Overlay — mavjud fizik yoki mantiqiy tarmoq, ya’ni underlay ustida tunnel va virtual identifikatorlar orqali qurilgan qo‘shimcha tarmoq qatlamidir. Virtual mashina, container yoki tenant endpointlari underlay topologiyasidan mustaqil adreslanishi mumkin. VXLAN, GRE va IPsec tunnel overlay yaratishda ishlatiladigan texnologiyalardir.
Underlay va overlay
Underlay tunnel endpointlari o‘rtasida IP reachability beradi. U router, link, MTU va congestionni boshqaradi. Overlay inner packetni outer headerga encapsulate qilib, underlay orqali boshqa tunnel endpointga yetkazadi. Destinationda decapsulation bajariladi.
Overlay underlay nosozligini yo‘q qilmaydi. Packet loss, latency va routing loop tunnel ichidagi trafikda ham ko‘rinadi. Diagnostika inner flow bilan outer pathni alohida kuzatadi.
VXLAN modeli
VXLAN Layer 2 frame ni UDP paketga joylaydi va 24-bit VXLAN Network Identifier orqali segmentni ajratadi. VTEP virtual endpoint bilan underlay o‘rtasida encapsulation qiladi. An’anaviy VLANdagi 12-bit segment chegarasiga nisbatan ko‘proq virtual network hosil bo‘ladi.
Unknown unicast va broadcast trafik flood-and-learn yoki control plane orqali boshqarilishi mumkin. EVPN MAC va IP reachabilityni BGP orqali tarqatib, data-plane floodingni kamaytiradi. Noto‘g‘ri route type yoki stale MAC mobility yozuvi trafikni eski VTEPga yuborishi mumkin.
Tunnel va encapsulation
GRE turli network layer protocolini IP ichida tashiydi, lekin encryption bermaydi. IPsec overlay tunnel confidentiality va integrity beradi. WireGuard ham point-to-point encrypted tunnel yaratishi mumkin. Har encapsulation header overhead va MTUga ta’sir qiladi.
Inner packet outer MTUga sig‘masa fragmentation yoki drop yuz beradi. Tunnel interface MTU, TCP MSS clamping va Path MTU Discovery muvofiqlashtiriladi. ICMP bloklansa PMTU black hole faqat ayrim katta paketlarda ko‘rinishi mumkin.
Multi-tenancy
Tenantlar bir xil private IP diapazonidan foydalanishi mumkin, chunki virtual network identifikatori ularni ajratadi. Isolation faqat VNIga tayanmaydi; control plane authorization, security group va routing policy ham kerak. Noto‘g‘ri tunnel mapping boshqa tenant trafikini ochishi mumkin.
Overlay gateway virtual networkni fizik tarmoq, internet yoki boshqa overlayga ulaydi. East-west va north-south trafik turli gateway va policydan o‘tadi. Hairpin route suboptimal latency yaratmasligi uchun topology rejalashtiriladi.
Kuzatuv va cheklovlar
Packet capture tunnel tashqarisida outer headerni, ichkarisida original packetni ko‘rsatadi. Flow log VNI, VTEP va inner 5-tuple ni bog‘lasa tahlil osonlashadi. Hardware offload sabab host capture ayrim checksum yoki segmentationni wire dagidan boshqacha ko‘rsatishi mumkin.
Overlay boshqaruvni moslashuvchan qiladi, lekin control plane, encapsulation va distributed state murakkabligini qo‘shadi. Underlay barqaror IP fabric bo‘lishi, overlay esa tenant va service talabini ifodalashi mumkin.
Identifikator va masshtab
Overlay segmenti VLAN, VNI, tunnel ID yoki application namespace kabi mantiqiy identifikator bilan ajratiladi. Identifikatorning o‘zi access control emas: endpoint qaysi segmentga qo‘shilishi authentication va policy orqali tekshiriladi. Control plane endpoint manzili bilan uning underlay joylashuvini xaritalaydi; stale mapping trafikni eski hostga yuborishi mumkin. Katta deploymentda tunnel soni, MAC yoki route yozuvlari, multicast o‘rnini bosuvchi replication va MTU xarajati oldindan hisoblanadi. Overlay qulay abstraksiya beradi, lekin underlay packet loss va congestionni yo‘q qilmaydi.
Bog‘liq tushunchalar
Underlay, VXLAN, VTEP, EVPN, Network tunnel, Encapsulation, Multi-tenancy