EVPN-Firewall-Politik: zentraliséierte Gateway géint verdeelte IRB

Zwee EVPN-Designen setzen de Gateway vum Locataire op verschidde Plazen, an d'Firewall gesäit an all engem aneren Traffic. Mat engem zentraliséierte Gateway erreecht den Traffic tëschent Subnetzen d'Firewall, well do geschitt d'Routing. Mat verdeeltem IRB routeiere sech d'Leaf-Switches lokal an d'Firewall gesäit näischt, ausser Dir setzt se bewosst dohinner. Keent vun den zwee Modeller ass falsch. Falsch ass et, eng Firewall op der Grenz unzeschléissen an unzehuelen, datt de Fabric den Traffic dohinner bréngt.

Zwee Modeller, zwee verschidden Iwwerpréiwungspunkten

Nennt als éischt d'Flëss, déi en Iwwerpréiwung brauchen, well déi zwee Modeller se anescht behandelen.

Den Traffic bannent dem selwechte Subnetz ass déi Zeil, déi d'Leit vergiessen. Zwee Hosts op engem VLAN schwätzen iwwer Bridging, an op deem Wee steet keng geroutet Firewall, ausser en separat Iwwerpréiwungsdesign fir Layer 2 fänkt se of. Dat ass a béide Modeller wouer, also ass et eng Lück am Design an net e Verglach tëschent hinnen.

Déi aner dräi Zeilen sinn do wou d'Modeller wierklech divergéieren.

Zentraliséierte Gateway: einfach Iwwerpréiwung, richteg Transitkäschten

Behaalt d'VLANe vum Locataire als Layer-2-Servicer a setzt hir Routing-Gateways op d'Firewall. Den Traffic tëschent Subnetzen reest dann zu deem Gateway an zréck, méiglecherweis och wann allebéid Hosts um selwechte Leaf sëtzen. Den Iwwerpréiwungspunkt ass eendeiteg, an dat ass de ganzen Argument fir d'Design. D'Käschte sinn d'Transitlaascht op der Firewall plus eng zentral Ofhängegkeet vun der Kapazitéit an der Disponibilitéit, déi Dir nach muss designen.

Limitéiert d'Ännerung op déi Locataire-Gateways, déi Dir virgesäit. All VLAN-Adress ze läschen ass ze breet, wann d'Gestioun, den Underlay an d'Plattforminterfacen separat Aufgabe hunn. Préift och en zweeten aktiven Gateway, well een, deen nach ëm d'Firewall erofrout, d'Design roueg ëmstéisst.

Dëse Modell ass méi einfach engem Auditor z'erklären. Et ass awer net automatesch méi bëlleg am Betrib.

Verdeelt IRB: séiere Wee, keng Iwwerpréiwung als Standard

Mat verdeelte Anycast-Gateways routeiert all Leaf den Traffic vum Locataire lokal, an RFC 9135 beschreift firwat dat den Zrécktransport iwwer en zentraliséierte Gateway vermeit. De Virdeel ass reell, an et huet eng direkt Konsequenz: d'Iwwerpréiwung kann net aus der Plaz ofgeleet ginn, wou d'Firewall ugeschloss ass. Eng Firewall, déi un enger Grenz-Leaf hängt, gesäit externen Traffic an alles, wat Dir bewosst dohinner ëmleets.

Setzt de Service mat engem Mechanismus an, deen d'Plattform wierklech ënnerstëtzt: richtlinnbaséiert Ëmleedung, e Service-Knäppchen oder kontrolléiert Routing tëschent VRFen duerch d'Firewall. Passt den ugepeilte Traffic op sengem richtegen Agangspunkt un. Eng Richtlinn, déi op engem host-zougedréiten Interface geschriwwe gëtt, deckt kee Pak, dat aus dem Overlay kënnt.

Liest déi installéiert Routen an net de virgesäiten Default. E méi spezifescht Locataire-Prefix, dat direkt importéiert gëtt, kann d'Defaultroute ëmgoen, déi op d'Firewall weist, an an der Konfiguratioun wäert näischt falsch ausgesinn.

Symmetrie ass eng Routing-Eegeschaft, keng Iwwerpréiwungsgarantie

Symmetrescht IRB beschreift, wéi d'Ingress- an Egress-Provider-Edge-Knäppchen d'Routing an d'Bridging fir e Floss handhaben. Et seet näischt doriwwer, ob béid Richtungen dat selwecht stateful Gerät erreechen. ECMP, Anycast an d'Héichdisponibilitéit vun der Firewall beaflossen all, wéi en Node den Zrécktrafik gesäit, an de supportéierte Staatsmodell vum Cluster entscheet, ob dat akzeptabel ass.

Verfollegt den Zréckwee ausdrécklech fir all Floss, deen Dir wichteg fannt. NAT ass keen universelle Ersatz fir déi Aarbecht, an Designen, déi sech drop stäipen, fannen d'Lück meeschtens wärend engem Failover an net wärend dem Opbau.

Gitt en erfuerderleche Floss an en bewosst ausgeschlossene Floss duerch, a béid Richtungen, ier Dir d'Design guttgeheescht.

Wéi wielen, a wat een a béide Fäll teste soll

Wielt de zentraliséierte Gateway, wann d'Iwwerpréiwungsdeckung méi wichteg ass wéi d'Transitkapazitéit an Dir Iech déi zentral Ofhängegkeet leeschte kënnt. Wielt verdeelt IRB, wann lokal Routing de Punkt ass, a budgetéiert fir eng ausdrécklech Service-Setzung amplaz se unzehuelen.

Test dann d'Routing, dat Dir tatsächlech installéiert hutt, well do ënnerscheede sech déi zwee Designen am stärksten:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Huelt den Ausfall an d'Erhuelung vum Service-Knäppchen an den Test op. Eng Auswäichroute, déi d'Iwwerpréiwung roueg ëmgeet, ass eng aner Entscheidung wéi eng geplangt Fail-Open-Politik, an normalerweis ass just eng vun deenen zwou gemengt. Déi fäerdeg Design nennt, wou all Trafficklass routeiert, wou se iwwerpréift gëtt a wat geschitt, wann deen Iwwerpréiwungswee net disponibel ass.