Chính sách tường lửa EVPN: cổng tập trung so với IRB phân tán
Cổng tập trung đưa lưu lượng của khách thuê qua tường lửa, IRB phân tán thì không. So sánh nơi mỗi bên kiểm tra và những gì đường nhanh cần thêm.
Hai thiết kế EVPN đặt cổng của khách thuê ở những nơi khác nhau, và tường lửa thấy lưu lượng khác nhau ở mỗi nơi. Với cổng tập trung, lưu lượng giữa các mạng con đến được tường lửa vì việc định tuyến diễn ra ở đó. Với IRB phân tán, các switch leaf định tuyến cục bộ và tường lửa không thấy gì trừ khi bạn chèn nó vào một cách có chủ đích. Không mô hình nào sai. Điều sai là gắn một tường lửa ở biên và giả định rằng fabric sẽ đưa lưu lượng đến nó.
Hai mô hình, hai điểm kiểm tra khác nhau
Hãy gọi tên các luồng cần kiểm tra trước, vì hai mô hình xử lý chúng khác nhau.
| Flow class | Centralized gateway | Distributed IRB |
|---|---|---|
| Same subnet | Bridged, not routed | Bridged, not routed |
| Inter-subnet | Routed at the firewall | Routed at the leaf |
| Inter-VRF | At the firewall | Needs leaking or service insertion |
| External | Border firewall | Border firewall |
Lưu lượng trong cùng một mạng con là hàng mà người ta quên. Hai máy chủ trên một VLAN nói chuyện qua cầu nối, và không có tường lửa định tuyến trên đường đó trừ khi một thiết kế kiểm tra lớp 2 riêng chặn nó lại. Điều đó đúng ở cả hai mô hình, nên đây là lỗ hổng thiết kế chứ không phải so sánh giữa chúng.
Ba hàng còn lại là nơi hai mô hình thực sự tách nhau.
Cổng tập trung: kiểm tra đơn giản, chi phí chuyển tuyến thực
Giữ các VLAN của khách thuê như dịch vụ lớp 2 và đặt cổng định tuyến của chúng trên tường lửa. Lưu lượng giữa các mạng con sau đó đi đến cổng đó rồi quay lại, có thể ngay cả khi cả hai máy chủ nằm trên cùng một leaf. Điểm kiểm tra là rõ ràng, và đó là toàn bộ lý lẽ cho thiết kế này. Chi phí là tải chuyển tuyến trên tường lửa cộng với sự phụ thuộc tập trung vào dung lượng và tính sẵn sàng mà giờ bạn phải thiết kế.
Giới hạn thay đổi ở các cổng của khách thuê mà bạn dự định. Xóa mọi địa chỉ VLAN là quá rộng khi quản lý, underlay và giao diện nền tảng có nhiệm vụ riêng. Cũng hãy kiểm tra cổng hoạt động thứ hai, vì một cổng vẫn định tuyến vòng quanh tường lửa sẽ âm thầm vô hiệu hóa thiết kế.
Mô hình này dễ giải thích cho kiểm toán viên hơn. Nó không tự động rẻ hơn khi vận hành.
IRB phân tán: đường nhanh, mặc định không kiểm tra
Với các cổng anycast phân tán, mỗi leaf định tuyến lưu lượng của khách thuê cục bộ, và RFC 9135 mô tả vì sao điều đó tránh việc đưa lưu lượng quay lại qua cổng tập trung. Lợi ích là thật, và nó có hệ quả trực tiếp: không thể suy ra việc kiểm tra từ chỗ tường lửa được cắm vào. Một tường lửa gắn vào leaf biên thấy lưu lượng bên ngoài và mọi thứ bạn chuyển hướng rõ ràng đến nó.
Chèn dịch vụ bằng một cơ chế mà nền tảng thực sự hỗ trợ: chuyển hướng dựa trên chính sách, một nút dịch vụ, hoặc định tuyến có kiểm soát giữa các VRF qua tường lửa. Khớp lưu lượng dự định tại điểm vào thực của nó. Một chính sách viết trên giao diện hướng về máy chủ không bao phủ gói tin đến từ overlay.
Đọc các tuyến đã cài đặt thay vì tuyến mặc định dự định. Một tiền tố khách thuê cụ thể hơn được nhập trực tiếp có thể bỏ qua tuyến mặc định trỏ đến tường lửa, và sẽ không có gì trong cấu hình trông sai.
Tính đối xứng là thuộc tính định tuyến, không phải bảo đảm kiểm tra
IRB đối xứng mô tả cách các nút provider edge vào và ra xử lý định tuyến và cầu nối cho một luồng. Nó không nói gì về việc cả hai hướng có đến cùng một thiết bị có trạng thái hay không. ECMP, anycast và tính sẵn sàng cao của tường lửa đều ảnh hưởng đến nút nào thấy lưu lượng quay về, và mô hình trạng thái được cụm hỗ trợ quyết định liệu điều đó có chấp nhận được không.
Theo dõi đường quay về một cách rõ ràng cho mọi luồng bạn quan tâm. NAT không phải là thay thế phổ quát cho công việc đó, và những thiết kế dựa vào nó thường tìm thấy lỗ hổng trong lúc failover chứ không phải lúc xây dựng.
Đi qua một luồng bắt buộc và một luồng bị loại trừ có chủ đích, theo cả hai hướng, trước khi bạn phê duyệt thiết kế.
Cách chọn, và cần kiểm tra gì trong mọi trường hợp
Chọn cổng tập trung khi độ phủ kiểm tra quan trọng hơn dung lượng chuyển tuyến và bạn có thể chịu được sự phụ thuộc tập trung. Chọn IRB phân tán khi định tuyến cục bộ là điểm chính, và lập ngân sách cho việc chèn dịch vụ rõ ràng thay vì giả định nó.
Sau đó hãy kiểm tra định tuyến mà bạn thực sự đã cài đặt, vì đó là nơi hai thiết kế khác nhau nhiều nhất:
show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefixĐưa sự cố và phục hồi của nút dịch vụ vào bài kiểm tra. Một tuyến dự phòng âm thầm bỏ qua kiểm tra là quyết định khác với chính sách fail-open đã hoạch định, và thường chỉ một trong hai là có chủ đích. Thiết kế hoàn chỉnh nêu rõ mỗi lớp lưu lượng định tuyến đi đâu, được kiểm tra ở đâu, và điều gì xảy ra khi đường kiểm tra đó không khả dụng.