Nota: todos os itens abaixo presumem que você tenha um único site, com dois circuitos ISP. Por favor, deixe-me saber se esse não é o caso.
Para o roteamento entre seu núcleo corporativo e sua DMZ, parece que o roteamento estático é perfeitamente apropriado; rota padrão apontando para os firewalls, uma rota para suas sub-redes internas (10.0.0.0/8, a partir dos sons dela), de volta para seus roteadores principais. (Embora exista uma escola de pensamento que diz que a Internet não deve ser roteada de sua rede principal; mais sobre isso em um adendo no final.) Dito isso, se você resumir nitidamente, não haveria muita sobrecarga na execução do OSPF, EIGRP ou mesmo EBGP entre o seu núcleo e o seu DMZ. Geralmente é a preferência pessoal do engenheiro.
Em relação ao roteamento entre sua DMZ e seus provedores, há dois aspectos:
- Como seus ISPs são direcionados para você
- Como você viaja para a internet através dos seus ISPs
Em relação a (1): você tem espaço de endereço independente do provedor, permitindo que seu servidor VPN e servidor web sejam apresentados por ambos os provedores? Supondo que este seja o caso, sugiro que executar o EBGP para seus provedores não seja uma má ideia - ele permite que você influencie qual ISP é o preferido para o seu tráfego de entrada, através do uso de vários atributos do BGP. Se seus servidores estiverem em um espaço de endereço específico do provedor, não haverá benefício em dinamicamente anunciar rotas para seus ISPs; eles podem também estaticamente encaminhar para você.
Em relação a (2): uma rota estática padrão para um endereço HSRP / VRRP em seus roteadores de borda funcionará; você pode usar o rastreamento de objetos (em plataformas Cisco) para determinar a 'integridade' do circuito ISP conectado localmente em cada roteador, talvez fazendo ping de um IP bem conhecido. Se o objeto rastreado for desativado, o roteador poderá ser configurado para diminuir sua prioridade de HSRP / VRRP, com falha do tráfego para o outro link.
Dito isso, o uso de um padrão é muito claro, e não permite que você faça uso de peerings diretos que seu ISP possa ter com grandes provedores de conteúdo (por exemplo, akamai, BBC, etc). Se isso puder ser útil, o peering da EBGP permitirá que você obtenha mais visibilidade da conectividade de seus ISPs. Muitos oferecem comunidades padrão que permitem que você aceite rotas de 'clientes', o que significa que você tem rotas específicas para qualquer cliente diretamente conectado do seu ISP, mas não precisa manter uma cópia da tabela BGP completa da Internet.
Um aparte: olhando para a sua descrição, parece que uma infraestrutura que pode estar faltando é um proxy da internet. Há muito a ser dito por não permitir que seus hosts internos sejam encaminhados diretamente para a Internet; se a maioria do tráfego de saída for apenas navegação na Web, instalando um (ou dois, para failover) proxy em sua DMZ, você poderá remover a necessidade de sua rede interna ter uma rota padrão para a DMZ. Basta encaminhar para as sub-redes DMZ (onde o proxy reside) e ter acesso à Internet limitado à sua DMZ. Alguns benefícios:
- Controle centralizado de políticas; Ele permite que você restrinja o acesso a sites considerados por pessoas de gerenciamento / segurança como inadequados ou de alto risco.
- Limita a capacidade de qualquer malware que faz com que as estações de trabalho dos usuários toquem em "telefone de casa". Qualquer coisa que tente encaminhar diretamente para endereços da Internet não será capaz de se conectar; qualquer coisa que tente usar o proxy terá que usar apenas as portas permitidas (80/443), e se você assinar um bom provedor de lista negra, seu proxy poderá reduzir ainda mais sua exposição.
Grande pergunta. :)
