EVPN ఫైర్‌వాల్ పాలసీ: కేంద్రీకృత గేట్‌వే మరియు పంపిణీ IRB
కేంద్రీకృత గేట్‌వేలు అద్దెదారు ట్రాఫిక్‌ను ఫైర్‌వాల్ ద్వారా పంపుతాయి, పంపిణీ IRB పంపదు. ప్రతిదీ ఎక్కడ పరిశీలిస్తుంది మరియు వేగవంతమైన మార్గానికి ఏమి కావాలో పోల్చండి.
రెండు EVPN డిజైన్లు అద్దెదారు గేట్‌వేను వేర్వేరు ప్రదేశాల్లో ఉంచుతాయి, ఫైర్‌వాల్ ప్రతిదానిలో వేరే ట్రాఫిక్ చూస్తుంది. కేంద్రీకృత గేట్‌వేతో, సబ్‌నెట్ల మధ్య ట్రాఫిక్ ఫైర్‌వాల్‌ను చేరుతుంది, ఎందుకంటే రూటింగ్ అక్కడే జరుగుతుంది. పంపిణీ IRBలో, leaf స్విచ్‌లు స్థానికంగా రూట్ చేస్తాయి, మీరు ఉద్దేశపూర్వకంగా చేర్చకపోతే ఫైర్‌వాల్ ఏమీ చూడదు. ఏ నమూనా తప్పు కాదు. తప్పు ఏమిటంటే సరిహద్దులో ఫైర్‌వాల్‌ను కలిపి, fabric ట్రాఫిక్‌ను దానికి చేరుస్తుందని ఊహించడం.
రెండు నమూనాలు, రెండు వేర్వేరు పరిశీలన బిందువులు
పరిశీలన అవసరమైన ప్రవాహాలను మొదట పేరు పెట్టండి, ఎందుకంటే రెండు నమూనాలు వాటిని వేరే విధంగా నిర్వహిస్తాయి.
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
ఒకే సబ్‌నెట్ లోపలి ట్రాఫిక్ అనేది ప్రజలు మరచిపోయే వరుస. ఒక VLANలో రెండు హోస్ట్‌లు బ్రిడ్జింగ్ ద్వారా మాట్లాడతాయి, ప్రత్యేక లేయర్ 2 పరిశీలన డిజైన్ అడ్డుకోకపోతే ఆ మార్గంలో రూటెడ్ ఫైర్‌వాల్ ఉండదు. ఇది రెండు నమూనాలలోనూ నిజం, కాబట్టి ఇది డిజైన్ లోపం, వాటి మధ్య పోలిక కాదు.
మిగిలిన మూడు వరుసలే నమూనాలు నిజంగా విడిపోయే చోటు.
కేంద్రీకృత గేట్‌వే: సరళమైన పరిశీలన, నిజమైన ట్రాన్సిట్ ఖర్చు
అద్దెదారు VLANలను లేయర్ 2 సేవలు గా ఉంచి, వాటి రూటింగ్ గేట్‌వేలను ఫైర్‌వాల్‌పై ఉంచండి. సబ్‌నెట్ల మధ్య ట్రాఫిక్ అప్పుడు ఆ గేట్‌వేకు వెళ్లి తిరిగి వస్తుంది, రెండు హోస్ట్‌లు ఒకే leafపై ఉన్నప్పుడు కూడా అలా జరగవచ్చు. పరిశీలన బిందువు స్పష్టంగా ఉంది, అదే ఈ డిజైన్ మొత్తం వాదన. ఖర్చు ఫైర్‌వాల్‌పై ట్రాన్సిట్ భారం మరియు ఇప్పుడు మీరు ఇంజనీర్ చేయాల్సిన కేంద్ర సామర్థ్యం, లభ్యతపై ఆధారపడటం.
మార్పును మీరు ఉద్దేశించిన అద్దెదారు గేట్‌వేలకు పరిమితం చేయండి. నిర్వహణ, underlay మరియు ప్లాట్‌ఫారమ్ ఇంటర్‌ఫేస్‌లకు వేర్వేరు బాధ్యతలు ఉన్నప్పుడు ప్రతి VLAN చిరునామాను తీసివేయడం చాలా విస్తృతం. రెండవ క్రియాశీల గేట్‌వేను కూడా తనిఖీ చేయండి, ఎందుకంటే ఫైర్‌వాల్ చుట్టూ ఇంకా రూట్ చేసేది డిజైన్‌ను నిశ్శబ్దంగా విఫలం చేస్తుంది.
ఈ నమూనాను ఆడిటర్‌కు వివరించడం సులభం. దీన్ని నిర్వహించడం ఆటోమేటిక్‌గా చవక కాదు.
పంపిణీ IRB: వేగవంతమైన మార్గం, డిఫాల్ట్‌గా పరిశీలన లేదు
పంపిణీ anycast గేట్‌వేలతో, ప్రతి leaf అద్దెదారు ట్రాఫిక్‌ను స్థానికంగా రూట్ చేస్తుంది, మరియు RFC 9135 ఇది కేంద్రీకృత గేట్‌వే ద్వారా తిరిగి రవాణా చేయడాన్ని ఎందుకు నివారిస్తుందో వివరిస్తుంది. ప్రయోజనం నిజమైనది, దానికి నేరుగా పరిణామం ఉంది: ఫైర్‌వాల్ ఎక్కడ కనెక్ట్ చేయబడిందో దాని నుండి పరిశీలనను ఊహించలేము. సరిహద్దు leafకు కనెక్ట్ చేసిన ఫైర్‌వాల్ బాహ్య ట్రాఫిక్‌ను మరియు మీరు స్పష్టంగా దాని వైపు మళ్లించే ప్రతిదాన్ని చూస్తుంది.
ప్లాట్‌ఫారమ్ నిజంగా మద్దతు ఇచ్చే విధానంతో సేవను చేర్చండి: పాలసీ ఆధారిత రీడైరెక్షన్, సేవా నోడ్, లేదా ఫైర్‌వాల్ ద్వారా నియంత్రిత VRF మధ్య రూటింగ్. ఉద్దేశించిన ట్రాఫిక్‌ను దాని నిజమైన ప్రవేశ బిందువు వద్ద సరిపోల్చండి. హోస్ట్‌ల వైపు ఉన్న ఇంటర్‌ఫేస్‌పై రాసిన పాలసీ overlay నుండి వచ్చే ప్యాకెట్‌ను కవర్ చేయదు.
ఉద్దేశించిన డిఫాల్ట్‌కు బదులు ఇన్‌స్టాల్ చేసిన మార్గాలను చదవండి. నేరుగా దిగుమతి చేసిన మరింత నిర్దిష్ట అద్దెదారు ప్రిఫిక్స్ ఫైర్‌వాల్‌ను సూచించే డిఫాల్ట్ మార్గాన్ని బైపాస్ చేయవచ్చు, కాన్ఫిగరేషన్‌లో ఏదీ తప్పుగా కనిపించదు.
సమరూపత అనేది రూటింగ్ లక్షణం, పరిశీలన హామీ కాదు
సమరూప IRB, ఇన్‌గ్రెస్ మరియు ఈగ్రెస్ provider edge నోడ్‌లు ఒక ప్రవాహానికి రూటింగ్ మరియు బ్రిడ్జింగ్‌ను ఎలా నిర్వహిస్తాయో వివరిస్తుంది. రెండు దిశలు ఒకే stateful పరికరాన్ని చేరుతాయా అని అది చెప్పదు. ECMP, anycast మరియు ఫైర్‌వాల్ అధిక లభ్యత అన్నీ ఏ నోడ్ రిటర్న్ ట్రాఫిక్‌ను చూస్తుందో ప్రభావితం చేస్తాయి, క్లస్టర్ మద్దతు ఇచ్చే స్థితి నమూనా అది ఆమోదయోగ్యమా అని నిర్ణయిస్తుంది.
మీకు ముఖ్యమైన ప్రతి ప్రవాహానికి రిటర్న్ మార్గాన్ని స్పష్టంగా అనుసరించండి. NAT ఆ పనికి సార్వత్రిక ప్రత్యామ్నాయం కాదు, దానిపై ఆధారపడే డిజైన్లు సాధారణంగా నిర్మాణ సమయంలో కాదు, failover సమయంలో లోపాన్ని కనుగొంటాయి.
డిజైన్ ఆమోదించే ముందు ఒక తప్పనిసరి ప్రవాహాన్ని మరియు ఉద్దేశపూర్వకంగా మినహాయించిన ఒక ప్రవాహాన్ని రెండు దిశలలో నడవండి.
ఎలా ఎంచుకోవాలి, ఏ సందర్భంలోనైనా ఏమి పరీక్షించాలి
పరిశీలన కవరేజీ ట్రాన్సిట్ సామర్థ్యం కంటే ముఖ్యమైనప్పుడు మరియు కేంద్ర ఆధారపడటాన్ని భరించగలిగినప్పుడు కేంద్రీకృత గేట్‌వేను ఎంచుకోండి. స్థానిక రూటింగ్ ముఖ్యమైనప్పుడు పంపిణీ IRBను ఎంచుకోండి, ఊహించడం బదులు స్పష్టమైన సేవా చేరిక కోసం బడ్జెట్ కేటాయించండి.
తర్వాత మీరు నిజంగా ఇన్‌స్టాల్ చేసిన రూటింగ్‌ను పరీక్షించండి, ఎందుకంటే రెండు డిజైన్లు అత్యధికంగా భిన్నమయ్యేది అక్కడే:
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixపరీక్షలో సేవా నోడ్ వైఫల్యం మరియు పునరుద్ధరణను చేర్చండి. పరిశీలనను నిశ్శబ్దంగా బైపాస్ చేసే ఫాల్‌బ్యాక్ మార్గం ప్రణాళికాబద్ధమైన fail-open పాలసీకి భిన్నమైన నిర్ణయం, సాధారణంగా రెండింటిలో ఒకటే ఉద్దేశించబడుతుంది. పూర్తయిన డిజైన్ ప్రతి ట్రాఫిక్ తరగతి ఎక్కడ రూట్ అవుతుంది, ఎక్కడ పరిశీలించబడుతుంది, ఆ పరిశీలన మార్గం అందుబాటులో లేనప్పుడు ఏమి జరుగుతుంది అని పేరు పెడుతుంది.