EVPN-fajroŝirma politiko: centra kluzo kontraŭ distribuita IRB

Du EVPN-aranĝoj metas la kluzon de la luanto en malsamajn lokojn, kaj la fajroŝirmilo vidas malsaman trafikon en ĉiu. Ĉe centra kluzo, trafiko inter subretoj atingas la fajroŝirmilon, ĉar tie okazas la enkursigo. Ĉe distribuita IRB, la foliaj komutiloj enkursigas loke kaj la fajroŝirmilo vidas nenion, krom se vi enmetas ĝin intence. Neniu modelo estas malĝusta. Malĝuste estas alligi fajroŝirmilon ĉe la limo kaj supozi, ke la fabriko liveros la trafikon al ĝi.

Du modeloj, du malsamaj inspektaj punktoj

Unue nomu la fluojn, kiuj bezonas inspektadon, ĉar la du modeloj traktas ilin malsame.

Trafiko ene de la sama subreto estas la vico, kiun homoj forgesas. Du gastigantoj en unu VLAN parolas per pontado, kaj en tiu vojo ne staras enkursigita fajroŝirmilo, krom se aparta inspekta aranĝo por tavolo 2 interceptas ĝin. Tio veras en ambaŭ modeloj, do ĝi estas manko en la aranĝo, ne komparo inter ili.

La aliaj tri vicoj estas kie la modeloj vere diverĝas.

Centra kluzo: simpla inspektado, reala transita kosto

Konservu la VLAN-ojn de la luanto kiel servojn de tavolo 2 kaj metu iliajn enkursigajn kluzojn sur la fajroŝirmilon. Trafiko inter subretoj tiam vojaĝas al tiu kluzo kaj reen, eble eĉ kiam ambaŭ gastigantoj sidas sur la sama folio. La inspekta punkto estas senduba, kaj tio estas la tuta argumento por la aranĝo. La kosto estas transita ŝarĝo sur la fajroŝirmilo plus centra dependeco de kapacito kaj havebleco, kiun vi nun devas inĝenieri.

Limigu la ŝanĝon al la luantaj kluzoj, kiujn vi celas. Forigi ĉiun VLAN-adreson estas tro larĝe, kiam administrado, underlay kaj platformaj interfacoj havas apartajn taskojn. Kontrolu ankaŭ duan aktivan kluzon, ĉar unu, kiu ankoraŭ enkursigas ĉirkaŭ la fajroŝirmilo, silenteme nuligas la aranĝon.

Ĉi tiu modelo estas pli facile klarigebla al revizoro. Ĝi ne estas aŭtomate malpli kosta por funkciigi.

Distribuita IRB: rapida vojo, neniu inspektado defaŭlte

Ĉe distribuitaj anycast-kluzoj, ĉiu folio enkursigas la trafikon de la luanto loke, kaj RFC 9135 priskribas, kial tio evitas la revenan vojon tra centra kluzo. La avantaĝo estas reala, kaj ĝi havas rektan sekvon: inspektado ne povas esti deduktita el tio, kie la fajroŝirmilo estas enŝovita. Fajroŝirmilo alligita al lima folio vidas eksteran trafikon kaj ĉion, kion vi eksplicite alidirektas al ĝi.

Enmetu la servon per mekanismo, kiun la platformo vere subtenas: politika alidirektado, serva nodo, aŭ kontrolita enkursigo inter VRF-oj tra la fajroŝirmilo. Kongruigu la celatan trafikon ĉe ĝia reala enira punkto. Politiko skribita sur interfaco frontanta al gastigantoj ne kovras paketon alvenantan el la overlay.

Legu la instalitajn itinerojn anstataŭ la celatan defaŭlton. Pli specifa luanta prefikso importita rekte povas preterpasi la defaŭltan itineron, kiu montras al la fajroŝirmilo, kaj nenio en la agordo aspektos malĝuste.

Simetrio estas enkursiga eco, ne inspekta garantio

Simetria IRB priskribas, kiel eniraj kaj eliraj provider edge-nodoj traktas enkursigadon kaj pontadon por fluo. Ĝi diras nenion pri tio, ĉu ambaŭ direktoj atingas la saman stateful-aparaton. ECMP, anycast kaj alta havebleco de la fajroŝirmilo influas, kiu nodo vidas la revenan trafikon, kaj la subtenata stata modelo de la klastro decidas, ĉu tio estas akceptebla.

Sekvu la revenan vojon eksplicite por ĉiu fluo, kiu gravas al vi. NAT ne estas universala anstataŭo por tiu laboro, kaj aranĝoj, kiuj apogiĝas sur ĝi, kutime trovas la mankon dum failover anstataŭ dum la konstruado.

Trapasu unu postulatan fluon kaj unu intence ekskluditan fluon, en ambaŭ direktoj, antaŭ ol vi aprobas la aranĝon.

Kiel elekti, kaj kion testi ĉiukaze

Elektu la centran kluzon, kiam inspekta kovrado gravas pli ol transita kapacito kaj vi povas permesi al vi la centran dependecon. Elektu distribuitan IRB, kiam loka enkursigado estas la celo, kaj buĝetu por eksplicita serva enmeto anstataŭ supozi ĝin.

Poste testu la enkursigadon, kiun vi efektive instalas, ĉar tie la du aranĝoj plej multe diferencas:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Inkluzivu en la teston la fiaskon kaj restaŭron de la serva nodo. Rezerva itinero, kiu silente preterpasas inspektadon, estas malsama decido ol planita fail-open-politiko, kaj kutime nur unu el la du estas intencita. La finita aranĝo nomas, kien enkursigas ĉiu trafika klaso, kie ĝi estas inspektata, kaj kio okazas, kiam tiu inspekta vojo ne haveblas.