Kebijakan firewall EVPN: gateway tersentralisasi versus IRB terdistribusi

Dua desain EVPN menempatkan gateway penyewa di lokasi berbeda, dan firewall melihat lalu lintas berbeda pada masing-masing. Dengan gateway tersentralisasi, lalu lintas antar-subnet mencapai firewall karena di situlah perutean terjadi. Dengan IRB terdistribusi, switch leaf merutekan secara lokal dan firewall tidak melihat apa pun kecuali Anda memasukkannya dengan sengaja. Tidak ada model yang salah. Yang salah adalah memasang firewall di perbatasan dan mengasumsikan fabric akan mengantarkan lalu lintas kepadanya.

Dua model, dua titik pemeriksaan berbeda

Sebutkan dulu alur yang memerlukan pemeriksaan, karena kedua model memperlakukannya secara berbeda.

Lalu lintas dalam subnet yang sama adalah baris yang orang lupakan. Dua host pada satu VLAN berbicara melalui bridging, dan tidak ada firewall yang merutekan di jalur itu kecuali desain pemeriksaan lapisan 2 terpisah mencegatnya. Itu berlaku pada kedua model, jadi ini celah desain, bukan perbandingan di antara keduanya.

Tiga baris lainnya adalah tempat model-model itu benar-benar berbeda.

Gateway tersentralisasi: pemeriksaan sederhana, biaya transit nyata

Pertahankan VLAN penyewa sebagai layanan lapisan 2 dan tempatkan gateway peruteannya di firewall. Lalu lintas antar-subnet kemudian menuju gateway itu dan kembali, bahkan mungkin ketika kedua host berada di leaf yang sama. Titik pemeriksaan tidak ambigu, dan itulah seluruh argumen untuk desain ini. Biayanya adalah beban transit pada firewall ditambah ketergantungan pusat pada kapasitas dan ketersediaan yang sekarang harus Anda rekayasa.

Batasi perubahan pada gateway penyewa yang Anda maksudkan. Menghapus setiap alamat VLAN terlalu luas ketika manajemen, underlay, dan antarmuka platform memiliki tugas terpisah. Periksa juga gateway aktif kedua, karena gateway yang masih merutekan di sekitar firewall diam-diam menggagalkan desain.

Model ini lebih mudah dijelaskan kepada auditor. Model ini tidak otomatis lebih murah untuk dioperasikan.

IRB terdistribusi: jalur cepat, tanpa pemeriksaan secara default

Dengan gateway anycast terdistribusi, setiap leaf merutekan lalu lintas penyewa secara lokal, dan RFC 9135 menjelaskan mengapa hal itu menghindari pengiriman balik melalui gateway tersentralisasi. Manfaatnya nyata, dan memiliki konsekuensi langsung: pemeriksaan tidak dapat disimpulkan dari tempat firewall dicolokkan. Firewall yang terpasang pada leaf perbatasan melihat lalu lintas eksternal dan apa pun yang secara eksplisit Anda arahkan kepadanya.

Sisipkan layanan dengan mekanisme yang benar-benar didukung platform: pengalihan berbasis kebijakan, node layanan, atau perutean terkendali antar-VRF melalui firewall. Cocokkan lalu lintas yang dimaksud pada titik masuk sebenarnya. Kebijakan yang ditulis pada antarmuka yang menghadap host tidak mencakup paket yang datang dari overlay.

Bacalah rute yang terpasang, bukan default yang dimaksudkan. Prefiks penyewa yang lebih spesifik dan diimpor langsung dapat melewati rute default yang mengarah ke firewall, dan tidak ada yang tampak salah dalam konfigurasi.

Simetri adalah sifat perutean, bukan jaminan pemeriksaan

IRB simetris menjelaskan bagaimana node provider edge masuk dan keluar menangani perutean dan bridging untuk suatu alur. Itu tidak mengatakan apa pun tentang apakah kedua arah mencapai perangkat stateful yang sama. ECMP, anycast, dan ketersediaan tinggi firewall semuanya memengaruhi node mana yang melihat lalu lintas balasan, dan model status yang didukung klaster memutuskan apakah itu dapat diterima.

Ikuti jalur balik secara eksplisit untuk setiap alur yang Anda pedulikan. NAT bukan pengganti universal untuk pekerjaan itu, dan desain yang bersandar padanya biasanya menemukan celah itu saat failover, bukan saat pembangunan.

Jalani satu alur wajib dan satu alur yang sengaja dikecualikan, di kedua arah, sebelum Anda menyetujui desainnya.

Cara memilih, dan apa yang harus diuji dalam kedua kasus

Pilih gateway tersentralisasi ketika cakupan pemeriksaan lebih penting daripada kapasitas transit dan Anda mampu menanggung ketergantungan pusat. Pilih IRB terdistribusi ketika perutean lokal adalah intinya, dan anggarkan penyisipan layanan eksplisit alih-alih mengasumsikannya.

Lalu ujilah perutean yang benar-benar Anda pasang, karena di situlah kedua desain paling berbeda:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Sertakan kegagalan dan pemulihan node layanan dalam pengujian. Rute cadangan yang diam-diam melewati pemeriksaan adalah keputusan berbeda dari kebijakan fail-open yang direncanakan, dan biasanya hanya satu dari keduanya yang dimaksudkan. Desain yang selesai menyebutkan ke mana setiap kelas lalu lintas dirutekan, di mana ia diperiksa, dan apa yang terjadi ketika jalur pemeriksaan itu tidak tersedia.