APÊNDICE: Exemplo de criação de malha multihoming EVPN

Componentes multihoming EVPN de malha de campus

Este exemplo de configuração usa os seguintes dispositivos:

• Dois switches QFX5110 como dispositivos de distribuição, versão de software: Junos OS versão 22.4R3-S2 ou posterior.
• Dois switches EX4100 de camada de acesso, versão de software: Junos OS versão 22.4R3-S2 ou posterior.

• Um roteador SRX345 WAN, versão de software: 21.2R3-S7 ou posterior.
• APs da Juniper.
• Dois desktops Linux que atuam como clientes com fio.

Juniper Mist Wired Assurance

O Juniper Mist Wired Assurance, por meio do portal Juniper Mist, pode ser usado para gerenciar centralmente todos os switches da Juniper. O Juniper Mist Wired Assurance oferece visibilidade total dos dispositivos que compõem a camada de acesso da sua rede. O portal fornece uma interface de usuário para acessar sua arquitetura por meio dos serviços de nuvem orientados por IA com sua conta da Juniper Mist. Você pode monitorar, medir e receber alertas sobre as principais métricas de conformidade na rede com fio. Isso inclui a conformidade com a versão do switch e PoE, afinidade com o AP do switch e insights de VLAN.

O link a seguir descreve a integração Juniper switches para o Juniper Mist nuvem: https://www.juniper.net/documentation/us/en/quick-start/hardware/cloud-ready-switches/topics/topic-map/step-1-begin.html

O Juniper Mist Wired Assurance, por meio do portal, é usado para construir o Multihoming EVPN de malha de campus a partir do zero. Isso inclui o seguinte:

• Atribuição de links ponto a ponto (P2P) entre as camadas de núcleo e distribuição.
• Atribuição de números BGP AS exclusivos por dispositivo que participa da underlay e overlay.
• A criação de instâncias VRF permite segmentar logicamente o tráfego. Isso também inclui a atribuição de VLANs novas ou existentes a cada VRF representativo.
• Endereçamento IP de cada interface de roteamento e ponte integrada (IRB) do gateway de Camada 3 atribuída à camada de distribuição.
• Endereçamento IP de cada interface de loopback.
• Configuração de políticas de roteamento para conectividade underlay e overlay.
• Configurações otimizadas da unidade máxima de transmissão (MTU) para pacotes de underlay P2P, IRB de Camada 3 e ESI-LAG.
• Tabela de conexão para download (formato CSV) que pode ser usada pelos envolvidos na construção física da malha do campus.
• Interface gráfica que descreve todos os dispositivos com peering BGP e status de enlace físico.

Para obter mais informações sobre Juniper Mist Wired Assurance, consulte: https://www.mist.com/documentation/category/wired-assurance/

Juniper Mist Wired Assurance Switches

Você deve validar se cada dispositivo participante da malha do campus foi adotado ou reivindicado e atribuído a um site. Os switches são nomeados de acordo com as respectivas camadas na malha para facilitar a construção e a operação da malha.

Modelos

Um recurso importante do gerenciamento de switches por meio da nuvem Juniper Mist é usar modelos e um modelo hierárquico para agrupar os switches e fazer atualizações em massa. Os modelos fornecem uniformidade e conveniência, enquanto a hierarquia (site e switch) fornece escala e granularidade.

Os modelos e o modelo hierárquico significam que você pode criar uma configuração de modelo e, em seguida, todos os dispositivos em cada grupo herdam as configurações do modelo. Quando ocorre um conflito, por exemplo, quando há configurações nos níveis do site e da organização que se aplicam ao mesmo dispositivo, as configurações mais restritas (nesse caso, as configurações do site) substituem as configurações mais amplas definidas no nível da organização.

Switches individuais, na parte inferior da hierarquia, podem herdar toda ou parte da configuração definida no nível da organização e novamente no nível do site. É claro que switches individuais também podem ter suas próprias configurações exclusivas.

Você pode incluir comandos CLI individuais em qualquer nível da hierarquia, que são então anexados a todos os switches desse grupo em uma base "E" — ou seja, as configurações individuais da CLI são anexadas à configuração existente (as configurações existentes podem ser substituídas ou anexadas).

Observação:

Se você executar comandos CLI para itens não nativos do portal, esses dados de configuração serão aplicados por último; sobrescrever dados de configuração existentes na mesma estrofe. Você pode acessar a opção de comando CLI a partir do modelo de switch ou da configuração de switch individual.

Em Organization -> Switch Templates, usamos o seguinte modelo:

Fornecemos uma cópia do seguinte modelo em formato JSON para importação em seu próprio sistema para verificação:

Topologia

O Juniper Mist Wired Assurance fornece o modelo para endereçamento IP de LAN e loopback para cada dispositivo de núcleo colapsado assim que o endereço IP de gerenciamento do dispositivo estiver acessível. Cada dispositivo é provisionado com um endereço de loopback /32 e interfaces ponto a ponto /31 que interconectam dispositivos de núcleo colapsado dentro da malha do campus. Dispositivos como os switches da camada de acesso se conectam à camada de distribuição usando LAGs padrão; enquanto o núcleo colapsado usa ESI-LAGs de maneira multihoming e balanceamento de carga.

O roteador WAN pode ser provisionado através do portal, mas é separado do fluxo de fluxo de trabalho de trabalho de malha de campus. O roteador WAN tem um LAG southbound configurado para se conectar ao ESI-LAG nos switches de núcleo. Os roteadores WAN podem ser autônomos ou construídos como um cluster de alta disponibilidade. Neste documento, um único roteador SRX é usado como roteador WAN.

Observação:

Há uma extensão JVD disponível cobrindo mais detalhes sobre a integração do roteador WAN, especialmente para instalações de nível de produção. O que é mostrado aqui é um método rápido que tem limites conhecidos não viáveis para uso em produção.

Criar a malha do campus

1. Em Organização no lado esquerdo do portal, selecione Malha de malha de campus.
   Figura 5: Criação de malha de campus

   A Mist oferece a opção de implantar uma malha de campus no nível organizacional ou de site indicado no lado superior esquerdo do menu da malha de campus mostrado abaixo. Ambos os designs agora permitem que você crie malhas com apenas um único PoD ou vários PoDs com base nos requisitos do cliente para conectar vários edifícios. Em malhas multihoming EVPN, apenas implantações no nível do local podem ser feitas sem PoDs.

   No exemplo mostrado aqui, a malha foi criada no nível do site:

   Figura 6: Criação do nível do site da malha

   Escolher a topologia de malha de campus

2. Selecione a opção de Multihoming EVPN de malha de campus abaixo:
   Figura 7: Criação de malha multihoming EVPN

   A Mist fornece uma seção para nomear a malha de campus Multihoming EVPN:

   • Configuração — Forneça um nome de acordo com os padrões da empresa.
   • Endereço MAC do gateway virtual v4 — Aqui, você pode configurar o endereço MAC global do gateway usado para todas as VLANs (o padrão atribuído). Ou o endereço MAC pode ser exclusivo por VLAN (o que é preferido na solução de problemas).

   Configurações de topologia

   • BGP Local AS — O número BGP AS usado para todas as interações do plano de controle.
   • Base AS — Representa o ponto de partida dos números AS BGP privados que são alocados automaticamente por dispositivo de núcleo colapsado. Você pode usar qualquer intervalo de números BGP AS privado adequado à sua implantação.
   • Sub-rede — Representa o pool de endereços IP usados para links P2P entre dispositivos. Você pode usar qualquer intervalo adequado à sua implantação. A Mist divide essa sub-rede em endereçamento de sub-rede /31 por link. Esse número pode ser modificado para se adequar à escala de implantação específica. Por exemplo, /24 fornece até 128 sub-redes P2P /31.
   • Sub-rede de ID do roteador automático — Representa o pool de endereços IP associados ao endereço de loopback de cada dispositivo. Cada dispositivo receberá automaticamente um endereço IP de loopback de /32 atribuído a partir deste pool. Você pode usar qualquer intervalo adequado à sua implantação. O tunelamento VXLAN usando um VTEP está associado a esse endereço. Os endereços IP de loopback atribuídos aqui são visíveis apenas na rede de transporte underlay. A definição desses endereços IP de loopback underlay é crítica para o funcionamento da malha EVPN-VXLAN.
   Observação:

   Recomendamos configurações padrão para todas as opções, a menos que entrem em conflito com outras redes conectadas à malha do campus. Os links P2P entre cada camada utilizam endereçamento /31 para conservar endereços.

   Selecionar nós de malha de campus

3. Selecione os dispositivos para participar de cada camada do Multihoming EVPN de malha de campus. Recomendamos que você valide a presença de cada dispositivo no inventário de switches do site antes da criação da malha do campus.

   O próximo passo é atribuir os switches às camadas. Como os switches foram nomeados em relação à funcionalidade da camada de destino, eles podem ser rapidamente atribuídos às suas funções.

   Figura 8: Selecionar os nós de malha
   

4. Depois que todos os dispositivos tiverem sido atribuídos às camadas apropriadas, você deverá fornecer um endereço IP de loopback underlay para cada dispositivo (com exceção dos switches de acesso). Essa interface de loopback está associada a uma construção lógica chamada VTEP; usado para originar o túnel VXLAN. O multihoming EVPN de malha de campus tem VTEPs para tunelamento de VXLAN nos switches de núcleo colapsado.

   Ao definir um prefixo de sub-rede de ID de roteador automático, as atribuições de endereço IP de loopback de underlay e ID de roteador acontecem automaticamente. Não há necessidade de atribuí-los manualmente. Faça uso desta prática recomendada.

   Configuração de redes

5. Insira as informações de rede, como VLANs e opções de VRF. As VLANs são mapeadas para VNIs e podem, opcionalmente, ser mapeadas para VRFs para fornecer uma maneira de separar logicamente o tráfego, como o tráfego de dispositivos IoT do tráfego de TI da Corp.

   Figura 9: Configurar redes

   Redes

6. As VLANs podem ser criadas ou importadas nesta seção, incluindo a sub-rede IP e o gateway padrão para cada VLAN.

   A seção Elementos compartilhados do modelo de malha de campus inclui a seção de redes mencionada acima, onde as VLANs são criadas.

   Figura 10: Redes herdadas pelo modelo de switch

7. De volta à construção da malha do campus, selecione o modelo existente que inclui informações de VLAN de Camada 2. Todas as informações de VLAN e IP são herdadas do modelo.

   Figura 11: Importação de rede do modelo

   As redes podem ser editadas, adicionadas de novo ou adicionadas a partir de um modelo existente:

   Figura 12: Editar uma rede

   Para cada rede, adicione as informações da sub-rede e dos gateways virtuais seguindo os exemplos abaixo:

   Figura 13: Rede 1099 e VGA
   Figura 14: Rede 1088 e VGA
   Figura 15: Rede 1033 e VGA

   Outra configuração de IP

   O Juniper Mist Wired Assurance oferece endereçamento IP automático para interfaces IRB para cada uma das VLANs. Os perfis e as configurações de porta associam a VLAN às portas especificadas. Nesse caso, selecionamos o multihoming EVPN da malha de campus no início da construção da malha de campus. Essa opção usa endereçamento de gateway virtual para todos os dispositivos que participam da sub-rede de Camada 3. Os switches Core1 e Core2 são configurados com um endereço IP compartilhado para cada sub-rede de Camada 3. Esse endereço é compartilhado entre os dois switches principais e atua como o gateway padrão para todos os dispositivos dentro da VLAN. Cada dispositivo de núcleo também recebe um endereço IP exclusivo escolhido pela Juniper Mist. Todos os endereços podem ser gerenciados de acordo com os requisitos do cliente. A Juniper Mist atribui endereços IP para Core1 e 2 começando no início de cada sub-rede, e o usuário final pode modificar esses endereços IP de acordo. Por exemplo, essa implantação usa x.x.x.1 como gateway padrão para cada VLAN e x.x.x.254 como gateway de último recurso (um roteador MX neste caso) para todo o tráfego que sai da VLAN. Portanto, modificamos os endereços IP atribuídos ao Core1 de x.x.x.1 para x.x.x.3, permitindo que o gateway virtual use x.x.x.1 para todas as VLANs.

   Figura 16: IP estático Core1 da VLAN overlay usada
   Figura 17: Core2 estático

   Por padrão, todas as VLANs são colocadas no VRF padrão. A opção VRF permite agrupar VLANs comuns no mesmo VRF ou VRFs separados, dependendo dos requisitos de isolamento de tráfego. Este exemplo inclui três VRFs ou instâncias de roteamento: corp-it, developers e guest-wifi.

8. Aqui, você cria o primeiro VRF corp-it e seleciona a vlan 1099 predefinida.

   Figura 18: Habilitar VRF
   Figura 19: Atribuir rede ao VRF

   Por padrão, as comunicações inter-VRF não são suportadas na malha do campus. Se as comunicações inter-VRF forem necessárias, cada VRF pode incluir rotas extras, como uma rota padrão que instrui a malha do campus a usar um roteador ou firewall externo para inspeção de segurança adicional ou recursos de roteamento. Neste exemplo, todo o tráfego é entroncado pelo ESI-LAG e o firewall SRX lida com o roteamento inter-VRF. Consulte a Figura 11: Topologia.

   Observe que o firewall SRX participa das VLANs definidas na malha do campus e é o gateway de último recurso para todo o tráfego que sai da sub-rede.

9. Selecione a opção Adicionar rotas extras para informar a Juniper Mist a encaminhar todo o tráfego que sai de 10.99.99.0/24 para usar o próximo salto do roteador MX: 10.99.99.254.

   Figura 20: Adicionar rota padrão

10. Crie dois VRFs adicionais:

    1. Os desenvolvedores VRF usando vlan 1088 com 0.0.0.0/0 utilizando 10.88.88.254
    2. O VRF guest-wifi usando vlan 1033 com 0.0.0.0/0 utilizando 10.33.33.254
    Figura 21: Configuração de toda a rede e VRF

11. Como próxima etapa, você precisa fornecer um nome como "fabric-lag" que a malha usará para estabelecer as interfaces LAG redundantes entre todos os switches de acesso e de núcleo colapsado. Todas as VLANs criadas devem ser adicionadas automaticamente já como futuras redes troncal.

    Figura 22: Configuração do LAG de malha

12. A seção configura os troncos ESI-LAG ativos-ativos entre os switches de distribuição e acesso. Aqui, nomeamos a configuração da porta e incluímos VLANs associadas a essa configuração. A guia avançada fornece opções de configuração adicionais:

    Figura 23: LAG de malha
    Observação:

    Recomendamos configurações padrão, a menos que requisitos específicos sejam necessários.

13. Agora que todas as VLANs estão configuradas e atribuídas a cada VRF e os ESI-LAGs de distribuição e acesso foram criados, clique no botão Continuar no canto superior direito do portal para passar para a próxima etapa.

    Configurar portas de malha de campus

    A etapa final é a seleção das portas físicas entre os switches de núcleo e de acesso.

    Figura 24: Visão geral da porta
    Observação:

    Para garantir a precisão, recomendamos que você execute o comando CLI "show lldp neighbors" em ambos os switches de núcleo colapsado antes desta etapa no processo de implantação.

    Switches de núcleo colapsado

    Núcleo1:

14. Agora estamos prontos para selecionar as portas que interconectam os switches de núcleo colapsado. Você deve selecionar et-0/0/48 como um link de núcleo recolhido e escolher Link1.

    Figura 25: Núcleo do primeiro link1
15. Core1 segundo link. Você deve selecionar et-0/0/49 como um link de núcleo colapsado e escolher Link2.
    Figura 26: Segundo núcleo de link1
    
16. Core1 primeiro link para Access1. Você pode selecionar xe-0/0/1 como um link para o Access1.

    

17. Este é o segundo link do Core1 para o Access2. Você pode selecionar xe-0/0/2 como um link para o Access2.

    

    Núcleo 2:

18. Este é o primeiro link do Core2. Você deve selecionar et-0/0/48 como um link de núcleo colapsado e, em seguida, escolher Link1.
19. Este é o segundo link do Core2. Você deve selecionar et-0/0/49 como um link de núcleo colapsado e, em seguida, escolher Link2.

    

    

20. Este é o primeiro link do Core2 para o Access1. Você pode selecionar xe-0/0/1 como um link para o Access1.

    

21. Este é o primeiro link do Core2 para o Access2. Você pode selecionar xe-0/0/2 como um link para o Access2.

    Switches de acesso

    Agora você pode selecionar as portas que se interconectam com os switches de núcleo colapsado.

    Selecione os uplinks e a velocidade da interface, permitindo que a Juniper Mist defina cada índice AE. Nesse caso, os uplinks xe-0/2/0, xe-0/2/3 são selecionados como links para o núcleo em ambos os switches de acesso e AE Index 0/1 (numeração padrão do sistema) no Access2 e 1, respectivamente.

    Acesso 1:

    

    Acesso 2:

    

    Depois de selecionar todas as combinações de porta necessárias, clique no botão Continuar no canto superior direito do portal.

    Confirmação de configuração da malha de campus

    Esta última seção fornece a capacidade de confirmar a configuração de cada dispositivo, conforme mostrado abaixo:

    Figura 27: Visualização de confirmação de malha
    Observação:

    Como configuramos o uso da sub-rede de ID do roteador automático, os endereços IP de loopback de underlay ainda podem não ser atribuídos nesta página e os avisos podem aparecer como os mostrados acima. Ignore isso por enquanto, pois as atribuições acontecem quando você aplica a configuração pela primeira vez.

22. Depois de concluir a verificação, selecione a opção Aplicar alterações no canto superior direito do portal.

    Figura 28: Aplicar alterações à malha

    Você deve concluir a confirmação do segundo estágio para criar a malha.

    A Juniper Mist exibe o banner a seguir, incluindo o tempo estimado para a criação da malha de campus. O processo inclui o seguinte:

    • A Juniper Mist constrói as interfaces P2P entre os dispositivos de distribuição e de núcleo com endereços IP escolhidos na faixa apresentada no início da construção.
    • Configurando cada dispositivo com um endereço de loopback do intervalo apresentado no início da compilação.
    • O eBGP é provisionado em cada dispositivo com números de sistema autônomo BGP exclusivos. O objetivo principal da underlay é aproveitar o ECMP para balanceamento de carga de tráfego em um nível por pacote para acessibilidade de loopback do dispositivo. O objetivo principal da sobreposição de eBGP é o transporte do tráfego do cliente usando a EVPN-VXLAN.
    • Aplicação de endereços IP em cada IRB de gateway de Camada 3 localizado em Dist1 e Dist2.
    • Aplicação de endereços IP em cada interface de loopback, o que é feito automaticamente neste caso.
    • Configuração de políticas de roteamento para conectividade underlay e overlay.
    • Otimizando as configurações de MTU para pacotes de underlay P2P, IRB de Camada 3 e ESI-LAG.
    • Mapeamento de VXLAN para VLAN usando endereços VNI que são atribuídos automaticamente.
    • Criação de VRFs para corp-it, desenvolvedores e guest-wifi e as VLANs associadas a cada VRF.
    • Criação de túneis VXLAN entre dispositivos de distribuição e dispositivos de núcleo de distribuição (em suporte ao roteador MX northbound que é configurado nas etapas subsequentes).
    • Criar uma tabela de conexão para download (formato CSV) que possa ser usada pelos envolvidos na construção física da malha do campus.
    • Exibição de uma interface gráfica que descreve todos os dispositivos com peering BGP e o status dos links físicos.
    Figura 29: Aplicação de mudanças

23. Depois de clicar em Fechar configuração da malha de campus, você pode ver um resumo do multihoming EVPN da malha de campus recém-criado.

    Figura 30: Criação da visão da malha multihoming EVPN

Com o Juniper Mist Wired Assurance, você pode baixar uma tabela de conexão (formato CSV) representando o layout físico da malha do campus. Isso pode ser usado para validar todas as interconexões de switch para aqueles que participam da construção da malha física do campus. Depois que a malha do campus estiver criada ou em processo de construção, você poderá fazer o download da tabela de conexões.

Planilha da tabela de conexão:

Aplicar VLANs às portas de acesso

Como discutido anteriormente, a Juniper Mist oferece a capacidade de modelar serviços bem conhecidos, como RADIUS, NTP, DNS, etc., que podem ser usados em todos os dispositivos dentro de um site. Esses modelos também podem incluir VLANs e perfis de porta que podem ser direcionados a cada dispositivo em um site. A última etapa antes da verificação é associar VLANs com as portas necessárias em cada switch de acesso.

Nesse caso, Desktop1 e 2 estão associados a portas diferentes em cada switch de acesso, o que requer que a configuração seja aplicada a Access1 e 2, respectivamente. Veja a Figura 1.

Vale ressaltar também que os APs da Juniper se conectam à mesma porta no Access1 e 2, permitindo que o modelo do switch seja personalizado com essa configuração. Por exemplo, o seguinte encontrado na opção de modelo de switch é personalizado para associar cada switch à sua função: núcleo, distribuição e acesso. Além disso, todos os switches de acesso (definidos pelo switch EX4400 da Juniper Networks®, como exemplo) associaram o perfil de porta do AP chamado "myaccess" ao ge-0/0/16 sem a necessidade de configurar cada switch de forma independente.

Usando o Access1 como exemplo, aplicamos vlan1099 à porta ge-0/0/11 na seção Configuração de porta no Access1. Neste exemplo, vlan1099 (corp-it), vlan1088 (desenvolvedores) e vlan1033 (guest-wifi) são definidos no modelo de switch. Aqui, vlan1099 é selecionado no perfil de configuração:

A definição do modelo de switch para vlan1099 é mostrada abaixo, representando atributos associados a VLANs, como autenticação dot1x, QoS e PoE. Vlan1088 e vlan1033 precisam ser configurados de maneira semelhante.