EVPN ファイアウォールポリシー：集中ゲートウェイと分散 IRB の比較
集中ゲートウェイはテナントの通信をファイアウォール経由で通し、分散 IRB は通しません。それぞれがどこで検査するのか、高速パスに何が必要かを比較します。
二つの EVPN 設計では、テナントゲートウェイを置く場所が異なり、ファイアウォールが見る通信もそれぞれ違います。集中ゲートウェイでは、サブネット間の通信がファイアウォールに届きます。ルーティングがそこで行われるからです。分散 IRB では leaf スイッチがローカルにルーティングするため、意図的に挿入しない限りファイアウォールには何も届きません。どちらのモデルも間違いではありません。間違いなのは、境界にファイアウォールを接続し、fabric が通信を届けてくれると想定することです。
二つのモデル、二つの検査ポイント
まず検査が必要なフローを挙げてください。二つのモデルでは扱いが異なるからです。
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
同じサブネット内の通信こそ、見落とされがちな行です。同じ VLAN 上の二つのホストはブリッジで通信し、別途レイヤー 2 の検査設計が介入しない限り、その経路にルーティング型ファイアウォールは存在しません。これはどちらのモデルでも同じなので、両者の比較ではなく設計上の欠落です。
残る三行こそ、モデルが実際に分かれるところです。
集中ゲートウェイ：検査は単純、実費としてのトランジット
テナントの VLAN をレイヤー 2 サービスとして維持し、そのルーティングゲートウェイをファイアウォール上に置きます。するとサブネット間の通信はそのゲートウェイへ往復します。両方のホストが同じ leaf 上にある場合でもそうなることがあります。検査ポイントは明確で、それがこの設計の主張そのものです。代償はファイアウォールのトランジット負荷と、これから設計しなければならない中央側の容量・可用性への依存です。
変更は対象とするテナントゲートウェイに限定してください。管理用、underlay、プラットフォームの各インターフェースに別々の役割がある場合、すべての VLAN アドレスを外すのは範囲が広すぎます。二つ目のアクティブゲートウェイも確認してください。ファイアウォールを迂回してルーティングし続けるものが残ると、設計は静かに崩れます。
このモデルは監査担当者への説明が容易です。ただし運用が自動的に安くなるわけではありません。
分散 IRB：高速パス、既定では検査なし
分散 anycast ゲートウェイでは、各 leaf がテナントの通信をローカルにルーティングします。RFC 9135 は、それが集中ゲートウェイへのバックホールを避ける理由を説明しています。利点は現実のもので、直接の帰結があります。ファイアウォールをどこに接続したかから検査の有無を推測することはできません。境界 leaf に接続されたファイアウォールが見るのは、外部通信と、明示的に向けたものだけです。
サービスは、プラットフォームが実際にサポートする仕組みで挿入してください。ポリシーベースのリダイレクト、サービスノード、あるいはファイアウォール経由の制御された VRF 間ルーティングです。想定する通信を実際の入口で一致させます。ホスト向きインターフェースに書いたポリシーは、overlay から到着するパケットを対象にできません。
意図したデフォルトではなく、実際にインストールされた経路を読んでください。直接インポートされたより具体的なテナントプレフィックスは、ファイアウォールを指すデフォルト経路を迂回できます。設定上はどこも異常に見えません。
対称性はルーティングの性質であり、検査の保証ではありません
対称 IRB は、入口と出口の provider edge ノードがフローに対してルーティングとブリッジをどう扱うかを表します。両方向が同じステートフル装置に届くかどうかは語りません。ECMP、anycast、ファイアウォールの高可用性はいずれも戻り通信をどのノードが見るかに影響し、クラスタがサポートする状態モデルがそれが許容できるかを決めます。
重要なフローごとに戻り経路を明示的に追ってください。NAT はその作業の万能な代替ではありません。それに頼る設計は、構築時ではなくフェイルオーバー時に穴を見つけるのが常です。
設計を承認する前に、必須のフローを一つと意図的に除外したフローを一つ、両方向で確認してください。
どう選び、どちらの場合も何を試すか
検査範囲がトランジット容量より重要で、中央依存を受け入れられるなら集中ゲートウェイを選びます。ローカルルーティングが要点なら分散 IRB を選び、当然視するのではなく明示的なサービス挿入のための予算を確保します。
次に、実際にインストールしたルーティングを試します。二つの設計が最も大きく異なるのはそこです。
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixサービスノードの障害と復旧もテストに含めてください。検査を静かに迂回するフォールバック経路は、計画された fail-open ポリシーとは別の決定であり、通常はどちらか一方だけが意図されています。完成した設計は、各トラフィッククラスがどこへルーティングされ、どこで検査され、その検査経路が使えないときに何が起きるかを明示します。