Zbuduj granicę EVPN wokół polityki eksportu, a nie podłączeń

Powszechne założenie głosi, że model podłączenia Layer 2 na granicy określa wszystko powyżej, więc projekt zaczyna się od pary vPC i idzie w górę. Zwykle kończy się decyzjami routingu podejmowanymi przez przypadek. Granica EVPN jest przede wszystkim granicą routingu: kontekst routingu dzierżawcy styka się z zewnętrzną domeną routingu, a to, co przekracza tę linię, jest deklaracją polityki. Wybierz trasy, relację ASN i ścieżki awarii, zanim ktokolwiek zacznie spierać się o port-channels. Model podłączenia wynika wtedy z wymagania, a nie narzuca je.

Zacznij od tego, co przekracza granicę

Zapisz trasy, które powinny być widoczne po każdej stronie, kierunek, w którym podróżują, oraz to, kto zatwierdza zmianę tej listy. Granica, która przyjmuje wszystko i ogłasza wszystko, nie ma polityki, tylko kabel.

Następnie nazwij awarię, którą zamierzasz obsługiwać: jeden uplink wyłączony, jeden border leaf wyłączony albo cała domena zewnętrzna nieosiągalna. Każda odpowiedź zmienia to, czy potrzebujesz dwóch niezależnych sąsiadów, wspólnego podłączenia Layer 2, czy obu.

Dopiero gdy te dwie listy istnieją, pytanie o podłączenie staje się odpowiadalne. Wcześniej każdy mechanizm wygląda równie zasadnie. Potem większość z nich sama się wyklucza. To cały argument za wykonaniem pracy nad routingiem najpierw.

Ustal granicę ASN i peeringu

Fabric z prywatnymi AS zwykle peeruje z publiczną domeną granicy przez eBGP, a ciekawa część to polityka po obu stronach. Zdecyduj, które prefiksy są przyjmowane, które ogłaszane i jaką ścieżkę AS ma otrzymać upstream.

RFC 6996 rezerwuje zakres ASN do użytku prywatnego i te ASN nie powinny pojawiać się w globalnych ogłoszeniach. Zastosuj obsługiwaną przez platformę politykę usuwania lub filtrowania i zweryfikuj wynikowe ogłoszenie, zamiast zakładać, że urządzenie to zrobiło. Ten krok nie daje ci też prawa do ogłaszania dowolnego publicznego prefiksu, co jest osobną rozmową z właścicielem adresu.

Konfederacja lub funkcja local-AS to wybór projektowy dla konkretnej topologii. Żadna nie jest obowiązkowa tylko dlatego, że fabric i upstream używają różnych ról ASN, a przyjęcie jednej bez wymagania dodaje ruchome części do każdej przyszłej zmiany.

Uplinki Layer 3 nie potrzebują multichassis LAG

Niezależne interfejsy routowane z własnymi sąsiadami BGP dają dwie jasne ścieżki i dwie jasne domeny awarii. vPC lub inny multichassis LAG obsługuje wymaganie podłączenia Layer 2 i jest właściwym narzędziem, gdy takie wymaganie istnieje.

Ogólna zasada, że każda para granic musi używać vPC albo musi go unikać, ukrywa warunki, które naprawdę rozstrzygają sprawę. Zapytaj, co podłączenie musi przenosić, a potem wybierz mechanizm, który przenosi to przy najmniejszej liczbie wspólnych trybów awarii.

Polityka routingu napisana jako pierwsza nie zmienia się, gdy zmienia się mechanizm podłączenia, co jest dobrym znakiem, że kolejność była właściwa.

Eksportuj tylko to, czego potrzebuje dzierżawca

Dzierżawca może potrzebować trasy domyślnej, zestawu wybranych prefiksów zewnętrznych albo znacznie większej tabeli. Wybierz ten zakres na podstawie rzeczywistej pojemności przekazywania i płaszczyzny kontrolnej, a nie starej liczby tras internetowych, których nikt nie zmierzył ponownie.

Trasa EVPN IP Prefix, zwykle nazywana Type 5 i zdefiniowana w RFC 9136przenosi informacje o prefiksie w overlayu. Implementacja nadal potrzebuje dopasowanej polityki eksportu i importu oraz rozwiązywania next-hop, więc odebranie zewnętrznej trasy BGP na granicy nie oznacza, że każdy VRF dzierżawcy ją importuje.

Nie każdy leaf potrzebuje pełnej tabeli tylko dlatego, że granica ją trzyma. Rozprowadź to, czego wymaga ruch dzierżawcy, a resztą niech zarządza granica.

Zweryfikuj jeden prefiks od początku do końca

Wybierz reprezentatywny prefiks zewnętrzny i prześledź go przez zamierzony VRF granicy, politykę eksportu, kontekst przekazywania odbierającego leafa oraz ścieżkę powrotną do źródła dzierżawcy. Prefiks, który pojawia się w jednym miejscu, a w następnym nie, natychmiast lokalizuje błąd.

Potwierdź, jak next hop rozwiązuje się przez overlay, ponieważ trasa obecna z nierozwiązanym next hop nie przekazuje niczego. Następnie powtórz kontrolę po zmianie uplinku, bo właśnie wtedy polityka i rozwiązywanie next-hop najczęściej się rozjeżdżają.

Kolejność pracy: wypisz trasy przekraczające granicę, uzgodnij politykę ASN, wybierz podłączenie pod jego rzeczywiste zadanie, określ zakres eksportu na dzierżawcę, a następnie zweryfikuj jeden prefiks i jego ścieżkę powrotną.