د EVPN د فایر وال تګلاره: مرکزي ګېټوې او خپور IRB
مرکزي ګېټوې د کرایه دارانو ټرافیک د فایر وال له لارې لېږي، خپور IRB نه. پرتله کړئ چې هر یو چېرته کتنه کوي او چټک لار څه ته اړتیا لري.
دوه EVPN ډیزاینونه د کرایه دار ګېټوې په بېلو ځایونو کې ږدي، او فایر وال په هر یو کې بېل ټرافیک ویني. د مرکزي ګېټوې سره، د سبنیټونو ترمنځ ټرافیک فایر وال ته رسېږي ځکه چې لارښوونه هماغه ځای کېږي. د خپور IRB سره، leaf سویچونه په سیمه ییز ډول لارښوونه کوي او فایر وال هیڅ نه ویني، پرته له دې چې په قصد سره یې داخل کړئ. هیڅ ماډل غلط نه دی. غلط دا دی چې فایر وال په پوله وتړئ او فرض کړئ چې fabric به ټرافیک ورته ورسوي.
دوه ماډلونه، دوه بېلې کتنې نقطې
لومړی هغه جریانونه ونوموئ چې کتنې ته اړتیا لري، ځکه دوه ماډلونه ورسره بېل چلند کوي.
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
په یوه سبنیټ کې دننه ټرافیک هغه کرښه ده چې خلک یې هېروي. په یوه VLAN کې دوه کوربه د پل له لارې خبرې کوي، او په هغه لار کې هیڅ لارښوونکی فایر وال نه وي، پرته له دې چې جلا د طبقې 2 کتنې ډیزاین یې مخه ونیسي. دا په دواړو ماډلونو کې سم دی، نو دا د ډیزاین تشه ده، د دوی ترمنځ پرتله نه.
نورې درې کرښې هغه ځای دی چې ماډلونه واقعا جلا کېږي.
مرکزي ګېټوې: ساده کتنه، ریښتینی ټرانزیټ لګښت
د کرایه دار VLAN د د طبقې 2 خدمتونه په توګه وساتئ او د دوی لارښوونې ګېټوې په فایر وال کېږدئ. د سبنیټونو ترمنځ ټرافیک بیا هغې ګېټوې ته ځي او بېرته راځي، ممکن حتی کله چې دواړه کوربه په یوه leaf وي. د کتنې نقطه روښانه ده او دا د دې ډیزاین ټول استدلال دی. لګښت د فایر وال په سر ټرانزیټ بار او یو مرکزي ظرفیت او شتون ته اړتیا ده چې اوس باید انجنیري کړئ.
بدلون هغو کرایه دار ګېټوو ته محدود کړئ چې په نظر کې لرئ. هر VLAN پته لرې کول ډېر پراخ دي کله چې مدیریت، underlay او د پلیټ فارم انټرفیسونه جلا دندې لري. دوهم فعال ګېټوې هم وګورئ، ځکه هغه چې لا هم د فایر وال شاوخوا لارښوونه کوي ډیزاین په چوپتیا ناکاموي.
دا ماډل د پلټونکي لپاره تشریح کول اسانه دي. دا په خپله ارزانه نه ده.
خپور IRB: چټکه لار، په ډیفالټ کتنه نشته
د خپرو anycast ګېټوو سره، هر leaf د کرایه دار ټرافیک په سیمه ییز ډول لارښوونه کوي، او RFC 9135 تشریح کوي چې دا ولې د مرکزي ګېټوې له لارې بېرته لېږل کموي. ګټه ریښتینې ده او مستقیمه پایله لري: کتنه نشي کولای د دې له مخې اټکل شي چې فایر وال چېرته نښلول شوی. پولې leaf ته نښلول شوی فایر وال بهرنی ټرافیک او هر هغه څه ویني چې په څرګند ډول ورته اوړئ.
خدمت د هغه میکانیزم سره داخل کړئ چې پلیټ فارم یې واقعا ملاتړ کوي: د پالیسۍ پر بنسټ لېږد، د خدمت نوډ، یا د فایر وال له لارې د VRF ترمنځ کنټرول شوې لارښوونه. په نظر کې نیول شوی ټرافیک د هغه په ریښتیني ننوتلو نقطه کې سم کړئ. هغه پالیسي چې د کوربه ګانو په مخ انټرفیس لیکل شوې overlay څخه راغلی پیکټ نه پوښي.
د نظر په ډیفالټ پرځای نصب شوې لارې ولولئ. یو ډېر ځانګړی کرایه دار مخکښ چې مستقیم وارد شو کولای شي هغه ډیفالټ لار واوړي چې فایر وال ته اشاره کوي، او په ترتیب کې به هیڅ غلط نه ښکاري.
سمټري د لارښوونې ځانګړنه ده، د کتنې تضمین نه
سمټریک IRB تشریح کوي چې د ننوتلو او وتلو provider edge نوډونه د یوه جریان لپاره لارښوونه او پل څنګه اداره کوي. دا هغه نه وایي چې دواړه لوري یو شان stateful وسیلې ته رسېږي که نه. ECMP، anycast او د فایر وال لوړ شتون ټول اغېزه کوي چې کوم نوډ د بېرته راتلو ټرافیک ویني، او د کلسټر ملاتړ شوی حالت ماډل فیصله کوي چې دا منل شوی دی که نه.
د هر هغه جریان لپاره چې تاسو ته مهم دی بېرته راتلو لار په څرګند ډول تعقیب کړئ. NAT د دې کار نړیوال بدیل نه دی، او هغه ډیزاینونه چې پرې تکیه کوي تشه معمولا د failover پر مهال مومي نه د جوړولو.
د ډیزاین له تصویب مخکې یو اړین جریان او یو په قصد ایستل شوی جریان په دواړو لورو وګرځوئ.
څنګه غوره کړئ، او په هر حال کې څه وازموئ
مرکزي ګېټوې غوره کړئ کله چې د کتنې پوښښ د ټرانزیټ ظرفیت څخه مهم وي او مرکزي اړتیا ګاللای شئ. خپور IRB غوره کړئ کله چې سیمه ییزه لارښوونه اصل وي، او د فرض کولو پرځای د څرګند خدمت داخلولو لپاره بودیجه وټاکئ.
بیا هغه لارښوونه وازموئ چې واقعا مو نصب کړې، ځکه دوه ډیزاینونه ترټولو ډېر هماغه ځای کې توپیر لري:
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixپه ازموینه کې د خدمت نوډ ناکامي او بیارغونه شامل کړئ. هغه بیرته راګرځېدونکې لار چې په چوپتیا کتنه اوړي د پلان شوې fail-open پالیسۍ څخه بېله فیصله ده، او معمولا یوازې یوه له دواړو په نظر کې ده. بشپړ شوی ډیزاین نوموي چې هر د ټرافیک ټولګه چېرته لارښوونه کېږي، چېرته کتل کېږي، او کله چې هغه کتنې لار نشته څه پېښېږي.