VxLAN কারখানা। অংশ ২

হ্যালো, হাবর। আমি নিবন্ধগুলির একটি সিরিজ শেষ করছি, কোর্স চালু করার জন্য উত্সর্গীকৃত "নেটওয়ার্ক ইঞ্জিনিয়ার" OTUS দ্বারা, ফ্যাব্রিকের মধ্যে রাউটিং করার জন্য VxLAN EVPN প্রযুক্তি ব্যবহার করে এবং অভ্যন্তরীণ পরিষেবাগুলির মধ্যে অ্যাক্সেস সীমাবদ্ধ করতে ফায়ারওয়াল ব্যবহার করে

সিরিজের পূর্ববর্তী অংশগুলি নিম্নলিখিত লিঙ্কগুলিতে পাওয়া যাবে:

• চক্রের 1 অংশ - সার্ভারের মধ্যে L2 সংযোগ
• সিরিজের পার্ট 2 - ভিএনআই-এর মধ্যে রাউটিং
• সিরিজের পার্ট 2.5 - তাত্ত্বিক ডিগ্রেশন

আজ আমরা VxLAN ফ্যাব্রিকের ভিতরে রাউটিং লজিক অধ্যয়ন চালিয়ে যাব। পূর্ববর্তী অংশে, আমরা একটি একক VRF এর মধ্যে ইন্ট্রা-ফ্যাব্রিক রাউটিং দেখেছি। যাইহোক, নেটওয়ার্কে প্রচুর সংখ্যক ক্লায়েন্ট পরিষেবা থাকতে পারে, এবং তাদের মধ্যে অ্যাক্সেসের পার্থক্য করার জন্য সেগুলিকে অবশ্যই আলাদা আলাদা VRF-এ বিতরণ করতে হবে। নেটওয়ার্ক বিচ্ছেদ ছাড়াও, এই পরিষেবাগুলির মধ্যে অ্যাক্সেস সীমাবদ্ধ করার জন্য একটি ব্যবসাকে একটি ফায়ারওয়াল সংযোগ করতে হতে পারে। হ্যাঁ, এটিকে সর্বোত্তম সমাধান বলা যায় না, তবে আধুনিক বাস্তবতার জন্য "আধুনিক সমাধান" প্রয়োজন।

VRF-এর মধ্যে রাউটিং করার জন্য দুটি বিকল্প বিবেচনা করা যাক:

1. VxLAN ফ্যাব্রিক ছাড়াই রাউটিং;
2. বহিরাগত সরঞ্জাম উপর রাউটিং.

VRF-এর মধ্যে রাউটিং লজিক দিয়ে শুরু করা যাক। একটি নির্দিষ্ট সংখ্যক VRF আছে। VRF-এর মধ্যে রুট করার জন্য, আপনাকে নেটওয়ার্কে এমন একটি ডিভাইস নির্বাচন করতে হবে যা সমস্ত VRF (অথবা যে অংশগুলির মধ্যে রাউটিং প্রয়োজন) সম্পর্কে জানবে। এই জাতীয় ডিভাইস হতে পারে, উদাহরণস্বরূপ, লিফ সুইচগুলির মধ্যে একটি (বা একবারে সমস্ত) . এই টপোলজি এই মত দেখাবে:

এই টপোলজির অসুবিধাগুলি কী কী?

এটা ঠিক, প্রতিটি লিফকে নেটওয়ার্কে থাকা সমস্ত VRF (এবং সেগুলির মধ্যে থাকা সমস্ত তথ্য) সম্পর্কে জানতে হবে, যা মেমরির ক্ষতির দিকে নিয়ে যায় এবং নেটওয়ার্ক লোড বাড়ায়৷ সর্বোপরি, প্রায়শই প্রতিটি লিফ সুইচের নেটওয়ার্কে থাকা সমস্ত কিছু সম্পর্কে জানার প্রয়োজন হয় না।

যাইহোক, আসুন এই পদ্ধতিটি আরও বিশদে বিবেচনা করি, যেহেতু ছোট নেটওয়ার্কগুলির জন্য এই বিকল্পটি বেশ উপযুক্ত (যদি কোনও নির্দিষ্ট ব্যবসায়ের প্রয়োজনীয়তা না থাকে)

এই মুহুর্তে, আপনার কাছে VRF থেকে VRF-এ তথ্য স্থানান্তর করার বিষয়ে একটি প্রশ্ন থাকতে পারে, কারণ এই প্রযুক্তির বিন্দুটি সঠিকভাবে তথ্যের প্রচার সীমিত হওয়া উচিত।

এবং উত্তরটি রাউটিং তথ্যের রপ্তানি এবং আমদানির মতো ফাংশনের মধ্যে রয়েছে (এই প্রযুক্তিটি সেট আপ করার বিষয়টি বিবেচনা করা হয়েছিল দ্বিতীয়টি চক্রের অংশ)। আমাকে সংক্ষেপে পুনরাবৃত্তি করা যাক:

AF এ VRF সেট করার সময়, আপনাকে অবশ্যই উল্লেখ করতে হবে route-target আমদানি এবং রপ্তানি রাউটিং তথ্যের জন্য। আপনি স্বয়ংক্রিয়ভাবে এটি নির্দিষ্ট করতে পারেন. তারপর মানটি VRF এর সাথে যুক্ত ASN BGP এবং L3 VNI অন্তর্ভুক্ত করবে। আপনার কারখানায় শুধুমাত্র একটি ASN থাকলে এটি সুবিধাজনক:

vrf context PROD20
  address-family ipv4 unicast
    route-target export auto      ! В автоматическом режиме экспортируется RT-65001:99000
    route-target import auto

যাইহোক, যদি আপনার একাধিক ASN থাকে এবং তাদের মধ্যে রুট স্থানান্তর করতে হয়, তাহলে ম্যানুয়াল কনফিগারেশন একটি আরও সুবিধাজনক এবং মাপযোগ্য বিকল্প হবে route-target. ম্যানুয়াল সেটআপের জন্য সুপারিশ হল প্রথম সংখ্যা, আপনার জন্য সুবিধাজনক একটি ব্যবহার করুন, উদাহরণস্বরূপ, 9999.
দ্বিতীয়টি সেই VRF-এর জন্য VNI-এর সমান সেট করা উচিত।

আসুন এটি নিম্নরূপ কনফিগার করি:

vrf context PROD10
  address-family ipv4 unicast
    route-target export 9999:99000          
    route-target import 9999:99000
    route-target import 9999:77000         ! Пример 1 import из другого VRF
    route-target import 9999:88000         ! Пример 2 import из другого VRF

রাউটিং টেবিলে এটি দেখতে কেমন:

Leaf11# sh ip route vrf prod
<.....>
192.168.20.0/24, ubest/mbest: 1/0
    *via 10.255.1.20%default, [200/0], 00:24:45, bgp-65001, internal, tag 65001
(evpn) segid: 99000 tunnelid: 0xaff0114 encap: VXLAN          ! префикс доступен через L3VNI 99000

আসুন VRF-এর মধ্যে রাউটিং করার জন্য দ্বিতীয় বিকল্পটি বিবেচনা করি - বাহ্যিক সরঞ্জামের মাধ্যমে, উদাহরণস্বরূপ ফায়ারওয়াল।

একটি বাহ্যিক ডিভাইসের মাধ্যমে কাজ করার জন্য বিভিন্ন বিকল্প আছে:

1. ডিভাইসটি জানে VxLAN কী এবং আমরা এটিকে ফ্যাব্রিকের অংশে যোগ করতে পারি;
2. ডিভাইসটি VxLAN সম্পর্কে কিছুই জানে না।

আমরা প্রথম বিকল্পে থাকব না, যেহেতু যুক্তিটি উপরে দেখানো প্রায় একই রকম হবে - আমরা সমস্ত VRF ফায়ারওয়ালে নিয়ে আসি এবং এটিতে VRFগুলির মধ্যে রাউটিং কনফিগার করি।

দ্বিতীয় বিকল্পটি বিবেচনা করা যাক, যখন আমাদের ফায়ারওয়াল VxLAN সম্পর্কে কিছুই জানে না (এখন, অবশ্যই, VxLAN সমর্থন সহ সরঞ্জাম উপস্থিত হচ্ছে। উদাহরণস্বরূপ, চেকপয়েন্ট R81 সংস্করণে এটির সমর্থন ঘোষণা করেছে। আপনি এটি সম্পর্কে পড়তে পারেন। এখানে, যাইহোক, এটি সবই পরীক্ষার পর্যায়ে এবং অপারেশনের স্থায়িত্বের উপর কোন আস্থা নেই)।

একটি বাহ্যিক ডিভাইস সংযোগ করার সময়, আমরা নিম্নলিখিত চিত্রটি পাই:

আপনি ডায়াগ্রাম থেকে দেখতে পাচ্ছেন, ফায়ারওয়ালের সাথে ইন্টারফেসে একটি বাধা উপস্থিত হয়। নেটওয়ার্ক পরিকল্পনা এবং নেটওয়ার্ক ট্র্যাফিক অপ্টিমাইজ করার সময় ভবিষ্যতে এটি অবশ্যই বিবেচনায় নেওয়া উচিত।

যাইহোক, আসুন VRF এর মধ্যে রাউটিং এর মূল সমস্যায় ফিরে আসি। ফায়ারওয়াল যোগ করার ফলে, আমরা এই সিদ্ধান্তে উপনীত হই যে ফায়ারওয়ালকে অবশ্যই সমস্ত VRF সম্পর্কে জানা উচিত। এটি করার জন্য, সমস্ত VRF গুলিকে অবশ্যই বর্ডার লিফগুলিতে কনফিগার করতে হবে এবং ফায়ারওয়াল অবশ্যই প্রতিটি VRF এর সাথে একটি পৃথক লিঙ্কের সাথে সংযুক্ত থাকতে হবে৷

ফলস্বরূপ, ফায়ারওয়াল সহ স্কিম:

অর্থাৎ, ফায়ারওয়ালে আপনাকে নেটওয়ার্কে অবস্থিত প্রতিটি VRF এর একটি ইন্টারফেস কনফিগার করতে হবে। সাধারণভাবে, যুক্তিটি জটিল বলে মনে হয় না এবং একমাত্র জিনিসটি আমি এখানে পছন্দ করি না তা হল ফায়ারওয়ালের বিশাল সংখ্যক ইন্টারফেস, তবে এখানে অটোমেশন সম্পর্কে চিন্তা করার সময় এসেছে।

ফাইন। আমরা ফায়ারওয়াল সংযুক্ত করেছি এবং এটিকে সমস্ত VRF-তে যুক্ত করেছি। কিন্তু কিভাবে আমরা এখন প্রতিটি পাতা থেকে ট্রাফিককে এই ফায়ারওয়ালের মধ্য দিয়ে যেতে বাধ্য করতে পারি?

ফায়ারওয়ালের সাথে সংযুক্ত পাতায়, কোনও সমস্যা হবে না, যেহেতু সমস্ত রুট স্থানীয়:

0.0.0.0/0, ubest/mbest: 1/0
    *via 10.254.13.55, [1/0], 6w5d, static       ! маршрут по-умолчанию через Firewall

যাইহোক, দূরবর্তী পাতা সম্পর্কে কি? কিভাবে ডিফল্ট বহিরাগত রুট তাদের পাস?

এটা ঠিক, EVPN রুট-টাইপ 5 এর মাধ্যমে, VxLAN ফ্যাব্রিকের উপর অন্য যেকোনো উপসর্গের মতো। যাইহোক, এটি এত সহজ নয় (যদি আমরা সিসকো সম্পর্কে কথা বলি, যেমন আমি অন্যান্য বিক্রেতাদের সাথে চেক করিনি)

ডিফল্ট রুট লিফ থেকে বিজ্ঞাপন দিতে হবে যেখানে ফায়ারওয়াল সংযুক্ত আছে। যাইহোক, রুট ট্রান্সমিট করার জন্য, লিফ নিজেই এটি জানতে হবে। এবং এখানে একটি নির্দিষ্ট সমস্যা দেখা দেয় (সম্ভবত শুধুমাত্র আমার জন্য), রুটটি অবশ্যই ভিআরএফ-এ স্থিতিশীলভাবে নিবন্ধিত হতে হবে যেখানে আপনি এই জাতীয় রুটের বিজ্ঞাপন দিতে চান:

vrf context PROD10
    ip route 0.0.0.0/0 10.254.13.55

এরপর, BGP কনফিগারেশনে, এই রুটটি AF IPv4 এ সেট করুন:

router bgp 65001
    vrf prod
        address-family ipv4 unicast
            network 0.0.0.0/0

যাইহোক, যে সব না. এইভাবে ডিফল্ট রুট পরিবারের অন্তর্ভুক্ত হবে না l2vpn evpn. এটি ছাড়াও, আপনাকে পুনরায় বিতরণ কনফিগার করতে হবে:

router bgp 65001
    vrf prod
        address-family ipv4 unicast
            network 0.0.0.0/0
            redistribute static route-map COMMON_OUT

আমরা ইঙ্গিত করি যে কোন উপসর্গগুলি পুনর্বন্টনের মাধ্যমে BGP-তে প্রবেশ করবে

route-map COMMON_OUT permit 10
  match ip address prefix-list COMMON_OUT

ip prefix-list COMMON_OUT seq 10 permit 0.0.0.0/0

এখন উপসর্গ 0.0.0.0/0 EVPN রুট-টাইপ 5-এ পড়ে এবং বাকি পাতায় স্থানান্তরিত হয়:

0.0.0.0/0, ubest/mbest: 1/0
    *via 10.255.1.5%default, [200/0], 5w6d, bgp-65001, internal, tag 65001, segid: 99000 tunnelid: 0xaff0105 encap: VXLAN
    ! 10.255.1.5 - Виртуальный адрес Leaf(так как Leaf выступают в качестве VPС пары), к которому подключен Firewall

বিজিপি টেবিলে আমরা 5 এর মাধ্যমে ডিফল্ট রুট সহ ফলাফলের রুট-টাইপ 10.255.1.5 পর্যবেক্ষণ করতে পারি:

* i[5]:[0]:[0]:[0]:[0.0.0.0]/224
                      10.255.1.5                        100          0 i
*>i                   10.255.1.5                        100          0 i

এটি EVPN-এ উত্সর্গীকৃত নিবন্ধগুলির সিরিজের সমাপ্তি ঘটায়। ভবিষ্যতে, আমি মাল্টিকাস্টের সাথে একত্রে VxLAN এর অপারেশন বিবেচনা করার চেষ্টা করব, যেহেতু এই পদ্ধতিটিকে আরও মাপযোগ্য বলে মনে করা হয় (এই মুহূর্তে একটি বিতর্কিত বিবৃতি)

আপনার যদি এখনও এই বিষয়ে প্রশ্ন/পরামর্শ থাকে, তাহলে EVPN-এর কোনো কার্যকারিতা বিবেচনা করুন - লিখুন, আমরা এটি আরও বিবেচনা করব।

উত্স: www.habr.com