EVPN politika vatrozida: centralizirani gateway nasuprot distribuirani IRB

Dva EVPN dizajna smještaju gateway stanara na različita mjesta, a vatrozid u svakom vidi različit promet. Kod centraliziranog gatewaya promet između podmreža dolazi do vatrozida jer se tu obavlja usmjeravanje. Kod distribuiranog IRB-a leaf preklopnici usmjeravaju lokalno i vatrozid ne vidi ništa, osim ako ga namjerno ne umetnete. Nijedan model nije pogrešan. Pogrešno je pričvrstiti vatrozid na rub i pretpostaviti da će mu fabric dostaviti promet.

Dva modela, dvije različite točke inspekcije

Prvo imenujte tokove koje treba pregledati, jer dva modela prema njima postupaju različito.

Promet unutar iste podmreže je red koji ljudi zaboravljaju. Dva hosta na jednom VLAN-u komuniciraju preko premosnica i na tom putu ne stoji usmjeravajući vatrozid, osim ako ga presretne zaseban dizajn inspekcije sloja 2. To vrijedi u oba modela, pa je to praznina u dizajnu, a ne usporedba među njima.

Ostala tri reda su mjesto gdje se modeli doista razilaze.

Centralizirani gateway: jednostavna inspekcija, stvarni trošak tranzita

Zadržite VLAN-ove stanara kao usluge sloja 2 i postavite njihove gatewaye usmjeravanja na vatrozid. Promet između podmreža tada putuje do tog gatewaya i natrag, moguće čak i kad oba hosta sjede na istom leafu. Točka inspekcije je nedvosmislena i to je cijeli argument za dizajn. Trošak je tranzitno opterećenje vatrozida plus središnja ovisnost o kapacitetu i dostupnosti koju sada morate projektirati.

Ograničite promjenu na gatewaye stanara koje namjeravate. Uklanjanje svake VLAN adrese preširoko je kad upravljanje, underlay i sučelja platforme imaju odvojene zadaće. Provjerite i drugi aktivni gateway, jer onaj koji još uvijek usmjerava oko vatrozida tiho poništava dizajn.

Ovaj model je lakše objasniti revizoru. Nije automatski jeftiniji za rad.

Distribuirani IRB: brza putanja, bez inspekcije prema zadanim postavkama

S distribuiranim anycast gatewayima svaki leaf usmjerava promet stanara lokalno, a RFC 9135 opisuje zašto se time izbjegava vraćanje kroz centralizirani gateway. Korist je stvarna i ima izravnu posljedicu: inspekcija se ne može zaključiti iz toga gdje je vatrozid priključen. Vatrozid priključen na rubni leaf vidi vanjski promet i sve što mu izričito preusmjerite.

Umetnite uslugu mehanizmom koji platforma doista podržava: preusmjeravanje temeljeno na politikama, servisni čvor ili kontrolirano usmjeravanje između VRF-ova kroz vatrozid. Uskladite namjeravani promet na njegovoj stvarnoj ulaznoj točki. Politika napisana na sučelju okrenutom prema hostu ne pokriva paket koji dolazi iz overlayja.

Čitajte instalirane rute, a ne namjeravani zadani put. Specifičniji prefiks stanara uvezen izravno može zaobići zadanu rutu koja pokazuje na vatrozid, a u konfiguraciji ništa neće izgledati pogrešno.

Simetrija je svojstvo usmjeravanja, a ne jamstvo inspekcije

Simetrični IRB opisuje kako ulazni i izlazni provider edge čvorovi obrađuju usmjeravanje i premosnicu za tok. Ne govori ništa o tome dolaze li oba smjera do istog stateful uređaja. ECMP, anycast i visoka dostupnost vatrozida utječu na to koji čvor vidi povratni promet, a podržani model stanja klastera odlučuje je li to prihvatljivo.

Slijedite povratni put izričito za svaki tok koji vam je važan. NAT nije univerzalna zamjena za taj rad, a dizajni koji se na njega oslanjaju obično pronalaze prazninu tijekom failovera, a ne tijekom izgradnje.

Prođite jedan obvezni tok i jedan namjerno isključeni tok u oba smjera prije nego što odobrite dizajn.

Kako odabrati i što testirati u svakom slučaju

Odaberite centralizirani gateway kad je pokrivenost inspekcije važnija od tranzitnog kapaciteta i možete priuštiti središnju ovisnost. Odaberite distribuirani IRB kad je lokalno usmjeravanje poanta i predvidite proračun za izričito umetanje usluge umjesto da ga pretpostavljate.

Zatim testirajte usmjeravanje koje ste doista instalirali, jer se tu dva dizajna najviše razlikuju:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Uključite u test otkaz i oporavak servisnog čvora. Pričuvna ruta koja tiho zaobilazi inspekciju drukčija je odluka od planirane fail-open politike i obično je namjeravana samo jedna od njih. Dovršeni dizajn imenuje gdje se usmjerava svaka klasa prometa, gdje se pregledava i što se događa kad ta putanja inspekcije nije dostupna.