Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Часть 8. VxLAN. Routing

Цель

  • Реализовать маршрутизацию между "клиентами" (tentant) через EVPN route-type 5

Ожидаемый результат

  1. Два "клиента" размещены в разных VRF в рамках одной фабрики.

  2. Настроена маршрутизацию между клиентами через внешнее устройство (граничный роутер\фаерволл\etc).

  3. В документации зафиксированы - план работы, адресное пространство, схему сети, настройки сетевого оборудования.

Достижение результата

Введение

В этой части не будет ничего про автоматизацию. Нужно глобально переделывать шаблоны для поддержки multitentant'ости ¯_(ツ)/¯_

Представим, что у нас есть два тентанта - "red" и "green" (они помечены соответствующими цветами в схеме. Внезапно :xD ). Тентантам принадлежат следующие сети:

Tenant
Network

red

192.168.101.0/24

red

192.168.103.0/24

green

192.168.102.0/24

На leaf'ах настроены anycast gateway на vlan-интерфейсах, а сами интерфейсы определены в соответствующие vrf:

interface Vlan101
   vrf red
   ip address virtual 192.168.101.254/24
!
interface Vlan102
   vrf green
   ip address virtual 192.168.102.254/24
!
interface Vlan103
   vrf red
   ip address virtual 192.168.103.254/24
!

Схема сети

Модернизируем схему и встраиваем в нее NGFW Palo Alto Networks (PAN-OS 11.0.0). FW будет подключен аггрегированным линком в no-osl-dc1-f1-r03k04-lf01 и no-osl-dc1-f1-r03k04-lf02 Оказалось, что PA-VM не поддерживает агрегированные интерфейсы.

адресация

Согласно схемы имеем следующие подключения:

Устройство A
Интерфейс
IP-адрес
Устройство B
Интерфейс
IP-адрес
VRF

NGFW PA-VM

Ethernet 1/1

10.16.2.17/31

no-osl-dc1-f1-r03k04-lf01

Ethernet 3

10.16.2.16/31

red

NGFW PA-VM

Ethernet 1/2

10.16.2.19/31

no-osl-dc1-f1-r03k04-lf01

Ethernet 4

10.16.2.18/31

green

NGFW PA-VM

Ethernet 1/3

10.16.2.21/31

no-osl-dc1-f1-r03k04-lf02

Ethernet 3

10.16.2.20/31

red

NGFW PA-VM

Ethernet 1/4

10.16.2.23/31

no-osl-dc1-f1-r03k04-lf02

Ethernet 4

10.16.2.22/31

green

Файлы конфигураций устройств

Традиционно не вмешиваемся в настройки spine'ов, а работаем только с leaf'ами. Собственно, бОльшая часть конфигурации приходится на border leaf'ы и сам файрвол.

Ниже ссылки на конфиги leaf'ов

4KB
no-osl-dc1-f1-r03k03-lf01.txt
Open
4KB
no-osl-dc1-f1-r03k03-lf02.txt
Open
5KB
no-osl-dc1-f1-r03k04-lf01.txt
Open
4KB
no-osl-dc1-f1-r03k04-lf02.txt
Open

Файрвол ничего не файрволит, а только маршрутизирует :)

Для простоты созданы 2 зоны - trust и untrust. В trust помещены все интерфейсы, идущие к leaf'ам, в untrust - вымышленный интерфейс в интернет.

Создана одна единственная политика безопасности, которая разрешает все отовсюду.

Настройки интерфейсов:

Настройки BGP для PAN-OS:

  1. BGP. General

Тут нас интересует включение поддержки 4-byte AS

  1. BGP. Advanced

Здесь я отметил ECMP Multiple AS Support

  1. BGP. Peer Group

  1. BGP. Import

Тут ничего не делал

  1. BGP. Export

Вот тут настроена политика экспорта. Не претендую на изящное и правильное решение, но, как-будто, работает как нужно.

1-ая политика явно разрешает экспорт маршрута 0.0.0.0/0.

2-ая политика запрещает экспорт маршрутов, полученных от пиров. Надеюсь, я правильно интерпретировал настройку.

Таблицы маршрутизации устройств

В итоговом виде таблицы маршрутизации выглядят следующим образом:

no-osl-dc1-f1-r03k04-lf01

sh ip route vrf red

sh ip route vrf green

Вывод указывает на то, что для vrf 'red' маршрут по умолчанию получен через интерфейс Ethernet 3 и следует через FW и его интерфейс Ethernet 1/1, а для vrf 'green' маршрут по умолчанию получен через интерфейс Ethernet 4 и пойдет через FW и интерфейс Ethernet 1/2.

sh ip bgp summary vrf red

sh ip bgp summary vrf green

no-osl-dc1-f1-r03k04-lf02

ip route vrf red

sh ip route vrf green

sh ip bgp summary vrf red

sh ip bgp summary vrf green

NGFW PA-VM

show routing route

flags: A:active, ?:loose, C:connect, H:host, S:static, ~:internal, R:rip, O:ospf, B:bgp, Oi:ospf intra-area, Oo:ospf inter-area, O1:ospf ext-type-1, O2:ospf ext-type-2, E:ecmp, M:multicast

Тут можно проследить, что для префиксов tentant'ов 'red' и 'green' (192.168.101.0/24, 192.168.102.0/24, 192.168.103.0/24) работает ECMP.

Тестирование на отключение одного leaf'а

Тестировать будем пингами с 192.168.103.6 до 192.168.102.5

Смотрим в логи NGFW и отмечаем Ingress и Egress интерфейсы. Видим, что трафик обрабатывается на no-osl-dc1-f1-r03k04-lf02

Отключаем leaf! (/) (°,,°) (/)

После перестроения маршрутов видим, что трафик пошел через leaf no-osl-dc1-f1-r03k04-lf01

Это видно по Ingress и Egress интерфейсам. Теперь это ethernet1/1 и ethernet1/2, соотвественно:

Выводы

Таким образом можно сделать следующие выводы:

  • маршрутизация между сетями внутри одного tentant'а отработает внутри EVPN фабрики

  • маршрутизация между сетями разным tentent'ов отработает через NGFW PA-VM за пределами EVPN фабрики за счет анонса префикса 0.0.0.0/0 со стороны NGFW.

  • удалось добиться какой-то отказоустойчивости по линкам и border leaf'ам.

PreviousЧасть 7. VxLAN. Multihoming

Last updated