Politika e firewall-it në EVPN: gateway i centralizuar kundrejt IRB të shpërndarë

Dy dizajne EVPN e vendosin gateway-n e qiramarrësit në vende të ndryshme, dhe firewall-i sheh trafik të ndryshëm në secilin. Me një gateway të centralizuar, trafiku mes nënrrjetave arrin firewall-in sepse aty bëhet rrugëtimi. Me IRB të shpërndarë, switch-et leaf rrugëtojnë lokalisht dhe firewall-i nuk sheh asgjë nëse nuk e futni qëllimisht. Asnjë model nuk është i gabuar. I gabuar është të lidhësh një firewall në kufi dhe të supozosh se fabric do t'ia dorëzojë trafikun.

Dy modele, dy pika kontrolli të ndryshme

Së pari emërtoni rrjedhat që kanë nevojë për kontroll, sepse dy modelet i trajtojnë ndryshe.

Trafiku brenda të njëjtës nënrrjetë është rreshti që njerëzit harrojnë. Dy host-e në një VLAN komunikojnë përmes urëzimit, dhe në atë rrugë nuk qëndron asnjë firewall i rrugëtuar, përveç nëse një dizajn i veçantë kontrolli i shtresës 2 e ndërhyn atë. Kjo është e vërtetë në të dy modelet, prandaj është boshllëk dizajni dhe jo krahasim mes tyre.

Tre rreshtat e tjerë janë vendi ku modelet vërtet ndahen.

Gateway i centralizuar: kontroll i thjeshtë, kosto reale transit

Mbajini VLAN-t e qiramarrësit si shërbime të shtresës 2 dhe vendosni gateway-t e tyre të rrugëtimit në firewall. Trafiku mes nënrrjetave shkon atëherë te ai gateway dhe kthehet, ndoshta edhe kur të dy host-et janë në të njëjtin leaf. Pika e kontrollit është e qartë dhe ky është i gjithë argumenti për dizajnin. Kostoja është ngarkesa e transitit në firewall plus një varësi qendrore nga kapaciteti dhe disponueshmëria që tani duhet të inxhinieroni.

Kufizojeni ndryshimin te gateway-t e qiramarrësit që synoni. Heqja e çdo adrese VLAN është shumë e gjerë kur menaxhimi, underlay dhe ndërfaqet e platformës kanë detyra të veçanta. Kontrolloni edhe një gateway të dytë aktiv, sepse një që ende rrugëton rreth firewall-it e prish dizajnin në heshtje.

Ky model është më i lehtë për t'u shpjeguar një audituesi. Nuk është automatikisht më i lirë për t'u operuar.

IRB i shpërndarë: rrugë e shpejtë, pa kontroll si parazgjedhje

Me gateway-t anycast të shpërndara, çdo leaf e rrugëton trafikun e qiramarrësit lokalisht, dhe RFC 9135 përshkruan pse kjo shmang kthimin përmes një gateway-i të centralizuar. Përfitimi është real dhe ka një pasojë të drejtpërdrejtë: kontrolli nuk mund të nxirret nga vendi ku është lidhur firewall-i. Një firewall i lidhur me një leaf kufiri sheh trafikun e jashtëm dhe gjithçka që ridrejtoni shprehimisht drejt tij.

Futeni shërbimin me një mekanizëm që platforma e mbështet vërtet: ridrejtim bazuar në politikë, një nyje shërbimi ose rrugëtim i kontrolluar mes VRF-ve përmes firewall-it. Përputhni trafikun e synuar në pikën e tij reale të hyrjes. Një politikë e shkruar në një ndërfaqe që u drejtohet host-eve nuk mbulon një paketë që vjen nga overlay.

Lexoni rrugët e instaluara dhe jo parazgjedhjen e synuar. Një prefiks qiramarrësi më specifik i importuar drejtpërdrejt mund të anashkalojë rrugën e parazgjedhur që tregon drejt firewall-it, dhe asgjë në konfigurim nuk do të duket e gabuar.

Simetria është veti e rrugëtimit, jo garanci e kontrollit

IRB simetrik përshkruan si nyjet provider edge hyrëse dhe dalëse trajtojnë rrugëtimin dhe urëzimin për një rrjedhë. Nuk thotë asgjë nëse të dy drejtimet arrijnë në të njëjtin pajisje me gjendje. ECMP, anycast dhe disponueshmëria e lartë e firewall-it ndikojnë të gjitha se cila nyje sheh trafikun e kthimit, dhe modeli i gjendjes i mbështetur nga grupi vendos nëse kjo është e pranueshme.

Ndiqni shprehimisht rrugën e kthimit për çdo rrjedhë që ju intereson. NAT nuk është zëvendësues universal për atë punë, dhe dizajnet që mbështeten tek ai zakonisht e gjejnë boshllëkun gjatë një failover dhe jo gjatë ndërtimit.

Kaloni një rrjedhë të detyrueshme dhe një rrjedhë të përjashtuar qëllimisht, në të dy drejtimet, përpara se ta miratoni dizajnin.

Si të zgjidhni dhe çfarë të provoni në çdo rast

Zgjidhni gateway-n e centralizuar kur mbulimi i kontrollit ka më shumë rëndësi se kapaciteti i transitit dhe mund ta përballoni varësinë qendrore. Zgjidhni IRB të shpërndarë kur rrugëtimi lokal është thelbi, dhe buxhetoni futjen shprehimisht të shërbimit në vend që ta supozoni.

Më pas provoni rrugëtimin që keni instaluar vërtet, sepse aty ndryshojnë më shumë dy dizajnet:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Përfshini në provë dështimin dhe rikuperimin e nyjes së shërbimit. Një rrugë rezervë që anashkalon në heshtje kontrollin është vendim i ndryshëm nga një politikë fail-open e planifikuar, dhe zakonisht synohet vetëm njëra prej tyre. Dizajni i përfunduar emërton ku rrugëton çdo klasë trafiku, ku kontrollohet dhe çfarë ndodh kur ajo rrugë kontrolli nuk është e disponueshme.