EVPN-firewallbelied: sintralisearre gateway tsjin ferspraat IRB
Sintralisearre gateways stjoere it ferkear fan hierders troch de firewall, ferspraat IRB docht dat net. Ferlykje wêr't elk ynspektearret en wat it rappe paad nedich hat.
Twa EVPN-ûntwerpen pleatse de gateway fan de hierder op ferskate plakken, en de firewall sjocht yn elk oar ferkear. By in sintralisearre gateway berikt ferkear tusken subnetten de firewall, want dêr bart de routing. By ferspraat IRB routearje de leaf-switches lokaal en de firewall sjocht neat, útsein as jo dy dêr bewust ynsette. Gjin fan beide modellen is ferkeard. Ferkeard is om in firewall by de grins oan te sluten en oan te nimmen dat it fabric it ferkear dêr hinne bringt.
Twa modellen, twa ferskillende ynspeksjepunten
Neam earst de flows dy't ynspeksje nedich hawwe, want de twa modellen behannelje se oars.
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
Ferkear binnen itselde subnet is de rige dy't minsken ferjitte. Twa hosts op ien VLAN prate fia bridging, en gjin routearre firewall stiet op dat paad, útsein as in apart ynspeksje-ûntwerp foar laach 2 it ûnderskept. Dat jildt yn beide modellen, dus it is in gat yn it ûntwerp en net in ferliking tusken har.
De oare trije rigen binne wêr't de modellen echt ferskille.
Sintralisearre gateway: ienfâldige ynspeksje, echte transitkosten
Hâld de VLAN's fan de hierder as tsjinsten foar laach 2 en set har routing-gateways op de firewall. Ferkear tusken subnetten reizget dan nei dy gateway en werom, mooglik sels as beide hosts op deselde leaf sitte. It ynspeksjepunt is ûndûbelsinnich, en dat is it hiele argumint foar it ûntwerp. De kosten binne transytbelesting op de firewall plus in sintrale ôfhinklikens fan kapasiteit en beskikberens dy't jo no ûntwerpe moatte.
Behein de feroaring ta de hierder-gateways dy't jo bedoele. Elk VLAN-adres fuorthelje is te breed as behear, underlay en platfoarm-ynterfaces aparte taken hawwe. Kontrolearje ek in twadde aktyf gateway, want ien dy't noch om de firewall hinne routearret, negearret it ûntwerp stil.
Dit model is makliker oan in auditor út te lizzen. It is net automatysk goedkeaper yn behear.
Ferspraat IRB: rap paad, gjin ynspeksje standert
Mei ferspraate anycast-gateways routearret elke leaf it ferkear fan de hierder lokaal, en RFC 9135 beskriuwt wêrom't dat it weromtransport fan in sintralisearre gateway foarkomt. It foardiel is echt, en it hat in direkte gefolch: ynspeksje kin net ôflaat wurde fan wêr't de firewall ynstekke is. In firewall ferbûn oan in grins-leaf sjocht ekstern ferkear en alles wat jo dêr eksplisyt hinne trochstjoere.
Foegje de tsjinst ta mei in meganisme dat it platfoarm echt stipet: beliedsbasearre trochstjoering, in tsjinstknooppunt, of kontrolearre routing tusken VRF's troch de firewall. Meitsje it bedoelde ferkear op syn echte yngongspunt. In belied skreaun op in host-rjochte ynterface dekt gjin pakket dat út 'e overlay komt.
Lês de ynstallearre rûtes yn stee fan 'e bedoelde standert. In mear spesifyk hierder-prefiks dat direkt ymportearre is, kin de standertrûte omgean dy't nei de firewall wiist, en neat yn 'e konfiguraasje sil ferkeard lykje.
Symmetry is in routing-eigenskip, gjin ynspeksjegarâns
Symmetrysk IRB beskriuwt hoe't yngeande en útgeande provider edge-knooppunten routing en bridging foar in flow behannelje. It seit neat oer oft beide rjochtingen itselde stateful-apparaat berikke. ECMP, anycast en hege beskikberens fan de firewall beynfloedzje allegear hokker knooppunt it weromferkear sjocht, en it stipe steatmodel fan it cluster beslút oft dat akseptabel is.
Folgje it werompaad eksplisyt foar elke flow dy't jo wichtich fine. NAT is gjin universele ferfanging foar dat wurk, en ûntwerpen dy't dêrop fertrouwe fine it gat meastentiids by in failover en net by de bou.
Rin ien ferplichte flow en ien bewust útsletten flow troch, yn beide rjochtingen, foardat jo it ûntwerp goedkrije.
Hoe te kiezen, en wat hoe dan ek te testen
Kies de sintralisearre gateway as ynspeksjedekking wichtiger is as transytkapasiteit en jo de sintrale ôfhinklikens betelje kinne. Kies ferspraat IRB as lokale routing it punt is, en budgettearje foar eksplisite tsjinstynfoeging yn stee fan it oan te nimmen.
Test dan de routing dy't jo echt ynstallearre hawwe, want dêr ferskille de twa ûntwerpen it measte:
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixNim it útfalle en werstellen fan it tsjinstknooppunt op yn 'e test. In fallback-rûte dy't ynspeksje stil omgiet is in oare beslissing as in pland fail-open-belied, en meastentiids is mar ien fan beide bedoeld. It ôfmakke ûntwerp neamt wêr't elke ferkearsklasse routearret, wêr't it ynspektearre wurdt, en wat der bart as dat ynspeksjepaad net beskikber is.