นโยบายไฟร์วอลล์ EVPN: เกตเวย์แบบรวมศูนย์เทียบกับ IRB แบบกระจาย
เกตเวย์แบบรวมศูนย์ส่งทราฟฟิกของผู้เช่าผ่านไฟร์วอลล์ ส่วน IRB แบบกระจายไม่ทำเช่นนั้น เปรียบเทียบว่าแต่ละแบบตรวจสอบที่ใด และเส้นทางเร็วต้องเติมอะไร
ดีไซน์ EVPN สองแบบวางเกตเวย์ของผู้เช่าไว้คนละที่ และไฟร์วอลล์เห็นทราฟฟิกต่างกันในแต่ละแบบ ด้วยเกตเวย์แบบรวมศูนย์ ทราฟฟิกระหว่างซับเน็ตไปถึงไฟร์วอลล์เพราะการกำหนดเส้นทางเกิดที่นั้น ด้วย IRB แบบกระจาย สวิตช์ leaf กำหนดเส้นทางในเครื่องและไฟร์วอลล์ไม่เห็นอะไรเลย เว้นแต่คุณจะใส่มันเข้าไปโดยเจตนา ไม่มีแบบใดผิด สิ่งที่ผิดคือการต่อไฟร์วอลล์ที่ขอบแล้วสมมติว่า fabric จะส่งทราฟฟิกไปถึงมัน
สองแบบ สองจุดตรวจสอบที่ต่างกัน
เริ่มจากระบุโฟลว์ที่ต้องตรวจสอบก่อน เพราะสองแบบจัดการต่างกัน
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
ทราฟฟิกภายในซับเน็ตเดียวกันคือแถวที่คนมักลืม โฮสต์สองตัวบน VLAN เดียวคุยกันผ่านบริดจ์ และไม่มีไฟร์วอลล์ที่กำหนดเส้นทางอยู่ในเส้นทางนั้น เว้นแต่ดีไซน์ตรวจสอบเลเยอร์ 2 แยกต่างหากจะดักจับไว้ สิ่งนี้เป็นจริงในทั้งสองแบบ จึงเป็นช่องว่างของดีไซน์ ไม่ใช่การเปรียบเทียบระหว่างกัน
อีกสามแถวที่เหลือคือจุดที่สองแบบแยกจากกันจริง
เกตเวย์แบบรวมศูนย์: การตรวจสอบง่าย ต้นทุนส่งผ่านจริง
เก็บ VLAN ของผู้เช่าไว้เป็น บริการเลเยอร์ 2 และวางเกตเวย์กำหนดเส้นทางไว้บนไฟร์วอลล์ ทราฟฟิกระหว่างซับเน็ตก็จะเดินทางไปยังเกตเวย์นั้นแล้วกลับมา อาจเกิดขึ้นแม้เมื่อโฮสต์ทั้งสองอยู่บน leaf เดียวกัน จุดตรวจสอบชัดเจน และนั่นคือเหตุผลทั้งหมดของดีไซน์นี้ ต้นทุนคือภาระส่งผ่านบนไฟร์วอลล์บวกกับการพึ่งพาส่วนกลางด้านความจุและความพร้อมใช้งานที่คุณต้องออกแบบตอนนี้
จำกัดการเปลี่ยนแปลงไว้ที่เกตเวย์ของผู้เช่าที่คุณตั้งใจ ลบทุกที่อยู่ VLAN กว้างเกินไปเมื่อการจัดการ underlay และอินเทอร์เฟซแพลตฟอร์มมีหน้าที่แยกกัน ตรวจสอบเกตเวย์ที่ใช้งานอยู่อันที่สองด้วย เพราะตัวที่ยังกำหนดเส้นทางอ้อมไฟร์วอลล์อยู่จะทำให้ดีไซน์ล้มเหลวอย่างเงียบ ๆ
แบบนี้อธิบายให้ผู้ตรวจสอบฟังง่ายกว่า แต่ไม่ได้ถูกกว่าในการดำเนินงานโดยอัตโนมัติ
IRB แบบกระจาย: เส้นทางเร็ว ไม่มีการตรวจสอบโดยค่าเริ่มต้น
ด้วยเกตเวย์ anycast แบบกระจาย leaf แต่ละตัวกำหนดเส้นทางทราฟฟิกของผู้เช่าในเครื่อง และ RFC 9135 อธิบายว่าเหตุใดจึงหลีกเลี่ยงการส่งกลับผ่านเกตเวย์รวมศูนย์ ประโยชน์เป็นจริง และมีผลโดยตรงตามมา: ไม่สามารถอนุมานการตรวจสอบได้จากตำแหน่งที่ต่อไฟร์วอลล์ ไฟร์วอลล์ที่ต่อกับ leaf ขอบจะเห็นทราฟฟิกภายนอกและทุกสิ่งที่คุณกำหนดเส้นทางไปถึงมันอย่างชัดเจน
ใส่บริการด้วยกลไกที่แพลตฟอร์มรองรับจริง: การเปลี่ยนเส้นทางตามนโยบาย โหนดบริการ หรือการกำหนดเส้นทางระหว่าง VRF ที่ควบคุมได้ผ่านไฟร์วอลล์ จับคู่ทราฟฟิกที่ตั้งใจไว้ที่จุดเข้าจริงของมัน นโยบายที่เขียนบนอินเทอร์เฟซฝั่งโฮสต์ไม่ครอบคลุมแพ็กเก็ตที่มาจาก overlay
อ่านเส้นทางที่ติดตั้งไว้ ไม่ใช่ค่าเริ่มต้นที่ตั้งใจ ที่นำหน้าแบบเฉพาะเจาะจงกว่าของผู้เช่าที่นำเข้าโดยตรงสามารถข้ามเส้นทางเริ่มต้นที่ชี้ไปยังไฟร์วอลล์ได้ และจะไม่มีอะไรดูผิดในการตั้งค่า
ความสมมาตรเป็นคุณสมบัติของการกำหนดเส้นทาง ไม่ใช่การรับประกันการตรวจสอบ
IRB แบบสมมาตรอธิบายว่าโหนด provider edge ด้านเข้าและออกจัดการกำหนดเส้นทางและบริดจ์สำหรับโฟลว์หนึ่งอย่างไร ไม่ได้บอกว่าทั้งสองทิศทางไปถึงอุปกรณ์ stateful ตัวเดียวกันหรือไม่ ECMP anycast และความพร้อมใช้งานสูงของไฟร์วอลล์ล้วนมีผลต่อว่าโหนดใดเห็นทราฟฟิกขากลับ และแบบจำลองสถานะที่คลัสเตอร์รองรับเป็นตัวตัดสินว่ารับได้หรือไม่
ตามเส้นทางขากลับอย่างชัดเจนสำหรับทุกโฟลว์ที่คุณสนใจ NAT ไม่ใช่ตัวแทนสากลของงานนั้น และดีไซน์ที่พึ่งพามันมักพบช่องว่างตอน failover ไม่ใช่ตอนสร้าง
เดินผ่านโฟลว์ที่จำเป็นหนึ่งโฟลว์และโฟลว์ที่ตั้งใจยกเว้นอีกหนึ่งโฟลว์ ทั้งสองทิศทาง ก่อนอนุมัติดีไซน์
จะเลือกอย่างไร และควรทดสอบอะไรไม่ว่ากรณีใด
เลือกเกตเวย์แบบรวมศูนย์เมื่อความครอบคลุมของการตรวจสอบสำคัญกว่าความจุส่งผ่าน และคุณรับภาระพึ่งพาส่วนกลางได้ เลือก IRB แบบกระจายเมื่อการกำหนดเส้นทางในเครื่องคือประเด็นหลัก และตั้งงบสำหรับการใส่บริการอย่างชัดเจนแทนที่จะสมมติเอา
จากนั้นทดสอบการกำหนดเส้นทางที่คุณติดตั้งจริง เพราะนั่นคือจุดที่สองดีไซน์ต่างกันมากที่สุด:
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixรวมการล้มเหลวและการกู้คืนของโหนดบริการไว้ในการทดสอบ เส้นทางสำรองที่ข้ามการตรวจสอบอย่างเงียบ ๆ เป็นการตัดสินใจที่ต่างจากนโยบาย fail-open ที่วางแผนไว้ และโดยปกติมีเพียงหนึ่งในสองเท่านั้นที่ตั้งใจ ดีไซน์ที่เสร็จแล้วจะระบุว่าทราฟฟิกแต่ละชั้นกำหนดเส้นทางไปที่ใด ตรวจสอบที่ใด และเกิดอะไรขึ้นเมื่อเส้นทางตรวจสอบนั้นไม่พร้อมใช้งาน