Politika firewallu v EVPN: centralizovaná brána verzus distribuovaný IRB

Dva návrhy EVPN umiestňujú bránu nájomcu na rôzne miesta a firewall v každom vidí inú prevádzku. Pri centralizovanej bráne sa prevádzka medzi podsietami dostane k firewallu, pretože práve tam prebieha smerovanie. Pri distribuovanom IRB smerujú leaf prepínače lokálne a firewall nič nevidí, ak ho tam úmyselne nevložíte. Ani jeden model nie je nesprávny. Nesprávne je pripojiť firewall na hranici a predpokladať, že fabric mu prevádzku doručí.

Dva modely, dva rôzne kontrolné body

Najprv pomenujte toky, ktoré potrebujú kontrolu, pretože oba modely s nimi zaobchádzajú odlišne.

Prevádzka v rámci tej istej podsiete je riadok, na ktorý sa zabúda. Dvaja hostitelia v jednej VLAN komunikujú cez most a na tejto ceste nestojí žiadny smerovaný firewall, ak ho nezachytí samostatný návrh kontroly vrstvy 2. Platí to v oboch modeloch, takže ide o medzeru v návrhu, nie o porovnanie medzi nimi.

Zvyšné tri riadky sú miestom, kde sa modely skutočne rozchádzajú.

Centralizovaná brána: jednoduchá kontrola, skutočné náklady na tranzit

Ponechajte VLAN nájomcu ako služby vrstvy 2 a umiestnite ich smerovacie brány na firewall. Prevádzka medzi podsietami potom putuje k tejto bráne a späť, potenciálne aj vtedy, keď obaja hostitelia sedia na tom istom leaf. Kontrolný bod je jednoznačný a to je celý argument pre tento návrh. Nákladom je tranzitná záťaž firewallu plus centrálna závislosť od kapacity a dostupnosti, ktorú teraz musíte navrhnúť.

Obmedzte zmenu na brány nájomcu, ktoré zamýšľate. Odstránenie každej adresy VLAN je príliš široké, keď správa, underlay a rozhrania platformy majú oddelené úlohy. Skontrolujte aj druhú aktívnu bránu, pretože tá, ktorá stále smeruje okolo firewallu, návrh potichu ruší.

Tento model sa audítorovi vysvetľuje ľahšie. Nie je automaticky lacnejší na prevádzku.

Distribuovaný IRB: rýchla cesta, predvolene bez kontroly

Pri distribuovaných anycast bránach každý leaf smeruje prevádzku nájomcu lokálne a RFC 9135 opisuje, prečo sa tým vyhýba spätnému vedeniu cez centralizovanú bránu. Prínos je skutočný a má priamy dôsledok: kontrolu nemožno odvodiť z toho, kam je firewall zapojený. Firewall pripojený k hraničnému leafu vidí vonkajšiu prevádzku a všetko, čo k nemu výslovne presmerujete.

Vložte službu mechanizmom, ktorý platforma skutočne podporuje: presmerovanie na základe politík, servisný uzol alebo riadené smerovanie medzi VRF cez firewall. Zosúlaďte zamýšľanú prevádzku v jej skutočnom vstupnom bode. Politika napísaná na rozhraní obrátenom k hostiteľom nepokrýva paket prichádzajúci z overlay.

Čítajte nainštalované trasy, nie zamýšľanú predvolenú trasu. Konkrétnejší prefix nájomcu importovaný priamo môže obísť predvolenú trasu, ktorá ukazuje na firewall, a v konfigurácii nebude nič vyzerať nesprávne.

Symetria je vlastnosť smerovania, nie záruka kontroly

Symetrický IRB opisuje, ako vstupné a výstupné uzly provider edge spracúvajú smerovanie a mostenie toku. Nehovorí nič o tom, či oba smery dosiahnu to isté stavové zariadenie. ECMP, anycast a vysoká dostupnosť firewallu ovplyvňujú, ktorý uzol vidí spätnú prevádzku, a podporovaný stavový model clusteru rozhoduje, či je to prijateľné.

Pre každý tok, na ktorom vám záleží, sledujte spätnú cestu výslovne. NAT nie je univerzálnou náhradou tejto práce a návrhy, ktoré sa naň spoliehajú, zvyčajne nájdu medzeru počas failoveru, nie počas výstavby.

Prejdite jeden povinný tok a jeden úmyselne vylúčený tok v oboch smeroch, kým návrh schválite.

Ako vybrať a čo testovať v oboch prípadoch

Zvoľte centralizovanú bránu, keď je pokrytie kontrolou dôležitejšie než tranzitná kapacita a môžete si dovoliť centrálnu závislosť. Zvoľte distribuovaný IRB, keď je lokálne smerovanie podstatou, a naplánujte rozpočet na výslovné vloženie služby namiesto predpokladu.

Potom otestujte smerovanie, ktoré ste skutočne nainštalovali, pretože práve tam sa oba návrhy najviac líšia:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Zahrňte do testu zlyhanie a obnovu servisného uzla. Záložná trasa, ktorá potichu obchádza kontrolu, je iné rozhodnutie než plánovaná politika fail-open a zvyčajne je zamýšľaná len jedna z nich. Hotový návrh pomenúva, kam sa každá trieda prevádzky smeruje, kde sa kontroluje a čo sa stane, keď táto kontrolná cesta nie je dostupná.