Componentes da arquitetura de blueprint de malha de data center

IBGP para Overlays

BGP interno (IBGP) é um protocolo de roteamento que troca informações de acessibilidade em uma rede IP. Quando o IBGP é combinado com o Multiprotocol BGP (MP-IBGP), ele fornece a base para a EVPN trocar informações de acessibilidade entre dispositivos VTEP. Esse recurso é necessário para estabelecer túneis VXLAN entre VTEP e usá-los para serviços de conectividade overlay.

A Figura 4 mostra que os dispositivos spine e leaf usam seus endereços loopback para peering em um único sistema autônomo. Nesse design, os dispositivos spine atuam como um cluster refletor de rota e os dispositivos leaf são clientes refletores de rota. Um refletor de rota satisfaz o requisito do IBGP para uma malha completa sem a necessidade de peer todos os dispositivos VTEP diretamente entre si. Como resultado, os dispositivos leaf peer apenas com os dispositivos spine e os dispositivos spine peer com dispositivos spine e leaf. Como os dispositivos spine estão conectados a todos os dispositivos leaf, os dispositivos spine podem transmitir informações de IBGP entre os vizinhos do dispositivo leaf indiretamente peered.

Você pode colocar refletores de rota em praticamente qualquer lugar da rede. No entanto, você deve considerar o seguinte:

• O dispositivo selecionado tem memória e poder de processamento suficientes para lidar com a carga de trabalho adicional exigida por um refletor de rota?

• O dispositivo selecionado é equidistante e acessível de todos os alto-falantes EVPN?

• O dispositivo selecionado tem os recursos de software adequados?

Nesse design, o cluster refletor de rota é colocado na camada spine. Os switches QFX que você pode usar como spine neste design de referência têm ampla velocidade de processamento para lidar com o tráfego do cliente refletor de rota na sobreposição de virtualização de rede.

Para obter mais informações sobre a implementação do IBGP em uma sobreposição, consulte Configure o IBGP para o Overlay.

EBGP para overlays com underlays IPv6

Os casos de uso de arquitetura de referência originais neste guia ilustram um design de underlay IPv4 EBGP com conectividade de dispositivos overlay IPv4 IBGP. Veja a rede underlay de malha IP e o IBGP para overlays. No entanto, à medida que os dispositivos de borda de virtualização de rede (NVE) começam a adotar VTEPs IPv6 para aproveitar o intervalo de endereçamento estendido e os recursos do IPv6, expandimos o suporte à malha de IP para abranger o IPv6.

A partir do Junos OS Release 21.2R2-S1, em plataformas de suporte você pode usar alternativamente uma infraestrutura de malha IPv6 com alguns designs overlay de arquitetura de referência. O design da malha IPv6 inclui endereçamento de interface IPv6, underlay IPv6 EBGP e sobreposição de EBGP IPv6 para conectividade de carga de trabalho. Com uma malha IPv6, os dispositivos NVE encapsulam o cabeçalho VXLAN com um cabeçalho externo IPv6 e tunelam os pacotes em toda a malha de ponta a ponta usando saltos próximos IPv6. A carga de trabalho pode ser IPv4 ou IPv6.

A maioria dos elementos que você configura nos designs overlay de arquitetura de referência suportados são independentemente de a infraestrutura underlay e overlay usar IPv4 ou IPv6. Os procedimentos de configuração correspondentes para cada um dos designs de overlay suportados exigem qualquer diferença de configuração se o underlay e o overlay usarem o design da malha IPv6.

Para obter mais detalhes, veja as seguintes referências neste guia e outros recursos:

• Configuração de uma malha IPv6 usando EBGP para conectividade underlay e peering overlay: Design e implementação de rede underlay de malha IPv6 e overlay com EBGP.

• Iniciando versões em que diferentes plataformas oferecem suporte a um projeto de malha IPv6 ao servir em funções específicas na malha: Designs de referência de malha EVPN-VXLAN de data center — Resumo de hardware suportado.

• Visão geral do suporte a peering de underlay e overlay IPv6 em malhas EVPN-VXLAN em dispositivos da Juniper Networks: EVPN-VXLAN com um IPv6 Underlay.

Bridged Overlay

O primeiro tipo de serviço overlay descrito neste guia é uma sobreposição em ponte, conforme mostrado na Figura 5.

Neste modelo de overlay, as VLANs Ethernet são estendidas entre dispositivos leaf em túneis VXLAN. Esses túneis VXLAN leaf-to-leaf oferecem suporte a redes de data center que exigem conectividade Ethernet entre dispositivos leaf, mas não precisam de roteamento entre as VLANs. Como resultado, os dispositivos spine oferecem apenas conectividade básica de underlay e overlay para os dispositivos leaf, e não executam serviços de roteamento ou gateway vistos com outros métodos de overlay.

Os dispositivos Leaf originam VTEPs para se conectarem aos outros dispositivos leaf. Os túneis permitem que os dispositivos leaf enviem tráfego VLAN para outros dispositivos leaf e sistemas finais conectados por Ethernet no data center. A simplicidade desse serviço overlay o torna atraente para operadores que precisam de uma maneira fácil de introduzir a EVPN/VXLAN em seu data center baseado em Ethernet existente.

Para obter informações sobre a implementação de uma sobreposição em ponte, veja o Projeto e implementação do Bridged Overlay.

Overlay de ponte roteada centralmente

O segundo tipo de serviço overlay é a sobreposição de pontes roteadas centralmente (CRB), conforme mostrado na Figura 6.

Em uma sobreposição do CRB, o roteamento ocorre em um gateway central da rede de data center (a camada spine neste exemplo) e não no dispositivo VTEP onde os sistemas finais estão conectados (a camada leaf neste exemplo).

Você pode usar esse modelo de overlay quando precisa de tráfego roteado para passar por um gateway centralizado ou quando seus dispositivos VTEP de borda não têm os recursos de roteamento necessários.

Como mostrado acima, o tráfego que se origina nos sistemas finais conectados por Ethernet é encaminhado para os dispositivos VTEP leaf em um tronco (várias VLANs) ou uma porta de acesso (VLAN único). O dispositivo VTEP encaminha o tráfego para sistemas finais locais ou para um sistema final em um dispositivo VTEP remoto. Uma interface integrada de roteamento e ponte (IRB) em cada dispositivo spine ajuda a rotear o tráfego entre as redes virtuais Ethernet.

O modelo de serviço de overlay com reconhecimento de VLAN permite agregar facilmente uma coleção de VLANs na mesma rede virtual overlay. O design EVPN da Juniper Networks oferece suporte a três configurações de modelo de serviço Ethernet conscientes de VLAN no data center, da seguinte forma:

• Default instance VLAN-aware— Com essa opção, você implementa uma única instância de comutação padrão que oferece suporte a um total de 4094 VLANs. Todas as plataformas leaf incluídas neste design (Designs de referência de malha EVPN-VXLAN de data center — Resumo de hardware suportado) oferecem suporte ao estilo de instância padrão de overlay com reconhecimento de VLAN.

  Para configurar este modelo de serviço, veja Configuração de uma sobreposição de pontes com roteamento centralizado com reconhecimento VLAN na instância padrão.

• Virtual switch VLAN-aware— Com essa opção, várias instâncias de switch virtual oferecem suporte a até 4094 VLANs por instância. Este modelo de serviço Ethernet é ideal para redes overlay que exigem escalabilidade além de uma única instância padrão. O suporte para essa opção está disponível atualmente na linha QFX10000 de switches.

  Para implementar este modelo de serviço escalável, veja Configuração de uma sobreposição de CRB consciente de VLAN com switches virtuais ou instâncias MAC-VRF.

• MAC-VRF instance VLAN-aware— Com essa opção, várias instâncias MAC-VRF oferecem suporte a até 4094 VLANs por instância. Este modelo de serviço Ethernet é ideal para redes de sobreposição que exigem escalabilidade além de uma única instância padrão, e onde você deseja mais opções para garantir o isolamento ou interconexão de VLAN entre diferentes locatários na mesma malha. O suporte para essa opção está disponível nas plataformas que oferecem suporte a instâncias MAC-VRF (ver Feature Explorer: MAC VRF com EVPN-VXLAN).

  Para implementar este modelo de serviço escalável, veja Configuração de uma sobreposição de CRB consciente de VLAN com switches virtuais ou instâncias MAC-VRF.

Overlay de ponte com roteamento de borda

A terceira opção de serviço overlay é a sobreposição de pontes roteadas por borda (ERB), conforme mostrado na Figura 7.

Neste modelo de serviço Ethernet, as interfaces IRB são movidas para VTEPs de dispositivos leaf na borda da rede overlay para aproximar o roteamento IP dos sistemas finais. Devido aos recursos especiais de ASIC necessários para oferecer suporte a pontes, roteamento e EVPN/VXLAN em um único dispositivo, os overlays ERB só são possíveis em determinados switches. Para uma lista de switches que oferecemos suporte como dispositivos leaf em um overlay ERB, veja designs de referência de malha de EVPN-VXLAN de data center — resumo de hardware suportado.

Esse modelo permite uma rede geral mais simples. Os dispositivos spine estão configurados para lidar apenas com o tráfego IP, o que elimina a necessidade de estender as sobreposições de ponte para os dispositivos spine.

Essa opção também permite um tráfego intra-data center de servidor a servidor mais rápido (também conhecido como tráfego leste-oeste), onde os sistemas finais são conectados ao mesmo dispositivo leaf VTEP. Como resultado, o roteamento acontece muito mais perto dos sistemas finais do que com as sobreposições do CRB.

Para obter informações sobre a implementação do overlay da ERB, veja Projeto e implementação de overlay com pontes roteadas de borda.

Overlay spine colapsado

A rede overlay em uma arquitetura spine colapsada é semelhante a um overlay ERB. Em uma arquitetura spine colapsada, as funções do dispositivo leaf são colapsadas nos dispositivos spine. Como não há camada leaf, você configura as interfaces VTEPS e IRB nos dispositivos spine, que estão na borda da rede overlay como os dispositivos leaf em um modelo ERB. Os dispositivos spine também podem executar funções de gateway de borda para rotear o tráfego norte-sul ou estender o tráfego de Camada 2 em locais de data center.

Para obter uma lista de switches que oferecemos suporte com uma arquitetura spine colapsada, veja designs de referência de malha EVPN-VXLAN de data center — resumo de hardware suportado.

Comparação de overlays bridged, CRB e ERB

Para ajudar você a decidir qual tipo de overlay é mais adequado para o seu ambiente EVPN, consulte a Tabela 1.

Modelos de endereçamento da IRB em sobreposições de ponte

A configuração de interfaces IRB em overlays de CRB e ERB requer uma compreensão dos modelos para a configuração padrão de endereços IP e MAC de interfaces IRB da seguinte forma:

• Unique IRB IP Address— Neste modelo, um endereço IP exclusivo é configurado em cada interface IRB em uma sub-rede overlay.

  O benefício de ter um endereço IP exclusivo e endereço MAC em cada interface IRB é a capacidade de monitorar e alcançar cada uma das interfaces IRB de dentro da overlay usando seu endereço IP exclusivo. Esse modelo também permite configurar um protocolo de roteamento na interface IRB.

  A desvantagem desse modelo é que alocar um endereço IP exclusivo para cada interface IRB pode consumir muitos endereços IP de uma sub-rede.

• Unique IRB IP Address with Virtual Gateway IP Address— Esse modelo adiciona um endereço IP de gateway virtual ao modelo anterior, e o recomendamos para overlays em pontes roteadas centralmente. É semelhante ao VRRP, mas sem a sinalização de plano de dados em banda entre as interfaces IRB do gateway. O gateway virtual deve ser o mesmo para todas as interfaces IRB de gateway padrão na sub-rede overlay e está ativo em todas as interfaces IRB de gateway onde ela está configurada. Você também deve configurar um endereço MAC IPv4 comum para o gateway virtual, que se torna o endereço MAC de origem em pacotes de dados encaminhados pela interface IRB.

  Além dos benefícios do modelo anterior, o gateway virtual simplifica a configuração padrão de gateway nos sistemas finais. A desvantagem desse modelo é a mesma do modelo anterior.

• IRB with Anycast IP Address and MAC Address— Neste modelo, todas as interfaces IRB de gateway padrão em uma sub-rede overlay são configuradas com o mesmo endereço IP e MAC. Recomendamos esse modelo para overlays ERB.

  Um benefício desse modelo é que apenas um único endereço IP é necessário por sub-rede para endereçamento padrão da interface IRB de gateway, o que simplifica a configuração padrão do gateway nos sistemas finais.

Overlay roteado usando rotas EVPN Tipo 5

A opção de overlay final é uma sobreposição roteada, como mostrado na Figura 8.

Essa opção é um serviço de rede virtual roteado por IP. Ao contrário de uma VPN IP baseada em MPLS, a rede virtual neste modelo é baseada em EVPN/VXLAN.

Os provedores de nuvem preferem essa opção de rede virtual porque a maioria dos aplicativos modernos são otimizados para IP. Como toda a comunicação entre dispositivos acontece na camada IP, não é necessário usar nenhum componente de ponte Ethernet, como VLANs e ESIs, neste modelo de overlay roteado.

Para obter informações sobre a implementação de uma sobreposição roteada, consulte o Projeto e implementação de overlay roteado.

Instâncias MAC-VRF para multitenancy em overlays de virtualização de rede

As instâncias de roteamento MAC-VRF permitem que você configure várias instâncias EVPN com diferentes tipos de serviço Ethernet em um dispositivo atuando como um VTEP em uma malha EVPN-VXLAN. Usando instâncias MAC-VRF, você pode gerenciar vários locatários no data center com tabelas VRF específicas para o cliente para isolar ou agrupar cargas de trabalho de locatários.

As instâncias MAC-VRF também introduzem suporte para o tipo de serviço baseado em VLAN, além do suporte anterior para o tipo de serviço com reconhecimento de VLAN. Veja a Figura 9.

• Serviço baseado em VLAN — Você pode configurar um VLAN e o identificador de rede VXLAN (VNI) correspondentes na instância MAC-VRF. Para provisionar um novo VLAN e VNI, você deve configurar uma nova instância MAC VRF com o novo VLAN e VNI.

• Serviço consciente de VLAN — Você pode configurar uma ou mais VLANs e as VNIs correspondentes na mesma instância MAC-VRF. Para provisionar um novo VLAN e VNI, você pode adicionar a nova configuração VLAN e VNI à instância MAC-VRF existente, que economiza algumas etapas de configuração usando um serviço baseado em VLAN.

As instâncias MAC-VRF permitem opções de configuração mais flexíveis tanto na Camada 2 quanto na Camada 3. Por exemplo:

A Figura 10 mostra que, com instâncias MAC-VRF:

• Você pode configurar diferentes tipos de serviço em diferentes instâncias MAC-VRF no mesmo dispositivo.

• Você tem opções flexíveis de isolamento de locatários em instâncias de Camada 2 (MAC-VRF), bem como em Camada 3 (instâncias VRF). Você pode configurar uma instância VRF que corresponde à VLAN ou VLANs em uma única instância MAC-VRF. Ou você pode configurar uma instância VRF que abrange as VLANs em várias instâncias MAC-VRF.

A Figura 11 mostra uma malha overlay ERB com uma configuração MAC-VRF de amostra para separação de locatários.

Na Figura 11, os dispositivos leaf estabelecem túneis VXLAN que mantêm o isolamento na Camada 2 entre Tenant 12 (VLAN 1 e VLAN 2) e Tenant 3 (VLAN 3) usando instâncias MAC-VRF MAC-VRF 12 e MAC-VRF 3. Os dispositivos leaf também isolam os locatários na Camada 3 usando instâncias VRF VRF 12 e VRF 3.

Você pode empregar outras opções para compartilhar tráfego VLAN entre locatários isolados na Camada 2 e Camada 3 pelas configurações MAC-VRF e VRF, como:

• Estabeleça uma interconexão externa segura entre VRFs de locatário por meio de um firewall.

• Configure o vazamento de rota local entre VRFs de Camada 3.

Para obter mais informações sobre instâncias MAC-VRF e usá-las em um exemplo de caso de uso do cliente, consulte EVPN-VXLAN DC IP Fabric MAC-VRF L2 Services.

As instâncias MAC-VRF correspondem a instâncias de encaminhamento da seguinte forma:

• As instâncias MAC-VRF em switches da linha QFX5000 (incluindo aquelas que executam o Junos OS ou o Junos OS Evolved) fazem parte da instância de encaminhamento padrão. Nesses dispositivos, você não pode configurar VLANs sobrepostas em uma instância MAC-VRF ou em várias instâncias MAC-VRF.

• Na linha de switches QFX10000, você pode configurar várias instâncias de encaminhamento e mapear uma instância MAC-VRF para uma determinada instância de encaminhamento. Você também pode mapear várias instâncias MAC-VRF para a mesma instância de encaminhamento. Se você configurar cada instância MAC-VRF para usar uma instância de encaminhamento diferente, você pode configurar VLANs sobrepostas em várias instâncias MAC-VRF. Você não pode configurar VLANs sobrepostas em uma única instância MAC-VRF ou em instâncias MAC-VRF que mapeiam para a mesma instância de encaminhamento.

• Na configuração padrão, os switches incluem um VLAN padrão com VLAN ID=1 associado à instância de encaminhamento padrão. Como os IDs VLAN devem ser exclusivos em uma instância de encaminhamento, se você quiser configurar uma VLAN com VLAN ID=1 em uma instância MAC-VRF que usa a instância de encaminhamento padrão, você deve realocar o ID VLAN do VLAN padrão para um valor diferente de 1. Por exemplo:

Os exemplos de configuração de sobreposição de virtualização de rede de referência neste guia incluem etapas para configurar a sobreposição usando instâncias MAC-VRF. Você configura uma instância de roteamento EVPN do tipo mac-vrfe define um diferencial de rota e um alvo de rota na instância. Você também inclui as interfaces desejadas (incluindo uma interface de origem VTEP), VLANs e mapeamentos VLAN-to-VNI na instância. Veja as configurações de referência nos seguintes tópicos:

• Design e implementação bridged Overlay — você configura instâncias MAC-VRF nos dispositivos leaf.

• Projeto e implementação de sobreposição de pontes roteadas centralmente — você configura instâncias MAC-VRF nos dispositivos spine. Nos dispositivos leaf, a configuração MAC-VRF é semelhante à configuração de leaf MAC-VRF em um design de overlay em ponte.

• Projeto e implementação de sobreposição de pontes roteadas por borda — você configura instâncias MAC-VRF nos dispositivos leaf.

Visão lógica do encadeamento de serviços

A Figura 17 mostra uma visão lógica do encadeamento de serviços. Ele mostra uma spine com uma configuração lateral direita e uma configuração lateral esquerda. De cada lado está uma instância de roteamento VRF e uma interface IRB. O roteador da Série SRX no centro é o PNF, e executa o encadeamento de serviços.

O fluxo de tráfego nesta visão lógica é:

1. A spine recebe um pacote no VTEP que está no VRF lateral esquerdo.

2. O pacote é descapsulado e enviado para a interface IRB do lado esquerdo.

3. A interface IRB roteia o pacote para o roteador da Série SRX, que está atuando como a PNF.

4. O roteador da Série SRX realiza o encadeamento de serviço no pacote e encaminha o pacote de volta para a spine, onde é recebido na interface IRB mostrada no lado direito da spine.

5. A interface IRB encaminha o pacote para o VTEP no lado direito VRF.

Para obter informações sobre a configuração do encadeamento de serviços, consulte Design e implementação de encadeamento de serviços.

IGMP Snooping

A espionagem de IGMP em uma malha EVPN-VXLAN é útil para otimizar a distribuição do tráfego multicast. A espionagem do IGMP preserva a largura de banda, pois o tráfego multicast é encaminhado apenas em interfaces onde há usuários IGMP. Nem todas as interfaces de um dispositivo leaf precisam receber tráfego multicast.

Sem a espionagem do IGMP, os sistemas finais recebem tráfego IP multicast no qual não têm interesse, o que inunda desnecessariamente seus links com tráfego indesejado. Em alguns casos, quando os fluxos ip multicast são grandes, inundar tráfego indesejado causa problemas de negação de serviço.

A Figura 19 mostra como a espionagem do IGMP funciona em uma malha EVPN-VXLAN. Nesta amostra da malha EVPN-VXLAN, a snooping de IGMP está configurada em todos os dispositivos leaf, e o receptor multicast 2 já enviou uma solicitação de adesão ao IGMPv2.

1. O Multicast Receiver 2 envia uma solicitação de licença IGMPv2.

2. Os receptores multicast 3 e 4 enviam uma solicitação de adesão ao IGMPv2.

3. Quando o Leaf 1 recebe tráfego multicast de entrada, ele o replica para todos os dispositivos leaf e o encaminha para a spine.

4. A spine encaminha o tráfego para todos os dispositivos leaf.

5. O Leaf 2 recebe o tráfego multicast, mas não o encaminha para o receptor porque o receptor enviou uma mensagem de licença IGMP.

Nas redes EVPN-VXLAN, apenas o IGMP versão 2 é suportado.

Para obter mais informações sobre a espionagem do IGMP, veja a visão geral do encaminhamento multicast com O IGMP Snooping ou MLD Snooping em um ambiente EVPN-VXLAN.

Encaminhamento multicast seletivo

O encaminhamento seletivo de Ethernet multicast (SMET) oferece maior eficiência de rede de ponta a ponta e reduz o tráfego na rede EVPN. Ele conserva o uso de largura de banda no núcleo da malha e reduz a carga em dispositivos de saída que não têm escutas.

Dispositivos com snooping IGMP permitiram usar o encaminhamento multicast seletivo para encaminhar tráfego multicast de forma eficiente. Com a espionagem IGMP habilitada, um dispositivo leaf envia tráfego multicast apenas para a interface de acesso com um receptor interessado. Com o SMET adicionado, o dispositivo leaf envia tráfego multicast seletivamente apenas para os dispositivos leaf no núcleo que manifestaram interesse nesse grupo multicast.

A Figura 20 mostra o fluxo de tráfego SMET junto com a espionagem do IGMP.

1. O Multicast Receiver 2 envia uma solicitação de licença IGMPv2.

2. Os receptores multicast 3 e 4 enviam uma solicitação de adesão ao IGMPv2.

3. Quando o leaf 1 recebe tráfego multicast de entrada, ele replica o tráfego apenas para dispositivos leaf com receptores interessados (dispositivos leaf 3 e 4) e o encaminha para a spine.

4. A spine encaminha o tráfego para dispositivos leaf 3 e 4.

Você não precisa habilitar o SMET; ele é habilitado por padrão quando a espionagem do IGMP é configurada no dispositivo.

Para obter mais informações sobre o SMET, veja a visão geral do encaminhamento seletivo multicast.

Replicação assistida de tráfego multicast

O recurso de replicação assistida (AR) descarrega dispositivos leaf de malha EVPN-VXLAN de tarefas de replicação de entrada. A folha de entrada não replica o tráfego multicast. Ele envia uma cópia do tráfego multicast para uma spine que é configurada como um dispositivo replicador AR. O dispositivo replicador AR distribui e controla o tráfego multicast. Além de reduzir a carga de replicação nos dispositivos leaf de entrada, esse método conserva a largura de banda na malha entre a folha e a spine.

A Figura 21 mostra como o AR funciona junto com a espionagem do IGMP e o SMET.

1. O Leaf 1, que é configurado como o dispositivo leaf AR, recebe tráfego multicast e envia uma cópia para a spine que é configurada como o dispositivo replicador AR.

2. A spine replica o tráfego multicast. Ele replica o tráfego para dispositivos leaf que são provisionados com o VNI VLAN no qual o tráfego multicast se originou do Leaf 1.

   Como temos o IGMP e o SMET configurados na rede, a spine envia o tráfego multicast apenas para dispositivos leaf com receptores interessados.

Neste documento, mostramos otimizações multicast em pequena escala. Em uma rede de grande escala com muitas spines e leafs, os benefícios das otimizações são muito mais aparentes.

Multicast intersubnet otimizado para redes overlay ERB

Quando você tem fontes multicast e receptores dentro e fora de uma malha de sobreposição ERB, você pode configurar multicast multicast (OISM) otimizado para permitir um fluxo de tráfego multicast eficiente em escala.

O OISM usa um modelo de roteamento local para tráfego multicast, o que evita o encoberto do tráfego e minimiza a carga de tráfego dentro do núcleo EVPN. O OISM encaminha tráfego multicast apenas na VLAN de origem multicast. Para receptores intersubnet, os dispositivos leaf usam interfaces IRB para rotear localmente o tráfego recebido na VLAN de origem para outras VLANs receptoras no mesmo dispositivo. Para otimizar ainda mais o fluxo de tráfego multicast na malha EVPN-VXLAN, a OISM usa o IGMP e o SMET para encaminhar o tráfego na malha apenas para dispositivos leaf com receptores interessados.

O OISM também permite que a malha encaminhe efetivamente o tráfego de fontes multicast externas para receptores internos, e de fontes internas multicast a receptores externos. O OISM usa um domínio de ponte suplementar (SBD) dentro da malha para encaminhar o tráfego multicast recebido nos dispositivos leaf de borda de fontes externas. O projeto SBD preserva o modelo de roteamento local para tráfego de origem externa.

Você pode usar o OISM com AR para reduzir a carga de replicação em dispositivos leaf OISM de menor capacidade. (Veja replicação assistida do tráfego multicast.)

Veja a Figura 22 para uma malha simples com OISM e AR.

A Figura 22 mostra dispositivos leaf de servidor OISM e leaf de borda, Spine 1 na função de replicador AR e Server Leaf 1 como uma fonte multicast na função leaf AR. Uma fonte externa e receptores também podem existir no domínio PIM externo. O OISM e o AR trabalham juntos neste cenário da seguinte forma:

1. Receptores multicast por trás do Server Leaf 3 na VLAN 1 e atrás do Server Leaf 4 na VLAN 2 enviam Juntas de IGMP mostrando interesse no grupo multicast. Receptores externos também podem se juntar ao grupo multicast.

2. A fonte multicast por trás do Server Leaf 1 envia tráfego multicast para o grupo na malha da VLAN 1. O Servidor Leaf 1 envia apenas uma cópia do tráfego para o replicador AR no Spine 1.

3. Além disso, o tráfego de fonte externa para o grupo multicast chega ao Border Leaf 1. O Border Leaf 1 encaminha o tráfego na SBD para Spine 1, o replicador AR.

4. O replicador AR envia cópias da fonte interna na VLAN de origem e da fonte externa na SBD para os dispositivos leaf OISM com receptores interessados.

5. Os dispositivos leaf de servidor encaminham o tráfego para os receptores na VLAN de origem e encaminham localmente o tráfego para os receptores nas outras VLANs.

Prevenção de tempestades de tráfego BUM com controle de tempestade

O controle de tempestade pode evitar que o tráfego excessivo degrade a rede. Ele diminui o impacto de tempestades de tráfego BUM monitorando os níveis de tráfego em interfaces EVPN-VXLAN e reduzindo o tráfego BUM quando um nível de tráfego especificado é excedido.

Em um ambiente EVPN-VXLAN, o controle de tempestade monitora:

• Tráfego BUM de camada 2 que se origina em um VXLAN e é encaminhado para interfaces dentro do mesmo VXLAN.

• Tráfego multicast de camada 3 que é recebido por uma interface IRB em um VXLAN e é encaminhado para interfaces em outro VXLAN.

Usando filtragem MAC para melhorar a segurança das portas

A filtragem MAC melhora a segurança das portas limitando o número de endereços MAC que podem ser aprendidos em uma VLAN e, portanto, limitam o tráfego em uma VXLAN. Limitar o número de endereços MAC protege o switch contra inundar a tabela de comutação Ethernet. A inundação da tabela de comutação Ethernet ocorre quando o número de novos endereços MAC que são aprendidos faz com que a tabela transborde e os endereços MAC aprendidos anteriormente são retirados da mesa. O switch reaprende os endereços MAC, o que pode afetar o desempenho e introduzir vulnerabilidades de segurança.

Neste blueprint, a filtragem MAC limita o número de pacotes aceitos que são enviados para interfaces de acesso voltadas para a entrada com base em endereços MAC. Para obter mais informações sobre como a filtragem MAC funciona, veja as informações de limitação mac no entendimento da limitação MAC e do mac move limiting.

Análise do tráfego usando espelhamento de porta

Com o espelhamento de porta baseado em analisador, você pode analisar o tráfego até o nível de pacote em um ambiente EVPN-VXLAN. Você pode usar esse recurso para aplicar políticas relacionadas ao uso de rede e compartilhamento de arquivos e identificar fontes problemáticas localizando o uso anormal ou pesado de largura de banda por estações ou aplicativos específicos.

A espelhamento de portas espelha os pacotes que entram ou saem de uma porta ou entram em uma VLAN e enviam as cópias para uma interface local para monitoramento local ou para uma VLAN para monitoramento remoto. Use o espelhamento de portas para enviar tráfego a aplicativos que analisam o tráfego para fins como monitorar a conformidade, aplicar políticas, detectar invasões, monitorar e prever padrões de tráfego, correlacionar eventos e assim por diante.