VXLAN

VXLAN — Ethernet segmentlarini Layer 3 IP tarmog‘i ustida kengaytiradigan overlay texnologiyasi. Uning to‘liq nomi Virtual Extensible LAN hisoblanadi.

VXLAN ma’lumotlar markazida ko‘plab virtual tarmoqlar yaratish, workloadlarni turli rack va serverlar orasida ko‘chirish hamda fizik tarmoqdan mustaqil tenant segmentatsiyasini tashkil qilish uchun ishlatiladi.

Oddiy VLAN 12 bitli identifikatorga ega. VXLAN esa 24 bitli VNI ishlatadi va qariyb 16 million segmentni ifodalay oladi.

Underlay va overlay

VXLAN arxitekturasi ikki qatlamga bo‘linadi.

Underlay

VTEPlar orasida IP paketlarni yetkazadigan fizik tarmoq.

Underlay tarkibi:

spine va leaf switchlar;
routerlar;
IP routing;
ECMP;
OSPF yoki BGP;
fizik linklar;
MTU.

Underlay VXLAN ichidagi MAC manzillarni bilishi shart emas.

Overlay

VXLAN tunnel va VNIlar orqali yaratilgan virtual tarmoq.

Overlay tenant segmentlari, virtual Layer 2, distributed gateway, EVPN control plane va workload reachabilityni boshqaradi.

VTEP

VXLAN Tunnel Endpoint Ethernet frame’ni VXLAN paketiga kapsulalaydi va qabul tomonda ochadi.

VTEP quyidagi qurilmalarda bo‘lishi mumkin:

leaf switch;
hypervisor;
virtual switch;
router;
software network node.

Ingress VTEP asl Ethernet frame oldiga VXLAN, UDP va tashqi IP header qo‘shadi.

Egress VTEP kapsulani ochib, asl frame’ni lokal segmentga uzatadi.

VXLAN packet

Kapsulalash:

Outer Ethernet
Outer IP
UDP
VXLAN header
Inner Ethernet
Inner payload

Tashqi header underlay tarmoqda ishlaydi. Ichki Ethernet frame overlay tenantga tegishli.

VNI

VXLAN Network Identifier 24 bitli segment identifikatori.

Misol:

VNI 10010 — Web network
VNI 10020 — Database network
VNI 20010 — Boshqa tenant

Bir xil VLAN ID turli leaflarda boshqa VNIga bog‘lanishi mumkin.

VLAN lokal switch domenida, VNI esa butun overlay bo‘ylab mantiqiy segmentni ifodalaydi.

UDP port

VXLAN odatda UDP 4789-portdan foydalanadi.

Ba’zi eski implementatsiyalar boshqa portdan foydalangan bo‘lishi mumkin.

Tashqi UDP source port hash asosida tanlanadi. Underlay switchlar source va destination IP hamda UDP portlar bo‘yicha ECMP yo‘l tanlaydi.

Bu bir nechta VXLAN oqimini parallel fizik yo‘llarga taqsimlashga yordam beradi.

Flood and learn

Dastlabki VXLAN implementatsiyalarda MAC manzil joylashuvi data plane orqali o‘rganilgan.

Unknown destination frame multicast underlay, head-end replication yoki flood list orqali boshqa VTEPlarga yuboriladi.

Qabul VTEP source MACni tashqi VTEP IP bilan bog‘lab o‘rganadi.

Kamchiligi:

ko‘p flooding;
multicast infratuzilmasi;
MAC convergence;
katta scale’da ko‘p state.

BUM trafik

BUM quyidagilarni anglatadi:

Broadcast;
Unknown Unicast;
Multicast.

VTEP BUM trafficni tegishli VNIga a’zo boshqa VTEPlarga yetkazishi kerak.

Underlay multicast

Har VNI yoki VNI guruhiga multicast group bog‘lanadi.

Head-end replication

Ingress VTEP frame’dan har remote VTEP uchun unicast nusxa yaratadi.

Multicast talab qilmaydi, lekin ko‘p VTEPda bandwidth sarfi oshadi.

EVPN

Ethernet VPN VXLAN uchun BGP asosidagi control plane sifatida ishlatiladi.

EVPN MAC va IP reachabilityni VTEPlar orasida oldindan tarqatadi.

Afzalliklari:

flooding kamayadi;
MAC mobility;
distributed gateway;
multihoming;
ARP va ND suppression;
aniq control plane;
tenant route policy.

MP-BGP EVPN route turlarini tashiydi.

MAC/IP advertisement

EVPN VTEPga MAC manzil, IP manzil, qaysi VTEPda joylashgani, VNI yoki route target va mobility sequence haqida ma’lumot beradi.

Remote VTEP destination MAC qayerdaligini oldindan bilib, frame’ni aniq VTEPga unicast yuboradi.

ARP suppression

Oddiy Layer 2 segmentda ARP Request broadcast qilinadi.

EVPN control plane MAC/IP bindingni bilsa, local VTEP ARPga proxy javob berishi mumkin.

Natijada:

broadcast kamayadi;
overlay bandwidth tejaladi;
host javobi tezlashadi.

IPv6da shunga o‘xshash Neighbor Discovery suppression ishlatiladi.

Distributed Anycast Gateway

Har leaf switch bir xil virtual gateway IP va MACni taqdim etishi mumkin.

Host o‘ziga yaqin leafda routing qiladi.

Afzalligi:

trafik markaziy routerga qaytmaydi;
workload ko‘chsa gateway o‘zgarmaydi;
east-west trafik qisqaradi;
active-active dizayn.

Gateway MAC barcha leaflarda bir xil bo‘lishi mumkin.

Symmetric va asymmetric IRB

VXLAN routingda Integrated Routing and Bridging ishlatiladi.

Asymmetric IRB

Ingress VTEP source VNI dan destination VNI ga routing qiladi. Egress tomonda bridging bo‘ladi.

Kamroq VNI state talab qilishi mumkin, lekin trafik modeli murakkab va scale cheklangan.

Symmetric IRB

Ingress VTEP source VNI dan Layer 3 VNIga routing qiladi. Egress VTEP Layer 3 VNIdan destination VNIga routing qiladi.

Katta fabriclarda ko‘proq tarqalgan.

MTU

VXLAN taxminan 50 bayt atrofida qo‘shimcha overhead yaratadi.

Inner Ethernet MTU 1500 bo‘lsa, underlay kattaroq MTUni qo‘llashi kerak.

Amalda 1550 yoki undan yuqori MTU, jumbo frame va barcha underlay linklarda bir xil qiymat ishlatiladi.

MTU mos kelmasa packet drop, fragmentatsiya, TCP muammosi va tunnel ping ishlamasligi mumkin.

ECMP

Leaf-spine underlayda VTEPlar orasida bir nechta teng yo‘l bo‘ladi.

VXLAN outer UDP source port oqim hashini boyitadi. ECMP packetlarni turli spine orqali taqsimlaydi.

Bitta flow odatda bir yo‘lda saqlanadi. Ko‘p flow aggregate bandwidthdan foydalanadi.

MAC mobility

Virtual mashina bir VTEPdan boshqasiga ko‘chsa, MAC joylashuvi o‘zgaradi.

EVPN mobility sequence yangi e’lonning eskisidan yangiroq ekanini bildiradi.

Remote VTEPlar MAC route’ni yangilaydi va trafikni yangi leafga yuboradi.

Loop yoki duplicate MAC holati aniqlanishi mumkin.

Multihoming

Server yoki downstream switch ikki leafga ulangan bo‘lishi mumkin.

EVPN multihoming Ethernet Segment Identifier, Designated Forwarder, split horizon, aliasing va mass withdrawal mexanizmlarini ishlatadi.

Bir leaf ishlamay qolsa, remote VTEPlar ko‘plab individual MAC e’lonini kutmasdan segment route orqali tez yangilanadi.

Xavfsizlik

VXLAN segmentatsiya beradi, lekin payloadni avtomatik shifrlamaydi.

Himoya:

VNI va VRF ajratish;
route target policy;
underlay ACL;
control plane autentifikatsiyasi;
management izolatsiyasi;
workload firewall;
microsegmentation;
MAC/IP validation;
monitoring.

Untrusted underlay orqali maxfiy trafik uchun IPsec yoki MACsec qo‘llanishi mumkin.

Diagnostika

VXLAN muammosida:

underlay IP reachability;
VTEP loopback;
UDP 4789;
VNI mapping;
VLAN mapping;
EVPN BGP session;
route target;
MAC/IP route;
ARP suppression;
anycast gateway;
BUM replication;
MTU;
ECMP;
VRF route

tekshiriladi.

Underlay ping ishlashi overlay VNI va EVPN policy to‘g‘ri ekanini kafolatlamaydi.

Bog‘liq tushunchalar

Overlay, Underlay, VTEP, VNI, EVPN, BGP, Leaf-spine, Anycast gateway, ARP suppression, ECMP, VRF, VLAN