Часть 8. VxLAN. Routing
Цель
Реализовать маршрутизацию между "клиентами" (tentant) через EVPN route-type 5
Ожидаемый результат
Два "клиента" размещены в разных VRF в рамках одной фабрики.
Настроена маршрутизацию между клиентами через внешнее устройство (граничный роутер\фаерволл\etc).
В документации зафиксированы - план работы, адресное пространство, схему сети, настройки сетевого оборудования.
Достижение результата
Введение
В этой части не будет ничего про автоматизацию. Нужно глобально переделывать шаблоны для поддержки multitentant'ости ¯_(ツ)/¯_
Представим, что у нас есть два тентанта - "red" и "green" (они помечены соответствующими цветами в схеме. Внезапно :xD ). Тентантам принадлежат следующие сети:
red
192.168.101.0/24
red
192.168.103.0/24
green
192.168.102.0/24
На leaf'ах настроены anycast gateway на vlan-интерфейсах, а сами интерфейсы определены в соответствующие vrf:
interface Vlan101
vrf red
ip address virtual 192.168.101.254/24
!
interface Vlan102
vrf green
ip address virtual 192.168.102.254/24
!
interface Vlan103
vrf red
ip address virtual 192.168.103.254/24
!Схема сети
Модернизируем схему и встраиваем в нее NGFW Palo Alto Networks (PAN-OS 11.0.0). FW будет подключен аггрегированным линком в no-osl-dc1-f1-r03k04-lf01 и no-osl-dc1-f1-r03k04-lf02 Оказалось, что PA-VM не поддерживает агрегированные интерфейсы.
Согласно схемы имеем следующие подключения:
NGFW PA-VM
Ethernet 1/1
10.16.2.17/31
no-osl-dc1-f1-r03k04-lf01
Ethernet 3
10.16.2.16/31
red
NGFW PA-VM
Ethernet 1/2
10.16.2.19/31
no-osl-dc1-f1-r03k04-lf01
Ethernet 4
10.16.2.18/31
green
NGFW PA-VM
Ethernet 1/3
10.16.2.21/31
no-osl-dc1-f1-r03k04-lf02
Ethernet 3
10.16.2.20/31
red
NGFW PA-VM
Ethernet 1/4
10.16.2.23/31
no-osl-dc1-f1-r03k04-lf02
Ethernet 4
10.16.2.22/31
green
Файлы конфигураций устройств
Традиционно не вмешиваемся в настройки spine'ов, а работаем только с leaf'ами. Собственно, бОльшая часть конфигурации приходится на border leaf'ы и сам файрвол.
Ниже ссылки на конфиги leaf'ов
Файрвол ничего не файрволит, а только маршрутизирует :)
Для простоты созданы 2 зоны - trust и untrust. В trust помещены все интерфейсы, идущие к leaf'ам, в untrust - вымышленный интерфейс в интернет.
Создана одна единственная политика безопасности, которая разрешает все отовсюду.
Настройки интерфейсов:
Настройки BGP для PAN-OS:
BGP. General
Тут нас интересует включение поддержки 4-byte AS
BGP. Advanced
Здесь я отметил ECMP Multiple AS Support
BGP. Peer Group
BGP. Import
Тут ничего не делал
BGP. Export
Вот тут настроена политика экспорта. Не претендую на изящное и правильное решение, но, как-будто, работает как нужно.
1-ая политика явно разрешает экспорт маршрута 0.0.0.0/0.
2-ая политика запрещает экспорт маршрутов, полученных от пиров. Надеюсь, я правильно интерпретировал настройку.
Таблицы маршрутизации устройств
В итоговом виде таблицы маршрутизации выглядят следующим образом:
no-osl-dc1-f1-r03k04-lf01
sh ip route vrf red
sh ip route vrf green
Вывод указывает на то, что для vrf 'red' маршрут по умолчанию получен через интерфейс Ethernet 3 и следует через FW и его интерфейс Ethernet 1/1, а для vrf 'green' маршрут по умолчанию получен через интерфейс Ethernet 4 и пойдет через FW и интерфейс Ethernet 1/2.
sh ip bgp summary vrf red
sh ip bgp summary vrf green
no-osl-dc1-f1-r03k04-lf02
ip route vrf red
sh ip route vrf green
sh ip bgp summary vrf red
sh ip bgp summary vrf green
NGFW PA-VM
show routing route
flags: A:active, ?:loose, C:connect, H:host, S:static, ~:internal, R:rip, O:ospf, B:bgp, Oi:ospf intra-area, Oo:ospf inter-area, O1:ospf ext-type-1, O2:ospf ext-type-2, E:ecmp, M:multicast
Тут можно проследить, что для префиксов tentant'ов 'red' и 'green' (192.168.101.0/24, 192.168.102.0/24, 192.168.103.0/24) работает ECMP.
Тестирование на отключение одного leaf'а
Тестировать будем пингами с 192.168.103.6 до 192.168.102.5
Смотрим в логи NGFW и отмечаем Ingress и Egress интерфейсы. Видим, что трафик обрабатывается на no-osl-dc1-f1-r03k04-lf02
Отключаем leaf! (/) (°,,°) (/)
После перестроения маршрутов видим, что трафик пошел через leaf no-osl-dc1-f1-r03k04-lf01
Это видно по Ingress и Egress интерфейсам. Теперь это ethernet1/1 и ethernet1/2, соотвественно:
Выводы
Таким образом можно сделать следующие выводы:
маршрутизация между сетями внутри одного tentant'а отработает внутри EVPN фабрики
маршрутизация между сетями разным tentent'ов отработает через NGFW PA-VM за пределами EVPN фабрики за счет анонса префикса 0.0.0.0/0 со стороны NGFW.
удалось добиться какой-то отказоустойчивости по линкам и border leaf'ам.
Last updated