Sera ya firewall ya EVPN: lango la kati dhidi ya IRB iliyosambazwa

Miundo miwili ya EVPN huweka lango la mpangaji mahali tofauti, na firewall huona trafiki tofauti katika kila moja. Kwa lango la kati, trafiki kati ya subneti hufikia firewall kwa sababu hapo ndipo uelekezaji hufanyika. Kwa IRB iliyosambazwa, swichi za leaf huelekeza kienyeji na firewall haioni chochote isipokuwa ukiingiza kwa makusudi. Hakuna muundo ulio mbaya. Mbaya ni kuunganisha firewall kwenye mpaka na kudhani kuwa fabric italeta trafiki kwake.

Miundo miwili, sehemu mbili tofauti za ukaguzi

Kwanza taja mtiririko unaohitaji ukaguzi, kwa sababu miundo miwili hushughulikia kwa namna tofauti.

Trafiki ndani ya subneti moja ni safu ambayo watu huisahau. Wapangaji wawili kwenye VLAN moja huzungumza kwa daraja, na hakuna firewall inayoelekeza kwenye njia hiyo isipokuwa muundo tofauti wa ukaguzi wa tabaka 2 ukiingilia. Hii ni kweli katika miundo yote miwili, kwa hiyo ni pengo la muundo na si kulinganisha kati yao.

Safu tatu zilizobaki ni mahali ambapo miundo hutofautiana kwa kweli.

Lango la kati: ukaguzi rahisi, gharama halisi ya upitishaji

Weka VLAN za mpangaji kama huduma za tabaka 2 na weka malango yao ya uelekezaji kwenye firewall. Trafiki kati ya subneti kisha husafiri hadi lango hilo na kurudi, ikiwezekana hata wakati wapangaji wote wawili wako kwenye leaf moja. Sehemu ya ukaguzi haijachanganyikiwa, na hiyo ndiyo hoja yote ya muundo huu. Gharama ni mzigo wa upitishaji kwenye firewall pamoja na utegemezi wa kati wa uwezo na upatikanaji ambao sasa lazima uubuni.

Punguza mabadiliko kwa malango ya mpangaji unayokusudia. Kuondoa kila anwani ya VLAN ni pana mno wakati usimamizi, underlay na violesura vya jukwaa vina majukumu tofauti. Angalia pia lango la pili linalotumika, kwa sababu lile linaloelekeza bado kuzunguka firewall huharibu muundo kimya kimya.

Muundo huu ni rahisi kueleza kwa mkaguzi. Si wa bei nafuu kiuendeshaji kiotomatiki.

IRB iliyosambazwa: njia ya haraka, hakuna ukaguzi kwa chaguo-msingi

Kwa malango ya anycast yaliyosambazwa, kila leaf huelekeza trafiki ya mpangaji kienyeji, na RFC 9135 inaeleza kwa nini hilo huepuka kurudisha trafiki kupitia lango la kati. Faida ni ya kweli, na ina matokeo ya moja kwa moja: ukaguzi hauwezi kukisiwa kutokana na mahali firewall imeunganishwa. Firewall iliyounganishwa na leaf ya mpaka huona trafiki ya nje na kila kitu unachoelekeza kwake kwa uwazi.

Ingiza huduma kwa utaratibu ambao jukwaa linaunga mkono kwa kweli: uelekezaji upya unaotegemea sera, nodi ya huduma, au uelekezaji unaodhibitiwa kati ya VRF kupitia firewall. Linganisha trafiki inayokusudiwa kwenye sehemu yake halisi ya kuingia. Sera iliyoandikwa kwenye violesura vinavyowaelekea wapangaji haifuniki pakiti inayotoka kwenye overlay.

Soma njia zilizosakinishwa badala ya ile ya chaguo-msingi inayokusudiwa. Kiambishi awali maalum zaidi cha mpangaji kilicholetwa moja kwa moja kinaweza kupita njia ya chaguo-msingi inayoelekea firewall, na hakuna chochote kwenye usanidi kitakachoonekana kibaya.

Ulinganifu ni sifa ya uelekezaji, si uhakika wa ukaguzi

IRB linganifu hufafanua jinsi nodi za provider edge za kuingia na kutoka hushughulikia uelekezaji na daraja kwa mtiririko. Haisemi chochote kuhusu kama pande zote mbili hufikia kifaa kimoja cha hali. ECMP, anycast na upatikanaji wa juu wa firewall vyote huathiri nodi ipi inaona trafiki ya kurudi, na muundo wa hali unaoungwa mkono na kundi huamua kama hilo linakubalika.

Fuatilia njia ya kurudi kwa uwazi kwa kila mtiririko unaokujali. NAT si mbadala wa jumla wa kazi hiyo, na miundo inayotegemea hiyo hupata pengo wakati wa failover na si wakati wa ujenzi.

Pitia mtiririko mmoja unaohitajika na mmoja uliotengwa kwa makusudi, katika pande zote mbili, kabla ya kuidhinisha muundo.

Jinsi ya kuchagua, na nini cha kujaribu kwa hali yoyote

Chagua lango la kati wakati upana wa ukaguzi ni muhimu zaidi kuliko uwezo wa upitishaji na unaweza kumudu utegemezi wa kati. Chagua IRB iliyosambazwa wakati uelekezaji wa kienyeji ndio lengo, na tengeneza bajeti kwa uingizaji wa huduma kwa uwazi badala ya kudhani.

Kisha jaribu uelekezaji uliosakinisha kwa kweli, kwa sababu hapo ndipo miundo miwili inatofautiana zaidi:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Jumuisha kushindwa na kurejea kwa nodi ya huduma katika jaribio. Njia mbadala inayopita ukaguzi kimya ni uamuzi tofauti na sera ya fail-open iliyopangwa, na kwa kawaida ni moja tu ya hizo mbili inayokusudiwa. Muundo uliokamilika hutaja kila darasa la trafiki linaelekezwa wapi, linakaguliwa wapi, na nini hutokea wakati njia hiyo ya ukaguzi haipatikani.