EVPN suebaki politika: pasabide zentralizatua versus IRB banatua

Bi EVPN diseinuk maizterren pasabidea leku desberdinetan kokatzen dute, eta suebakiak trafiko desberdina ikusten du bakoitzean. Pasabide zentralizatu batekin, azpisareen arteko trafikoa suebakira iristen da, han gertatzen baita bideratzea. IRB banatuarekin, leaf kommutagailuek tokian bertan bideratzen dute eta suebakiak ez du ezer ikusten, nahita sartzen ez baduzu. Ez bat ez bestea ez da okerra. Okerra da suebaki bat mugan konektatzea eta fabricak trafikoa hara eramango duela suposatzea.

Bi modelo, bi ikuskapen puntu desberdin

Lehenik izendatu ikuskapena behar duten fluxuak, bi modeloek modu desberdinean tratatzen baitituzte.

Azpisare beraren barruko trafikoa jendeak ahazten duen errenkada da. VLAN bereko bi host zubibidearen bidez hitz egiten dute, eta bide horretan ez dago suebaki bideraturik, 2. geruzako ikuskapen diseinu bereizi batek geldiarazten ez badu. Hori bi modeloetan da egia, beraz diseinu hutsunea da, ez haien arteko konparazioa.

Beste hiru errenkadak dira modeloak benetan desberdintzen diren tokia.

Pasabide zentralizatua: ikuskapen sinplea, trantsitu kostu erreala

Mantendu maizterren VLANak 2. geruzako zerbitzu gisa eta jarri haien bideratze pasabideak suebakian. Azpisareen arteko trafikoa pasabide horretara joaten da eta itzultzen da, agian bi hostak leaf berean daudenean ere. Ikuskapen puntua zalantzarik gabea da, eta hori da diseinuaren argudio osoa. Kostua suebakiko trantsitu karga da gehi orain diseinatu behar duzun gaitasun eta erabilgarritasun mendekotasun zentrala.

Mugatu aldaketa buruan dituzun maizter pasabideetara. VLAN helbide guztiak kentzea zabalegia da kudeaketak, underlayak eta plataformaren interfazeek zeregin bereiziak dituztenean. Egiaztatu bigarren pasabide aktibo bat ere, suebakiaren inguruan bideratzen jarraitzen duenak isilean deuseztatzen baitu diseinua.

Modelo hau errazago azaltzen zaio auditegileari. Ez da automatikoki merkeagoa ustiatzeko.

IRB banatua: bide azkarra, ikuskapenik ez lehenespenez

Anycast pasabide banatuekin, leaf bakoitzak maizterren trafikoa tokian bertan bideratzen du, eta RFC 9135ek azaltzen du zergatik saihesten duen horrek pasabide zentralizatu baten atzeranzko bidea. Onura erreala da, eta ondorio zuzena du: ikuskapena ezin da suebakia non konektatuta dagoenik ondorioztatu. Mugako leaf batera konektatutako suebakiak kanpoko trafikoa eta espresuki hara birbideratzen duzun guztia ikusten du.

Sartu zerbitzua plataformak benetan onartzen duen mekanismo batekin: politiketan oinarritutako birbideratzea, zerbitzu nodo bat edo VRFen arteko bideratze kontrolatua suebakitik. Egin bat aurreikusitako trafikoarekin bere sarrera puntu errealean. Hostiak begira dauden interfaze batean idatzitako politikak ez du overlaiftik datorren paketea estaltzen.

Irakurri instalatutako bideak eta ez aurreikusitako lehenespena. Zuzenean inportatutako maizter aurrizki zehatzago batek suebakira doan lehenespen bidea saihets dezake, eta konfigurazioan ezer ez da okerragoa emango.

Simetria bideratze propietatea da, ez ikuskapen bermea

IRB simetrikoak deskribatzen du nola sarrerako eta irteerako provider edge nodoek fluxu baten bideratzea eta zubibidea kudeatzen dituzten. Ez du esaten bi noranzkoek stateful gailu berera iristen diren. ECMPk, anycastek eta suebakiaren eskuragarritasun altuak eragina dute zein nodok ikusten duen itzulera trafikoa, eta klusterraren onartutako egoera modeloak erabakitzen du hori onargarria den.

Jarraitu itzulera bidea espresuki axola zaizkizun fluxu bakoitzeko. NAT ez da lan horren ordezko unibertsala, eta harekin fidatzen diren diseinuek hutsunea failover batean aurkitzen dute normalean, ez eraikuntzan.

Ibili derrigorrezko fluxu bat eta nahita baztertutako fluxu bat, bi noranzkoetan, diseinua onartu aurretik.

Nola aukeratu eta nola probatu edozein kasutan

Aukeratu pasabide zentralizatua ikuskapen estaldura trantsitu gaitasuna baino garrantzitsuagoa denean eta mendekotasun zentrala ordaindu dezakezunean. Aukeratu IRB banatua bideratze lokala denean puntua, eta aurrekontua ezarri zerbitzuaren sarrera espresurako, suposatu beharrean.

Gero probatu benetan instalatu duzun bideratzea, han bereizten baitira bi diseinuak gehien:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Sartu proban zerbitzu nodoaren hutsegitea eta berreskuratzea. Ikuskapena isilean saihesten duen erreserba bideak fail-open politika planifikatu batetik desberdina den erabakia da, eta normalean bietako bat bakarrik da nahi izaten. Amaitutako diseinuak izendatzen du trafiko klase bakoitza nora bideratzen den, non ikuskatzen den eta ikuskapen bide hori erabilgarri ez dagoenean zer gertatzen den.