Dasar firewall EVPN: gateway berpusat berbanding IRB teragih

Dua reka bentuk EVPN meletakkan gateway penyewa di tempat berbeza, dan firewall melihat trafik berbeza dalam setiap satu. Dengan gateway berpusat, trafik antara subnet sampai ke firewall kerana di situlah penghalaan berlaku. Dengan IRB teragih, suis leaf membuat penghalaan secara setempat dan firewall tidak melihat apa-apa melainkan anda memasukkannya dengan sengaja. Tiada model yang salah. Yang salah ialah menyambungkan firewall di sempadan dan menganggap fabric akan menghantar trafik kepadanya.

Dua model, dua titik pemeriksaan berbeza

Namakan dahulu aliran yang memerlukan pemeriksaan, kerana kedua-dua model mengendalikannya secara berbeza.

Trafik dalam subnet yang sama ialah baris yang orang lupakan. Dua hos pada satu VLAN berkomunikasi melalui jambatan, dan tiada firewall berpenghala berada di laluan itu melainkan reka bentuk pemeriksaan lapisan 2 yang berasingan memintasnya. Itu benar dalam kedua-dua model, jadi ia jurang reka bentuk dan bukan perbandingan antara keduanya.

Tiga baris lain ialah tempat model benar-benar berbeza.

Gateway berpusat: pemeriksaan mudah, kos transit sebenar

Kekalkan VLAN penyewa sebagai perkhidmatan lapisan 2 dan letakkan gateway penghalaan mereka pada firewall. Trafik antara subnet kemudian bergerak ke gateway itu dan kembali, mungkin juga apabila kedua-dua hos berada pada leaf yang sama. Titik pemeriksaan tidak kabur, dan itulah keseluruhan hujah untuk reka bentuk ini. Kosnya ialah beban transit pada firewall serta kebergantungan pusat pada kapasiti dan ketersediaan yang kini perlu anda kejuruteraan.

Hadkan perubahan kepada gateway penyewa yang anda maksudkan. Mengalih keluar setiap alamat VLAN terlalu luas apabila pengurusan, underlay dan antara muka platform mempunyai tugas berasingan. Semak juga gateway aktif kedua, kerana yang masih membuat penghalaan di sekeliling firewall menggagalkan reka bentuk secara senyap.

Model ini lebih mudah dijelaskan kepada juruaudit. Ia tidak automatik lebih murah untuk dikendalikan.

IRB teragih: laluan pantas, tiada pemeriksaan secara lalai

Dengan gateway anycast teragih, setiap leaf membuat penghalaan trafik penyewa secara setempat, dan RFC 9135 menerangkan sebabnya ini mengelakkan penghantaran balik melalui gateway berpusat. Manfaatnya nyata, dan ia mempunyai akibat langsung: pemeriksaan tidak boleh disimpulkan daripada tempat firewall dipasang. Firewall yang disambungkan ke leaf sempadan melihat trafik luaran dan apa sahaja yang anda ubah hala secara jelas kepadanya.

Masukkan perkhidmatan dengan mekanisme yang benar-benar disokong oleh platform: ubah hala berasaskan dasar, nod perkhidmatan, atau penghalaan terkawal antara VRF melalui firewall. Padankan trafik yang dimaksudkan pada titik masuk sebenarnya. Dasar yang ditulis pada antara muka menghadap hos tidak meliputi paket yang tiba dari overlay.

Baca laluan yang dipasang dan bukan lalai yang dimaksudkan. Awalan penyewa yang lebih khusus yang diimport terus boleh memintas laluan lalai yang menunjuk ke firewall, dan tiada apa pun dalam konfigurasi akan kelihatan salah.

Simetri ialah sifat penghalaan, bukan jaminan pemeriksaan

IRB simetri menerangkan cara nod provider edge masuk dan keluar mengendalikan penghalaan dan jambatan untuk sesuatu aliran. Ia tidak menyatakan sama ada kedua-dua arah sampai ke peranti stateful yang sama. ECMP, anycast dan ketersediaan tinggi firewall semuanya mempengaruhi nod mana yang melihat trafik balasan, dan model keadaan yang disokong kluster menentukan sama ada itu boleh diterima.

Ikuti laluan balik secara jelas untuk setiap aliran yang anda pedulikan. NAT bukan pengganti sejagat untuk kerja itu, dan reka bentuk yang bergantung padanya biasanya menemui jurang semasa failover dan bukan semasa pembinaan.

Lalui satu aliran wajib dan satu aliran yang sengaja dikecualikan, dalam kedua-dua arah, sebelum anda meluluskan reka bentuk.

Cara memilih, dan apa yang perlu diuji dalam apa jua keadaan

Pilih gateway berpusat apabila liputan pemeriksaan lebih penting daripada kapasiti transit dan anda mampu menanggung kebergantungan pusat. Pilih IRB teragih apabila penghalaan setempat ialah intinya, dan belanjakan untuk penyisipan perkhidmatan yang jelas dan bukan menganggapnya.

Kemudian uji penghalaan yang benar-benar anda pasang, kerana di situlah kedua-dua reka bentuk paling berbeza:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Sertakan kegagalan dan pemulihan nod perkhidmatan dalam ujian. Laluan sandaran yang memintas pemeriksaan secara senyap ialah keputusan berbeza daripada dasar fail-open yang dirancang, dan biasanya hanya satu daripada keduanya dimaksudkan. Reka bentuk yang siap menamakan ke mana setiap kelas trafik dihalakan, di mana ia diperiksa, dan apa yang berlaku apabila laluan pemeriksaan itu tidak tersedia.