Politika požarnega zidu v EVPN: centralizirani prehod proti porazdeljenemu IRB

Dve zasnovi EVPN postavljata prehod najemnika na različna mesta in požarni zid v vsaki vidi drugačen promet. Pri centraliziranem prehodu promet med podomrežji doseže požarni zid, ker se tam izvaja usmerjanje. Pri porazdeljenem IRB stikala leaf usmerjajo lokalno in požarni zid ne vidi ničesar, razen če ga tja vstavite namerno. Noben model ni napačen. Napačno je priključiti požarni zid na meji in predpostaviti, da mu bo fabric dostavil promet.

Dva modela, dve različni kontrolni točki

Najprej poimenujte tokove, ki potrebujejo pregled, ker oba modela z njimi ravnata različno.

Promet v istem podomrežju je vrstica, ki jo ljudje pozabijo. Dva gostitelja na enem VLAN se pogovarjata prek mostu in na tej poti ni usmerjenega požarnega zidu, razen če ga prestreže ločena zasnova pregleda plasti 2. To velja v obeh modelih, zato gre za vrzel v zasnovi in ne za primerjavo med njima.

Druge tri vrstice so mesto, kjer se modela res razhajata.

Centralizirani prehod: preprost pregled, resnični stroški tranzita

Ohranite VLAN najemnika kot storitve plasti 2 in namestite njihove usmerjevalne prehode na požarni zid. Promet med podomrežji nato potuje do tega prehoda in nazaj, morda tudi takrat, ko oba gostitelja sedita na istem leafu. Kontrolna točka je nedvoumna in to je celoten argument za zasnovo. Strošek je tranzitna obremenitev požarnega zidu plus centralna odvisnost od zmogljivosti in razpoložljivosti, ki jo morate zdaj načrtovati.

Omejite spremembo na prehode najemnika, ki jih nameravate. Odstranjevanje vsakega naslova VLAN je preširoko, ko imajo upravljanje, underlay in vmesniki platforme ločene naloge. Preverite tudi drugi aktivni prehod, ker tisti, ki še vedno usmerja okoli požarnega zidu, tiho razveljavi zasnovo.

Ta model je revizorju lažje razložiti. Ni samodejno cenejši za upravljanje.

Porazdeljeni IRB: hitra pot, privzeto brez pregleda

Pri porazdeljenih prehodih anycast vsak leaf usmerja promet najemnika lokalno in RFC 9135 opisuje, zakaj se s tem izogne vračanju skozi centralizirani prehod. Korist je resnična in ima neposredno posledico: pregleda ni mogoče sklepati iz tega, kam je požarni zid priključen. Požarni zid, priključen na mejni leaf, vidi zunanji promet in vse, kar mu izrecno preusmerite.

Storitev vstavite z mehanizmom, ki ga platforma resnično podpira: preusmerjanje na podlagi pravil, storitveno vozlišče ali nadzorovano usmerjanje med VRF prek požarnega zidu. Ujemite predvideni promet na njegovi dejanski vstopni točki. Pravilo, napisano na vmesniku, obrnjenem k gostiteljem, ne pokrije paketa, ki prihaja iz overlay.

Berite nameščene poti in ne predvidene privzete poti. Bolj natančna predpona najemnika, uvožena neposredno, lahko obide privzeto pot, ki kaže na požarni zid, in v konfiguraciji ne bo nič videti napačno.

Simetrija je lastnost usmerjanja, ne jamstvo pregleda

Simetrični IRB opisuje, kako vhodna in izhodna vozlišča provider edge obravnavajo usmerjanje in mostenje toka. Ne pove ničesar o tem, ali obe smeri dosežeta isto napravo s stanjem. ECMP, anycast in visoka razpoložljivost požarnega zidu vplivajo na to, katero vozlišče vidi povratni promet, podprti model stanja gruče pa odloči, ali je to sprejemljivo.

Za vsak tok, ki vam je pomemben, izrecno sledite povratni poti. NAT ni univerzalno nadomestilo za to delo in zasnove, ki se nanj zanašajo, običajno najdejo vrzel med failoverom in ne med gradnjo.

Preden zasnovo odobrite, prehodite en obvezen tok in en namerno izključen tok v obeh smereh.

Kako izbrati in kaj preizkusiti v vsakem primeru

Izberite centralizirani prehod, kadar je pokritost s pregledom pomembnejša od tranzitne zmogljivosti in si lahko privoščite centralno odvisnost. Izberite porazdeljeni IRB, kadar je lokalno usmerjanje bistvo, in predvidite proračun za izrecno vstavljanje storitve, namesto da bi jo predpostavili.

Nato preizkusite usmerjanje, ki ste ga dejansko namestili, ker se tam obe zasnovi najbolj razlikujeta:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

V preizkus vključite odpoved in obnovitev storitvenega vozlišča. Varnostna pot, ki tiho obide pregled, je drugačna odločitev kot načrtovana politika fail-open in običajno je mišljena le ena od obeh. Končana zasnova poimenuje, kam se usmerja vsak razred prometa, kje se pregleduje in kaj se zgodi, ko ta pot pregleda ni na voljo.