Topologia de redes e rotas

Resumo curto

A rede é construída em torno de três pilares: topologia, segmentação, rotação. A fábrica moderna é a Leaf-Spine (fat-tree) com ECMP, overlay VXLAN/EVPN para extensões L2 e BGP como «cola universal». Os SLO corretamente definidos para atrasos/perdas, QoS e fast-failover tornam o comportamento previsível sob RPS de pico.

Modelos básicos de topologia

Core/Distribuição/Access (clássico)

Bom para pequenas redes/escritórios.
Contras: «garganta de garrafa» na Core, pior escala horizontal.

Leaf-Spine (fat-tree, CLOS)

Spine - auto-estrada, Leaf - tor-switch para servidores.
Todos os Leaf estão ligados a todos os Spine → ECMP e previsível atraso.
Zoom - adicionando Leaf/Spine sem refazer o plano de endereços.

Ring/Mesh/Star

Usado pontualmente (PoP, campus). Para a DC, é limitado.

Recomendação: para o Centro e grandes locais - Leaf-Spine. Para filiais/escritórios, é um Core/Access + SD-WAN simplificado.

Segmentação e espaço de endereços

VLAN - L2 segmentação (domínios Broadcast).
VRF - L3 segmentação (Multiplicidade, dave/stg/prod).
IPAM/somarização: planeje os blocos '/24 'para o serviço/área, agregue em '/20' ou superior para as políticas de rotação simples.
Dual-stack: IPv4 + IPv6, SLAAC/DHCPv6, RA-guard, políticas de prefixo.

Overlay/Underlay: VXLAN/EVPN

Underlay: Fábrica de IP (Leaf-Spine) com iBGP/OSPF/IS-IS.
Overlay: VXLAN move o L2 para cima do L3; EVPN (BGP) - Controle-plain para routagem MAC/IP, multi-tenência via VNI/VRF.
Vantagens: alongamento L2 sem STP, convergências rápidas, políticas centralizadas.

• Leaf - VTEP com loopback para VTEP-IP.
• Spine — route-reflector для EVPN.
• Os tipos de rotas EVPN (MAC/IP, IMET, L3-Interação) fornecem ARP-Supressão e zoom.

Protocolos de rotação e papel

IGP (dentro do domínio)

OSPF/IS-IS: convergência rápida, metrificação simples. Bom para underlay.
iBGP: acima ou sem IGP (BGP-only fabric) com road-reflector 'ami.

EGP (entre domínios)

eBGP: peering com provedores/PSP/CDN, política de comunities/LP/AS-Path.
Anycast: IP idêntico em vários PoP, roading «próximo» (BGP + health-check-up).

ECMP и fast-failover

O ECMP distribui os fluxos entre caminhos iguais.
Siga o flow-hash (5-tuple), evite a assimetria para o stateful middlebox 'ov.
BFD/fast-hellos para trocas rápidas (<1 s).

Políticas de rotação (TE)

LocalPref/Med/AS-Path é uma seleção de aplinks.
Comunities - Especifique o tráfego (prod/stg, PSP de pagamento, CDN) para soluções diferenciadas.
Blackhole/Sinkhole - rápido «buraco negro »/32 para ataques.
uRPF/RTBH é anti-spoofing e um buraco negro removido com o provedor.

Conectividade dos escritórios ↔ DC/Cloud

SD-WAN: seleção dinâmica de canal (MPLS/INTERNET/LTE), criptografia, políticas para-app.
MPLS L3VPN: VRF isolado entre os locais, atraso determinado.
IPec/GRE over IPSec/WireGuard: início rápido, mas planeje MTU/Fragmentation e QoS.

NAT, CGNAT e acesso à internet

NAT44/NAT66 (raro) e NPTv6. Para as integrações de pagamento, guarde a fonte pool IP e listas brancas.
balanço egress: várias passarelas NAT por ECMP, sticky por hash.
Hairpin/Policy-Based Routing - para especificidades DMZ/inspeção.

QoS e classes de tráfego

Classes: real-time (VoIP/fidas de bolsa), interativo (API), bulk (bacapes/ETL).
Marking (DSCP), policing/shaping, LLQ/WRR.
Proteção API/pagamentos - Classe dedicada com garantia de atraso mínimo; bulk limite em picos.

Segurança de rotação

BGP: TTL security, max-prefix, RPKI (rota-originação), prefix-filters do provedor.
IGP: autenticação de vizinhos (HMAC), isolamento de plano de gestão (OOB).
Segmentação: VRF para áreas de «pagamento», «operação», «público»; O ACL Mage VRF é apenas para as portas desejadas.
Serviços Anycast: health → withdraw anúncio de degradação.

Observabilidade e SLO

SLO (exemplos)

Dentro do Centro de Dados: RPT p95 ≤ 200-300 £ s, perda ≤ 0. 01%.
Entre os locais (L3VPN/SD-WAN): RPT p95 ≤ X ms (pelo seu perfil), perda ≤ 0. 1%.
Convergência em falha: ≤ 1 c (IGP/BFF), ≤ 5 c (eBGP).

Métricas

«RPT», «loss», «jitter», «ECMP entropy», «BFF state», «BGP preferes/changes», «CPU/TCAM» nos switches, preencher filas de QoS.
Activing: IP-SLA/SmokePing, para-classe QoS.
Telemetria Flow: sFlow/NetFlow/IPFIX para perfis de tráfego e DDoS.

Configs típicos (fatias)

FRR (BGP underlay + EVPN)

conf router bgp 65000 bgp router-id 10. 0. 0. 1 neighbor SPINE peer-group neighbor SPINE remote-as 65000 neighbor 10. 0. 0. 11 peer-group SPINE neighbor 10. 0. 0. 12 peer-group SPINE
!
address-family l2vpn evpn neighbor SPINE activate advertise-all-vni exit-address-family
!
interface lo ip address 10. 0. 0. 1/32

Linux (ECMP egress)

bash ip route add 0. 0. 0. 0/0 \
nexthop via 203. 0. 113. 1 weight 1 \
nexthop via 203. 0. 113. 2 weight 1

BFD para o vizinho (estilo Cisco, conceito)

bfd interval 50 min_rx 50 multiplier 5 interface Po1 bfd echo ip ospf network point-to-point

Operações e DR

Mudança-control: entrada gradual (um Leaf/Spine), canary de um VNI/VRF.
Auto-pontuação (auto-withdraw): o serviço é degradado - retiramos Anycast-/32.
Runbooks: perda de Spine, galhos EVPN, fechamento de caminhos ECMP, degradação de abanagem, blackhole-inserção.
Documentação do IPAM: quem possui a subscrição/AS, onde está o anúncio, onde está o NAT.

Folha de cheque de implementação

• A topologia selecionada (Leaf-Spine), a oversubscrição e a largura do fat-tree.
• IPAM: somarização, reserva sob estatura, blocos individuais sob overlay loopback 'i.
• Underlay IGP/iBGP, BFD; Overlay EVPN/VXLAN, RR на Spine.
• WRF/LCA para zonas, east-west e políticas north-sul.
• Design Egress: Pulas NAT, listas brancas PSP/CDN, Anycast onde você quiser.
• Classes QoS e SLO (PTT/loss/jitter), monitoramento por classe.
• Detecção e proteção: RPKI, prefix-filters, uRPF, RBH.
• Observabilidade: alterações BGP, BFF, IP-SLA, sFlow; dashboards/alertas.
• Planos DR: falha Spine/linha/aplique, withdraw Anycast, migração de tráfego.

Erros típicos

Alongamento L2 sem EVPN/VXLAN → tempestades STP e failover imprevisível.
Sem BFD/fast-helos → longas trocas de tempo e aplicativos.
Um plano IP manual sem somar → uma explosão de tabelas de rotas.
ECMP-hash sobrecarregado, assimetria e problemas com filtros stateful.
A falta de RPKI/prefix-filters no eBGP → o risco de hajjeck.
«padrão» API compete com bacapes.
Anycast sem health-driven withdraw → buracos negros em falhas parciais.

Especificidades para iGaming/Fintech

Baixa p95 para API/pagamentos: classe QoS dedicada, Anycast-endpoint, latency-roting para DNS/GSLB.
Listas brancas PSP/provedores: egress-IP fixo, pool de reserva, mudança rápida.
Eventos de pico: headroom ≥ 30% em links de Spine↔Leaf, canetas para desligar a classe bulk.
Regulação/PII: Isolamento de VRF, criptografia e2e, áreas rígidas de LCA.

Mini-playbooks

1) Rápido withdraw Anycast em degradação

1. Health-check

2) Tradução do tráfego para aplink de reserva

1. Baixar LocalPref principal → 2) elevar para → 3) observar perda/RPT → 4) registrar alterações.

3) Expansão de fábrica «quente»

1. Adicionar Spine, ligar todos os Leaf → 2) adicionar Leaf-pares nos balcões → 3) iBGP/OSPF vizinhança, verificar a entropia ECMP → 4) transferência de carga.

Resultado

Rede sustentável é Leaf-Spine + ECMP, EVPN/VXLAN para flexibilidade L2/L3-Multiplicidade, políticas BGP e failover rápido sob controle de métricas. Adicione IPAM, QoS, RPKI/filtros, health→routing de comunicação automatizados e runbook vivo - e sua plataforma será previsível para entregar tráfego mesmo na hora mais quente.