Πολιτική τείχους προστασίας σε EVPN: κεντρική πύλη έναντι κατανεμημένου IRB

Δύο σχεδιασμοί EVPN τοποθετούν την πύλη του ενοικιαστή σε διαφορετικά σημεία, και το τείχος προστασίας βλέπει διαφορετική κίνηση σε κάθε περίπτωση. Με κεντρική πύλη, η κίνηση μεταξύ υποδικτύων φτάνει στο τείχος προστασίας επειδή εκεί γίνεται η δρομολόγηση. Με κατανεμημένο IRB, οι διακόπτες leaf δρομολογούν τοπικά και το τείχος προστασίας δεν βλέπει τίποτα, εκτός αν το εισαγάγετε σκόπιμα. Κανένα μοντέλο δεν είναι λάθος. Λάθος είναι να συνδέσετε ένα τείχος προστασίας στα σύνορα και να υποθέσετε ότι το fabric θα του παραδώσει την κίνηση.

Δύο μοντέλα, δύο διαφορετικά σημεία ελέγχου

Ονομάστε πρώτα τις ροές που χρειάζονται έλεγχο, γιατί τα δύο μοντέλα τις αντιμετωπίζουν διαφορετικά.

Η κίνηση εντός του ίδιου υποδικτύου είναι η γραμμή που ξεχνούν οι άνθρωποι. Δύο hosts σε ένα VLAN μιλούν μέσω γεφύρωσης, και σε αυτή τη διαδρομή δεν βρίσκεται δρομολογούμενο τείχος προστασίας, εκτός αν την αναχαιτίσει ξεχωριστός σχεδιασμός ελέγχου επιπέδου 2. Αυτό ισχύει και στα δύο μοντέλα, άρα είναι κενό σχεδιασμού και όχι σύγκριση μεταξύ τους.

Οι άλλες τρεις γραμμές είναι εκεί όπου τα μοντέλα πραγματικά αποκλίνουν.

Κεντρική πύλη: απλός έλεγχος, πραγματικό κόστος διέλευσης

Κρατήστε τα VLAN του ενοικιαστή ως υπηρεσίες επιπέδου 2 και τοποθετήστε τις πύλες δρομολόγησής τους στο τείχος προστασίας. Η κίνηση μεταξύ υποδικτύων ταξιδεύει τότε σε αυτή την πύλη και πίσω, πιθανώς ακόμη και όταν και οι δύο hosts βρίσκονται στο ίδιο leaf. Το σημείο ελέγχου είναι σαφές, και αυτό είναι όλο το επιχείρημα υπέρ του σχεδιασμού. Το κόστος είναι φορτίο διέλευσης στο τείχος προστασίας συν μια κεντρική εξάρτηση από χωρητικότητα και διαθεσιμότητα που πρέπει τώρα να σχεδιάσετε.

Περιορίστε την αλλαγή στις πύλες ενοικιαστή που σκοπεύετε. Η αφαίρεση κάθε διεύθυνσης VLAN είναι πολύ ευρεία όταν η διαχείριση, το underlay και οι διεπαφές πλατφόρμας έχουν ξεχωριστά καθήκοντα. Ελέγξτε και για δεύτερη ενεργή πύλη, γιατί μία που δρομολογεί ακόμη γύρω από το τείχος προστασίας ακυρώνει τον σχεδιασμό σιωπηλά.

Αυτό το μοντέλο εξηγείται ευκολότερα σε έναν ελεγκτή. Δεν είναι αυτόματα φθηνότερο στη λειτουργία.

Κατανεμημένο IRB: γρήγορη διαδρομή, χωρίς έλεγχο από προεπιλογή

Με κατανεμημένες πύλες anycast, κάθε leaf δρομολογεί την κίνηση του ενοικιαστή τοπικά, και το RFC 9135 περιγράφει γιατί αυτό αποφεύγει την επιστροφή μέσω κεντρικής πύλης. Το πλεονέκτημα είναι πραγματικό και έχει άμεση συνέπεια: ο έλεγχος δεν μπορεί να συναχθεί από το πού είναι συνδεδεμένο το τείχος προστασίας. Ένα τείχος προστασίας συνδεδεμένο σε leaf συνόρων βλέπει εξωτερική κίνηση και ό,τι ανακατευθύνετε ρητά σε αυτό.

Εισαγάγετε την υπηρεσία με μηχανισμό που η πλατφόρμα υποστηρίζει πραγματικά: ανακατεύθυνση βάσει πολιτικής, κόμβο υπηρεσίας ή ελεγχόμενη δρομολόγηση μεταξύ VRF μέσω του τείχους προστασίας. Αντιστοιχίστε την προβλεπόμενη κίνηση στο πραγματικό σημείο εισόδου της. Πολιτική γραμμένη σε διεπαφή προς τους hosts δεν καλύπτει πακέτο που φτάνει από το overlay.

Διαβάστε τις εγκατεστημένες διαδρομές και όχι την προβλεπόμενη προεπιλογή. Ένα ειδικότερο πρόθεμα ενοικιαστή που εισάγεται απευθείας μπορεί να παρακάμψει την προεπιλεγμένη διαδρομή που δείχνει στο τείχος προστασίας, και τίποτα στη διαμόρφωση δεν θα φαίνεται λάθος.

Η συμμετρία είναι ιδιότητα δρομολόγησης, όχι εγγύηση ελέγχου

Το συμμετρικό IRB περιγράφει πώς οι κόμβοι provider edge εισόδου και εξόδου χειρίζονται τη δρομολόγηση και τη γεφύρωση για μια ροή. Δεν λέει τίποτα για το αν και οι δύο κατευθύνσεις φτάνουν στην ίδια συσκευή με κατάσταση. Το ECMP, το anycast και η υψηλή διαθεσιμότητα του τείχους προστασίας επηρεάζουν ποιος κόμβος βλέπει την κίνηση επιστροφής, και το υποστηριζόμενο μοντέλο κατάστασης του cluster αποφασίζει αν αυτό είναι αποδεκτό.

Ακολουθήστε τη διαδρομή επιστροφής ρητά για κάθε ροή που σας ενδιαφέρει. Το NAT δεν είναι καθολικό υποκατάστατο αυτής της δουλειάς, και τα σχέδια που βασίζονται σε αυτό βρίσκουν συνήθως το κενό κατά τη διάρκεια ενός failover και όχι κατά την κατασκευή.

Περπατήστε μία απαιτούμενη ροή και μία σκόπιμα αποκλεισμένη ροή, και προς τις δύο κατευθύνσεις, πριν εγκρίνετε τον σχεδιασμό.

Πώς να επιλέξετε και τι να δοκιμάσετε σε κάθε περίπτωση

Επιλέξτε την κεντρική πύλη όταν η κάλυψη ελέγχου μετράει περισσότερο από τη χωρητικότητα διέλευσης και μπορείτε να αντέξετε την κεντρική εξάρτηση. Επιλέξτε κατανεμημένο IRB όταν η τοπική δρομολόγηση είναι το ζητούμενο, και προϋπολογίστε ρητή εισαγωγή υπηρεσίας αντί να την υποθέτετε.

Στη συνέχεια δοκιμάστε τη δρομολόγηση που εγκαταστήσατε πραγματικά, γιατί εκεί διαφέρουν περισσότερο τα δύο σχέδια:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Συμπεριλάβετε στη δοκιμή την αστοχία και την ανάκαμψη του κόμβου υπηρεσίας. Μια εφεδρική διαδρομή που παρακάμπτει σιωπηλά τον έλεγχο είναι διαφορετική απόφαση από μια σχεδιασμένη πολιτική fail-open, και συνήθως μόνο μία από τις δύο είναι ηθελημένη. Ο ολοκληρωμένος σχεδιασμός ονομάζει πού δρομολογείται κάθε κλάση κίνησης, πού ελέγχεται και τι συμβαίνει όταν αυτή η διαδρομή ελέγχου δεν είναι διαθέσιμη.