Interconexão de data center VXLAN usando visão geral da EVPN

Entendendo o VXLAN

Virtual Extensible Local Area Network (VXLAN) é um protocolo de encapsulamento de Camada 3 que permite que os roteadores da Série MX empurrem pacotes de Camada 2 ou Camada 3 através de um túnel VXLAN para um data center virtualizado ou na Internet. A comunicação é estabelecida entre dois endpoints de túnel virtual (VTEPs), que podem ser hosts finais ou switches ou roteadores de rede, que encapsulam e des encapsulam o tráfego de máquina virtual (VM) em um cabeçalho VXLAN.

O VXLAN é frequentemente descrito como uma tecnologia de sobreposição porque permite estender as conexões de Camada 2 em uma rede de Camada 3 intervindo encapsulando quadros Ethernet (tunelamento) em um pacote VXLAN que inclui endereços IP. Esse recurso da VXLAN atende aos requisitos de um data center multi-locatário, onde o VM de cada locatário pode estar compartilhando o servidor físico com outros locatários que são distribuídos em servidores físicos dentro ou em diferentes data centers, atendendo à crescente necessidade de fornecer conectividade de Camada 2 perfeita entre todas as VMs de propriedade de um locatário, além de isolar o tráfego de cada locatário para segurança e possíveis sobreposições de endereço MAC.

Os túneis VXLAN são criados entre os servidores físicos pelos hipervisores. Como um servidor físico pode hospedar vários locatários, cada hipervisor cria vários túneis VXLAN.

Figura 1: Visão geral do VXLAN

O VXLAN é uma tecnologia que permite segmentar suas redes (como as VLANs), mas que também resolve a limitação de escala das VLANs e oferece benefícios que as VLANs não podem. Alguns dos benefícios importantes do uso de VXLANs incluem:

• Teoricamente, você pode criar até 16 milhões de VXLANs em um domínio administrativo (em oposição a 4094 VLANs em um dispositivo da Juniper Networks).

  Os roteadores da Série MX oferecem suporte a até 32K VXLANs. Isso significa que as VXLANs fornecem segmentação de rede na escala exigida pelos construtores de nuvem para oferecer suporte a um número muito grande de locatários.

• Você pode permitir a migração de máquinas virtuais entre servidores que existem em domínios de Camada 2 separados, tunelando o tráfego em redes de Camada 3. Essa funcionalidade permite alocar dinamicamente recursos dentro ou entre data centers sem ser restringido pelos limites da Camada 2 ou ser forçado a criar domínios de Camada 2 grandes ou geograficamente estendidos.

Entendendo a EVPN

A EVPN é uma nova tecnologia baseada em padrões que oferece conectividade virtual de vários pontos entre diferentes domínios de Camada 2 em uma rede de backbone IP ou IP/MPLS. Semelhante a outras tecnologias VPN, como IPVPN e VPLS, instâncias EVPN (EVIs) são configuradas em roteadores PE para manter a separação lógica de serviços entre os clientes. Os PEs se conectam a dispositivos CE que podem ser um roteador, switch ou host. Os roteadores PE então trocam informações de alcance usando o BGP multi-protocolo (MP-BGP) e o tráfego encapsulado é encaminhado entre PEs. Como os elementos da arquitetura são comuns com outras tecnologias VPN, a EVPN pode ser introduzida e integrada perfeitamente em ambientes de serviço existentes.

Figura 2: Visão geral da EVPN

A tecnologia EVPN fornece mecanismos para a interconexão de data center (DCI) de próxima geração, adicionando procedimentos estendidos de plano de controle para trocar as informações de Camada 2 (endereço MAC) e Camada 3 (endereço IP) entre os roteadores de fronteira de data center (DCBRs) participantes. Esses recursos ajudam a enfrentar alguns dos desafios de DCI, como a mobilidade de VM perfeita e o roteamento IP ideal. A mobilidade VM perfeita refere-se ao desafio da extensão da Camada 2 e à manutenção da conectividade em face da mobilidade de VM, e o roteamento IP ideal refere-se ao desafio de suportar o comportamento padrão do gateway para evitar o tráfego de saída e o roteamento triangular de um VM no tráfego de entrada.

A tecnologia EVPN é usada pela operadora de data center para oferecer serviços multi tenancy, flexíveis e resilientes que podem ser estendidos sob demanda. Essa flexibilidade e resiliência podem exigir o uso de recursos de computação entre diferentes data centers físicos para um único serviço (extensão de Camada 2) e movimento VM.

A EVPN oferece suporte a multihoming totalmente ativo que permite que um dispositivo CE se conecte a dois ou mais roteadores PE de modo que o tráfego seja encaminhado usando todos os links entre os dispositivos. Isso permite que o CE carregue o tráfego de equilíbrio para vários roteadores PE. Mais importante ainda, ele permite que um PE remoto carregue o tráfego de equilíbrio para os PEs multihomed em toda a rede principal. Esse balanceamento de carga de fluxos de tráfego entre data centers é conhecido como aliasing. A EVPN também possui mecanismos que impedem o looping de transmissão, unicast desconhecido e tráfego multicast (BUM) em uma topologia multi-homed totalmente ativa.

A multihoming oferece redundância no caso de um link de acesso ou um dos roteadores PE falhar. Em ambos os casos, os fluxos de tráfego do CE em direção ao PE usam os links ativos restantes. Para tráfego em outra direção, o PE remoto atualiza sua tabela de encaminhamento para enviar tráfego para os PEs ativos restantes conectados ao segmento Ethernet multihomed. A EVPN fornece um mecanismo de convergência rápida para que o tempo necessário para fazer esse ajuste seja independente do número de endereços MAC aprendidos pelo PE.

O plano de controle MP-BGP da EVPN permite que máquinas virtuais ao vivo sejam movidas dinamicamente de um data center para outro, também conhecido como movimento VM. Após a mudança de um VM para um servidor/hipervisor de destino, ele transmite um ARP gratuito que atualiza a tabela de encaminhamento de Camada 2 do PE no data center de destino. O PE então transmite uma atualização de rota MAC para todos os PEs remotos, que por sua vez atualizam suas tabelas de encaminhamento. Dessa forma, uma EVPN acompanha o movimento da VM, também conhecida como MAC Mobility. A EVPN também tem mecanismos para detectar e parar o flapping MAC.

A tecnologia EVPN, semelhante à VPN MPLS de Camada 3, é uma tecnologia que introduz o conceito de roteamento de endereços MAC usando MP-BGP sobre núcleo MPLS. Alguns dos benefícios importantes do uso de EVPNs incluem:

• Capacidade de ter um dispositivo de borda multihomed duplo ativo.

• Oferece balanceamento de carga em links duplos ativos.

• Oferece mobilidade de endereço MAC.

• Oferece multi-tenancy.

• Fornece um pseudônimo.

• Permite uma convergência rápida.

Visão geral da integração VXLAN-EVPN

O VXLAN define um esquema de tunelamento para sobrepor redes de Camada 2 em cima de redes de Camada 3. Ele permite o encaminhamento ideal de quadros Ethernet com suporte para multicaminhos de tráfego unicast e multicast com o uso de encapsulamento UDP/IP para tunelamento, e é usado principalmente para conectividade de sites entre data centers.

Por outro lado, uma característica única da EVPN é que o aprendizado de endereço MAC entre dispositivos PE ocorre no plano de controle. Um novo endereço MAC detectado em um dispositivo CE é anunciado pelo PE local, usando MP-BGP, para todos os dispositivos PE remotos. Esse método difere das soluções VPN de Camada 2 existentes, como a VPLS, que aprende inundando a unicast desconhecida no plano de dados. Este método de aprendizado MAC baseado em plano de controle é o facilitador chave dos muitos recursos úteis fornecidos pela EVPN.

Como o aprendizado MAC é tratado no plano de controle, isso deixa a EVPN com a flexibilidade para oferecer suporte a diferentes tecnologias de encapsulamento de plano de dados entre PEs. Isso é importante porque nem todas as redes de backbone podem estar executando MPLS, especialmente em redes empresariais.

Há muito interesse na EVPN hoje em dia porque ela lida com muitos dos desafios enfrentados pelas operadoras de rede que estão construindo data centers para oferecer serviços de nuvem e virtualização. A principal aplicação da EVPN é a Interconexão de Data Center (DCI), a capacidade de estender a conectividade de Camada 2 entre diferentes data centers que são implantados para melhorar o desempenho da entrega de tráfego de aplicativos aos usuários finais e para a recuperação de desastres.

Embora existam várias tecnologias de DCI disponíveis, a EVPN tem uma vantagem adicional sobre as outras tecnologias MPLS devido a seus recursos exclusivos, como redundância ativa, aliasing e retirada mac em massa. Como resultado, para fornecer uma solução para DCI, a VXLAN é integrada à EVPN.

Cada rede VXLAN, que está conectada ao MPLS ou núcleo IP, executa uma instância independente do plano de controle IGP. Cada dispositivo PE participa da instância de plano de controle IGP de sua rede VXLAN. Aqui, cada cliente é um data center, por isso tem seu próprio roteador virtual para underlay VXLAN.

Cada nó PE pode encerrar o encapsulamento do plano de dados VXLAN onde cada VNI ou VSID é mapeado em um domínio de ponte. O roteador PE realiza o aprendizado de plano de dados no tráfego recebido da rede VXLAN.

Cada nó PE implementa a EVPN para distribuir os endereços MAC do cliente aprendidos no túnel VXLAN em BGP. Cada nó PE encapsula os quadros VXLAN ou Ethernet com MPLS ao enviar os pacotes pelo núcleo MPLS e com o cabeçalho do túnel VXLAN ao enviar os pacotes pela rede VXLAN

Figura 3: Visão geral da integração VXLAN-EVPN

Formato de pacote VXLAN-EVPN

O formato de pacotes VXLAN e EVPN é o seguinte:

Figura 4: Formato de pacote VXLAN-EVPN

Passo a passo do pacote VXLAN-EVPN

As seções a seguir descrevem o passo a passo do pacote para dois tipos de tráfego entre as redes VXLAN e EVPN:

Manuseio de tráfego BUM

Figura 5: Manuseio de tráfego BUM VXLAN-EVPN

O tráfego VXLAN para EVPN BUM do segmento VXLAN1 para VXLAN2 na nuvem EVPN é tratado da seguinte forma:

1. 0— No inicialização, o servidor A quer enviar tráfego para o servidor B. Como o Servidor A não tem uma vinculação ARP para o Servidor B em sua tabela ARP, o Servidor A cria uma solicitação de transmissão ARP e a envia.

   O conteúdo dos pacotes ARP é o seguinte:

   • VLAN ID = VLAN 10

   • Fonte MAC= MAC1

   • MAC de destino = ff.ff.ff.ff.ff.ff.ff

   • Endereço IP de origem = endereço IP do endereço IP do servidor A ou VM

   • Endereço IP de destino = endereço IP do servidor B

   • Tipo de pacote de ether = 0x0806

   Um quadro de Camada 2 é enviado para o TOR A do switch top-of-rack (TOR), que é habilitado para VXLAN.

2. 1— O quadro de solicitação de ARP (broadcast) é recebido pelo SWITCH TOR A. O TOR A é o criador e exterminador do VXLAN VTEP para VNI 1000. O VTEP para VXLAN 1000 faz parte do domínio de broadcast para Servidor A VLAN 10.

   Após receber o quadro, o TOR A realiza o processamento de entrada, incluindo a classificação de pacotes de entrada. Com base na VLAN de entrada no pacote, o TOR A classifica o pacote em um dos IFL em uma determinada porta. A família deste IFL é uma família de pontes. Com base na família de pontes IFL, o ID de domínio da ponte é identificado.

   Após a identificação do domínio da ponte, o TOR A aprende o MAC de fonte de quadro de entrada para que o MAC A se torne acessível por meio desse IFL. Como o quadro é um quadro de transmissão, o TOR A precisa enviar o quadro para todos os membros do domínio de broadcast (além do membro no qual o quadro foi recebido). Um dos membros do domínio de broadcast é o VTEP para VNI 1000. Para enviar o quadro no segmento VXLAN, o TOR A completa o processamento de próximo salto VXLAN BUM no quadro. O próximo salto empurra o cabeçalho VXLAN.

   O conteúdo do cabeçalho VXLAN é o seguinte:

   • Endereço MAC de origem = Endereço MAC ou interface de endereço IP de origem

   • Endereço MAC de destino = Endereço MAC multicast

   • Endereço IP de origem = 10,10,10,1

   • Endereço IP de destino = endereço de grupo multicast (226,0,39,16)

   • Porta UDP de origem = Calculada com base no hash no cabeçalho de quadro de entrada

   • Porta UDP de destino = 4789 (porta bem conhecida para túnel VXLAN)

   Após a construção do quadro encapsulado do VXLAN, o TOR A envia o quadro para o Roteador PE2.

3. 2— O roteador PE2 recebe o quadro VXLAN e identifica o quadro como um quadro VXLAN olhando para a conhecida porta UDP de destino. O ID VNI deste quadro VXLAN é usado para identificação de domínio de ponte. Após o roteador PE2 identificar o domínio da ponte, o PE2 conclui o aprendizado MAC para o MAC de origem interna até o endereço IP de origem externa (MAPEAMENTO MACA a 10.10.10.1). Após o mapeamento ser feito, o processamento do próximo salto de desencapsulação VXLAN remove o cabeçalho VXLAN para encerrar o túnel VXLAN.

4. 3A— Após o aprendizado mac, o MAC de origem aprendida (MAC1 para IP de origem externa) é enviado para o L2ALD. Esta rota MAC é enviada por L2ALD para RPD para o aprendizado de plano de controle deste MAC através do anúncio de rota BGP MAC para peers BGP. Após os roteadores de peer BGP receberem o anúncio de rota MAC, os roteadores instalam essa acessibilidade MAC (MACA, MPLS LABEL L1) na tabela de domínio de ponte.

5. 3— os pontos de domínio da ponte dado para a rota de próximo salto multicast para o encaminhamento do pacote pela nuvem EVPN. Este próximo salto empurra o rótulo de serviço (rótulo MPLS multicast associado a VNI por ID peer, domínio de ponte, rótulo é o ID por peer e ID VNI). O pacote MPLS é formado e enviado pela nuvem MPLS.

6. 4— O roteador PE4 recebe o quadro como um pacote MPLS. Aqui, o PE4 identifica o domínio da ponte analisando o rótulo MPLS L1 na tabela mpls.0. A busca do MPLS aponta para a tabela no próximo salto para o próximo salto de domínio da ponte. Depois que o domínio da ponte é identificado e o pacote é identificado como um pacote de transmissão, o bum composto flood next hop é executado. O próximo salto composto bum também aponta para o próximo salto VXLAN (que é usado para a construção do pacote multicast VXLAN).

7. 5— O próximo salto do VXLAN contém informações para a construção do cabeçalho VXLAN.

   As informações do cabeçalho do VXLAN são as seguintes:

   • Endereço MAC de origem = endereço MAC ou a interface de endereço IP de origem

   • Endereço MAC de destino = Endereço MAC multicast

   • Endereço IP de origem = 11,10,10,1

   • Endereço IP de destino = endereço de grupo multicast (226,0,39,16)

   • Porta UDP de origem = Calculada com base no hash no cabeçalho de quadro de entrada

   • Porta UDP de destino = 4789 (porta bem conhecida para o túnel VXLAN)

8. 6— O manuseio de quadros para esta etapa é o mesmo que a Etapa 1. Após a remoção do cabeçalho VXLAN, o quadro é encaminhado para a rota de inundação CE associada ao domínio de broadcast, e o pacote é encaminhado como um quadro de Camada 2.

9. 7— O servidor B recebe um pacote de solicitação de ARP e envia uma resposta ARP ao Servidor A.

Manuseio de tráfego unicast

Figura 6: Manuseio de tráfego Unicast VXLAN-EVPN

Assumindo que o aprendizado MAC de plano de dados e controle já tenha acontecido, o tráfego unicast VXLAN para EVPN (resposta ARP) do Servidor B é tratado da seguinte forma:

1. 8— O servidor B gera uma resposta ARP.

   O conteúdo dos pacotes ARP é o seguinte:

   • VLAN ID = VLAN 10

   • MAC fonte = MACB (MAC de interface do servidor B)

   • DESTINO MAC = MACA

   • Endereço IP de origem = endereço IP do endereço IP do servidor B ou VM

   • Endereço IP de destino = endereço IP do servidor A

   O pacote ARP é encaminhado para switch TOR B.

2. 9— Após receber o quadro, o switch TOR B classifica o quadro de entrada. O quadro é classificado em um IFL na interface recebida. Com base na família IFL, o domínio de ponte associado ao IFL é identificado. No domínio da ponte, o TOR B aprende o endereço MAC de origem. Assim que o TOR B concluir a olhada mac (MACA) de destino de domínio da ponte, este visual para cima fornece o próximo salto unicast VXLAN. Este próximo salto contém todas as informações necessárias para formar o cabeçalho VXLAN.

   O conteúdo do próximo salto necessário para formar o pacote é o seguinte:

   • Endereço MAC fonte = Endereço MAC da interface de endereço IP de origem

   • Endereço MAC de destino = endereço MAC do próximo salto

   • Endereço IP de origem = 11,10,10,2

   • Endereço IP de destino = 11,10,10,1 (como resultado do processo de aprendizado MAC)

   • Porta UDP de origem = Calculada com base no hash no cabeçalho de quadro de entrada

   • Porta UDP de destino = 4789 (porta bem conhecida para o túnel VXLAN)

     Nota:

     Uma versão anterior do rascunho do VXLAN usava o 8472 como porta UDP.

3. 10— O Roteador PE recebe o quadro4 encapsulado de VXLAN. O PE4 identifica o quadro completando a busca usando o endereço IP de destino e a porta UDP de destino. Essa pesquisa resulta na descapsulação do VXLAN. O próximo salto de descapsulação também armazena o endereço IP de origem externa.

   A próxima busca é feita com base no VNI ID 1000. Essa pesquisa resulta na tabela de domínio da noiva.

4. 10A— O Roteador PE conclui o MAC de origem para o aprendizado de endereço IP de origem e o L2ALD recebe a notificação de aprendizado MAC. Este MAC é enviado ao RPD para distribuição a outros roteadores PE por meio da rota de anúncio MAC BGP-EVPN. O plano de controle BGP distribui essas informações de acessibilidade MAC para todos os outros roteadores PE.

   A busca mac de destino (MAC1) é feita na tabela de endereços MAC de domínio da ponte. Essa pesquisa resulta em um próximo salto unicast (EVPN NH).

5. 11— O próximo salto unicast da EVPN é executado. Este próximo salto contém um rótulo de serviço MPLS unicast. Este rótulo é distribuído pelo plano de controle MP-BGP. O peer downstream aloca este rótulo de serviço MPLS. A alocação deste rótulo pode ser por PE (PE, VLAN) ou por base de endereço MAC. Com base nas informações do próximo salto, o pacote MPLS é formado e encaminhado na rede MPLS.

6. 12— O Roteador PE2 recebe o quadro. O quadro é identificado como um pacote MPLS. Uma busca por rótulos MPLS é feita na tabela MPLS.0. Essa pesquisa resulta no próximo salto da tabela e na tabela de domínio da ponte.

   A busca mac de destino (MAC1) é feita na tabela MAC de domínio da ponte. Essa pesquisa resulta em um próximo salto unicast VXLAN.

7. 13— O próximo salto unicast VXLAN contém todas as informações para a construção do cabeçalho encapsulado VXLAN. O cabeçalho VXLAN é imposto no pacote.

   O conteúdo do cabeçalho de próximo salto com encapsulamento VXLAN é o seguinte:

   • Endereço MAC fonte = Endereço MAC da interface de endereço IP de origem

   • Endereço MAC de destino = endereço MAC do próximo salto

   • Endereço IP de origem = 10,10,10,2

   • Endereço IP de destino = 10,10,10,1 (como resultado do processo de aprendizado MAC)

   • Porta UDP de origem = Calculada com base no hash no cabeçalho de quadro de entrada

   • Porta UDP de destino = 4789 (porta bem conhecida para o túnel VXLAN)

8. 14— O quadro encapsulado de VXLAN é recebido pelo SWITCH TOR A. O TOR A identifica o quadro fazendo a busca usando o endereço IP de destino e a porta UDP de destino. Essa pesquisa resulta na descapsulação do VXLAN. O próximo salto descapsulado também armazena o endereço IP de origem externa.

   A próxima busca é feita com base no VNI ID 1000. Essa pesquisa resulta na tabela de domínio da noiva. O TOR A conclui o mac de origem (MAC2) para o aprendizado de endereço IP de origem (10.10.10.2). O TOR A analisa o MAC de destino (MAC1) na tabela de endereços MAC de domínio da ponte. Essa pesquisa resulta em um próximo salto unicast que tem as informações sobre a interface de saída.

9. 15— O servidor A recebe a resposta ARP, e o Servidor A e o Servidor B estão prontos para se comunicar.

Caso de uso de serviços base de VNI

No caso do serviço base de VNI, há um mapeamento único entre um VNI e um EVI. Neste caso, não há necessidade de transportar o VNI na rota de anúncio MAC porque o ID de domínio da ponte pode ser derivado do alvo de rota (RT) associado a essa rota. A alocação de rótulos MPLS é feita de acordo com o EVI.

A Figura 7 fornece uma visão geral para cenários de caso de uso base de VNI. O serviço base de VNI é mais usado para alcançar a tradução de VNI e o intertrabalho de VNI para VLAN.

Figura 7: Serviço base VNI

Caso de uso de serviços conscientes da VNI

No caso do modo de pacote consciente de VNI, existem várias VNIs que podem ser mapeadas para o mesmo EVI. A ID da tag Ethernet deve ser definida no ID VNI nos anúncios de rotas BGP. A alocação de rótulos MPLS neste caso de uso deve ser feita por EVI, base VNI para que o VXLAN possa ser encerrado no roteador PE de entrada e recriado no roteador PE de saída.

A Figura 8 fornece detalhes sobre o caso usado do serviço consciente de VNI.

Figura 8: Serviço VNI Aware

Caso de uso intertrabalho do VXLAN-VLAN

Esse cenário de caso de uso é necessário para sites heterogêneos de data center. Nesse cenário, o novo site de data center é um site de data center baseado em VXLAN, e os sites antigos do data center são baseados em VLAN. Nesse cenário, é necessário ter o VXLAN intertrabalhamento com VLAN sobre EVPN.

A Figura 9 fornece o passo a passo do pacote detalhado para o cenário de caso de uso de intertrabalho VXLAN-VLAN. É necessário fazer o intertrabalho de VLAN para VXLAN e vice-versa do plano de controle perspectiva de atualizações de rota BGP. A alocação de rótulos precisa ser feita por EVI.

Caso de uso de roteamento Entre VXLAN

Neste caso de uso, um VM ou host em uma sub-rede (VNI-A) quer enviar tráfego para uma VM ou host em uma sub-rede diferente (VNI-B). Para fornecer essa comunicação, o roteamento entre VXLAN deve ser suportado.

A Figura 10 fornece os cenários de caso de uso para o caso de uso de roteamento entre VXLAN.

Figura 10: Roteamento entre VXLAN

Caso de uso de redundância

Os dois tipos de cenários de caso de uso de redundância incluem Active-Standby e Active-Active.

Caso de uso de redundância em standby ativo

Neste cenário de caso de uso, o switch TOR (GW de origem VXLAN), ou a rede VXLAN originária do túnel VXLAN, é duplamente abrigado em dois dispositivos PE para redundância de standby ativo. Se o link ou nó ativo falhar, um caminho de backup assume o controle.

A Figura 11 fornece detalhes do cenário de caso de uso de redundância de espera ativa.

Figura 11: Redundância ativa de espera