EVPN-palomuurikäytäntö: keskitetty yhdyskäytävä vai hajautettu IRB

Kaksi EVPN-suunnittelua sijoittaa vuokralaisen yhdyskäytävän eri paikkoihin, ja palomuuri näkee kummassakin erilaista liikennettä. Keskitetyssä yhdyskäytävässä aliverkkojen välinen liikenne saavuttaa palomuurin, koska reititys tapahtuu siellä. Hajautetussa IRB:ssä leaf-kytkimet reitittävät paikallisesti, eikä palomuuri näe mitään, ellet lisää sitä tarkoituksella. Kumpikaan malli ei ole väärä. Väärin on kytkeä palomuuri rajalle ja olettaa, että fabric toimittaa liikenteen sille.

Kaksi mallia, kaksi eri tarkastuspistettä

Nimeä ensin ne virrat, jotka vaativat tarkastusta, koska kaksi mallia kohtelevat niitä eri tavoin.

Saman aliverkon sisäinen liikenne on se rivi, joka unohdetaan. Kaksi hostia samassa VLANissa puhuu siltaamalla, eikä sillä polulla ole reitittävää palomuuria, ellei erillinen kerroksen 2 tarkastusratkaisu sieppaa sitä. Tämä pätee molemmissa malleissa, joten se on suunnittelun puute eikä niiden välinen vertailu.

Muut kolme riviä ovat se kohta, jossa mallit todella eroavat.

Keskitetty yhdyskäytävä: yksinkertainen tarkastus, todellinen transitiokustannus

Pidä vuokralaisen VLANit kerroksen 2 palveluina ja sijoita niiden reititysyhdyskäytävät palomuuriin. Aliverkkojen välinen liikenne kulkee silloin kyseiselle yhdyskäytävälle ja takaisin, mahdollisesti jopa silloin, kun molemmat hostit ovat samalla leafilla. Tarkastuspiste on yksiselitteinen, ja se on koko tämän suunnittelun perustelu. Kustannus on transitiokuorma palomuurilla sekä keskitetty riippuvuus kapasiteetista ja käytettävyydestä, joka sinun on nyt suunniteltava.

Rajaa muutos yhdyskäytäviin, jotka aiot muuttaa. Jokaisen VLAN-osoitteen poistaminen on liian laajaa, kun hallinnalla, underlaylla ja alustan liitännöillä on erilliset tehtävät. Tarkista myös toinen aktiivinen yhdyskäytävä, koska sellainen, joka edelleen reitittää palomuurin ohi, kumoaa suunnittelun hiljaisesti.

Tätä mallia on helpompi selittää tilintarkastajalle. Se ei ole automaattisesti halvempi ylläpitää.

Hajautettu IRB: nopea polku, ei tarkastusta oletuksena

Hajautettujen anycast-yhdyskäytävien kanssa jokainen leaf reitittää vuokralaisen liikennettä paikallisesti, ja RFC 9135 kuvaa, miksi se välttää keskitetyn yhdyskäytävän kautta kulkevan paluuliikenteen. Hyöty on todellinen, ja sillä on suora seuraus: tarkastusta ei voi päätellä siitä, mihin palomuuri on kytketty. Rajan leafiin kytketty palomuuri näkee ulkoisen liikenteen ja kaiken, mitä siihen erikseen ohjaat.

Lisää palvelu mekanismilla, jota alusta todella tukee: käytäntöpohjainen uudelleenohjaus, palvelusolmu tai hallittu reititys VRFien välillä palomuurin kautta. Kohdista aiottu liikenne sen todelliseen sisääntulopisteeseen. Hostiin päin olevalle liitännälle kirjoitettu käytäntö ei kata overlaystä saapuvaa pakettia.

Lue asennetut reitit äläkä aiottua oletusreittiä. Suoraan tuotu täsmällisempi vuokralaisen etuliite voi ohittaa oletusreitin, joka osoittaa palomuuriin, eikä mikään kokoonpanossa näytä väärältä.

Symmetria on reititysominaisuus, ei tarkastustakuu

Symmetrinen IRB kuvaa, miten saapuvat ja lähtevät provider edge -solmut käsittelevät virran reitityksen ja siltaamisen. Se ei kerro mitään siitä, saavuttavatko molemmat suunnat saman tilallisen laitteen. ECMP, anycast ja palomuurin korkea käytettävyys vaikuttavat kaikki siihen, mikä solmu näkee paluuliikenteen, ja klusterin tuettu tilamalli päättää, onko se hyväksyttävää.

Seuraa paluupolkua erikseen jokaiselle virralle, joka on sinulle tärkeä. NAT ei ole yleinen korvike sille työlle, ja siihen nojaavat suunnitelmat löytävät aukon yleensä failoverin aikana eivätkä rakennusvaiheessa.

Käy läpi yksi vaadittu virta ja yksi tarkoituksella pois jätetty virta molempiin suuntiin ennen kuin hyväksyt suunnitelman.

Miten valita ja mitä testata joka tapauksessa

Valitse keskitetty yhdyskäytävä, kun tarkastuksen kattavuus on tärkeämpää kuin transitiokapasiteetti ja sinulla on varaa keskitettyyn riippuvuuteen. Valitse hajautettu IRB, kun paikallinen reititys on se pointti, ja budjetoi erillinen palvelun lisäys sen sijaan että olettaisit sen.

Testaa sitten reititys, jonka todella asensit, koska siinä kaksi suunnittelua eroavat eniten:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Sisällytä testiin palvelusolmun vika ja palautuminen. Varareitti, joka hiljaa ohittaa tarkastuksen, on eri päätös kuin suunniteltu fail-open-käytäntö, ja yleensä vain toinen niistä on tarkoitettu. Valmis suunnittelu nimeää, mihin kukin liikenneluokka reitittyy, missä se tarkastetaan ja mitä tapahtuu, kun tarkastuspolku ei ole käytettävissä.