EVPN брандмауэр саясаты: борбордук шлюз жана бөлүштүрүлгөн IRB
Борбордук шлюздар учураачынын трафигин брандмауэр аркылуу өткөрөт, бөлүштүрүлгөн IRB өткөрбөйт. Ар бири кайда текшерет жана тез жолго эмне керек экенин салыштырыңыз.
Эки EVPN долбоору учураачынын шлюзун ар башка жерлерге жайгаштырат, ал эми брандмауэр ар биринде башка трафикти көрөт. Борбордук шлюз менен субнеттер ортосундагы трафик брандмауэрге жетет, анткени маршруттоо дал ошол жерде жүрөт. Бөлүштүрүлгөн IRB менен leaf коммутаторлору жергиликтүү маршруттайт жана брандмауэр эч нерсе көрбөйт, эгер сиз аны атайылап киргизбесеңиз. Эки модель тең туура эмес эмес. Туура эмес нерсе — брандмауэрди чекке туташтырып, fabric трафикти ага жеткирет деп болжолдоо.
Эки модель, эки башка текшерүү чекити
Алгач текшерүүнү талап кылган агымдарды атаңыз, анткени эки модель аларды башкача карайт.
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
Бир субнеттин ичиндеги трафик — адамдар унутуп калган сап. Бир VLANдагы эки хост көпүрө аркылуу сүйлөшөт жана бул жолдо маршруттай турган брандмауэр жок, эгер өзүнчө 2-катмар текшерүү долбоору аны кармабаса. Бул эки модель үчүн тең туура, ошондуктан бул долбоордогу кемтик, алардын ортосундагы салыштыруу эмес.
Калган үч сап — моделдер чындап ажыраган жер.
Борбордук шлюз: жөнөкөй текшерүү, чыныгы транзиттик чыгым
Учураачынын VLANдарын 2-катмар кызматтары катары кармап, алардын маршруттоо шлюздарын брандмауэрге жайгаштырыңыз. Субнеттер ортосундагы трафик андан кийин ошол шлюзга барып, кайра келет, эки хост бир leafте болгондо да болушу мүмкүн. Текшерүү чекити бир маанилүү жана бул долбоордун бүт далили. Чыгым — брандмауэрдеги транзиттик жүк жана эми долбоорлоого тийиш болгон борбордук сыйымдуулук менен жеткиликтүүлүккө көз карандылык.
Өзгөртүүнү ниет кылган учураачы шлюздары менен чектеңиз. Ар бир VLAN дарегин алып салуу өтө кенен, анткени башкаруу, underlay жана платформа интерфейстеринин өзүнчө милдеттери бар. Экинчи активдүү шлюзду да текшериңиз, анткени брандмауэрди айланып дагы эле маршруттаган шлюз долбоорду тынч жокко чыгарат.
Бул моделди аудиторго түшүндүрүү жеңилирээк. Ал автоматтык түрдө арзан эмес.
Бөлүштүрүлгөн IRB: тез жол, демейде текшерүү жок
Бөлүштүрүлгөн anycast шлюздары менен ар бир leaf учураачынын трафигин жергиликтүү маршруттайт жана RFC 9135 мунун борбордук шлюз аркылуу кайра ташуудан эмне үчүн качканын сүрөттөйт. Пайда чыныгы жана анын түз натыйжасы бар: текшерүүнү брандмауэрдин кайда туташтырылганынан божомолдоого болбойт. Чек аралык leafке туташкан брандмауэр сырткы трафикти жана сиз ачык багыттагандын баарын көрөт.
Кызматты платформа чындап колдогон механизм менен киргизиңиз: саясатка негизделген кайра багыттоо, кызмат түйүнү же брандмауэр аркылуу VRFдер ортосундагы көзөмөлдөнгөн маршруттоо. Көздөлгөн трафикти анын чыныгы кирүү чекитинде дал келтириңиз. Хостторго караган интерфейсте жазылган саясат overlayден келген пакетти камтыбайт.
Көздөлгөн демейкинин ордуна орнотулган маршруттарды окуңуз. Түз импорттолгон такыраак учураачы префикси брандмауэрди көрсөткөн демейки маршрутту айланып өтүшү мүмкүн, ал эми конфигурацияда эч нерсе туура эмес көрүнбөйт.
Симметрия — маршруттоонун касиети, текшерүүнүн кепилдиги эмес
Симметриялуу IRB кирүү жана чыгуу provider edge түйүндөрү агым үчүн маршруттоо менен көпүрөлөөнү кантип аткарарын сүрөттөйт. Ал эки багыт бирдей stateful түзмөккө жетери жөнүндө эч нерсе айтпайт. ECMP, anycast жана брандмауэрдин жогорку жеткиликтүүлүгү кайсы түйүн кайтаруу трафигин көрөрүнө таасир этет, ал эми кластердин колдоого алынган абал модели мунун кабыл алынарын чечет.
Сизге маанилүү болгон ар бир агым үчүн кайтаруу жолун ачык байкаңыз. NAT бул иштин универсалдуу алмаштыргычы эмес жана ага таянган долбоорлор кемтикти көбүнчө куруу учурунда эмес, failover учурунда табышат.
Долбоорду бекитүүдөн мурун бир милдеттүү агымды жана бир атайылап чыгарылган агымды эки багытта тең өткөрүңүз.
Кантип тандоо керек жана кандай учурда эмнени сыноо керек
Текшерүү камтылышы транзиттик сыйымдуулуктан маанилүүрөөк болсо жана борбордук көз карандылыкты көтөрө алсаңыз, борбордук шлюзду тандаңыз. Жергиликтүү маршруттоо башкы нерсе болсо, бөлүштүрүлгөн IRBни тандаңыз жана аны болжолдоонун ордуна ачык кызмат киргизүүгө бюджет караңыз.
Андан кийин чындап орноткон маршруттооңузду сынаңыз, анткени эки долбоор эң көп дал ошол жерде айырмаланат:
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixСыноого кызмат түйүнүнүн иштен чыгышы жана калыбына келиши кирсин. Текшерүүнү тынч айланып өткөн камдык маршрут пландалган fail-open саясатынан башка чечим жана адатта экөөнүн бири гана көздөлөт. Бүткөн долбоор ар бир трафик классы кайда маршрутталарын, кайда текшерилерин жана ошол текшерүү жолу жеткиликсиз болгондо эмне болорун атайт.