Polityka firewalla w EVPN: brama scentralizowana a rozproszony IRB

Dwa projekty EVPN umieszczają bramę dzierżawcy w różnych miejscach, a firewall widzi w każdym inny ruch. Przy bramie scentralizowanej ruch między podsieciami dociera do firewalla, bo tam odbywa się routing. Przy rozproszonym IRB przełączniki leaf routują lokalnie, a firewall nic nie widzi, chyba że celowo go tam wstawisz. Żaden model nie jest błędny. Błędne jest podłączenie firewalla na granicy i założenie, że fabric dostarczy mu ruch.

Dwa modele, dwa różne punkty kontroli

Najpierw nazwij przepływy wymagające kontroli, bo oba modele traktują je odmiennie.

Ruch w obrębie tej samej podsieci to wiersz, o którym się zapomina. Dwa hosty w jednym VLAN komunikują się przez mostkowanie, a na tej ścieżce nie stoi routowany firewall, chyba że przechwyci go osobny projekt kontroli warstwy 2. To prawda w obu modelach, więc jest to luka w projekcie, a nie porównanie między nimi.

Pozostałe trzy wiersze to miejsce, w którym modele naprawdę się rozchodzą.

Brama scentralizowana: prosta kontrola, realny koszt tranzytu

Zachowaj VLAN-y dzierżawcy jako usługi warstwy 2 i umieść ich bramy routingu na firewallu. Ruch między podsieciami podróżuje wtedy do tej bramy i z powrotem, być może nawet gdy oba hosty siedzą na tym samym leafie. Punkt kontroli jest jednoznaczny i to jest cały argument za tym projektem. Koszt to obciążenie tranzytem na firewallu plus centralna zależność od wydajności i dostępności, którą teraz trzeba zaprojektować.

Ogranicz zmianę do bram dzierżawcy, które zamierzasz. Usuwanie każdego adresu VLAN jest zbyt szerokie, gdy zarządzanie, underlay i interfejsy platformy mają odrębne zadania. Sprawdź też drugą aktywną bramę, bo ta, która nadal routuje wokół firewalla, po cichu niweczy projekt.

Ten model łatwiej wyjaśnić audytorowi. Nie jest automatycznie tańszy w eksploatacji.

Rozproszony IRB: szybka ścieżka, domyślnie bez kontroli

Przy rozproszonych bramach anycast każdy leaf routuje ruch dzierżawcy lokalnie, a RFC 9135 opisuje, dlaczego pozwala to uniknąć zawracania przez bramę scentralizowaną. Korzyść jest realna i ma bezpośrednią konsekwencję: kontroli nie można wywnioskować z tego, gdzie podłączony jest firewall. Firewall podłączony do leafa granicznego widzi ruch zewnętrzny i wszystko, co jawnie do niego skierujesz.

Wstaw usługę mechanizmem, który platforma naprawdę obsługuje: przekierowaniem opartym na politykach, węzłem usług lub kontrolowanym routingiem między VRF przez firewall. Dopasuj zamierzony ruch w jego rzeczywistym punkcie wejścia. Polityka napisana na interfejsie zwróconym do hostów nie obejmuje pakietu przychodzącego z overlay.

Czytaj trasy zainstalowane, a nie zamierzoną trasę domyślną. Bardziej szczegółowy prefiks dzierżawcy zaimportowany bezpośrednio może ominąć trasę domyślną wskazującą na firewall, a w konfiguracji nic nie będzie wyglądać źle.

Symetria jest właściwością routingu, a nie gwarancją kontroli

Symetryczny IRB opisuje, jak węzły provider edge na wejściu i wyjściu obsługują routing i mostkowanie przepływu. Nie mówi nic o tym, czy oba kierunki docierają do tego samego urządzenia stanowego. ECMP, anycast i wysoka dostępność firewalla wpływają na to, który węzeł widzi ruch powrotny, a obsługiwany model stanu klastra decyduje, czy jest to dopuszczalne.

Śledź ścieżkę powrotną jawnie dla każdego przepływu, na którym ci zależy. NAT nie jest uniwersalnym zamiennikiem tej pracy, a projekty, które na nim polegają, zwykle znajdują lukę podczas failoveru, a nie podczas budowy.

Przejdź jeden przepływ wymagany i jeden świadomie wykluczony, w obu kierunkach, zanim zatwierdzisz projekt.

Jak wybierać i co testować w obu przypadkach

Wybierz bramę scentralizowaną, gdy pokrycie kontrolą jest ważniejsze niż przepustowość tranzytu i stać cię na centralną zależność. Wybierz rozproszony IRB, gdy lokalny routing jest sednem, i zaplanuj budżet na jawne wstawienie usługi zamiast zakładać je.

Następnie przetestuj routing, który faktycznie zainstalowałeś, bo właśnie tam oba projekty różnią się najbardziej:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Uwzględnij w teście awarię i odtworzenie węzła usług. Trasa zapasowa, która po cichu omija kontrolę, to inna decyzja niż zaplanowana polityka fail-open, i zwykle zamierzona jest tylko jedna z nich. Gotowy projekt nazywa, dokąd routowany jest każdy rodzaj ruchu, gdzie jest kontrolowany i co się dzieje, gdy ta ścieżka kontroli jest niedostępna.