EVPN güvenlik duvarı politikası: merkezi ağ geçidi ile dağıtık IRB

İki EVPN tasarımı kiracının ağ geçidini farklı yerlere koyar ve güvenlik duvarı her birinde farklı trafik görür. Merkezi ağ geçidinde, alt ağlar arası trafik güvenlik duvarına ulaşır çünkü yönlendirme orada yapılır. Dağıtık IRB'de leaf anahtarları yerel olarak yönlendirir ve güvenlik duvarı, onu bilerek yerleştirmediğiniz sürece hiçbir şey görmez. Hiçbir model yanlış değil. Yanlış olan, sınıra bir güvenlik duvarı bağlayıp fabric'in trafiği ona ileteceğini varsaymaktır.

İki model, iki farklı denetim noktası

Önce denetim gereken akışları adlandırın, çünkü iki model onları farklı ele alır.

Aynı alt ağ içindeki trafik, insanların unuttuğu satırdır. Bir VLAN'daki iki ana bilgisayar köprüleme yoluyla konuşur ve ayrı bir katman 2 denetim tasarımı araya girmediği sürece o yolda yönlendiren bir güvenlik duvarı yoktur. Bu her iki modelde de geçerlidir, dolayısıyla bu bir tasarım boşluğudur, aralarında karşılaştırma değil.

Diğer üç satır, modellerin gerçekten ayrıldığı yerdir.

Merkezi ağ geçidi: basit denetim, gerçek transit maliyeti

Kiracının VLAN'larını katman 2 hizmetleri olarak tutun ve yönlendirme ağ geçitlerini güvenlik duvarına koyun. Alt ağlar arası trafik sonra o ağ geçidine gidip döner; iki ana bilgisayar aynı leaf üzerinde olsa bile bu olabilir. Denetim noktası açıktır ve bu tasarımın tüm gerekçesi budur. Maliyet, güvenlik duvarındaki transit yükü ile artık mühendisliğini yapmanız gereken merkezi kapasite ve kullanılabilirlik bağımlılığıdır.

Değişikliği amaçladığınız kiracı ağ geçitleriyle sınırlayın. Yönetim, underlay ve platform arayüzlerinin ayrı görevleri olduğunda her VLAN adresini kaldırmak fazla geniştir. İkinci etkin ağ geçidini de kontrol edin, çünkü güvenlik duvarının etrafından yönlendirmeye devam eden bir tanesi tasarımı sessizce geçersiz kılar.

Bu modeli bir denetçiye açıklamak daha kolaydır. İşletmesi otomatik olarak daha ucuz değildir.

Dağıtık IRB: hızlı yol, varsayılan olarak denetim yok

Dağıtık anycast ağ geçitleriyle her leaf, kiracı trafiğini yerel olarak yönlendirir ve RFC 9135 bunun merkezi ağ geçidi üzerinden geri taşımayı neden önlediğini açıklar. Fayda gerçektir ve doğrudan bir sonucu vardır: denetim, güvenlik duvarının nereye bağlı olduğundan çıkarılamaz. Sınır leaf'ine bağlı bir güvenlik duvarı, dış trafiği ve açıkça ona yönlendirdiğiniz her şeyi görür.

Hizmeti platformun gerçekten desteklediği bir mekanizmayla ekleyin: ilke tabanlı yönlendirme, bir hizmet düğümü veya güvenlik duvarı üzerinden VRF'ler arası denetimli yönlendirme. Amaçlanan trafiği gerçek giriş noktasında eşleştirin. Ana bilgisayarlara bakan bir arayüzde yazılan ilke, overlay'den gelen paketi kapsamaz.

Amaçlanan varsayılan yerine kurulu yolları okuyun. Doğrudan içe aktarılan daha belirgin bir kiracı öneki, güvenlik duvarına işaret eden varsayılan yolu atlayabilir ve yapılandırmada hiçbir şey yanlış görünmez.

Simetri bir yönlendirme özelliğidir, denetim garantisi değil

Simetrik IRB, giriş ve çıkış provider edge düğümlerinin bir akış için yönlendirme ve köprülemeyi nasıl ele aldığını açıklar. İki yönün aynı durum bilgili cihaza ulaşıp ulaşmadığı hakkında bir şey söylemez. ECMP, anycast ve güvenlik duvarının yüksek kullanılabilirliği, dönüş trafiğini hangi düğümün gördüğünü etkiler ve kümenin desteklediği durum modeli bunun kabul edilebilir olup olmadığına karar verir.

Sizin için önemli olan her akış için dönüş yolunu açıkça izleyin. NAT o işin evrensel karşılığı değildir ve ona yaslanan tasarımlar boşluğu genellikle kurulum sırasında değil, failover sırasında bulur.

Tasarımı onaylamadan önce bir zorunlu akışı ve bir bilerek dışlanmış akışı iki yönde de yürüyün.

Nasıl seçilir ve her durumda ne test edilir

Denetim kapsamı transit kapasitesinden daha önemliyse ve merkezi bağımlılığı karşılayabiliyorsanız merkezi ağ geçidini seçin. Yerel yönlendirme asıl noktaysa dağıtık IRB'yi seçin ve varsaymak yerine açık hizmet ekleme için bütçe ayırın.

Ardından gerçekten kurduğunuz yönlendirmeyi test edin, çünkü iki tasarım en çok orada ayrılır:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Teste hizmet düğümünün arızasını ve kurtarılmasını dahil edin. Denetimi sessizce atlayan bir yedek yol, planlanmış bir fail-open ilkesinden farklı bir karardır ve genellikle ikisinden yalnızca biri amaçlanır. Bitmiş tasarım, her trafik sınıfının nereye yönlendirildiğini, nerede denetlendiğini ve o denetim yolu kullanılamadığında ne olduğunu adlandırır.