EVPN tarmoq ekrani siyosati: markazlashgan shlyuz va taqsimlangan IRB

Ikki EVPN loyihasi ijarachining shlyuzini turli joylarga qo‘yadi va tarmoq ekrani har birida turlicha trafik ko‘radi. Markazlashgan shlyuzda subto‘rlar orasidagi trafik tarmoq ekraniga yetib boradi, chunki marshrutlash aynan o‘sha yerda bo‘ladi. Taqsimlangan IRBda leaf kommutatorlari mahalliy marshrutlaydi va siz uni ataylab kiritmasangiz, tarmoq ekrani hech narsa ko‘rmaydi. Hech bir model xato emas. Xato — tarmoq ekranini chegaraga ulab, fabric trafikni unga yetkazadi deb o‘ylash.

Ikki model, ikki xil tekshiruv nuqtasi

Avval tekshiruv kerak bo‘lgan oqimlarni nomlang, chunki ikki model ularga turlicha munosabatda bo‘ladi.

Bir subto‘r ichidagi trafik — odamlar unutadigan qator. Bitta VLANdagi ikki xost ko‘prik orqali gaplashadi va o‘sha yo‘lda marshrutlaydigan tarmoq ekrani yo‘q, agar alohida 2-qatlam tekshiruv loyihasi uni ushlamasa. Bu ikki modelda ham to‘g‘ri, shuning uchun bu loyihadagi bo‘shliq, ular orasidagi taqqoslash emas.

Qolgan uchta qator — modellar haqiqatan ajraladigan joy.

Markazlashgan shlyuz: oddiy tekshiruv, real tranzit xarajati

Ijarachining VLANlarini 2-qatlam xizmatlari sifatida saqlang va ularning marshrutlash shlyuzlarini tarmoq ekraniga qo‘ying. Subto‘rlar orasidagi trafik so‘ng o‘sha shlyuzga borib qaytadi, hatto ikki xost bir leafda bo‘lsa ham shunday bo‘lishi mumkin. Tekshiruv nuqtasi aniq va bu loyihaning butun dalili. Xarajat — tarmoq ekranidagi tranzit yuk va endi loyihalashingiz kerak bo‘lgan markaziy sig‘im hamda mavjudlikka bog‘liqlik.

O‘zgarishni siz nazarda tutgan ijara shlyuzlari bilan cheklang. Har bir VLAN manzilini olib tashlash juda keng, chunki boshqaruv, underlay va platforma interfeyslarining alohida vazifalari bor. Ikkinchi faol shlyuzni ham tekshiring, chunki tarmoq ekrani atrofida hali ham marshrutlayotgani loyihani jim buzadi.

Bu modelni auditorga tushuntirish osonroq. Uni boshqarish avtomatik arzonroq emas.

Taqsimlangan IRB: tez yo‘l, sukut bo‘yicha tekshiruvsiz

Taqsimlangan anycast shlyuzlar bilan har bir leaf ijarachining trafigini mahalliy marshrutlaydi va RFC 9135 bu markazlashgan shlyuz orqali qaytarishdan nega qochishini tushuntiradi. Foyda real va uning bevosita natijasi bor: tekshiruvni tarmoq ekrani qayerga ulanganidan bilib bo‘lmaydi. Chegara leafiga ulangan tarmoq ekrani tashqi trafikni va siz aniq yo‘naltirgan hamma narsani ko‘radi.

Xizmatni platforma haqiqatan qo‘llab-quvvatlaydigan mexanizm bilan kiriting: siyosatga asoslangan qayta yo‘naltirish, xizmat tuguni yoki tarmoq ekrani orqali VRFlar orasidagi nazoratli marshrutlash. Ko‘zlangan trafikni uning haqiqiy kirish nuqtasida moslang. Xostlarga qaragan interfeysda yozilgan siyosat overlaydan kelayotgan paketni qamramaydi.

Ko‘zlangan sukut o‘rniga o‘rnatilgan marshrutlarni o‘qing. To‘g‘ridan-to‘g‘ri import qilingan aniqroq ijara prefiksi tarmoq ekraniga ishora qiluvchi sukut marshrutini aylanib o‘tishi mumkin va konfiguratsiyada hech narsa noto‘g‘ri ko‘rinmaydi.

Simmetriya — marshrutlash xossasi, tekshiruv kafolati emas

Simmetrik IRB kirish va chiqish provider edge tugunlari oqim uchun marshrutlash va ko‘prikni qanday boshqarishini tasvirlaydi. Ikki yo‘nalish bir xil stateful qurilmaga yetadimi-yo‘qmi, bu haqda hech narsa demaydi. ECMP, anycast va tarmoq ekranining yuqori mavjudligi qaysi tugun qaytish trafigini ko‘rishiga ta’sir qiladi, klasterning qo‘llab-quvvatlanadigan holat modeli esa bu maqbulmi-yo‘qmi hal qiladi.

Siz uchun muhim bo‘lgan har bir oqim uchun qaytish yo‘lini aniq kuzatib boring. NAT bu ishning universal o‘rnini bosuvchisi emas va unga tayanadigan loyihalar bo‘shliqni odatda qurish paytida emas, failover paytida topadi.

Loyihani tasdiqlashdan oldin bitta majburiy oqimni va bitta ataylab chiqarib tashlangan oqimni ikki yo‘nalishda ham bosib o‘ting.

Qanday tanlash va har qanday holatda nimani sinash

Tekshiruv qamrovi tranzit sig‘imidan muhimroq bo‘lsa va markaziy bog‘liqlikni ko‘tara olsangiz, markazlashgan shlyuzni tanlang. Mahalliy marshrutlash asosiy masala bo‘lsa, taqsimlangan IRBni tanlang va uni taxmin qilish o‘rniga aniq xizmat kiritishga byudjet ajrating.

So‘ng haqiqatan o‘rnatgan marshrutlashingizni sinang, chunki ikki loyiha eng ko‘p aynan shu yerda farq qiladi:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Sinovga xizmat tugunining ishdan chiqishi va tiklanishini kiriting. Tekshiruvni jim chetlab o‘tadigan zaxira marshrut rejalashtirilgan fail-open siyosatidan boshqa qaror va odatda ikkisidan faqat bittasi ko‘zda tutiladi. Tugallangan loyiha har bir trafik sinfi qayerda marshrutlanishini, qayerda tekshirilishini va o‘sha tekshiruv yo‘li mavjud bo‘lmaganda nima bo‘lishini nomlaydi.