EVPN-brannmurpolitikk: sentralisert gateway kontra distribuert IRB

To EVPN-design plasserer gatewayen til leigetakaren på ulike stader, og brannmuren ser ulik trafikk i kvart av dei. Med ein sentralisert gateway når trafikk mellom subnett fram til brannmuren fordi det er der rutaren gjer arbeidet. Med distribuert IRB rutar leaf-svitsjane lokalt, og brannmuren ser ingenting med mindre du set han inn med vilje. Ingen av modellane er feil. Det feil er å kopla ein brannmur på grensa og ta for gjeve at fabric leverer trafikken til han.

To modellar, to ulike inspeksjonspunkt

Namngi fyrst straumane som treng inspeksjon, fordi dei to modellane handsamar dei ulikt.

Trafikk innanfor same subnett er rada folk gløymer. To vertar på eitt VLAN snakkar via brukopling, og det sit ingen ruta brannmur på den vegen med mindre eit eige inspeksjonsdesign for lag 2 fangar han opp. Det gjeld i begge modellane, så det er eit hol i designet og ikkje ein samanliknad mellom dei.

Dei tre andre radene er der modellane faktisk skil seg.

Sentralisert gateway: enkel inspeksjon, reell transittkostnad

Hald VLAN-a til leigetakaren som lag 2-tenester og set rutegatewayane deira på brannmuren. Trafikk mellom subnett reiser då til den gatewayen og tilbake, moglegvis òg når begge vertane sit på same leaf. Inspeksjonspunktet er eintydig, og det er heile argumentet for designet. Kostnaden er transittlast på brannmuren pluss ein sentral avhengnad av kapasitet og tilgjenge som du no må konstruera.

Avgrens endringa til dei leigetakar-gatewayane du har til føremål. Å fjerna kvar VLAN-adresse er for breitt når administrasjon, underlay og plattformgrensesnitt har separate oppgåver. Sjekk òg ein annan aktiv gateway, fordi ein som framleis rutar rundt brannmuren undergrev designet stille.

Denne modellen er lettare å forklara for ein revisor. Han er ikkje automatisk billegare å driva.

Distribuert IRB: rask veg, ingen inspeksjon som standard

Med distribuerte anycast-gatewayar rutar kvar leaf trafikken til leigetakaren lokalt, og RFC 9135 skildrar kvifor det unngår tilbaketransporten via ein sentralisert gateway. Fordelen er reell, og han har ein direkte konsekvens: inspeksjon kan ikkje utleiast frå kvar brannmuren er kopla til. Ein brannmur kopla til ein grense-leaf ser ekstern trafikk og alt du eksplisitt omdirigerer til han.

Set inn tenesta med ein mekanisme plattformen faktisk støttar: policybasert omdirigering, ein tenestenode eller kontrollert ruting mellom VRF-ar gjennom brannmuren. Treff den tiltenkte trafikken på det reelle inngangspunktet hans. Ein policy skriven på eit vertsvendt grensesnitt dekkjer ikkje ein pakke som kjem frå overlayet.

Les dei installerte rutene i staden for den tiltenkte standardruta. Eit meir spesifikt leigetakar-prefiks importert direkte kan gå rundt standardruta som peikar på brannmuren, og ingenting i konfigurasjonen vil sjå feil ut.

Symmetri er ein rutingeigenskap, ikkje ein inspeksjonsgaranti

Symmetrisk IRB skildrar korleis inngåande og utgåande provider edge-nodar handsamar ruting og brukopling for ein straum. Det seier ingenting om korvidt begge retningane når same stateful eining. ECMP, anycast og høg tilgjenge på brannmuren påverkar alle kva node som ser returtrafikken, og den støtta tilstandmodellen til klynga avgjer om det er akseptabelt.

Følg returvegen eksplisitt for kvar straum du bryr deg om. NAT er ikkje ei universell erstatning for det arbeidet, og design som lenar seg på det finn vanlegvis holet under ein failover og ikkje under bygginga.

Gå gjennom éin påkravd straum og éin medvite utelaten straum, i begge retningar, før du godkjenner designet.

Korleis velja, og kva du bør testa uansett

Vel den sentraliserte gatewayen når inspeksjonsdekning tyder meir enn transittkapasitet og du har råd til den sentrale avhengnaden. Vel distribuert IRB når lokal ruting er poenget, og budsjetter for eksplisitt tenesteinnsetting i staden for å ta det for gjeve.

Test deretter rutinga du faktisk installerte, fordi det er der dei to designa skil seg mest:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Ta med feil og gjenoppretting av tenestenoden i testen. Ei reserverute som stille går rundt inspeksjon er eit anna val enn ein planlagd fail-open-policy, og vanlegvis er berre éin av dei tiltenkt. Det ferdige designet namngir kvar kvar trafikkklasse rutar, kvar han vert inspisert, og kva som skjer når den inspeksjonsvegen ikkje er tilgjengeleg.