Ìlànà firewall EVPN: ẹnu-ọ̀nà ààrín gbà versus IRB tí a pín ká

Àwọn àpẹrẹ EVPN méjì ń gbé ẹnu-ọ̀nà ayalé sí ibi oríṣiríṣi, firewall sì ń rí ìrìnàjò oríṣiríṣi nínú ọ̀kọ̀ọ̀kan. Pẹ̀lú ẹnu-ọ̀nà ààrín gbà, ìrìnàjò láàárín àwọn subnet ń dé firewall nítorí ibẹ̀ ni a ti ń ṣe ìtọ́sọ́nà. Pẹ̀lú IRB tí a pín ká, àwọn switch leaf ń ṣe ìtọ́sọ́nà níbílẹ̀, firewall kò sì rí nkankan àyàfi tí o bá fi í síbẹ̀ pẹ̀lú ìmọ̀. Kò sí àpẹrẹ tí kò tọ́. Ohun tí kò tọ́ ni láti so firewall mọ́ ààlà kí o sì rò pé fabric yóò gbé ìrìnàjò dé ọ̀dọ̀ rẹ̀.

Àpẹrẹ méjì, ibi àyẹ̀wò méjì oríṣiríṣi

Kọ́kọ́ dárúkọ àwọn ṣíṣan tí wọ́n nílò àyẹ̀wò, nítorí àwọn àpẹrẹ méjì ń bá wọn lò ní ọ̀nà oríṣiríṣi.

Ìrìnàjò nínú subnet kan náà ni ìlà tí àwọn ènìyàn ń gbàgbé. Àwọn host méjì lórí VLAN kan ń sọ̀rọ̀ nípasẹ̀ afárá, kò sì sí firewall tí ń ṣe ìtọ́sọ́nà lórí ọ̀nà yẹn àyàfi tí àpẹrẹ àyẹ̀wò Layer 2 ọ̀tọ̀ bá dínà. Èyí tọ́ nínú àwọn àpẹrẹ méjèèjì, nítorí náà àlàfo àpẹrẹ ni, kì í ṣe àfiwé láàárín wọn.

Àwọn ìlà mẹ́ta tó kù ni ibi tí àwọn àpẹrẹ ti yàtọ̀ gan-an.

Ẹnu-ọ̀nà ààrín gbà: àyẹ̀wò rírọrùn, iye ìgbàkọjá gidi

Jẹ́ kí VLAN ayalé wà gẹ́gẹ́ bí iṣẹ́ Layer 2 kí o sì fi àwọn ẹnu-ọ̀nà ìtọ́sọ́nà wọn sórí firewall. Ìrìnàjò láàárín àwọn subnet yóò wá lọ sí ẹnu-ọ̀nà yẹn kí ó sì padà, bóyá pàápàá nígbà tí àwọn host méjèèjì wà lórí leaf kan náà. Ibi àyẹ̀wò kò ṣe àtakò, ìyẹn sì ni gbogbo ìdí fún àpẹrẹ yìí. Iye náà ni ẹrù ìgbàkọjá lórí firewall pẹ̀lú ìgbẹ́kẹ̀lé ààrín gbà lórí agbára àti wíwà tí o gbọ́dọ̀ ṣe ẹ̀rọ rẹ̀ nísisìyí.

Fi àyípadà mọ́ àwọn ẹnu-ọ̀nà ayalé tí o ní lọ́kàn. Yíyọ gbogbo àdírẹ́sì VLAN kúrò gbòòrò jù nígbà tí ìṣàkóso, underlay àti àwọn interface pẹpẹ ní iṣẹ́ ọ̀tọ̀. Tún ṣàyẹ̀wò ẹnu-ọ̀nà ẹlẹ́ẹ̀kejì tí ń ṣiṣẹ́, nítorí ẹni tí ó ṣì ń ṣe ìtọ́sọ́nà yípo firewall ń ba àpẹrẹ jẹ́ ní ìdákẹ́jẹ́ẹ́.

Àpẹrẹ yìí rọrùn láti ṣàlàyé fún olùṣàyẹ̀wò. Kì í ṣe pé ó din owó láti máa ṣiṣẹ́.

IRB tí a pín ká: ọ̀nà yára, kò sí àyẹ̀wò ní àkọ́kọ́

Pẹ̀lú àwọn ẹnu-ọ̀nà anycast tí a pín ká, leaf kọ̀ọ̀kan ń ṣe ìtọ́sọ́nà ìrìnàjò ayalé níbílẹ̀, RFC 9135 sì ṣàlàyé ìdí tí èyí fi yẹra fún gbígbé padà nípasẹ̀ ẹnu-ọ̀nà ààrín gbà. Àǹfààní náà jẹ́ gidi, ó sì ní àbájáde tààrà: a kò lè pinnu àyẹ̀wò láti ibi tí a ti so firewall mọ́. Firewall tí a so mọ́ leaf ààlà ń rí ìrìnàjò ita àti gbogbo ohun tí o ń darí sí i ní kedere.

Fi iṣẹ́ náà sílẹ̀ pẹ̀lú ọ̀nà tí pẹpẹ ń gbà ní gidi: ìdarí tí ó dá lórí ìlànà, node iṣẹ́, tàbí ìtọ́sọ́nà tí a ṣàkóso láàárín VRF nípasẹ̀ firewall. Bá ìrìnàjò tí a ní lọ́kàn mu ní ibi ìwọlé gidi rẹ̀. Ìlànà tí a kọ sórí interface tí ó kọjú sí àwọn host kò bo packet tí ó ń bọ̀ láti overlay.

Ka àwọn ọ̀nà tí a fi sórí ẹ̀rọ dípò àkọ́kọ́ tí a ní lọ́kàn. Àkọ́sí ayalé pàtó sí i tí a gbé wọlé tààrà lè forí kọjá ọ̀nà àkọ́kọ́ tí ó tọ́ka sí firewall, kò sì sí ohun tí yóò dà bí àṣìṣe nínú ìṣètò.

Ìdọ́gba jẹ́ ẹ̀ya ìtọ́sọ́nà, kì í ṣe ìdánilójú àyẹ̀wò

IRB aládọ́gba ṣàlàyé bí àwọn node provider edge tí ń wọlé àti tí ń jáde ṣe ń ṣàkóso ìtọ́sọ́nà àti afárá fún ṣíṣan kan. Kò sọ nkankan nípa bóyá àwọn ọ̀nà méjèèjì ń dé ọ̀dọ̀ ẹ̀rọ stateful kan náà. ECMP, anycast àti wíwà gíga firewall lórí ẹ̀rọ ń nípa lórí irú node tí ó ń rí ìrìnàjò ìpadà, àpẹrẹ ipò tí cluster ń gbà sì pinnu bóyá ìyẹn jẹ́ ìtẹ́wọ́gbà.

Tẹ̀lé ọ̀nà ìpadà ní kedere fún gbogbo ṣíṣan tí ó ṣe pàtàkì fún ọ. NAT kì í ṣe àropo gbogbogbò fún iṣẹ́ yẹn, àwọn àpẹrẹ tí ó gbẹ́kẹ̀lé e sì máa ń rí àlàfo nígbà failover kì í ṣe nígbà kíkọ́.

Rìn kọjá ṣíṣan kan tí ó pọn dandan àti ṣíṣan kan tí a yọ kúrò pẹ̀lú ìmọ̀, ní ọ̀nà méjèèjì, kí o tó fọwọ́ sí àpẹrẹ náà.

Bí o ṣe lè yàn, àti ohun tí o gbọ́dọ̀ dán wò nígbàkigbà

Yan ẹnu-ọ̀nà ààrín gbà nígbà tí ìbojú àyẹ̀wò ṣe pàtàkì ju agbára ìgbàkọjá lọ tí o sì lè farada ìgbẹ́kẹ̀lé ààrín gbà. Yan IRB tí a pín ká nígbà tí ìtọ́sọ́nà níbílẹ̀ jẹ́ kókó, kí o sì ṣètò ìsúná fún fífi iṣẹ́ sílẹ̀ ní kedere dípò kí o kàn rò ó.

Lẹ́yìn náà dán ìtọ́sọ́nà tí o fi sórí ẹ̀rọ ní gidi wò, nítorí ibẹ̀ ni àwọn àpẹrẹ méjì ti yàtọ̀ jùlọ:

show ip route vrf TENANT 10.20.0.0/16
show bgp l2vpn evpn route-type prefix

Mú ìkùnà àti ìmúpadàbọ̀ node iṣẹ́ kún àyẹ̀wò náà. Ọ̀nà àfipamọ́ tí ó forí kọjá àyẹ̀wò ní ìdákẹ́jẹ́ẹ́ jẹ́ ìpinnu tí ó yàtọ̀ sí ìlànà fail-open tí a gbèrò, ọ̀kan nínú méjèèjì sì ni a máa ń ní lọ́kàn. Àpẹrẹ tí ó ti parí ń dárúkọ ibi tí ẹ̀kọ́ ìrìnàjò kọ̀ọ̀kan ń lọ, ibi tí a ti ń ṣàyẹ̀wò rẹ̀, àti ohun tí ó ṣẹlẹ̀ nígbà tí ọ̀nà àyẹ̀wò yẹn kò sí.