वीएक्सएलएएन कारखाना। भाग 3

नमस्ते, हबर। मैं लेखों की एक शृंखला समाप्त कर रहा हूँ, पाठ्यक्रम के शुभारंभ के लिए समर्पित "नेटवर्क इंजीनियर" OTUS द्वारा, फैब्रिक के भीतर रूटिंग के लिए VxLAN EVPN तकनीक का उपयोग करना और आंतरिक सेवाओं के बीच पहुंच को प्रतिबंधित करने के लिए फ़ायरवॉल का उपयोग करना

श्रृंखला के पिछले भाग निम्नलिखित लिंक पर पाए जा सकते हैं:

• चक्र का 1 भाग - सर्वरों के बीच L2 कनेक्टिविटी
• श्रृंखला का भाग 2 - वीएनआई के बीच रूटिंग
• श्रृंखला का भाग 2.5 - सैद्धांतिक विषयांतर

आज हम VxLAN फैब्रिक के अंदर रूटिंग लॉजिक का अध्ययन करना जारी रखेंगे। पिछले भाग में, हमने एकल वीआरएफ के भीतर इंट्रा-फैब्रिक रूटिंग को देखा। हालाँकि, नेटवर्क में बड़ी संख्या में ग्राहक सेवाएँ हो सकती हैं, और उन सभी को उनके बीच पहुंच को अलग करने के लिए अलग-अलग वीआरएफ में वितरित किया जाना चाहिए। नेटवर्क पृथक्करण के अलावा, किसी व्यवसाय को इन सेवाओं के बीच पहुंच को प्रतिबंधित करने के लिए फ़ायरवॉल कनेक्ट करने की आवश्यकता हो सकती है। हां, इसे सर्वोत्तम समाधान नहीं कहा जा सकता, लेकिन आधुनिक वास्तविकताओं के लिए "आधुनिक समाधान" की आवश्यकता होती है।

आइए वीआरएफ के बीच रूटिंग के लिए दो विकल्पों पर विचार करें:

1. VxLAN फैब्रिक को छोड़े बिना रूटिंग;
2. बाहरी उपकरणों पर रूटिंग.

आइए वीआरएफ के बीच रूटिंग लॉजिक से शुरुआत करें। वीआरएफ की एक निश्चित संख्या होती है। वीआरएफ के बीच रूट करने के लिए, आपको नेटवर्क में एक डिवाइस का चयन करना होगा जो सभी वीआरएफ (या उन हिस्सों के बारे में जानता होगा जिनके बीच रूटिंग की आवश्यकता है)। उदाहरण के लिए, ऐसा डिवाइस लीफ स्विच में से एक हो सकता है (या सभी एक साथ) . यह टोपोलॉजी इस तरह दिखेगी:

इस टोपोलॉजी के क्या नुकसान हैं?

यह सही है, प्रत्येक लीफ को नेटवर्क पर सभी वीआरएफ (और उनमें मौजूद सभी जानकारी) के बारे में जानना आवश्यक है, जिससे मेमोरी हानि होती है और नेटवर्क लोड बढ़ जाता है। आख़िरकार, अक्सर प्रत्येक लीफ़ स्विच को नेटवर्क पर मौजूद हर चीज़ के बारे में जानने की ज़रूरत नहीं होती है।

हालाँकि, आइए इस पद्धति पर अधिक विस्तार से विचार करें, क्योंकि छोटे नेटवर्क के लिए यह विकल्प काफी उपयुक्त है (यदि कोई विशिष्ट व्यावसायिक आवश्यकताएँ नहीं हैं)

इस बिंदु पर, आपके मन में यह प्रश्न हो सकता है कि वीआरएफ से वीआरएफ में जानकारी कैसे स्थानांतरित की जाए, क्योंकि इस तकनीक का उद्देश्य बिल्कुल यही है कि सूचना का प्रसार सीमित होना चाहिए।

और इसका उत्तर रूटिंग जानकारी के निर्यात और आयात जैसे कार्यों में निहित है (इस तकनीक की स्थापना पर विचार किया गया था)। दूसरा चक्र के भाग)। मुझे संक्षेप में दोहराने दीजिए:

एएफ में वीआरएफ सेट करते समय, आपको निर्दिष्ट करना होगा route-target आयात और निर्यात रूटिंग जानकारी के लिए। आप इसे स्वचालित रूप से निर्दिष्ट कर सकते हैं. फिर मूल्य में वीआरएफ से जुड़े एएसएन बीजीपी और एल3 वीएनआई शामिल होंगे। यह तब सुविधाजनक होता है जब आपके कारखाने में केवल एक ASN हो:

vrf context PROD20
  address-family ipv4 unicast
    route-target export auto      ! В автоматическом режиме экспортируется RT-65001:99000
    route-target import auto

हालाँकि, यदि आपके पास एक से अधिक एएसएन हैं और उनके बीच मार्गों को स्थानांतरित करने की आवश्यकता है, तो मैन्युअल कॉन्फ़िगरेशन अधिक सुविधाजनक और स्केलेबल विकल्प होगा route-target. मैन्युअल सेटअप के लिए अनुशंसा पहला नंबर है, जो आपके लिए सुविधाजनक हो उसका उपयोग करें, उदाहरण के लिए, 9999.
दूसरे को उस वीआरएफ के लिए वीएनआई के बराबर सेट किया जाना चाहिए।

आइए इसे इस प्रकार कॉन्फ़िगर करें:

vrf context PROD10
  address-family ipv4 unicast
    route-target export 9999:99000          
    route-target import 9999:99000
    route-target import 9999:77000         ! Пример 1 import из другого VRF
    route-target import 9999:88000         ! Пример 2 import из другого VRF

यह रूटिंग तालिका में कैसा दिखता है:

Leaf11# sh ip route vrf prod
<.....>
192.168.20.0/24, ubest/mbest: 1/0
    *via 10.255.1.20%default, [200/0], 00:24:45, bgp-65001, internal, tag 65001
(evpn) segid: 99000 tunnelid: 0xaff0114 encap: VXLAN          ! префикс доступен через L3VNI 99000

आइए वीआरएफ के बीच रूटिंग के दूसरे विकल्प पर विचार करें - बाहरी उपकरण के माध्यम से, उदाहरण के लिए फ़ायरवॉल।

बाहरी उपकरण के माध्यम से काम करने के लिए कई विकल्प हैं:

1. डिवाइस जानता है कि VxLAN क्या है और हम इसे कपड़े के हिस्से में जोड़ सकते हैं;
2. डिवाइस VxLAN के बारे में कुछ नहीं जानता।

हम पहले विकल्प पर ध्यान नहीं देंगे, क्योंकि तर्क लगभग वैसा ही होगा जैसा ऊपर दिखाया गया है - हम सभी वीआरएफ को फ़ायरवॉल में लाते हैं और उस पर वीआरएफ के बीच रूटिंग कॉन्फ़िगर करते हैं।

आइए दूसरे विकल्प पर विचार करें, जब हमारा फ़ायरवॉल VxLAN के बारे में कुछ नहीं जानता है (अब, निश्चित रूप से, VxLAN समर्थन वाले उपकरण दिखाई दे रहे हैं। उदाहरण के लिए, चेकपॉइंट ने संस्करण R81 में इसके समर्थन की घोषणा की है। आप इसके बारे में पढ़ सकते हैं यहांहालाँकि, यह सब परीक्षण चरण में है और संचालन की स्थिरता पर कोई भरोसा नहीं है)।

किसी बाहरी डिवाइस को कनेक्ट करते समय, हमें निम्नलिखित आरेख मिलता है:

जैसा कि आप आरेख से देख सकते हैं, फ़ायरवॉल के इंटरफ़ेस पर एक बाधा दिखाई देती है। भविष्य में नेटवर्क की योजना बनाते समय और नेटवर्क ट्रैफ़िक को अनुकूलित करते समय इसे ध्यान में रखा जाना चाहिए।

हालाँकि, आइए वीआरएफ के बीच रूटिंग की मूल समस्या पर वापस लौटें। फ़ायरवॉल को जोड़ने के परिणामस्वरूप, हम इस निष्कर्ष पर पहुँचे कि फ़ायरवॉल को सभी वीआरएफ के बारे में पता होना चाहिए। ऐसा करने के लिए, सभी वीआरएफ को बॉर्डर लीफ्स पर भी कॉन्फ़िगर किया जाना चाहिए, और फ़ायरवॉल को एक अलग लिंक के साथ प्रत्येक वीआरएफ से जोड़ा जाना चाहिए।

परिणामस्वरूप, फ़ायरवॉल वाली योजना:

अर्थात्, फ़ायरवॉल पर आपको नेटवर्क पर स्थित प्रत्येक वीआरएफ के लिए एक इंटरफ़ेस कॉन्फ़िगर करने की आवश्यकता है। सामान्य तौर पर, तर्क जटिल नहीं दिखता है और एकमात्र चीज जो मुझे यहां पसंद नहीं है वह है फ़ायरवॉल पर बड़ी संख्या में इंटरफ़ेस, लेकिन यहां स्वचालन के बारे में सोचने का समय है।

अच्छा। हमने फ़ायरवॉल को कनेक्ट किया और इसे सभी वीआरएफ में जोड़ा। लेकिन अब हम प्रत्येक लीफ़ से ट्रैफ़िक को इस फ़ायरवॉल के माध्यम से जाने के लिए कैसे बाध्य कर सकते हैं?

फ़ायरवॉल से जुड़े लीफ़ पर, कोई समस्या उत्पन्न नहीं होगी, क्योंकि सभी मार्ग स्थानीय हैं:

0.0.0.0/0, ubest/mbest: 1/0
    *via 10.254.13.55, [1/0], 6w5d, static       ! маршрут по-умолчанию через Firewall

हालाँकि, दूरस्थ पत्तों के बारे में क्या? उन्हें डिफ़ॉल्ट बाहरी मार्ग कैसे पास करें?

यह सही है, ईवीपीएन रूट-टाइप 5 के माध्यम से, वीएक्सएलएएन फैब्रिक पर किसी भी अन्य उपसर्ग की तरह। हालाँकि, यह इतना सरल नहीं है (यदि हम सिस्को के बारे में बात कर रहे हैं, क्योंकि मैंने अन्य विक्रेताओं के साथ जाँच नहीं की है)

डिफ़ॉल्ट रूट को उस लीफ से विज्ञापित किया जाना चाहिए जिससे फ़ायरवॉल जुड़ा हुआ है। हालाँकि, मार्ग संचारित करने के लिए, लीफ को स्वयं इसकी जानकारी होनी चाहिए। और यहां एक निश्चित समस्या उत्पन्न होती है (शायद केवल मेरे लिए), मार्ग को वीआरएफ में स्थिर रूप से पंजीकृत होना चाहिए जहां आप ऐसे मार्ग का विज्ञापन करना चाहते हैं:

vrf context PROD10
    ip route 0.0.0.0/0 10.254.13.55

इसके बाद, बीजीपी कॉन्फ़िगरेशन में, इस मार्ग को AF IPv4 में सेट करें:

router bgp 65001
    vrf prod
        address-family ipv4 unicast
            network 0.0.0.0/0

हालाँकि, यह सब नहीं है. इस तरह डिफ़ॉल्ट मार्ग परिवार में शामिल नहीं किया जाएगा l2vpn evpn. इसके अतिरिक्त, आपको पुनर्वितरण को कॉन्फ़िगर करने की आवश्यकता है:

router bgp 65001
    vrf prod
        address-family ipv4 unicast
            network 0.0.0.0/0
            redistribute static route-map COMMON_OUT

हम इंगित करते हैं कि कौन से उपसर्ग पुनर्वितरण के माध्यम से बीजीपी में आएंगे

route-map COMMON_OUT permit 10
  match ip address prefix-list COMMON_OUT

ip prefix-list COMMON_OUT seq 10 permit 0.0.0.0/0

अब उपसर्ग 0.0.0.0/0 ईवीपीएन मार्ग-प्रकार 5 में आता है और शेष लीफ में संचारित होता है:

0.0.0.0/0, ubest/mbest: 1/0
    *via 10.255.1.5%default, [200/0], 5w6d, bgp-65001, internal, tag 65001, segid: 99000 tunnelid: 0xaff0105 encap: VXLAN
    ! 10.255.1.5 - Виртуальный адрес Leaf(так как Leaf выступают в качестве VPС пары), к которому подключен Firewall

बीजीपी तालिका में हम परिणामी रूट-प्रकार 5 को 10.255.1.5 के माध्यम से डिफ़ॉल्ट रूट के साथ भी देख सकते हैं:

* i[5]:[0]:[0]:[0]:[0.0.0.0]/224
                      10.255.1.5                        100          0 i
*>i                   10.255.1.5                        100          0 i

यह ईवीपीएन को समर्पित लेखों की श्रृंखला का समापन करता है। भविष्य में, मैं मल्टीकास्ट के साथ मिलकर VxLAN के संचालन पर विचार करने का प्रयास करूंगा, क्योंकि इस पद्धति को अधिक स्केलेबल माना जाता है (फिलहाल एक विवादास्पद बयान)

यदि आपके पास अभी भी विषय पर प्रश्न/सुझाव हैं, तो ईवीपीएन की किसी कार्यक्षमता पर विचार करें - लिखें, हम इस पर आगे विचार करेंगे।

स्रोत: www.habr.com