EVPN ഫയർവാൾ നയം: കേന്ദ്രീകൃത ഗേറ്റ്‌വേയും വിതരണ IRB-യും
കേന്ദ്രീകൃത ഗേറ്റ്‌വേകൾ വാടകക്കാരന്റെ ട്രാഫിക് ഫയർവാളിലൂടെ കടത്തിവിടുന്നു, വിതരണ IRB അത് ചെയ്യുന്നില്ല. ഓരോന്നും എവിടെ പരിശോധിക്കുന്നു, വേഗപഥത്തിന് എന്ത് വേണം എന്ന് താരതമ്യം ചെയ്യുക.
രണ്ട് EVPN രൂപകൽപ്പനകൾ വാടകക്കാരന്റെ ഗേറ്റ്‌വേയെ വ്യത്യസ്ത സ്ഥലങ്ങളിൽ സ്ഥാപിക്കുന്നു, ഫയർവാൾ ഓരോന്നിലും വ്യത്യസ്ത ട്രാഫിക് കാണുന്നു. കേന്ദ്രീകൃത ഗേറ്റ്‌വേയിൽ, സബ്‌നെറ്റുകൾക്കിടയിലുള്ള ട്രാഫിക് ഫയർവാളിലെത്തുന്നു, കാരണം റൂട്ടിംഗ് അവിടെയാണ് നടക്കുന്നത്. വിതരണ IRB-യിൽ, leaf സ്വിച്ചുകൾ പ്രാദേശികമായി റൂട്ട് ചെയ്യുന്നു, ബോധപൂർവ്വം അത് ഉൾപ്പെടുത്തിയില്ലെങ്കിൽ ഫയർവാൾ ഒന്നും കാണുന്നില്ല. ഏത് മാതൃകയും തെറ്റല്ല. തെറ്റ് എന്നത് അതിർത്തിയിൽ ഒരു ഫയർവാൾ ഘടിപ്പിച്ച്, fabric ട്രാഫിക് അതിലേക്ക് എത്തിക്കുമെന്ന് അനുമാനിക്കുന്നതാണ്.
രണ്ട് മാതൃകകൾ, രണ്ട് വ്യത്യസ്ത പരിശോധനാ പോയിന്റുകൾ
ആദ്യം പരിശോധന ആവശ്യമുള്ള ഫ്ലോകൾ പേരിടുക, കാരണം രണ്ട് മാതൃകകളും അവയെ വ്യത്യസ്തമായി കൈകാര്യം ചെയ്യുന്നു.
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
ഒരേ സബ്‌നെറ്റിനുള്ളിലെ ട്രാഫിക് ആണ് ആളുകൾ മറക്കുന്ന വരി. ഒരു VLAN-ലെ രണ്ട് ഹോസ്റ്റുകൾ ബ്രിഡ്ജിംഗിലൂടെ സംസാരിക്കുന്നു, പ്രത്യേക ലേയർ 2 പരിശോധനാ രൂപകൽപ്പന അത് തടയുന്നില്ലെങ്കിൽ ആ പാതയിൽ റൂട്ട് ചെയ്യുന്ന ഫയർവാൾ ഇല്ല. ഇത് രണ്ട് മാതൃകകളിലും ശരിയാണ്, അതിനാൽ ഇത് രൂപകൽപ്പനയിലെ വിടവാണ്, അവ തമ്മിലുള്ള താരതമ്യമല്ല.
ബാക്കിയുള്ള മൂന്ന് വരികളാണ് മാതൃകകൾ യഥാർത്ഥത്തിൽ വേർതിരിയുന്നിടം.
കേന്ദ്രീകൃത ഗേറ്റ്‌വേ: ലളിതമായ പരിശോധന, യഥാർത്ഥ ട്രാൻസിറ്റ് ചെലവ്
വാടകക്കാരന്റെ VLAN-കൾ ലേയർ 2 സേവനങ്ങൾ ആയി നിലനിർത്തി അവയുടെ റൂട്ടിംഗ് ഗേറ്റ്‌വേകൾ ഫയർവാളിൽ സ്ഥാപിക്കുക. സബ്‌നെറ്റുകൾക്കിടയിലുള്ള ട്രാഫിക് പിന്നീട് ആ ഗേറ്റ്‌വേയിലേക്ക് പോയി തിരികെ വരുന്നു, രണ്ട് ഹോസ്റ്റുകളും ഒരേ leaf-ൽ ആണെങ്കിൽപ്പോലും. പരിശോധനാ പോയിന്റ് അവ്യക്തമല്ല, അതാണ് ഈ രൂപകൽപ്പനയുടെ മുഴുവൻ വാദം. ചെലവ് ഫയർവാളിലെ ട്രാൻസിറ്റ് ഭാരവും, ഇപ്പോൾ നിങ്ങൾ എൻജിനീയർ ചെയ്യേണ്ട കേന്ദ്ര ശേഷി-ലഭ്യതാ ആശ്രിതത്വവുമാണ്.
മാറ്റം നിങ്ങൾ ഉദ്ദേശിക്കുന്ന വാടകക്കാരൻ ഗേറ്റ്‌വേകളിൽ ഒതുക്കുക. മാനേജ്മെന്റ്, underlay, പ്ലാറ്റ്ഫോം ഇന്റർഫേസുകൾക്ക് വെവ്വേറെ ചുമതലകളുള്ളപ്പോൾ ഓരോ VLAN വിലാസവും നീക്കം ചെയ്യുന്നത് വളരെ വിശാലമാണ്. രണ്ടാമത്തെ സജീവ ഗേറ്റ്‌വേയും പരിശോധിക്കുക, കാരണം ഫയർവാളിനെ ചുറ്റി ഇപ്പോഴും റൂട്ട് ചെയ്യുന്ന ഒന്ന് രൂപകൽപ്പനയെ നിശബ്ദമായി തകർക്കുന്നു.
ഈ മാതൃക ഓഡിറ്ററെ ബോധ്യപ്പെടുത്താൻ എളുപ്പമാണ്. എന്നാൽ പ്രവർത്തിപ്പിക്കാൻ സ്വയമേവ വിലകുറഞ്ഞതല്ല.
വിതരണ IRB: വേഗപഥം, സ്വതവേ പരിശോധനയില്ല
വിതരണ anycast ഗേറ്റ്‌വേകളിൽ, ഓരോ leaf-ഉം വാടകക്കാരന്റെ ട്രാഫിക് പ്രാദേശികമായി റൂട്ട് ചെയ്യുന്നു, കേന്ദ്രീകൃത ഗേറ്റ്‌വേയിലേക്കുള്ള തിരിച്ചുള്ള വഹനം ഇത് എങ്ങനെ ഒഴിവാക്കുന്നു എന്ന് RFC 9135 വിശദീകരിക്കുന്നു. നേട്ടം യഥാർത്ഥമാണ്, അതിന് നേരിട്ടുള്ള അനന്തരഫലമുണ്ട്: ഫയർവാൾ എവിടെ ഘടിപ്പിച്ചിരിക്കുന്നു എന്നതിൽ നിന്ന് പരിശോധന അനുമാനിക്കാൻ കഴിയില്ല. അതിർത്തി leaf-ൽ ഘടിപ്പിച്ച ഫയർവാൾ പുറം ട്രാഫിക് കാണുന്നു, നിങ്ങൾ വ്യക്തമായി അതിലേക്ക് തിരിച്ചുവിടുന്നതെല്ലാം കാണുന്നു.
പ്ലാറ്റ്ഫോം യഥാർത്ഥത്തിൽ പിന്തുണയ്ക്കുന്ന സംവിധാനത്തിലൂടെ സേവനം ഉൾപ്പെടുത്തുക: നയാധിഷ്ഠിത റീഡയറക്ഷൻ, ഒരു സേവന നോഡ്, അല്ലെങ്കിൽ ഫയർവാളിലൂടെയുള്ള നിയന്ത്രിത VRF-ഇന്റർ റൂട്ടിംഗ്. ഉദ്ദേശിച്ച ട്രാഫിക് അതിന്റെ യഥാർത്ഥ പ്രവേശന പോയിന്റിൽ ഒപ്പിടുക. ഹോസ്റ്റുകളെ അഭിമുഖീകരിക്കുന്ന ഇന്റർഫേസിൽ എഴുതിയ നയം overlay-ൽ നിന്ന് വരുന്ന പാക്കറ്റ് ഉൾക്കൊള്ളുന്നില്ല.
ഉദ്ദേശിച്ച സ്വതവേയുള്ളതല്ല, ഇൻസ്റ്റാൾ ചെയ്ത റൂട്ടുകൾ വായിക്കുക. നേരിട്ട് ഇറക്കുമതി ചെയ്ത കൂടുതൽ നിർദ്ദിഷ്ട വാടകക്കാരൻ പ്രിഫിക്സ് ഫയർവാളിലേക്ക് ചൂണ്ടുന്ന സ്വതവേയുള്ള റൂട്ട് ഒഴിവാക്കാം, കോൺഫിഗറേഷനിൽ ഒന്നും തെറ്റായി തോന്നുകയില്ല.
സമമിതി റൂട്ടിംഗിന്റെ സ്വത്താണ്, പരിശോധനയുടെ ഉറപ്പല്ല
സമമിത IRB, ഇൻഗ്രസ്, ഇഗ്രസ് provider edge നോഡുകൾ ഒരു ഫ്ലോയ്ക്ക് റൂട്ടിംഗും ബ്രിഡ്ജിംഗും എങ്ങനെ കൈകാര്യം ചെയ്യുന്നു എന്ന് വിവരിക്കുന്നു. രണ്ട് ദിശകളും ഒരേ stateful ഉപകരണത്തിൽ എത്തുന്നുണ്ടോ എന്ന് അത് പറയുന്നില്ല. ECMP, anycast, ഫയർവാളിന്റെ ഉയർന്ന ലഭ്യത എന്നിവ ഏത് നോഡ് തിരിച്ചുവരവ് ട്രാഫിക് കാണുന്നു എന്നതിനെ ബാധിക്കുന്നു, ക്ലസ്റ്ററിന്റെ പിന്തുണയുള്ള സ്ഥിതി മാതൃക അത് സ്വീകാര്യമാണോ എന്ന് തീരുമാനിക്കുന്നു.
നിങ്ങൾക്ക് പ്രധാനമായ ഓരോ ഫ്ലോയ്ക്കും തിരിച്ചുവരവ് പാത വ്യക്തമായി പിന്തുടരുക. NAT ആ ജോലിയുടെ സാർവത്രിക പകരമല്ല, അതിൽ ആശ്രയിക്കുന്ന രൂപകൽപ്പനകൾ സാധാരണയായി നിർമ്മാണത്തിനിടയിലല്ല, failover-നിടയിൽ വിടവ് കണ്ടെത്തുന്നു.
രൂപകൽപ്പന അംഗീകരിക്കുന്നതിന് മുൻപ് ഒരു നിർബന്ധിത ഫ്ലോയും ബോധപൂർവ്വം ഒഴിവാക്കിയ ഒരു ഫ്ലോയും രണ്ട് ദിശകളിലും സഞ്ചരിച്ച് നോക്കുക.
എങ്ങനെ തിരഞ്ഞെടുക്കാം, ഏത് സാഹചര്യത്തിലും എന്ത് പരീക്ഷിക്കണം
പരിശോധനാ വ്യാപ്തി ട്രാൻസിറ്റ് ശേഷിയേക്കാൾ പ്രധാനമാകുമ്പോഴും കേന്ദ്ര ആശ്രിതത്വം താങ്ങാനാകുമ്പോഴും കേന്ദ്രീകൃത ഗേറ്റ്‌വേ തിരഞ്ഞെടുക്കുക. പ്രാദേശിക റൂട്ടിംഗ് ആണ് കാര്യമെങ്കിൽ വിതരണ IRB തിരഞ്ഞെടുക്കുക, അനുമാനിക്കുന്നതിന് പകരം വ്യക്തമായ സേവന ഉൾപ്പെടുത്തലിന് ബജറ്റ് നീക്കിവയ്ക്കുക.
തുടർന്ന് നിങ്ങൾ യഥാർത്ഥത്തിൽ ഇൻസ്റ്റാൾ ചെയ്ത റൂട്ടിംഗ് പരീക്ഷിക്കുക, കാരണം രണ്ട് രൂപകൽപ്പനകളും ഏറ്റവും വ്യത്യസ്തമാകുന്നത് അവിടെയാണ്:
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixസേവന നോഡിന്റെ തകരാറും വീണ്ടെടുപ്പും പരീക്ഷണത്തിൽ ഉൾപ്പെടുത്തുക. പരിശോധന നിശബ്ദമായി ഒഴിവാക്കുന്ന ഫാൾബാക്ക് റൂട്ട് ആസൂത്രിതമായ fail-open നയത്തിൽ നിന്ന് വ്യത്യസ്തമായ തീരുമാനമാണ്, സാധാരണയായി അവയിൽ ഒന്ന് മാത്രമാണ് ഉദ്ദേശിക്കുന്നത്. പൂർത്തിയായ രൂപകൽപ്പന ഓരോ ട്രാഫിക് വർഗ്ഗവും എവിടെ റൂട്ട് ചെയ്യുന്നു, എവിടെ പരിശോധിക്കുന്നു, ആ പരിശോധനാ പാത ലഭ്യമല്ലാത്തപ്പോൾ എന്ത് സംഭവിക്കുന്നു എന്ന് പേരിടുന്നു.