Patakaran ng firewall sa EVPN: sentralisadong gateway laban sa distributed na IRB

Dalawang disenyo ng EVPN ang naglalagay ng gateway ng nangungupahan sa magkaibang lugar, at ang firewall ay nakakakita ng ibang trapiko sa bawat isa. Sa sentralisadong gateway, ang trapiko sa pagitan ng mga subnet ay umaabot sa firewall dahil doon nagaganap ang routing. Sa distributed na IRB, ang mga leaf switch ay nagru-routing nang lokal at wala nang nakikita ang firewall maliban kung sinasadya mong ilagay ito. Wala sa dalawang modelo ang mali. Ang mali ay ang ikabit ang firewall sa hangganan at ipagpalagay na ihahatid ng fabric ang trapiko dito.

Dalawang modelo, dalawang magkaibang punto ng inspeksyon

Pangalanan muna ang mga daloy na kailangan ng inspeksyon, dahil magkaiba ang pagtrato ng dalawang modelo sa kanila.

Ang trapiko sa loob ng parehong subnet ang hilera na nakakalimutan ng mga tao. Dalawang host sa isang VLAN ang nag-uusap sa pamamagitan ng bridging, at walang naka-routing na firewall sa landas na iyon maliban kung harangin ito ng hiwalay na disenyo ng inspeksyon sa layer 2. Totoo ito sa parehong modelo, kaya puwang ito sa disenyo at hindi paghahambing sa pagitan nila.

Ang natitirang tatlong hilera ang lugar kung saan talagang nagkakaiba ang mga modelo.

Sentralisadong gateway: simpleng inspeksyon, tunay na gastos sa transit

Panatilihin ang mga VLAN ng nangungupahan bilang mga serbisyo sa layer 2 at ilagay ang kanilang routing gateway sa firewall. Ang trapiko sa pagitan ng mga subnet ay pupunta sa gateway na iyon at babalik, posibleng kahit kapag ang dalawang host ay nasa parehong leaf. Malinaw ang punto ng inspeksyon, at iyon ang buong argumento ng disenyong ito. Ang gastos ay ang karga ng transit sa firewall at ang sentral na pagdepende sa kapasidad at pagkakaroon na kailangan mong iinhinyero ngayon.

Limitahan ang pagbabago sa mga gateway ng nangungupahan na nilalayon mo. Masyadong malawak ang pag-alis ng bawat VLAN address kapag may hiwalay na tungkulin ang pamamahala, underlay at mga interface ng platform. Suriin din ang pangalawang aktibong gateway, dahil ang isang nagru-routing pa rin sa paligid ng firewall ay tahimik na sumisira sa disenyo.

Mas madaling ipaliwanag ang modelong ito sa isang auditor. Hindi ito awtomatikong mas mura patakbuhin.

Distributed na IRB: mabilis na landas, walang inspeksyon bilang default

Sa mga distributed na anycast gateway, ang bawat leaf ay nagru-routing ng trapiko ng nangungupahan nang lokal, at inilalarawan ng RFC 9135 kung bakit nito iniiwasan ang pagbabalik sa sentralisadong gateway. Tunay ang pakinabang, at may direktang kahihinatnan ito: hindi mahihinuha ang inspeksyon mula sa kung saan nakakabit ang firewall. Ang firewall na nakakabit sa leaf ng hangganan ay nakakakita ng panlabas na trapiko at ng lahat ng tahasan mong itinuturo dito.

Ipasok ang serbisyo gamit ang mekanismong talagang sinusuportahan ng platform: redirection na batay sa patakaran, service node, o kontroladong routing sa pagitan ng VRF sa pamamagitan ng firewall. Itugma ang nilalayong trapiko sa tunay nitong punto ng pagpasok. Ang patakarang nakasulat sa interface na nakaharap sa mga host ay hindi sumasaklaw sa packet na dumarating mula sa overlay.

Basahin ang mga naka-install na ruta at hindi ang nilalayong default. Ang mas partikular na prefix ng nangungupahan na inangkat nang direkta ay maaaring lumampas sa default na rutang tumuturo sa firewall, at walang magmumukhang mali sa configuration.

Ang simetrya ay katangian ng routing, hindi garantiya ng inspeksyon

Inilalarawan ng simetriko na IRB kung paano hinahawakan ng ingress at egress provider edge node ang routing at bridging para sa isang daloy. Wala itong sinasabi kung ang dalawang direksyon ay umaabot sa parehong stateful na aparato. Ang ECMP, anycast at mataas na pagkakaroon ng firewall ay nakakaapekto lahat sa kung aling node ang nakakakita ng pabalik na trapiko, at ang sinusuportahang modelo ng estado ng cluster ang nagpapasya kung katanggap-tanggap ito.

Sundin nang tahasan ang pabalik na landas para sa bawat daloy na mahalaga sa iyo. Ang NAT ay hindi pangkalahatang kapalit ng gawaing iyon, at ang mga disenyong umaasa dito ay karaniwang nahahanap ang puwang sa panahon ng failover at hindi sa panahon ng pagtatayo.

Daanan ang isang kinakailangang daloy at isang sadyang ibinukod na daloy, sa dalawang direksyon, bago mo aprubahan ang disenyo.

Paano pumili, at ano ang dapat subukan sa alinmang kaso

Piliin ang sentralisadong gateway kapag ang saklaw ng inspeksyon ay mas mahalaga kaysa kapasidad ng transit at kaya mong tustusan ang sentral na pagdepende. Piliin ang distributed na IRB kapag ang lokal na routing ang punto, at maglaan ng badyet para sa tahasang pagpasok ng serbisyo sa halip na ipagpalagay ito.

Pagkatapos, subukan ang routing na aktwal mong ini-install, dahil doon pinaka-nagkakaiba ang dalawang disenyo:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Isama sa pagsubok ang pagpalya at pagbangon ng service node. Ang fallback na ruta na tahimik na lumalampas sa inspeksyon ay ibang desisyon kaysa sa nakaplanong patakaran ng fail-open, at karaniwang isa lamang sa dalawa ang nilalayon. Pinapangalanan ng tapos na disenyo kung saan nagru-routing ang bawat klase ng trapiko, saan ito iniinspeksyon, at ano ang nangyayari kapag hindi available ang landas ng inspeksyong iyon.