使用 EVPN 的 VXLAN 数据中心互连概述
从 Junos OS 16.1 版开始，以太网 VPN （EVPN） 技术可用于通过 MPLS/IP 网络互连虚拟可扩展局域网 （VXLAN） 网络，以提供数据中心连接。这是通过互连的 VXLAN 网络之间的第 2 层子网内连接和控制平面分离来实现的。
以下章节将介绍将 EVPN 与 VXLAN 集成以用作数据中心互连 （DCI） 解决方案的技术和实施概述。
面向 DCI 的 VXLAN-EVPN 集成技术概述
以下各节从概念上概述了 VXLAN、EVPN、将其集成到 DCI 中的必要性以及由此产生的优势。
了解 VXLAN
虚拟可扩展局域网 （VXLAN） 是一种第 3 层封装协议，使 MX 系列路由器能够通过 VXLAN 隧道将第 2 层或第 3 层数据包推送到虚拟化数据中心或互联网。通信在两个虚拟隧道端点 （VTEP） 之间建立，这两个端点可以是终端主机，也可以是网络交换机或路由器，这两个端点将虚拟机 （VM） 流量封装并解封装到 VXLAN 标头中。
VXLAN 通常被描述为一种叠加技术，因为可通过该技术在包含 IP 地址的 VXLAN 数据包中封装（通过隧道传输）以太网帧，进而通过介于中间的第 3 层网络扩展第 2 层网络连接。VXLAN 的此功能可满足多租户数据中心的要求，其中每个租户的虚拟机都可能与分布在不同数据中心内或不同数据中心之间的物理服务器上的其他租户共享物理服务器，从而满足在租户拥有的所有虚拟机之间提供无缝第 2 层连接的日益增长的需求，此外还隔离每个租户的流量以确保安全性和潜在的 MAC 地址重叠。
虚拟机管理程序会在物理服务器之间创建 VXLAN 隧道。由于物理服务器可以托管多个租户，因此每个虚拟机管理程序都会创建多个 VXLAN 隧道。
VXLAN 是一种允许您对网络进行分段的技术（就像 VLAN 一样），但它也解决了 VLAN 的扩展限制，并且提供了 VLAN 无法实现的优势。VXLAN 带来的部分重要优势包括：
理论上，您最多可以在管理域中创建 1600 万个 VXLAN（而非瞻博网络设备支持的 4094 个 VLAN）。
MX 系列路由器支持多达 32K 个 VXLAN。这意味着 VXLAN 可以根据云构建商要求的规模提供网络分段，从而支持大量租户。
您可以通过第 3 层网络上的隧道发送流量，以便在位于不同的第 2 层域中的服务器之间实现虚拟机迁移。此功能允许您在数据中心内部或跨数据中心动态分配资源，而不受第 2 层边界约束，也不会被强制用来创建大型的或地理位置较为分散的第 2 层域。
了解 EVPN
EVPN 是一种基于标准的新技术，可通过 IP 或 IP/MPLS 骨干网络在不同的第 2 层域之间提供虚拟多点桥接连接。与 IPVPN 和 VPLS 等其他 VPN 技术类似，EVPN 实例 （EVI） 配置在 PE 路由器上，以便在客户之间保持逻辑服务的分离。PE 连接到 CE 设备，这些设备可以是路由器、交换机，也可以是主机。然后，PE 路由器将使用多协议 BGP （MP-BGP） 交换可访问性信息，并在 PE 之间转发封装的流量。由于架构的元素与其他 VPN 技术通用，因此可以无缝引入 EVPN 并集成到现有服务环境中。
EVPN 技术通过添加扩展的控制平面程序，在参与的数据中心边界路由器 （DCBR） 之间交换第 2 层（MAC 地址）和第 3 层（IP 地址）信息，从而为下一代数据中心互连 （DCI） 提供了机制。这些功能有助于解决一些 DCI 挑战，例如无缝的虚拟机移动性和最佳 IP 路由。虚拟机无缝移动性是指面对虚拟机移动性时第 2 层扩展和保持连接的挑战，而最佳 IP 路由是指为虚拟机的出站流量支持默认网关行为和避免虚拟机入站流量的三角路由的挑战。
数据中心运营商使用 EVPN 技术来提供多租户、灵活且有弹性的服务，并可按需扩展。这种灵活性和弹性可能需要将不同物理数据中心之间的计算资源用于单个服务（第 2 层扩展）和虚拟机迁移。
EVPN 支持全活动多宿主，CE 设备可以连接至两个或更多 PE 路由器，以便使用设备之间的所有链路转发流量。这使得 CE 能够将流量负载均衡地转发至多个 PE 路由器。更重要的是，它允许远程 PE 对流向跨核心网络的多宿主 PE 的流量进行负载均衡。数据中心之间的这种流量负载平衡称为混叠。EVPN 还具有防止全活动多宿主拓扑中出现广播、未知单播和组播 （BUM） 流量环路的机制。
当访问链路或某一 PE 路由器发生故障时，多宿主可为其提供冗余。在任何一种情况下，从 CE 流向 PE 的流量都将使用剩余的活动链路。对于其他流向的流量，远程 PE 会更新其转转发表，将流量发送至连接到多宿主以太网段的剩余活动 PE。EVPN 提供了一种快速融合机制，因此，进行此调整所需的时间与 PE 获知的 MAC 地址数量无关。
EVPN 的 MP-BGP 控制平面允许在线虚拟机从一个数据中心动态移动到另一个数据中心，也称为虚拟机移动。虚拟机移动至目标服务器/虚拟机管理程序后，将传输免费 ARP，更新目标数据中心 PE 的第 2 层转发表。然后，PE 会将 MAC 路由更新信息传输到所有远程 PE，进而更新这些 PE 的转发表。EVPN 以这种方式跟踪虚拟机的移动，也称为 MAC 移动性。EVPN 还具有检测和阻止 MAC 漂移的机制。
EVPN 技术与第 3 层 MPLS VPN 类似，是一种引入使用 MP-BGP over MPLS 核心路由 MAC 地址概念的技术。使用 EVPN 的部分重要优势包括：
能够拥有双活动多宿主边缘设备。
在双活动链路之间提供负载平衡。
提供 MAC 地址移动性。
提供多租户。
提供混叠。
实现快速融合。
VXLAN-EVPN 集成概述
VXLAN 可以定义在第 3 层网络的基础上叠加第 2 层网络的隧道方案。它可以使用 UDP/IP 封装进行隧道操作，支持单播和组播流量的多路径处理，从而实现以太网帧的最佳转发，并且主要用于数据中心内部的站点连接。
另一方面，EVPN 独有的特点是，PE 设备之间的 MAC 地址学习发生在控制平面中。从 CE 设备检测到的新 MAC 地址将由本地 PE 使用 MP-BGP 向所有远程 PE 设备播发。此方法不同于 VPLS 等现有的第 2 层 VPN 解决方案，这些方案通过在数据平面中进行未知单播泛洪的方式来学习。这种基于控制平面的 MAC 学习方法是 EVPN 提供的许多有用功能的关键条件。
由于 MAC 学习过程发生在控制平面中，因此 EVPN 能够灵活地在 PE 之间支持不同的数据平面封装技术。这一点很重要，因为并非每个骨干网络都在运行 MPLS，特别是在企业网络中。
如今，人们对 EVPN 产生了浓厚的兴趣，因为它解决了正在构建数据中心以提供云服务和虚拟化服务的网络运营商面临的许多挑战。EVPN 的主要应用是数据中心互连 （DCI），能够将第 2 层连接扩展至已部署的不同数据中心之间，从而提高向最终用户提供应用程序流量和灾难恢复的性能。
尽管市面上有多种可用的 DCI 技术，但 EVPN 由于其独特功能（如主动-主动冗余、混叠和批量 MAC 撤销），与其他 MPLS 技术相比具有额外的优势。因此，为了提供 DCI 解决方案，我们将 VXLAN 与 EVPN 进行了集成。
每个连接到 MPLS 或 IP 核心的 VXLAN 网络都运行 IGP 控制平面的独立实例。每个 PE 设备都参与其 VXLAN 网络的 IGP 控制平面实例。在这里，每个客户都是一个数据中心，因此它有自己的虚拟路由器作为 VXLAN 底层。
如果每个 VNI 或 VSID 都映射到一个桥接域，每个 PE 节点都可以终止 VXLAN 数据平面封装。PE 路由器可以对从 VXLAN 网络接收的流量执行数据平面学习。
每个 PE 节点均可实施 EVPN，以便将通过 VXLAN 隧道学习的客户端 MAC 地址分发到 BGP 中。通过 MPLS 核心发送数据包，以及通过 VXLAN 网络发送数据包，且使用 VXLAN 隧道标头时，每个 PE 节点都可以使用 MPLS 封装 VXLAN 或以太网帧
VXLAN-EVPN 数据包格式
VXLAN 和 EVPN 数据包格式如下：
VXLAN-EVPN 数据包演练
以下部分介绍了 VXLAN 和 EVPN 网络之间两种类型流量的数据包演练：
BUM 流量处理
通过 EVPN 云从 VXLAN 网段 1 到 VXLAN 网段 2 的 VXLAN 到 EVPN BUM 流量的处理方式如下：
0—启动时，服务器 A 希望将流量发送到服务器 B。由于服务器 A 的 ARP 表中没有服务器 B 的 ARP 绑定，因此服务器 A 会构建 ARP 广播请求并发送。
ARP报文内容如下：
VLAN ID = VLAN 10
源 MAC= MAC1
目标 MAC = ff.ff.ff.ff.ff.ff
源 IP 地址 = 服务器 A 或虚拟机 IP 地址的 IP 地址
目标 IP 地址 = 服务器 B 的 IP 地址
以太币类型的数据包 = 0x0806
第 2 层帧被发送到启用了 VXLAN 的架顶式 （TOR） 交换机 TOR A。
1—交换机 TOR A 接收 ARP 请求（广播）帧。TOR A 是 VNI 1000 的 VXLAN VTEP 的发起方和终结方。VXLAN 1000 的 VTEP 是服务器 A VLAN 10 的广播域的一部分。
接收到帧后，TOR A 执行入口处理，包括入口数据包分类。TOR A 根据数据包中的传入 VLAN 将数据包分类为给定端口下的其中一个 IFL。这个IFL的家族是一个桥梁家族。根据 IFL 网桥家族，识别网桥域 ID。
识别桥接域后，TOR A 将学习传入帧源 MAC，以便可通过此 IFL 访问 MAC A。由于帧是广播帧，因此 TOR A 需要将帧发送给广播域的所有成员（接收帧的成员除外）。VNI 1000 的 VTEP 是广播域的成员之一。要在 VXLAN 分段上发送帧，TOR A 在帧上完成 VXLAN BUM 下一跃点处理。下一跃点推送 VXLAN 标头。
VXLAN 报头内容如下：
源 MAC 地址 = MAC 地址或源 IP 地址接口
目标 MAC 地址 = 组播 MAC 地址
源 IP 地址 = 10.10.10.1
目标 IP 地址 = 组播组地址 （226.0.39.16）
源 UDP 端口 = 根据传入帧标头上的哈希值计算
目标 UDP 端口 = 4789（VXLAN 隧道的众所周知端口）
构建 VXLAN 封装帧后，TOR A 将帧发送至路由器 PE2。
-
2—路由器 PE2 接收 VXLAN 帧，并通过查看已知目标 UDP 端口将该帧识别为 VXLAN 帧。此 VXLAN 帧的 VNI ID 用于桥接域识别。路由器 PE2 识别桥接域后，PE2 将完成内部源 MAC 到外部源 IP 地址（MACA 到 10.10.10.1 的映射）的 MAC 学习。映射完成后，VXLAN 解封装下一跃点处理将移除 VXLAN 标头以终止 VXLAN 隧道。
3A—MAC 学习完成后，学习的源 MAC（MAC1 到外部源 IP）被发送到 L2ALD。此 MAC 路由由 L2ALD 发送到 RPD，以便通过向 BGP 对等方通告 BGP MAC 路由来控制平面学习此 MAC。BGP 对等体路由器收到 MAC 路由通告后，路由器会在桥接域表中安装此 MAC 可达性（MACA，MPLS 标签 L1）。
3—给定的网桥域指向组播下一跳路由，用于通过 EVPN 云转发数据包。下一跃点推送服务标签（组播 MPLS 标签，每个对等方 ID、桥接域、标签是每个对等方 ID 和 VNI ID）。MPLS 数据包将在 MPLS 云中形成并发送。
4— 路由器 PE4 以 MPLS 数据包的形式接收帧。在这里，PE4 通过查找 mpls.0 表中的 MPLS 标签 L1 来标识桥接域。MPLS 查找指向桥接域下一跃点的表下一跃点。识别桥接域并将数据包标识为广播数据包后，将执行 BUM 复合泛洪下一跃点。BUM 复合下一跃点也指向 VXLAN 下一跃点（用于构建 VXLAN 组播数据包）。
5- VXLAN 下一跃点包含用于构建 VXLAN 标头的信息。
VXLAN 标头信息如下：
源 MAC 地址 = MAC 地址或源 IP 地址接口
目标 MAC 地址 = 组播 MAC 地址
源 IP 地址 = 11.10.10.1
目标 IP 地址 = 组播组地址 （226.0.39.16）
源 UDP 端口 = 根据传入帧标头上的哈希值计算
目标 UDP 端口 = 4789（VXLAN 隧道的众所周知端口）
6—此步骤的帧处理与步骤 1 相同。移除 VXLAN 标头后，帧将被转发至与广播域关联的 CE 泛洪路由，数据包将作为第 2 层帧进行转发。
7—服务器 B 接收 ARP 请求数据包并向服务器 A 发送 ARP 回复。
单播流量处理
假设数据和控制平面 MAC 学习都已发生，则从服务器 B 到 EVPN 的 VXLAN 到 EVPN 单播流量（ARP 回复）的处理方式如下：
8—服务器 B 生成 ARP 回复。
ARP报文内容如下：
VLAN ID = VLAN 10
源 MAC = MACB（服务器 B 接口 MAC）
目标 MAC = MACA
源 IP 地址 = 服务器 B 或虚拟机 IP 地址的 IP 地址
目标 IP 地址 = 服务器 A 的 IP 地址
ARP 数据包被转发至交换机 TOR B。
9—接收到帧后，交换机 TOR B 对传入帧进行分类。帧在接收接口上的 IFL 中分类。基于 IFL 系列，确定了与 IFL 相关的桥接域。在给定的桥接域上，TOR B 学习源 MAC 地址。一旦 TOR B 完成桥接域目标 MAC （MACA） 查找，此查找将提供 VXLAN 单播下一跃点。下一跃点包含构成 VXLAN 标头所需的所有信息。
形成数据包所需的下一跃点的内容如下：
源 MAC 地址 = 源 IP 地址接口的 MAC 地址
目标 MAC 地址 = 下一跃点的 MAC 地址
源 IP 地址 = 11.10.10.2
目标 IP 地址 = 11.10.10.1（MAC 学习过程的结果）
源 UDP 端口 = 根据传入帧标头上的哈希值计算
目标 UDP 端口 = 4789（VXLAN 隧道的众所周知端口）
注意：早期版本的 VXLAN 草案使用 8472 作为 UDP 端口。
10— 路由器 PE 接收 VXLAN 封装的帧 4。PE4 通过使用目标 IP 地址和目标 UDP 端口完成查找来识别帧。此查找会导致 VXLAN 解封装。解封装下一跃点还会存储外部源 IP 地址。
下一次查找将根据 VNI ID 1000 进行。此查找将结果放入 bride 域表中。
10A—路由器 PE 完成源 MAC 到源 IP 地址学习，L2ALD 接收 MAC 学习通知。此 MAC 被发送到 RPD，以通过 BGP-EVPN MAC 通告路由分发到其他 PE 路由器。BGP 控制平面将此 MAC 可访问性信息分发到所有其他 PE 路由器。
目标 MAC （MAC1） 查找在桥接域 MAC 地址表中完成。此查找将进入单播下一跃点 （EVPN NH）。
11- 执行 EVPN 单播下一跃点。下一跃点包含单播 MPLS 服务标签。此标签通过 MP-BGP 控制平面分布。下游对等方分配此 MPLS 服务标签。此标签的分配可以按 PE（PE、VLAN）或按 MAC 地址分配。根据下一跳中的信息，形成 MPLS 数据包，并在 MPLS 网络上转发。
12—路由器 PE2 接收帧。该帧被标识为 MPLS 数据包。MPLS 标签查找是在 MPLS.0 表中完成的。此查找将生成表下一跃点和桥接域表。
目标 MAC （MAC1） 查找在桥接域 MAC 表中完成。此查找将生成 VXLAN 单播下一跃点。
13- VXLAN 单播下一跳包含用于构建 VXLAN 封装报头的所有信息。VXLAN 标头被强加在数据包上。
VXLAN 封装下一跳标头的内容如下：
源 MAC 地址 = 源 IP 地址接口的 MAC 地址
目标 MAC 地址 = 下一跃点的 MAC 地址
源 IP 地址 = 10.10.10.2
目标 IP 地址 = 10.10.10.1（MAC 学习过程的结果）
源 UDP 端口 = 根据传入帧标头上的哈希值计算
目标 UDP 端口 = 4789（VXLAN 隧道的众所周知端口）
14—交换机 TOR A 接收 VXLAN 封装帧。TOR A 使用目标 IP 地址和目标 UDP 端口进行查找，从而识别帧。此查找会导致 VXLAN 解封装。解封装后的下一跃点还会存储外部源 IP 地址。
下一次查找将根据 VNI ID 1000 进行。此查找将结果放入 bride 域表中。TOR A 完成源 MAC （MAC2） 到源 IP 地址 （10.10.10.2） 的学习。TOR A 在桥接域MAC 地址表中查找目标 MAC （MAC1）。此查找将产生一个单播下一跃点，其中包含有关出口接口的信息。
15—服务器 A 接收 ARP 回复，服务器 A 和服务器 B 已准备好进行通信。
面向 DCI 的 VXLAN-EVPN 集成实施概述
以下章节提供了用于 DCI 的 VXLAN-EVPN 集成的用例场景。
VNI 基本服务用例
对于 VNI 基本服务，VNI 和 EVI 之间存在一对一映射关系。在这种情况下，无需在 MAC 通告路由中携带 VNI，因为桥接域 ID 可以从与此路由关联的路由目标 （RT） 派生而来。MPLS 标签分配是按 EVI 完成的。
图 7 概述了 VNI 基本用例场景。VNI 基本服务最常用于实现 VNI 转换和 VNI 到 VLAN 的互连。
VNI 感知服务用例
如果采用 VNI 感知捆绑模式，则有多个 VNI 可映射到同一个 EVI。以太网标记 ID 必须设置为 BGP 路由播发中的 VNI ID。此用例中的 MPLS 标签分配应基于 EVI 和 VNI 进行，以便可以在入口 PE 路由器上终止 VXLAN，然后在出口 PE 路由器上重新创建 VXLAN。
图 8 提供了有关 VNI 感知服务用例的详细信息。
VXLAN-VLAN 互通用例
异构数据中心站点需要此用例场景。在此方案中，新数据中心站点是基于 VXLAN 的数据中心站点，而旧数据中心站点则基于 VLAN。在此场景中，需要通过 EVPN 实现 VXLAN 与 VLAN 互连。
图 9 提供了 VXLAN-VLAN 互通用例场景的详细数据包演练。需要从控制平面 BGP 路由更新的角度进行 VLAN 到 VXLAN 的互通，反之亦然。标签分配需要基于每个 EVI 进行。
VXLAN 间路由用例
在此用例中，一个子网 （VNI-A） 中的虚拟机或主机希望将流量发送到另一个子网 （VNI-B） 中的虚拟机或主机。为了提供这种通信，应支持 VXLAN 间路由。
图 10 提供了 VXLAN 间路由用例的用例场景。
冗余用例
两种类型的冗余用例场景包括主动-备用和主动-主动。
主动-备用冗余用例
在此用例场景中，TOR 交换机（源自 GW 的 VXLAN）或源自 VXLAN 隧道的 VXLAN 网络双宿主至两个 PE 设备，以实现主备冗余。如果活动链路或节点发生故障，备用路径将接管。
图 11 提供了主动-备用冗余用例场景的详细信息。
主动-主动冗余用例
在 QFX 系列平台上使用网关模型将数据中心的 EVPN VXLAN 与 WAN 中的 EVPN-VXLAN 互连时，您可以在多宿主客户边缘设备上配置 A/A 冗余模式，以便在 CE 设备上和向 CE 设备的所有多宿主链路上均衡第 2 层单播流量。
MAC-VRF 和 VTEP-Scaling 配置需要设置 interconnect-multihoming-peer-gateway CLI 命令。请注意，在某些情况下，EVPN-VXLAN 仅在 VTEP 扩展模式下受支持，其中为可能具有多个路由实例的给定对等设备创建单个 VTEP。在这种情况下，只能将对等设备表示为 WAN 对等方 （WAN VTEP） 或 DC VTEP（普通 VTEP）。
对于主动-主动冗余，需要在“互连”部分进行其他配置才能启用 DCI 互连。对于 default switch (switch-options) 配置，请务必将 DCI 设置在 global protocols evpn。
协议 EVPN 示例：
evpn-vxlan-dc1
vtep-source-interface lo0.0;
instance-type mac-vrf;
route-distinguisher 101:1; //DC-RD
vrf-target target:1:1; //DC-RT
protocols {
evpn {
encapsulation vxlan;
extended-vni-list all;
interconnect {
vrf-target target:2:2; // WAN RT
vrf-import <>
route-distinguisher 101:2;// WAN RD
interconnected-vni-list all;
esi {
00:00:01:02:03:04:05:06:07:08;
all-active;
}
}
}
}
vlans {
bd1 {
vlan-id 51;
l3-interface irb.0;
vxlan {
vni 51;
translation-vni <>
}
}
}
}
global
protocols {
evpn {
interconnect-multihoming-peer-gateways <GW>
}
}
注： interconnect-multihoming-peer-gateways 应配置为包含同一数据中心上所有 DCI 对等方的列表。
该列表最多可包含 64 个对等网关条目。请务必在节 global protocol evpn 下进行配置，而不是在任何 mac-vrf 设置下进行配置。
示例：主动-主动多宿主 提供了主动-主动冗余的详细信息。
使用 EVPN 的 VXLAN DCI 支持和不支持的功能
Junos OS 支持使用 EVPN 的 VXLAN DCI 的以下功能：
VXLAN 隧道与 EVPN 实例的一对一映射。换句话说，VNI 和 EVI 之间的一对一映射。
在一个 EVPN 实例上进行 VXLAN 隧道多对一映射，其中多个 VNI 可映射到同一个 EVI。
VNI 翻译。
注意：通过将 VXLAN 标记规范化为 VLAN，可支持 VNI 转换。
VXLAN 到 VLAN 互连。
VXLAN 间路由。
单个活动冗余。
PIM BIDIR 模式中的主动-主动冗余。
使用 IPSec 的 VXLAN 隧道流量保护。
平滑路由引擎切换。
ISSU。
Junos OS 不支持使用 EVPN 的 VXLAN DCI 的以下功能：
VXLAN 使用 IANA 分配的 UDP 端口 4789。仅当启用 VXLAN 配置时，才会处理发往 UDP 端口 4789 的数据包。VXLAN 数据包由转发平面解封装，并处理内部第 2 层数据包。将生成 MAC 学习的数据包，用于对新学习的 MAC 条目进行控制平面处理。这些条目使用现有的 MAC 学习基础架构进行限制。VXLAN 为远程端点生成附加学习消息。这些消息也使用现有基础结构进行限制，以便进行拒绝服务检测。
仅当数据包中的 VXLAN 标识符是设备的已知实体时，才会处理在 VXLAN 隧道上收到的数据包。未知实体将被转发平面丢弃。
使用可配置的防火墙，过滤器在到达 MX 系列路由器转发平面中的 VXLAN 处理模块之前可以被丢弃。
逻辑系统。
变更历史表
是否支持某项功能取决于您使用的平台和版本。使用 功能浏览器 查看您使用的平台是否支持某项功能。