EVPN политика заштитног зида: централизовани гејтвеј наспрам дистрибуираног IRB-а

Два EVPN дизајна постављају гејтвеј закупца на различита места, а заштитни зид види различит саобраћај у сваком. Са централизованим гејтвејом, саобраћај између подмрежа стиже до заштитног зида јер се ту обавља рутирање. Са дистрибуираним IRB, leaf свичеви рутирају локално и заштитни зид не види ништа ако га намерно не убаците. Ниједан модел није погрешан. Погрешно је прикључити заштитни зид на граници и претпоставити да ће му fabric доставити саобраћај.

Два модела, две различите тачке провере

Прво именујте токове којима је потребна провера, јер два модела према њима поступају различито.

Саобраћај унутар исте подмреже је ред који људи заборављају. Два хоста на једном VLAN-у разговарају преко моста, и на том путу не стоји рутирајући заштитни зид, осим ако га не пресретне посебан дизајн провере слоја 2. То важи у оба модела, па је то празнина у дизајну, а не поређење међу њима.

Остала три реда су место где се модели заиста разилазе.

Централизовани гејтвеј: једноставна провера, стварна цена транзита

Задржите VLAN-ове закупца као услуге слоја 2 и поставите њихове рутирајуће гејтвеје на заштитни зид. Саобраћај између подмрежа тада иде до тог гејтвеја и назад, могуће чак и када оба хоста седе на истом leaf-у. Тачка провере је недвосмислена и то је цео аргумент за овај дизајн. Цена је транзитно оптерећење заштитног зида плус централна зависност од капацитета и доступности коју сада морате да пројектујете.

Ограничите промену на гејтвеје закупца које намеравате. Уклањање сваке VLAN адресе је прешироко када управљање, underlay и интерфејси платформе имају одвојене задатке. Проверите и други активни гејтвеј, јер онај који још рутира око заштитног зида тихо поништава дизајн.

Овај модел је лакше објаснити ревизору. Није аутоматски јефтинији за рад.

Дистрибуирани IRB: брз пут, без провере по подразумеваном

Са дистрибуираним anycast гејтвејевима, сваки leaf рутира саобраћај закупца локално, а RFC 9135 описује зашто то избегава враћање кроз централизовани гејтвеј. Корист је стварна и има директну последицу: провера не може да се закључи из тога где је заштитни зид прикључен. Заштитни зид прикључен на гранични leaf види спољни саобраћај и све што му експлицитно преусмерите.

Убаците услугу механизмом који платформа заиста подржава: преусмеравање засновано на политикама, сервисни чвор или контролисано рутирање између VRF-ова кроз заштитни зид. Ускладите предвиђени саобраћај на његовој стварној улазној тачки. Политика написана на интерфејсу окренутом ка хостевима не покрива пакет који долази из overlay-а.

Читајте инсталиране руте, а не предвиђени подразумевани пут. Конкретнији префикс закупца увезен директно може да заобиђе подразумевану руту која показује на заштитни зид, и ништа у конфигурацији неће изгледати погрешно.

Симетрија је својство рутирања, а не гаранција провере

Симетрични IRB описује како улазни и излазни provider edge чворови обрађују рутирање и мост за ток. Не каже ништа о томе да ли оба смера стижу до истог stateful уређаја. ECMP, anycast и висока доступност заштитног зида утичу на то који чвор види повратни саобраћај, а подржани модел стања кластера одлучује да ли је то прихватљиво.

Пратите повратни пут експлицитно за сваки ток који вам је важан. NAT није универзална замена за тај посао, а дизајни који се на њега ослањају обично нађу празнину током failover-а, а не током изградње.

Прођите један обавезни ток и један намерно искључен ток у оба смера пре него што одобрите дизајн.

Како изабрати и шта тестирати у сваком случају

Изаберите централизовани гејтвеј када је покривеност провером важнија од транзитног капацитета и можете да приуштите централну зависност. Изаберите дистрибуирани IRB када је локално рутирање поента, и предвидите буџет за експлицитно убацивање услуге уместо да га претпоставите.

Затим тестирајте рутирање које сте заиста инсталирали, јер се ту два дизајна највише разликују:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Укључите у тест отказ и опоравак сервисног чвора. Резервна рута која тихо заобилази проверу је другачија одлука од планиране fail-open политике, и обично је намењена само једна од две. Завршени дизајн именује где се рутира свака класа саобраћаја, где се проверава и шта се дешава када тај пут провере није доступан.