerer til den.

Indsæt tjenesten med en mekanisme, som platformen faktisk understøtter: politikbaseret omdirigering, en servicenode eller kontrolleret routing mellem VRF'er gennem firewalleen. Match den tilsigtede trafik på dens reelle indgangspunkt. En politik skrevet på en hostvendt interface dækker ikke en pakke, der kommer fra overlayet.

Læs de installerede ruter i stedet for den tilsigtede standardrute. Et mere specifikt lejer-præfiks importeret direkte kan omgå standardruten, der peger på firewalleen, og intet i konfigurationen vil se forkert ud.

Symmetri er en routingegenskab, ikke en inspektionsgaranti

Symmetrisk IRB beskriver, hvordan indgående og udgående provider edge-noder håndterer routing og brokobling for et flow. Det siger intet om, hvorvidt begge retninger når den samme stateful enhed. ECMP, anycast og firewalleens høje tilgængelighed påvirker alle, hvilken node der ser returtrafikken, og klyngens understøttede tilstandsmodel afgør, om det er acceptabelt.

Følg returvejen eksplicit for hvert flow, du interesserer dig for. NAT er ikke en universel erstatning for det arbejde, og designs, der læner sig op ad det, finder normalt hullet under en failover i stedet for under opbygningen.

Gå et påkrævet flow og et bevidst udelukket flow igennem, i begge retninger, før du godkender designet.

Sådan vælger du, og hvad du skal teste under alle omstændigheder

Vælg den centraliserede gateway, når inspektionsdækning betyder mere end transitkapacitet, og du har råd til den centrale afhængighed. Vælg distribueret IRB, når lokal routing er pointen, og budgetlæg for eksplicit tjenesteindsættelse i stedet for at antage den.

Test derefter den routing, du faktisk har installeret, fordi det er her, de to designs adskiller sig mest:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Medtag servicenodens fejl og genopretning i testen. En reserve-rute, der stille omgår inspektion, er en anden beslutning end en planlagt fail-open-politik, og normalt er kun en af dem tilsigtet. Det færdige design navngiver, hvor hver trafikklasse router, hvor den inspiceres, og hvad der sker, når den inspektionsvej ikke er tilgængelig.