EVPN tűzfalszabály: központi átjáró vagy elosztott IRB

Két EVPN-terv különböző helyre teszi a bérlő átjáróját, és a tűzfal mindegyikben más forgalmat lát. Központi átjáró esetén az alhálózatok közötti forgalom eléri a tűzfalat, mert ott történik az útválasztás. Elosztott IRB esetén a leaf-kapcsolók helyben útválasztanak, és a tűzfal semmit nem lát, hacsak nem illeszti be szándékosan. Egyik modell sem hibás. A hiba az, ha a tűzfalat a peremre kötjük, és feltételezzük, hogy a fabric eljuttatja hozzá a forgalmat.

Két modell, két különböző ellenőrzési pont

Először nevezze meg azokat a folyamokat, amelyek ellenőrzést igényelnek, mert a két modell másképp kezeli őket.

Az ugyanazon alhálózaton belüli forgalom az a sor, amelyet elfelejtenek. Két hoszt egy VLAN-on áthidalással beszél, és azon az útvonalon nem áll útválasztó tűzfal, hacsak egy külön 2. rétegbeli ellenőrzési terv el nem fogja. Ez mindkét modellben igaz, tehát tervezési hiányosság, nem a kettő összehasonlítása.

A másik három sor az, ahol a modellek valóban elválnak.

Központi átjáró: egyszerű ellenőrzés, valódi tranzitköltség

Tartsa a bérlő VLAN-jait 2. rétegbeli szolgáltatásként és helyezze útválasztó átjáróikat a tűzfalra. Az alhálózatok közötti forgalom ezután ahhoz az átjáróhoz megy és visszatér, akár akkor is, amikor mindkét hoszt ugyanazon a leafen van. Az ellenőrzési pont egyértelmű, és ez a terv teljes érve. A költség a tranzit terhelés a tűzfalon, plusz egy központi kapacitás- és rendelkezésre állás-függés, amelyet most meg kell terveznie.

Korlátozza a változtatást a szándékolt bérlői átjárókra. Minden VLAN-cím eltávolítása túl széles, amikor a felügyelet, az underlay és a platforminterfészek külön feladatokat látnak el. Ellenőrizzen egy második aktív átjárót is, mert amelyik még mindig a tűzfal mellett útválaszt, csendben hatástalanítja a tervet.

Ezt a modellt könnyebb elmagyarázni egy könyvvizsgálónak. Nem feltétlenül olcsóbb üzemeltetni.

Elosztott IRB: gyors útvonal, alapértelmezés szerint nincs ellenőrzés

Elosztott anycast átjárókkal minden leaf helyben útválasztja a bérlő forgalmát, és az RFC 9135 leírja, miért kerüli el ez a központi átjárón keresztüli visszahordást. Az előny valódi, és közvetlen következménye van: az ellenőrzés nem következtethető abból, hová van a tűzfal bedugva. A perem-leafhez kapcsolt tűzfal a külső forgalmat látja, és mindent, amit kifejezetten felé irányít.

Illessze be a szolgáltatást olyan mechanizmussal, amelyet a platform valóban támogat: házirend-alapú átirányítás, szolgáltatási csomópont vagy ellenőrzött VRF-ek közötti útválasztás a tűzfalon keresztül. A szándékolt forgalmat a valódi belépési pontján párosítsa. A hosztok felé néző interfészen írt házirend nem fedi le az overlayből érkező csomagot.

A telepített útvonalakat olvassa, ne a szándékolt alapértelmezést. Egy közvetlenül importált, pontosabb bérlői előtag megkerülheti a tűzfalra mutató alapértelmezett útvonalat, és a konfigurációban semmi sem tűnik hibásnak.

A szimmetria útválasztási tulajdonság, nem ellenőrzési garancia

A szimmetrikus IRB azt írja le, hogyan kezelik a bejövő és kimenő provider edge csomópontok egy folyam útválasztását és áthidalását. Nem mond semmit arról, hogy mindkét irány ugyanahhoz az állapottal rendelkező eszközhöz ér-e. Az ECMP, az anycast és a tűzfal magas rendelkezésre állása mind befolyásolja, melyik csomópont látja a visszatérő forgalmat, és a klaszter támogatott állapotmodellje dönti el, hogy ez elfogadható-e.

Minden Önnek fontos folyamnál kövesse kifejezetten a visszatérési útvonalat. A NAT nem általános helyettesítője ennek a munkának, és az erre támaszkodó tervek általában a failover során találják meg a hiányosságot, nem az építés alatt.

A terv jóváhagyása előtt járjon végig egy kötelező és egy szándékosan kizárt folyamot mindkét irányban.

Hogyan válasszon, és mit teszteljen mindkét esetben

Akkor válassza a központi átjárót, ha az ellenőrzési lefedettség fontosabb a tranzitkapacitásnál, és megengedheti magának a központi függést. Akkor válassza az elosztott IRB-t, ha a helyi útválasztás a lényeg, és tervezzen költségvetést a kifejezett szolgáltatásbeillesztésre ahelyett, hogy feltételezné.

Ezután tesztelje azt az útválasztást, amelyet valóban telepített, mert a két terv ott tér el leginkább:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

A teszt tartalmazza a szolgáltatási csomópont meghibásodását és helyreállását. Az ellenőrzést csendben megkerülő tartalék útvonal más döntés, mint egy tervezett fail-open házirend, és általában csak az egyiket szánják. A kész terv megnevezi, hová útválaszt minden forgalmi osztály, hol ellenőrzik, és mi történik, ha az az ellenőrzési útvonal nem elérhető.