Politika tal-firewall fl-EVPN: gateway ċentralizzat kontra IRB distribwit

Żewġ disinji EVPN iqiegħdu l-gateway tal-kerrej f'postijiet differenti, u l-firewall jara traffiku differenti f'kull wieħed. B'gateway ċentralizzat, it-traffiku bejn is-subnets jasal sal-firewall għax hemm jseħħ ir-routing. Bl-IRB distribwit, l-iswiċċijiet leaf jagħmlu routing lokalment u l-firewall ma jara xejn sakemm ma żżidux b'mod maħsub. Ebda mudell mhu ħażin. Ħażin huwa li tqabbad firewall mal-fruntiera u tassumi li l-fabric se jwassal it-traffiku lilu.

Żewġ mudelli, żewġ punti ta' spezzjoni differenti

L-ewwel semmi l-flussi li jeħtieġu spezzjoni, għax iż-żewġ mudelli jittrattawhom b'mod differenti.

It-traffiku fi ħdan l-istess subnet hija r-ringiela li n-nies jinsiew. Żewġ hosts fuq VLAN wieħed jitkellmu permezz ta' bridging, u f'dak il-passaġġ ma jkunx hemm firewall bir-routing sakemm disinn ta' spezzjoni tas-saff 2 separat ma jinterċettahx. Dan huwa veru fiż-żewġ mudelli, għalhekk hija lakuna fid-disinn u mhux tqabbil bejniethom.

It-tliet ringieli l-oħra huma fejn il-mudelli verament jiddivverġu.

Gateway ċentralizzat: spezzjoni sempliċi, kost tat-transitu reali

Żomm il-VLANs tal-kerrej bħala servizzi tas-saff 2 u qiegħed il-gateways tar-routing tagħhom fuq il-firewall. It-traffiku bejn is-subnets imbagħad jivvjaġġa lejn dak il-gateway u lura, possibbilment anki meta ż-żewġ hosts ikunu fuq l-istess leaf. Il-punt ta' spezzjoni huwa ċar, u dan huwa l-argument kollu għad-disinn. Il-kost huwa tagħbija tat-transitu fuq il-firewall flimkien ma' dipendenza ċentrali fuq il-kapaċità u d-disponibilità li issa jkollok tinġinerja.

Illimita l-bidla għall-gateways tal-kerrej li beħsiebek. It-tneħħija ta' kull indirizz VLAN hija wiesgħa wisq meta l-immaniġġjar, l-underlay u l-interfaces tal-pjattaforma għandhom dmirijiet separati. Iċċekkja wkoll it-tieni gateway attiv, għax wieħed li għadu jagħmel routing madwar il-firewall ifixkel id-disinn bil-kwiet.

Dan il-mudell huwa eħfef biex jiġi spjegat lil awditur. Mhuwiex awtomatikament orħos biex jitħaddem.

IRB distribwit: passaġġ mgħaġġel, l-ebda spezzjoni bħala default

B'gateways anycast distribwiti, kull leaf jagħmel routing tat-traffiku tal-kerrej lokalment, u RFC 9135 jiddeskrivi għaliex dan jevita t-trasport lura permezz ta' gateway ċentralizzat. Il-benefiċċju huwa reali, u għandu konsegwenza diretta: is-spezzjoni ma tistax tiġi dedotta minn fejn huwa mqabbad il-firewall. Firewall imqabbad ma' leaf tal-fruntiera jara traffiku estern u kull ma tidderieġi b'mod espliċitu lejh.

Daħħal is-servizz b'mekkaniżmu li l-pjattaforma verament tappoġġja: ridirezzjonament ibbażat fuq il-politika, nod tas-servizz, jew routing ikkontrollat bejn VRF permezz tal-firewall. Qabbel it-traffiku maħsub fil-punt tad-dħul reali tiegħu. Politika miktuba fuq interface li tħares lejn il-hosts ma tkoprix pakkett li jasal mill-overlay.

Aqra r-rotot installati u mhux id-default maħsub. Prefiss tal-kerrej iktar speċifiku importat direttament jista' jaqbeż ir-rotta default li tindika lejn il-firewall, u xejn fil-konfigurazzjoni mhu se jidher ħażin.

Is-simmetrija hija proprjetà tar-routing, mhux garanzija ta' spezzjoni

L-IRB simmetriku jiddeskrivi kif in-nodi provider edge tad-dħul u tal-ħruġ jimmaniġġjaw ir-routing u l-bridging għal fluss. Ma jgħid xejn dwar jekk iż-żewġ direzzjonijiet jaslux għall-istess apparat stateful. ECMP, anycast u disponibilità għolja tal-firewall kollha jaffettwaw liema nod jara t-traffiku tar-ritorn, u l-mudell tal-istat appoġġjat tal-cluster jiddeċiedi jekk dan huwiex aċċettabbli.

Segwi l-passaġġ tar-ritorn b'mod espliċitu għal kull fluss li jimpurtak. NAT mhuwiex sostitut universali għal dak ix-xogħol, u disinji li jiddependu fuqu normalment isibu l-lakuna waqt failover u mhux waqt il-bini.

Għaddi minn fluss meħtieġ wieħed u fluss eskluż apposta wieħed, fiż-żewġ direzzjonijiet, qabel ma tapprova d-disinn.

Kif tagħżel, u x'tittestja f'kull każ

Agħżel il-gateway ċentralizzat meta l-kopertura tas-spezzjoni timporta iktar mill-kapaċità tat-transitu u tista' taffordja d-dipendenza ċentrali. Agħżel l-IRB distribwit meta r-routing lokali huwa l-punt, u budget għal inserzjoni espliċita tas-servizz minflok tassumiha.

Imbagħad ittestja r-routing li verament installajt, għax hemmhekk iż-żewġ disinji jiddivverġu l-iktar:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Inkludi fil-test il-falliment u l-irkupru tan-nod tas-servizz. Rotta ta' riżerva li taqbeż is-spezzjoni bil-kwiet hija deċiżjoni differenti minn politika fail-open ippjanata, u normalment waħda biss miż-żewġ hija maħsuba. Id-disinn lest isemmi fejn kull klassi ta' traffiku tagħmel routing, fejn tiġi spezzjonata, u x'jiġri meta dak il-passaġġ ta' spezzjoni ma jkunx disponibbli.