EVPN-i tulemüüri poliitika: tsentraliseeritud lüüs versus hajutatud IRB

Kaks EVPN-i lahendust paigutavad üürniku lüüsi erinevatesse kohtadesse ja tulemüür näeb kummaski erinevat liiklust. Tsentraliseeritud lüüsi korral jõuab alamvõrkude vaheline liiklus tulemüüri, sest seal toimub marsruutimine. Hajutatud IRB korral marsruudivad leaf-kommutaatorid kohapeal ja tulemüür ei näe midagi, kui te seda teadlikult ei sisesta. Kumbki mudel ei ole vale. Vale on kinnitada tulemüür piirile ja eeldada, et fabric toimetab liikluse selleni.

Kaks mudelit, kaks erinevat kontrollpunkti

Nimetage esmalt vood, mida tuleb kontrollida, sest kaks mudelit käsitlevad neid erinevalt.

Sama alamvõrgu liiklus on rida, mille inimesed unustavad. Kaks hosti ühes VLAN-is räägivad silla kaudu ja sellel teel ei ole marsruutivat tulemüüri, kui seda ei püüa kinni eraldi 2. kihi kontrollilahendus. See kehtib mõlema mudeli puhul, seega on see disaini lünk, mitte nendevaheline võrdlus.

Ülejäänud kolm rida on kohad, kus mudelid tegelikult lahknevad.

Tsentraliseeritud lüüs: lihtne kontroll, tegelik transiidikulu

Hoidke üürniku VLAN-id 2. kihi teenustena ja asetage nende marsruutimislüüsid tulemüürile. Alamvõrkude vaheline liiklus liigub siis selle lüüsini ja tagasi, võimalik, et isegi siis, kui mõlemad hostid asuvad samal leafil. Kontrollpunkt on üheselt mõistetav ja see on kogu selle lahenduse argument. Kulu on transiidikoormus tulemüüril pluss keskne sõltuvus võimsusest ja kättesaadavusest, mida peate nüüd projekteerima.

Piirake muudatus üürniku lüüsidega, mida kavatsete. Iga VLAN-aadressi eemaldamine on liiga lai, kui haldusel, underlayl ja platvormi liidestel on eraldi ülesanded. Kontrollige ka teist aktiivset lüüsi, sest see, mis veel tulemüürist mööda marsruudib, tühistab lahenduse vaikselt.

Seda mudelit on auditiitorile lihtsam selgitada. See ei ole automaatselt odavam käitada.

Hajutatud IRB: kiire tee, kontrolli vaikimisi ei ole

Hajutatud anycast-lüüsidega marsruudib iga leaf üürniku liiklust kohapeal ja RFC 9135 kirjeldab, miks see väldib tsentraliseeritud lüüsi tagasivedu. Kasu on tegelik ja sellel on otsene tagajärg: kontrolli ei saa tuletada sellest, kuhu tulemüür on ühendatud. Piiri-leafi külge kinnitatud tulemüür näeb välisliiklust ja kõike, mida te sinna selgelt ümber suunate.

Sisestage teenus mehhanismiga, mida platvorm tegelikult toetab: poliitikapõhine ümbersuunamine, teenusesõlm või kontrollitud marsruutimine VRF-ide vahel läbi tulemüüri. Sobitage kavandatud liiklus selle tegelikus sisenemispunktis. Hostide poole suunatud liidesele kirjutatud poliitika ei kata overlayst saabuvat paketti.

Lugege paigaldatud marsruute, mitte kavandatud vaikemarsruuti. Otseselt imporditud täpsem üürniku prefiks võib mööda minna vaikemarsruudist, mis osutab tulemüürile, ja konfiguratsioonis ei paista miski valesti.

Sümmeetria on marsruutimise omadus, mitte kontrolli garantii

Sümmeetriline IRB kirjeldab, kuidas sissetulevad ja väljuvad provider edge-sõlmed käsitlevad voo marsruutimist ja sillamist. See ei ütle midagi selle kohta, kas mõlemad suunad jõuavad samasse olekupõhisesse seadmesse. ECMP, anycast ja tulemüüri kõrge kättesaadavus mõjutavad kõik seda, milline sõlm näeb tagasiliiklust, ja klastri toetatud olekumudel otsustab, kas see on vastuvõetav.

Jälgige tagasiteed selgelt iga voo puhul, mis teile oluline on. NAT ei ole selle töö universaalne asendaja ja lahendused, mis sellele toetuvad, leiavad lünga tavaliselt failoveri ajal, mitte ehitamise ajal.

Käige läbi üks nõutav voog ja üks teadlikult välistatud voog mõlemas suunas, enne kui lahenduse heaks kiidate.

Kuidas valida ja mida igal juhul testida

Valige tsentraliseeritud lüüs, kui kontrolli katvus on tähtsam kui transiidimaht ja saate endale keskse sõltuvuse lubada. Valige hajutatud IRB, kui kohalik marsruutimine on eesmärk, ja eelarvestage selge teenuse sisestamine selle asemel, et seda eeldada.

Seejärel testige marsruutimist, mille te tegelikult paigaldasite, sest just seal erinevad kaks lahendust kõige rohkem:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Kaasake testi teenusesõlme rike ja taastumine. Varumarsruut, mis vaikselt kontrollist mööda läheb, on teistsugune otsus kui kavandatud fail-open poliitika, ja tavaliselt on mõeldud ainult ühte neist. Valmis lahendus nimetab, kuhu iga liiklusklass marsruudib, kus seda kontrollitakse ja mis juhtub, kui see kontrollitee pole saadaval.