EVPN желілік қалқан саясаты: орталықтандырылған шлюз және таратылған IRB
Орталықтандырылған шлюздер жалдаушы трафигін желілік қалқан арқылы өткізеді, таратылған IRB өткізбейді. Әрқайсысы қайда тексеретінін және жылдам жолға не қажет екенін салыстырыңыз.
Екі EVPN дизайны жалдаушы шлюзін түрлі жерлерге орналастырады, ал желілік қалқан әрқайсысында түрлі трафик көреді. Орталықтандырылған шлюзде қосалқы желілер арасындағы трафик желілік қалқанға жетеді, себебі маршруттау дәл сонда жүреді. Таратылған IRB-де leaf коммутаторлары жергілікті маршруттайды және желілік қалқан ештеңе көрмейді, егер сіз оны әдейі кіргізбесеңіз. Екі модельдің ешқайсысы қате емес. Қате — желілік қалқанды шекараға қосу және fabric трафикті оған жеткізеді деп болжау.
Екі модель, екі түрлі тексеру нүктесі
Алдымен тексеруді қажет ететін ағындарды атаңыз, өйткені екі модель оларды түрліше қарастырады.
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
Бір қосалқы желі ішіндегі трафик — адамдар ұмытатын жол. Бір VLAN-дағы екі хост көпір арқылы сөйлеседі және бұл жолда маршруттайтын желілік қалқан жоқ, егер жеке 2-қабат тексеру дизайны оны ұстап алмаса. Бұл екі модельде де дұрыс, сондықтан бұл дизайндағы олқылық, олардың арасындағы салыстыру емес.
Қалған үш жол — модельдер шынымен ажырайтын жер.
Орталықтандырылған шлюз: қарапайым тексеру, нақты транзит шығыны
Жалдаушының VLAN-дарын 2-қабат қызметтері ретінде ұстап, олардың маршруттау шлюздерін желілік қалқанға орналастырыңыз. Қосалқы желілер арасындағы трафик содан кейін сол шлюзге барып, қайтады, тіпті екі хост бір leaf-те болса да. Тексеру нүктесі бірмәнді және бұл осы дизайнның бүкіл дәлелі. Шығын — желілік қалқандағы транзит жүктемесі және енді жобалауға тиіс орталық сыйымдылық пен қолжетімділікке тәуелділік.
Өзгерісті көздеген жалдаушы шлюздерімен шектеңіз. Әр VLAN мекенжайын жою тым кең, өйткені басқару, underlay және платформа интерфейстерінің бөлек міндеттері бар. Екінші белсенді шлюзді де тексеріңіз, өйткені желілік қалқанды айналып әлі де маршруттайтын шлюз дизайнды тыныш жояды.
Бұл модельді аудиторға түсіндіру оңайырақ. Ол автоматты түрде арзан емес.
Таратылған IRB: жылдам жол, әдепкі бойынша тексеру жоқ
Таратылған anycast шлюздерімен әр leaf жалдаушы трафигін жергілікті маршруттайды және RFC 9135 мұның орталықтандырылған шлюз арқылы кері тасымалдаудан неге жалтаратынын сипаттайды. Пайда нақты және оның тікелей салдары бар: тексеруді желілік қалқан қайда қосылғанынан болжауға болмайды. Шекаралық leaf-ке қосылған желілік қалқан сыртқы трафикті және сіз анық бағыттағанның бәрін көреді.
Қызметті платформа шынымен қолдайтын тетікпен кіргізіңіз: саясатқа негізделген қайта бағыттау, қызмет торабы немесе желілік қалқан арқылы VRF арасындағы бақыланатын маршруттау. Көзделген трафикті оның нақты кіру нүктесінде сәйкестендіріңіз. Хосттарға қарайтын интерфейсте жазылған саясат overlay-ден келетін пакетті қамтымайды.
Көзделген әдепкінің орнына орнатылған маршруттарды оқыңыз. Тікелей импортталған неғұрлым нақты жалдаушы префиксі желілік қалқанды нұсқайтын әдепкі маршрутты айналып өтуі мүмкін, ал конфигурацияда ештеңе қате көрінбейді.
Симметрия — маршруттау қасиеті, тексеру кепілдігі емес
Симметриялы IRB кіру және шығу provider edge тораптарының ағын үшін маршруттау мен көпірлеуді қалай өңдейтінін сипаттайды. Ол екі бағыттың бірдей stateful құрылғыға жететіні туралы ештеңе айтпайды. ECMP, anycast және желілік қалқанның жоғары қолжетімділігі қай тораптың қайтару трафигін көретініне әсер етеді, ал кластердің қолдау көрсетілетін күй моделі мұның қабылдануын шешеді.
Сізге маңызды әр ағын үшін қайтару жолын анық бақылаңыз. NAT бұл жұмыстың әмбебап алмастырғышы емес және оған сүйенетін дизайндар олқылықты әдетте құрылыс кезінде емес, failover кезінде табады.
Дизайнды бекітпес бұрын бір міндетті ағын мен бір әдейі шығарылған ағынды екі бағытта да өткізіп шығыңыз.
Қалай таңдау керек және кез келген жағдайда нені сынау керек
Тексеру қамтуы транзит сыйымдылығынан маңыздырақ болса және орталық тәуелділікті көтере алсаңыз, орталықтандырылған шлюзді таңдаңыз. Жергілікті маршруттау басты нәрсе болса, таратылған IRB-ді таңдаңыз және оны болжаудың орнына анық қызмет кіргізуге бюджет қарастырыңыз.
Содан кейін шынымен орнатқан маршруттауыңызды сынаңыз, өйткені екі дизайн ең көп дәл сонда ерекшеленеді:
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixСынаққа қызмет торабының істен шығуы мен қалпына келуін қосыңыз. Тексеруді тыныш айналып өтетін қосалқы маршрут жоспарланған fail-open саясатынан өзге шешім және әдетте екеуінің бірі ғана көзделеді. Дайын дизайн әр трафик класы қайда маршрутталатынын, қайда тексерілетінін және сол тексеру жолы қолжетімсіз болғанда не болатынын атайды.