Construa a borda EVPN em torno da política de exportação, não das anexações

A suposição comum é que o modelo de anexação Layer 2 na borda determina tudo acima dele, então o desenho começa com um par vPC e sobe. Normalmente termina com decisões de encaminhamento tomadas por acidente. Uma borda EVPN é primeiro uma fronteira de encaminhamento: um contexto de encaminhamento de inquilino encontra um domínio de encaminhamento externo, e o que cruza essa linha é uma declaração de política. Escolha as rotas, a relação ASN e os caminhos de falha antes que alguém discuta port-channels. O modelo de anexação segue então de um requisito em vez de ditá-lo.

Comece pelo que cruza a fronteira

Anote as rotas que devem ser visíveis em cada lado, a direção em que viajam e quem aprova uma alteração nessa lista. Uma borda que aceita tudo e anuncia tudo não tem política, apenas um cabo.

Depois nomeie a falha que pretende operar: um uplink em baixo, um border leaf em baixo, ou todo o domínio externo inalcançável. Cada resposta muda se precisa de dois vizinhos independentes, de uma anexação Layer 2 partilhada, ou de ambos.

Só depois de existirem essas duas listas a questão da anexação se torna respondível. Antes disso, todo mecanismo parece igualmente válido. Depois, a maioria elimina-se a si própria. É todo o argumento para fazer o trabalho de encaminhamento primeiro.

Fixe a fronteira de ASN e peering

Uma malha com AS privados normalmente faz peering com o domínio de borda público via eBGP, e a parte interessante é a política dos dois lados. Decida quais prefixos são aceitos, quais são anunciados e que caminho AS o upstream deve receber.

A RFC 6996 reserva um intervalo de ASN para uso privado, e esses ASN não devem aparecer em anúncios globais. Aplique a política de remoção ou filtragem suportada pela plataforma e verifique o anúncio resultante em vez de assumir que o dispositivo o fez. Esse passo também não lhe dá autoridade para anunciar um prefixo público arbitrário, o que é uma conversa separada com o dono do endereço.

Uma confederação ou um recurso local-AS é uma escolha de desenho para uma topologia específica. Nenhum é obrigatório só porque a malha e o upstream usam papéis de ASN diferentes, e adotar um sem o requisito acrescenta partes móveis a cada mudança futura.

Uplinks Layer 3 não precisam de multichassis LAG

Interfaces encaminhadas independentes com os seus próprios vizinhos BGP dão dois caminhos claros e dois domínios de falha claros. O vPC ou outro multichassis LAG serve um requisito de anexação Layer 2, e é a ferramenta certa quando esse requisito existe.

Uma regra genérica de que cada par de borda deve usar vPC, ou deve evitá-lo, esconde as condições que realmente decidem o caso. Pergunte o que a anexação tem de transportar e escolha depois o mecanismo que o transporta com menos modos de falha partilhados.

A política de encaminhamento que escreveu primeiro não muda quando o mecanismo de anexação muda, o que é um bom sinal de que a ordem estava certa.

Exporte apenas o que o inquilino precisa

Um inquilino pode precisar de uma rota predefinida, de um conjunto de prefixos externos selecionados, ou de uma tabela muito maior. Escolha esse âmbito face à capacidade real de encaminhamento e de plano de controlo, não face a uma contagem antiga de rotas de internet que ninguém voltou a medir.

A rota EVPN IP Prefix, comummente chamada Type 5 e definida na RFC 9136transporta informação de prefixo no overlay. A implementação continua a precisar de política de exportação e importação correspondente mais resolução de next-hop, por isso receber uma rota BGP externa na borda não significa que cada VRF de inquilino a importe.

Nem cada leaf precisa da tabela completa só porque a borda a mantém. Distribua o que o tráfego do inquilino exige e deixe a borda com o resto.

Verifique um prefixo de ponta a ponta

Escolha um prefixo externo representativo e siga-o pela VRF pretendida da borda, pela política de exportação, pelo contexto de encaminhamento do leaf recetor e pelo caminho de regresso a uma origem do inquilino. Um prefixo que aparece num ponto e não no seguinte localiza o erro imediatamente.

Confirme como o next hop resolve através do overlay, porque uma rota presente com um next hop não resolvido não encaminha nada. Repita depois a verificação após uma alteração de uplink, pois é aí que a política e a resolução de next-hop mais divergem.

Ordem de trabalho: liste as rotas que cruzam, acorde a política de ASN, escolha a anexação pela sua função real, delimite a exportação por inquilino e verifique depois um prefixo e o seu caminho de regresso.