EVPN-brandvägspolicy: centraliserad gateway kontra distribuerad IRB

Två EVPN-designer placerar hyresgästens gateway på olika ställen, och brandväggen ser olika trafik i var och en. Med en centraliserad gateway når trafik mellan subnät fram till brandväggen eftersom det är där routingen sker. Med distribuerad IRB routar leaf-switcharna lokalt och brandväggen ser ingenting om du inte sätter in den med avsikt. Ingen av modellerna är fel. Det fel är att koppla en brandvägg vid gränsen och anta att fabric levererar trafiken till den.

Två modeller, två olika inspektionspunkter

Namnge först de flöden som behöver inspektion, eftersom de två modellerna behandlar dem olika.

Trafik inom samma subnät är den rad folk glömmer. Två värdar på ett VLAN pratar via bryggning, och ingen routad brandvägg sitter på den vägen om inte en separat inspektionsdesign för lager 2 fångar upp den. Det gäller i båda modellerna, så det är en lucka i designen och inte en jämförelse mellan dem.

De övriga tre raderna är där modellerna faktiskt skiljer sig.

Centraliserad gateway: enkel inspektion, verklig transitkostnad

Behåll hyresgästens VLAN som lager 2-tjänster och placera deras routing-gateways på brandväggen. Trafik mellan subnät reser då till den gatewayen och tillbaka, möjligen även när båda värdarna sitter på samma leaf. Inspektionspunkten är entydig, och det är hela argumentet för designen. Kostnaden är transitlast på brandväggen plus ett centralt beroende av kapacitet och tillgänglighet som du nu måste konstruera.

Begränsa ändringen till de hyresgäst-gateways du avser. Att ta bort varje VLAN-adress är för brett när hantering, underlay och plattformsgränssnitt har separata uppgifter. Kontrollera även en andra aktiv gateway, eftersom en som fortfarande routar runt brandväggen tyst undergräver designen.

Den här modellen är lättare att förklara för en revisor. Den är inte automatiskt billigare att driva.

Distribuerad IRB: snabb väg, ingen inspektion som standard

Med distribuerade anycast-gateways routar varje leaf hyresgästens trafik lokalt, och RFC 9135 beskriver varför det undviker återtransporten via en centraliserad gateway. Fördelen är verklig, och den har en direkt konsekvens: inspektion kan inte härledas från var brandväggen är ansluten. En brandvägg ansluten till en gräns-leaf ser extern trafik och allt du uttryckligen omdirigerar till den.

Sätt in tjänsten med en mekanism som plattformen faktiskt stöder: policybaserad omdirigering, en tjänstenod eller kontrollerad routing mellan VRF:er genom brandväggen. Matcha den avsedda trafiken vid dess verkliga ingångspunkt. En policy skriven på ett värdvänt gränssnitt täcker inte ett paket som kommer från overlayn.

Läs de installerade rutterna i stället för den avsedda standardrutten. Ett mer specifikt hyresgäst-prefix som importeras direkt kan kringgå standardrutten som pekar på brandväggen, och ingenting i konfigurationen kommer att se fel ut.

Symmetri är en routingegenskap, inte en inspektionsgaranti

Symmetrisk IRB beskriver hur inkommande och utgående provider edge-noder hanterar routing och bryggning för ett flöde. Det säger ingenting om huruvida båda riktningarna når samma stateful enhet. ECMP, anycast och brandväggens höga tillgänglighet påverkar alla vilken nod som ser returtrafiken, och klustrets stödda tillståndsmodell avgör om det är acceptabelt.

Följ returvägen explicit för varje flöde du bryr dig om. NAT är inte en universell ersättning för det arbetet, och designer som lutar sig mot det hittar oftast luckan under en failover och inte under bygget.

Gå igenom ett obligatoriskt flöde och ett medvetet uteslutet flöde, i båda riktningarna, innan du godkänner designen.

Hur du väljer, och vad du bör testa oavsett

Välj den centraliserade gatewayen när inspektionstäckning betyder mer än transitkapacitet och du har råd med det centrala beroendet. Välj distribuerad IRB när lokal routing är poängen, och budgetera för explicit tjänsteinsättning i stället för att anta den.

Testa sedan routingen du faktiskt installerade, eftersom det är där de två designerna skiljer sig mest:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Ta med tjänstenodens fel och återställning i testet. En reservrutt som tyst kringgår inspektion är ett annat beslut än en planerad fail-open-policy, och vanligtvis är bara en av dem avsedd. Den färdiga designen namnger vart varje trafikklass routar, var den inspekteras och vad som händer när den inspektionsvägen inte är tillgänglig.