EVPN ಫೈರ್‌ವಾಲ್ ನೀತಿ: ಕೇಂದ್ರೀಕೃತ ಗೇಟ್‌ವೇ ಮತ್ತು ವಿತರಿತ IRB
ಕೇಂದ್ರೀಕೃತ ಗೇಟ್‌ವೇಗಳು ಬಾಡಿಗೆದಾರರ ಸಂಚಾರವನ್ನು ಫೈರ್‌ವಾಲ್ ಮೂಲಕ ಕಳುಹಿಸುತ್ತವೆ, ವಿತರಿತ IRB ಕಳುಹಿಸುವುದಿಲ್ಲ. ಪ್ರತಿಯೊಂದೂ ಎಲ್ಲಿ ಪರಿಶೀಲಿಸುತ್ತದೆ ಮತ್ತು ವೇಗದ ಮಾರ್ಗಕ್ಕೆ ಏನು ಬೇಕು ಎಂಬುದನ್ನು ಹೋಲಿಸಿ.
ಎರಡು EVPN ವಿನ್ಯಾಸಗಳು ಬಾಡಿಗೆದಾರರ ಗೇಟ್‌ವೇವನ್ನು ಬೇರೆ ಬೇರೆ ಸ್ಥಳಗಳಲ್ಲಿ ಇಡುತ್ತವೆ, ಮತ್ತು ಫೈರ್‌ವಾಲ್ ಪ್ರತಿಯೊಂದರಲ್ಲೂ ವಿಭಿನ್ನ ಸಂಚಾರವನ್ನು ನೋಡುತ್ತದೆ. ಕೇಂದ್ರೀಕೃತ ಗೇಟ್‌ವೇನೊಂದಿಗೆ, ಸಬ್‌ನೆಟ್‌ಗಳ ನಡುವಿನ ಸಂಚಾರ ಫೈರ್‌ವಾಲ್‌ಗೆ ತಲುಪುತ್ತದೆ ಏಕೆಂದರೆ ರೂಟಿಂಗ್ ಅಲ್ಲಿಯೇ ನಡೆಯುತ್ತದೆ. ವಿತರಿತ IRB ನಲ್ಲಿ, leaf ಸ್ವಿಚ್‌ಗಳು ಸ್ಥಳೀಯವಾಗಿ ರೂಟ್ ಮಾಡುತ್ತವೆ ಮತ್ತು ನೀವು ಅದನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಸೇರಿಸದಿದ್ದರೆ ಫೈರ್‌ವಾಲ್ ಏನನ್ನೂ ನೋಡುವುದಿಲ್ಲ. ಯಾವ ಮಾದರಿಯೂ ತಪ್ಪಲ್ಲ. ತಪ್ಪು ಎಂದರೆ ಗಡಿಯಲ್ಲಿ ಫೈರ್‌ವಾಲ್ ಜೋಡಿಸಿ, fabric ಸಂಚಾರವನ್ನು ಅದಕ್ಕೆ ತಲುಪಿಸುತ್ತದೆ ಎಂದು ಊಹಿಸುವುದು.
ಎರಡು ಮಾದರಿಗಳು, ಎರಡು ವಿಭಿನ್ನ ಪರಿಶೀಲನಾ ಬಿಂದುಗಳು
ಮೊದಲು ಪರಿಶೀಲನೆ ಬೇಕಾದ ಹರಿವುಗಳನ್ನು ಹೆಸರಿಸಿ, ಏಕೆಂದರೆ ಎರಡು ಮಾದರಿಗಳು ಅವನ್ನು ಬೇರೆ ರೀತಿಯಲ್ಲಿ ನಿರ್ವಹಿಸುತ್ತವೆ.
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
ಒಂದೇ ಸಬ್‌ನೆಟ್‌ನೊಳಗಿನ ಸಂಚಾರವೇ ಜನರು ಮರೆಯುವ ಸಾಲು. ಒಂದೇ VLAN ನಲ್ಲಿರುವ ಎರಡು ಹೋಸ್ಟ್‌ಗಳು ಬ್ರಿಡ್ಜಿಂಗ್ ಮೂಲಕ ಮಾತನಾಡುತ್ತವೆ, ಮತ್ತು ಪ್ರತ್ಯೇಕ ಲೇಯರ್ 2 ಪರಿಶೀಲನಾ ವಿನ್ಯಾಸ ಅದನ್ನು ತಡೆಯದಿದ್ದರೆ ಆ ಮಾರ್ಗದಲ್ಲಿ ಯಾವುದೇ ರೂಟೆಡ್ ಫೈರ್‌ವಾಲ್ ಇರುವುದಿಲ್ಲ. ಇದು ಎರಡೂ ಮಾದರಿಗಳಲ್ಲಿ ನಿಜ, ಆದ್ದರಿಂದ ಇದು ವಿನ್ಯಾಸದ ಕೊರತೆ, ಅವುಗಳ ನಡುವಿನ ಹೋಲಿಕೆ ಅಲ್ಲ.
ಉಳಿದ ಮೂರು ಸಾಲುಗಳು ಮಾದರಿಗಳು ನಿಜವಾಗಿ ಬೇರೆಯಾಗುವ ಸ್ಥಳ.
ಕೇಂದ್ರೀಕೃತ ಗೇಟ್‌ವೇ: ಸರಳ ಪರಿಶೀಲನೆ, ನಿಜವಾದ ಟ್ರಾನ್ಸಿಟ್ ವೆಚ್ಚ
ಬಾಡಿಗೆದಾರರ VLAN ಗಳನ್ನು ಲೇಯರ್ 2 ಸೇವೆಗಳು ಆಗಿ ಇರಿಸಿ ಮತ್ತು ಅವುಗಳ ರೂಟಿಂಗ್ ಗೇಟ್‌ವೇಗಳನ್ನು ಫೈರ್‌ವಾಲ್‌ನಲ್ಲಿ ಇಡಿ. ಸಬ್‌ನೆಟ್‌ಗಳ ನಡುವಿನ ಸಂಚಾರ ನಂತರ ಆ ಗೇಟ್‌ವೇಗೆ ಹೋಗಿ ಹಿಂತಿರುಗುತ್ತದೆ, ಎರಡೂ ಹೋಸ್ಟ್‌ಗಳು ಒಂದೇ leaf ನಲ್ಲಿದ್ದಾಗಲೂ ಸಹ. ಪರಿಶೀಲನಾ ಬಿಂದು ನಿಸ್ಸಂದಿಗ್ಧವಾಗಿದೆ, ಮತ್ತು ಅದೇ ಈ ವಿನ್ಯಾಸದ ಸಂಪೂರ್ಣ ವಾದ. ವೆಚ್ಚ ಎಂದರೆ ಫೈರ್‌ವಾಲ್‌ನಲ್ಲಿ ಟ್ರಾನ್ಸಿಟ್ ಹೊರೆ ಮತ್ತು ಈಗ ನೀವು ಎಂಜಿನಿಯರಿಂಗ್ ಮಾಡಬೇಕಾದ ಕೇಂದ್ರ ಸಾಮರ್ಥ್ಯ ಹಾಗೂ ಲಭ್ಯತೆಯ ಅವಲಂಬನೆ.
ಬದಲಾವಣೆಯನ್ನು ನೀವು ಉದ್ದೇಶಿಸಿದ ಬಾಡಿಗೆದಾರರ ಗೇಟ್‌ವೇಗಳಿಗೆ ಸೀಮಿತಗೊಳಿಸಿ. ನಿರ್ವಹಣೆ, underlay ಮತ್ತು ಪ್ಲಾಟ್‌ಫಾರ್ಮ್ ಇಂಟರ್‌ಫೇಸ್‌ಗಳಿಗೆ ಪ್ರತ್ಯೇಕ ಕರ್ತವ್ಯಗಳಿದ್ದಾಗ ಪ್ರತಿ VLAN ವಿಳಾಸವನ್ನು ತೆಗೆಯುವುದು ತುಂಬಾ ವಿಸ್ತಾರ. ಎರಡನೇ ಸಕ್ರಿಯ ಗೇಟ್‌ವೇವನ್ನೂ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಫೈರ್‌ವಾಲ್ ಸುತ್ತಲೂ ಇನ್ನೂ ರೂಟ್ ಮಾಡುವ ಒಂದು ವಿನ್ಯಾಸವನ್ನು ಸದ್ದಿಲ್ಲದೆ ನಿಷ್ಫಲಗೊಳಿಸುತ್ತದೆ.
ಈ ಮಾದರಿಯನ್ನು ಲೆಕ್ಕಪರಿಶೋಧಕರಿಗೆ ವಿವರಿಸುವುದು ಸುಲಭ. ಇದು ತಾನಾಗಿಯೇ ನಿರ್ವಹಿಸಲು ಅಗ್ಗವಲ್ಲ.
ವಿತರಿತ IRB: ವೇಗದ ಮಾರ್ಗ, ಡೀಫಾಲ್ಟ್ ಆಗಿ ಪರಿಶೀಲನೆ ಇಲ್ಲ
ವಿತರಿತ anycast ಗೇಟ್‌ವೇಗಳೊಂದಿಗೆ, ಪ್ರತಿ leaf ಬಾಡಿಗೆದಾರರ ಸಂಚಾರವನ್ನು ಸ್ಥಳೀಯವಾಗಿ ರೂಟ್ ಮಾಡುತ್ತದೆ, ಮತ್ತು RFC 9135 ಇದು ಕೇಂದ್ರೀಕೃತ ಗೇಟ್‌ವೇಯ ಹಿಂದಿನ ಸಾಗಣೆಯನ್ನು ಏಕೆ ತಪ್ಪಿಸುತ್ತದೆ ಎಂದು ವಿವರಿಸುತ್ತದೆ. ಲಾಭ ನಿಜವಾದದ್ದು, ಮತ್ತು ಅದಕ್ಕೆ ನೇರ ಪರಿಣಾಮವಿದೆ: ಫೈರ್‌ವಾಲ್ ಎಲ್ಲಿ ಜೋಡಿಸಲಾಗಿದೆ ಎಂಬುದರಿಂದ ಪರಿಶೀಲನೆಯನ್ನು ಊಹಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ. ಗಡಿ leaf ಗೆ ಜೋಡಿಸಿದ ಫೈರ್‌ವಾಲ್ ಬಾಹ್ಯ ಸಂಚಾರವನ್ನು ಮತ್ತು ನೀವು ಸ್ಪಷ್ಟವಾಗಿ ಅದರತ್ತ ತಿರುಗಿಸುವ ಎಲ್ಲವನ್ನೂ ನೋಡುತ್ತದೆ.
ಪ್ಲಾಟ್‌ಫಾರ್ಮ್ ನಿಜವಾಗಿ ಬೆಂಬಲಿಸುವ ಕಾರ್ಯವಿಧಾನದಿಂದ ಸೇವೆಯನ್ನು ಸೇರಿಸಿ: ನೀತಿ ಆಧಾರಿತ ಮರುನಿರ್ದೇಶನ, ಸೇವಾ ನೋಡ್, ಅಥವಾ ಫೈರ್‌ವಾಲ್ ಮೂಲಕ ನಿಯಂತ್ರಿತ VRF ನಡುವಿನ ರೂಟಿಂಗ್. ಉದ್ದೇಶಿತ ಸಂಚಾರವನ್ನು ಅದರ ನಿಜವಾದ ಪ್ರವೇಶ ಬಿಂದುವಿನಲ್ಲಿ ಹೊಂದಿಸಿ. ಹೋಸ್ಟ್‌ಗಳ ಕಡೆಗಿನ ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ಬರೆದ ನೀತಿ overlay ನಿಂದ ಬರುವ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಆವರಿಸುವುದಿಲ್ಲ.
ಉದ್ದೇಶಿತ ಡೀಫಾಲ್ಟ್ ಬದಲು ಸ್ಥಾಪಿತ ರೂಟ್‌ಗಳನ್ನು ಓದಿ. ನೇರವಾಗಿ ಆಮದು ಮಾಡಿದ ಹೆಚ್ಚು ನಿರ್ದಿಷ್ಟ ಬಾಡಿಗೆದಾರರ ಪ್ರಿಫಿಕ್ಸ್ ಫೈರ್‌ವಾಲ್‌ಗೆ ತೋರಿಸುವ ಡೀಫಾಲ್ಟ್ ರೂಟ್ ಅನ್ನು ಬೈಪಾಸ್ ಮಾಡಬಹುದು, ಮತ್ತು ಸಂರಚನೆಯಲ್ಲಿ ಏನೂ ತಪ್ಪಾಗಿ ಕಾಣುವುದಿಲ್ಲ.
ಸಮಮಿತಿ ರೂಟಿಂಗ್‌ನ ಗುಣ, ಪರಿಶೀಲನೆಯ ಖಾತರಿ ಅಲ್ಲ
ಸಮಮಿತ IRB ಪ್ರವೇಶ ಮತ್ತು ನಿರ್ಗಮ provider edge ನೋಡ್‌ಗಳು ಹರಿವಿಗೆ ರೂಟಿಂಗ್ ಮತ್ತು ಬ್ರಿಡ್ಜಿಂಗ್ ಅನ್ನು ಹೇಗೆ ನಿರ್ವಹಿಸುತ್ತವೆ ಎಂದು ವಿವರಿಸುತ್ತದೆ. ಎರಡೂ ದಿಕ್ಕುಗಳು ಒಂದೇ stateful ಸಾಧನವನ್ನು ತಲುಪುತ್ತವೆಯೇ ಎಂಬುದನ್ನು ಅದು ಹೇಳುವುದಿಲ್ಲ. ECMP, anycast ಮತ್ತು ಫೈರ್‌ವಾಲ್‌ನ ಹೆಚ್ಚಿನ ಲಭ್ಯತೆ ಯಾವ ನೋಡ್ ಹಿಂತಿರುಗುವ ಸಂಚಾರವನ್ನು ನೋಡುತ್ತದೆ ಎಂಬುದರ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತವೆ, ಮತ್ತು ಕ್ಲಸ್ಟರ್‌ನ ಬೆಂಬಲಿತ ಸ್ಥಿತಿ ಮಾದರಿ ಅದು ಸ್ವೀಕಾರಾರ್ಹವೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ.
ನಿಮಗೆ ಮುಖ್ಯವಾದ ಪ್ರತಿ ಹರಿವಿಗೆ ಹಿಂತಿರುಗುವ ಮಾರ್ಗವನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಅನುಸರಿಸಿ. NAT ಆ ಕೆಲಸಕ್ಕೆ ಸಾರ್ವತ್ರಿಕ ಬದಲಿಯಲ್ಲ, ಮತ್ತು ಅದನ್ನು ಅವಲಂಬಿಸುವ ವಿನ್ಯಾಸಗಳು ಸಾಮಾನ್ಯವಾಗಿ ನಿರ್ಮಾಣದ ಸಮಯದಲ್ಲಿ ಅಲ್ಲ, failover ಸಮಯದಲ್ಲಿ ಕೊರತೆಯನ್ನು ಕಂಡುಕೊಳ್ಳುತ್ತವೆ.
ವಿನ್ಯಾಸವನ್ನು ಅನುಮೋದಿಸುವ ಮೊದಲು ಒಂದು ಕಡ್ಡಾಯ ಹರಿವು ಮತ್ತು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಹೊರಗಿಟ್ಟ ಒಂದು ಹರಿವನ್ನು ಎರಡೂ ದಿಕ್ಕುಗಳಲ್ಲಿ ನಡೆಯಿರಿ.
ಹೇಗೆ ಆಯ್ಕೆ ಮಾಡುವುದು, ಮತ್ತು ಯಾವ ಸಂದರ್ಭದಲ್ಲೂ ಏನನ್ನು ಪರೀಕ್ಷಿಸಬೇಕು
ಪರಿಶೀಲನಾ ವ್ಯಾಪ್ತಿಯು ಟ್ರಾನ್ಸಿಟ್ ಸಾಮರ್ಥ್ಯಕ್ಕಿಂತ ಹೆಚ್ಚು ಮುಖ್ಯವಾದಾಗ ಮತ್ತು ಕೇಂದ್ರ ಅವಲಂಬನೆಯನ್ನು ನೀವು ಭರಿಸಬಲ್ಲಾಗ ಕೇಂದ್ರೀಕೃತ ಗೇಟ್‌ವೇವನ್ನು ಆಯ್ಕೆಮಾಡಿ. ಸ್ಥಳೀಯ ರೂಟಿಂಗ್ ಮುಖ್ಯವಾದಾಗ ವಿತರಿತ IRB ಆಯ್ಕೆಮಾಡಿ, ಮತ್ತು ಊಹಿಸುವ ಬದಲು ಸ್ಪಷ್ಟ ಸೇವಾ ಸೇರ್ಪಡೆಗೆ ಬಜೆಟ್ ಇರಿಸಿ.
ನಂತರ ನೀವು ನಿಜವಾಗಿ ಸ್ಥಾಪಿಸಿದ ರೂಟಿಂಗ್ ಅನ್ನು ಪರೀಕ್ಷಿಸಿ, ಏಕೆಂದರೆ ಎರಡು ವಿನ್ಯಾಸಗಳು ಅಲ್ಲಿ ಹೆಚ್ಚು ಭಿನ್ನವಾಗುತ್ತವೆ:
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixಪರೀಕ್ಷೆಯಲ್ಲಿ ಸೇವಾ ನೋಡ್ ವೈಫಲ್ಯ ಮತ್ತು ಚೇತರಿಕೆಯನ್ನು ಸೇರಿಸಿ. ಪರಿಶೀಲನೆಯನ್ನು ಸದ್ದಿಲ್ಲದೆ ಬೈಪಾಸ್ ಮಾಡುವ ಫಾಲ್‌ಬ್ಯಾಕ್ ರೂಟ್ ಯೋಜಿತ fail-open ನೀತಿಗಿಂತ ವಿಭಿನ್ನ ನಿರ್ಧಾರ, ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಎರಡರಲ್ಲಿ ಒಂದನ್ನೇ ಉದ್ದೇಶಿಸಲಾಗುತ್ತದೆ. ಪೂರ್ಣಗೊಂಡ ವಿನ್ಯಾಸವು ಪ್ರತಿ ಸಂಚಾರ ವರ್ಗ ಎಲ್ಲಿ ರೂಟ್ ಆಗುತ್ತದೆ, ಎಲ್ಲಿ ಪರಿಶೀಲಿಸಲಾಗುತ್ತದೆ, ಮತ್ತು ಆ ಪರಿಶೀಲನಾ ಮಾರ್ಗ ಲಭ್ಯವಿಲ್ಲದಿದ್ದಾಗ ಏನಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ಹೆಸರಿಸುತ್ತದೆ.