EVPN mit VXLAN Data Plane Encapsulation verstehen
Mit Ethernet-VPNs (EVPNs) können Sie Gruppen von verteilten Kundenstandorten über virtuelle Layer-2-Bridges verbinden, und mit Virtual Extensible LANs (VXLANs) können Sie die Layer-2-Konnektivität über ein dazwischenliegendes Layer-3-Netzwerk strecken und gleichzeitig eine Netzwerksegmentierung wie ein VLAN bereitstellen, jedoch ohne die Skalierungsbeschränkungen herkömmlicher VLANs. EVPN mit VXLAN-Kapselung gewährleistet Layer-2-Konnektivität in der von Cloud-Server-Anbietern geforderten Größenordnung und ersetzt limitierende Protokolle wie das Spanning Tree Protocol (STP). Dadurch wird Ihr Layer-3-Netzwerk für die Verwendung robusterer Routing-Protokolle frei. EVPN mit VXLAN Data Plane-Kapselung kann mit und ohne Juniper Networks Contrail-Virtualisierungssoftware verwendet werden. Verwenden Sie Contrail mit EVPN VXLAN Data Plane-Kapselung, wenn Sie eine Umgebung haben, die sowohl virtuelle als auch Bare-Metal-Geräte umfasst.
EVPN verstehen
Ethernet VPN (EVPN) ist eine standardbasierte Technologie, die virtuelle Mehrpunkt-Bridged-Konnektivität zwischen verschiedenen Layer-2-Domänen über ein IP- oder IP/MPLS-Backbone-Netzwerk bietet. Wie andere VPN-Technologien, z. B. IP VPN und Virtual Private LAN Service (VPLS), werden EVPN-Instanzen auf Provider-Edge-Routern (PE) konfiguriert, um eine logische Servicetrennung zwischen den Kunden aufrechtzuerhalten. Die PE-Router stellen Verbindungen zu Kunden-Edge-Geräten (CE) her, bei denen es sich um Router, Switches oder Hosts handeln kann. Die PE-Router tauschen dann mithilfe von Multiprotocol BGP (MP-BGP) Erreichbarkeitsinformationen aus, und der eingekapselte Datenverkehr wird zwischen den PE-Routern weitergeleitet. Da Elemente der Architektur auch bei anderen VPN-Technologien vorhanden sind, können Sie EVPN nahtlos in bestehende Serviceumgebungen einführen und integrieren, wie in Abbildung 1 dargestellt.
Das EVPN wird als Layer-2-Overlay-Lösung verwendet, um eine Layer-2-Verbindung über ein IP-Underlay für die Endgeräte innerhalb eines virtuellen Netzwerks bereitzustellen, wenn Layer-2-Konnektivität von einer Endstation wie einem Bare-Metal-Server (BMS) benötigt wird. Andernfalls wird Layer-3-Routing über VRF-Tabellen zwischen Contrail vRoutern und Routern der MX-Serie verwendet. Die EVPN-Technologie bietet mandantenfähige, flexible Services, die bei Bedarf erweitert werden können, wobei häufig Rechenressourcen verschiedener physischer Datencenter für einen einzigen Service verwendet werden (Layer-2-Erweiterung).
Mit der MP-BGP-Steuerungsebene von EVPN können Sie live virtuelle Maschinen dynamisch von einem Datencenter in ein anderes verschieben, was auch als VM-Bewegung (Virtual Machine) bezeichnet wird. Nachdem Sie eine VM auf einen Zielserver oder Hypervisor verschoben haben, überträgt sie ein kostenloses ARP, das die Layer 2-Weiterleitungstabelle des PE-Geräts im Zieldatencenter aktualisiert. Das PE-Gerät überträgt dann eine MAC-Routenaktualisierung an alle Remote-PE-Geräte, die wiederum ihre Weiterleitungstabellen aktualisieren. Ein EVPN verfolgt die Bewegung der VM, die auch als MAC-Mobilität bezeichnet wird.
EVPN verfügt außerdem über Mechanismen, die MAC-Flattern erkennen und stoppen und die Schleifenbildung von Broadcast-, unbekanntem Unicast- und Multicast-Datenverkehr (BUM) in einer rein aktiven Multi-Homed-Topologie verhindern.
Die EVPN-Technologie umfasst, ähnlich wie Layer 3 MPLS-VPN, das Konzept des Routings von MAC-Adressen mithilfe von IP/MPLS-Core. EVPN bietet die folgenden Vorteile:
-
Möglichkeit eines aktiven Multihomed-Edge-Geräts
-
Aliasing
-
Schnelle Konvergenz
-
Load Balancing zwischen dual-aktiven Verbindungen
-
Mobilität von MAC-Adressen
-
Mehrfachmandantenfähigkeit
Darüber hinaus nutzt EVPN die folgenden Techniken:
-
Multihoming bietet Redundanz für den Fall, dass eine Zugriffsverbindung oder eines der PE-Routing-Geräte ausfällt. In beiden Fällen fließt der Datenverkehr vom CE-Gerät über die verbleibenden aktiven Verbindungen zum PE-Router. Für Datenverkehr in die andere Richtung aktualisiert der Remote-PE-Router seine Weiterleitungstabelle, um Datenverkehr an die verbleibenden aktiven PE-Router zu senden, die mit dem mehrfach vernetzten Ethernet-Segment verbunden sind. EVPN bietet einen schnellen Konvergenzmechanismus, der die Zeit für die Wiederherstellung des Datenverkehrs verkürzt, sodass die Zeit, die für diese Anpassung benötigt wird, unabhängig von der Anzahl der MAC-Adressen (Media Access Control) ist, die der PE-Router gelernt hat. All-aktives Multihoming ermöglicht es einem CE-Gerät, eine Verbindung mit zwei oder mehr PE-Routern herzustellen, sodass der Datenverkehr über alle Verbindungen zwischen den Geräten weitergeleitet wird. Dieses Multihoming ermöglicht es dem CE-Gerät, den Datenverkehr auf mehrere PE-Router auszugleichen. Noch wichtiger ist, dass Multihoming es einem Remote-PE-Router ermöglicht, den Datenverkehr zu den mehrfach vernetzten PE-Routern im gesamten Core-Netzwerk auszugleichen. Dieses Load Balancing der Datenverkehrsströme zwischen Datencentern wird als Aliasing bezeichnet. Es bewirkt, dass verschiedene Signale nicht mehr unterscheidbar werden – sie werden zu Aliasnamen füreinander. Aliasing wird bei digitalen Audio- und digitalen Bildern verwendet.
-
Der geteilte Horizont verhindert die Schleifen von Broadcast-, unbekanntem Unicast- und Multicast-Datenverkehr (BUM) in einem Netzwerk. Das Grundprinzip des geteilten Horizonts ist einfach: Informationen über das Routing eines bestimmten Pakets werden niemals in die Richtung zurückgesendet, aus der sie empfangen wurden.
-
Der Local Link Bias spart Bandbreite, indem lokale Verbindungen verwendet werden, um Unicast-Datenverkehr weiterzuleiten, der ein Virtual Chassis oder eine Virtual Chassis-Fabric (VCF) verlässt, die über ein Link Aggregation Group (LAG)-Bundle verfügt, das aus Mitgliederlinks auf verschiedenen Mitglieds-Switches im selben Virtual Chassis oder VCF besteht. Ein lokaler Link ist ein Mitgliedslink im LAG-Paket, der sich auf dem Mitglieder-Switch befindet, der den Datenverkehr empfangen hat.
-
EVPN mit VXLAN-Kapselung wird für die Layer-2-Konnektivität zwischen virtuellen Maschinen und einem Top-of-Rack (TOR)-Switch, z. B. einem QFX5100-Switch, innerhalb einer Layer-2-Domäne verwendet.
Mit Contrail können Sie einen Router der MX-Serie als Layer-2- oder Layer-3-VXLAN-Gateway bereitstellen. Router der MX-Serie implementieren das XML-Verwaltungsprotokoll NETCONF, ein XML-basiertes Protokoll, das von Client-Anwendungen zum Anfordern und Ändern von Konfigurationsinformationen auf Routing-, Switching- und Sicherheitsgeräten verwendet wird. Das NETCONF-XML-Verwaltungsprotokoll verwendet eine XML-basierte Datencodierung für die Konfigurationsdaten und Remote-Prozeduraufrufe. Das NETCONF-Protokoll definiert grundlegende Vorgänge, die den Konfigurationsmodusbefehlen in der Befehlszeilenschnittstelle (CLI) entsprechen. Anwendungen verwenden die Protokolloperationen, um Konfigurationsanweisungen anzuzeigen, zu bearbeiten und zu bestätigen, ähnlich wie Administratoren Befehle im CLI-Konfigurationsmodus verwenden, um dieselben Vorgänge auszuführen.
VXLAN verstehen
Virtual extensible LANs (VXLANs) führten ein Overlay-Schema ein, das den Layer-2-Netzwerkadressraum von 4K auf 16 Millionen erweitert und damit die Skalierungsprobleme in VLAN-basierten Umgebungen weitgehend löst.
Netzwerk-Overlays erfolgen durch Kapselung des Datenverkehrs und Tunneling des Datenverkehrs über ein physisches Netzwerk. Sie können eine Reihe von Tunneling-Protokollen im Datencenter verwenden, um Netzwerk-Overlays zu erstellen – das gebräuchlichste Protokoll ist VXLAN. Das VXLAN-Tunneling-Protokoll kapselt Layer-2-Ethernet-Frames in Layer-3-UDP-Pakete ein. Mit dieser Kapselung können Sie virtuelle Layer-2-Subnetze oder -Segmente erstellen, die sich über physische Layer-3-Netzwerke erstrecken können.
In einem VXLAN-Overlay-Netzwerk identifiziert ein VXLAN Network Identifier (VNI) jedes Layer-2-Subnetz oder -Segment eindeutig. Ein VNI segmentiert den Datenverkehr genauso wie eine IEEE 802.1Q VLAN-ID den Datenverkehr. Wie bei VLANs können virtuelle Maschinen auf demselben VNI direkt miteinander kommunizieren, während virtuelle Maschinen auf verschiedenen VNIs einen Router für die Kommunikation benötigen.
Die Entität, die die Kapselung und -Entkapselung vornimmt, heißt VXLAN Tunnel Endpoint (VTEP). Im physischen Netzwerk kann ein Gerät von Juniper Networks, das als Layer 2- oder Layer 3 VXLAN-Gateway fungiert, Datenpakete kapseln und entkapseln. Diese Art von VTEP wird als Hardware-VTEP bezeichnet. Im virtuellen Netzwerk können sich VTEPs auf Hypervisor-Hosts befinden, z. B. KVM-Hosts (Kernel-based Virtual Machine). Diese Art von VTEP wird als Software-VTEP bezeichnet.
Jeder VTEP verfügt über zwei Schnittstellen.
-
Eine Schnittstelle ist eine Switching-Schnittstelle, die den virtuellen Maschinen im Host zugewandt ist und die Kommunikation zwischen VMs im lokalen LAN-Segment ermöglicht.
-
Die andere ist eine IP-Schnittstelle, die zum Layer-3-Netzwerk ausgerichtet ist.
Jeder VTEP hat eine eindeutige IP-Adresse, die für das Routing der UDP-Pakete zwischen VTEPs verwendet wird. Wenn VTEP1 beispielsweise einen an VM3 adressierten Ethernet-Frame von VM1 empfängt, sucht er mithilfe des VNI und der MAC-Adresse des Zielorts in der Weiterleitungstabelle nach, an wen VTEP das Paket sendet. Anschließend wird eine VXLAN-Kopfzeile hinzugefügt, die den VNI zum Ethernet-Frame enthält, den Frame in ein Layer-3-UDP-Paket einkapselt und das Paket über das Layer-3-Netzwerk an VTEP2 weitergeleitet. VTEP2 entkapselt den Original-Ethernet-Frame und leitet ihn an VM3 weiter. VM1 und VM3 können den VXLAN-Tunnel und das Layer-3-Netzwerk zwischen ihnen nicht erkennen.
Übersicht über die EVPN-VXLAN-Integration
VXLAN definiert ein Tunneling-Schema, um Layer-2-Netzwerke über Layer-3-Netzwerke zu legen. Dieses Tunneling-Schema ermöglicht eine optimale Weiterleitung von Ethernet-Frames mit Unterstützung für Multipathing von Unicast- und Multicast-Datenverkehr unter Verwendung von UDP/IP-Kapselung für Tunneling und wird hauptsächlich für die Konnektivität innerhalb von Datencenter-Standorten verwendet.
Ein einzigartiges Merkmal von EVPN ist, dass das Lernen von MAC-Adressen zwischen PE-Routern in der Steuerungsebene stattfindet. Der lokale PE-Router erkennt eine neue MAC-Adresse von einem CE-Gerät und gibt die Adresse dann mithilfe von MP-BGP allen Remote-PE-Routern bekannt. Diese Methode unterscheidet sich von bestehenden Layer-2-VPN-Lösungen wie VPLS, die lernen, indem sie unbekannte Unicasts in der Datenebene fluten. Diese MAC-Lernmethode auf der Steuerungsebene ist der Schlüssel zu den vielen nützlichen Funktionen, die EVPN bietet.
Da das Erlernen der MAC-Adressen in der Control Plane stattfindet, bietet EVPN die Flexibilität, verschiedene Kapselungstechnologien für Data Planes zwischen PE-Routern zu unterstützen. Diese Flexibilität ist wichtig, da nicht jedes Backbone-Netzwerk MPLS ausführt, insbesondere in Unternehmensnetzwerken.
EVPN adressiert viele der Herausforderungen, mit denen Netzwerkbetreiber beim Aufbau von Datencentern konfrontiert sind, um Cloud- und Virtualisierungsservices anzubieten. Die Hauptanwendung von EVPN ist Data Center Interconnect (DCI), was sich auf die Fähigkeit bezieht, die Layer-2-Konnektivität zwischen verschiedenen Datencentern zu erweitern, die zur Verbesserung der Leistung bei der Bereitstellung von Anwendungsdatenverkehr für Endbenutzer und für die Notfallwiederherstellung bereitgestellt werden.
Obwohl verschiedene DCI-Technologien verfügbar sind, hat EVPN aufgrund seiner einzigartigen Funktionen wie Aktiv/Aktiv-Redundanz, Aliasing und Massen-MAC-Entzug einen Vorteil gegenüber den anderen MPLS-Technologien. Um eine Lösung für DCI bereitzustellen, ist VXLAN in EVPN integriert.
Wie in Abbildung 2 dargestellt, führt jedes VXLAN, das mit dem MPLS oder IP-Core verbunden ist, eine unabhängige Instanz der IGP-Steuerungsebene (Interior Gateway Protocol) aus. Jeder PE-Router ist an der IGP-Steuerungsebeneninstanz seines VXLAN beteiligt. Da jeder Kunde ein Datencenter ist, verfügt jeder über seinen eigenen virtuellen Router für VXLAN-Underlays.
Jeder PE-Knoten kann die VXLAN-Data-Plane-Kapselung beenden, bei der der VXLAN Network Identifier (VNI) einer Bridge-Domäne oder einem VLAN zugeordnet wird. Der PE-Router führt Data Plane-Lernen für den vom VXLAN empfangenen Datenverkehr durch.
Jeder PE-Knoten implementiert EVPN, um die über den VXLAN-Tunnel gelernten Client-MAC-Adressen in BGP zu verteilen. Jeder PE-Knoten kapselt die VXLAN- oder Ethernet-Frames mit MPLS ein, wenn die Pakete über den MPLS-Core gesendet werden, und mit dem VXLAN-Tunnel-Header, wenn die Pakete über das VXLAN-Netzwerk gesendet werden.
EVPN-VXLAN-Integration
Firewall-Filterung und -Überwachung für EVPN-VXLAN
Geben Sie für jeden Firewall-Filter, den Sie auf ein VXLAN anwenden, an family ethernet-switching , dass Layer-2-Pakete (Ethernet) oder family inet IRB-Schnittstellen gefiltert werden sollen. Die IRB-Schnittstelle fungiert als Layer-3-Routing-Schnittstelle zur Verbindung der VXLANs in One-Layer- oder Two-Layer-IP-Fabric-Topologien. Es gelten die folgenden Einschränkungen:
-
Filterung und Überwachung werden für VXLAN-Transitdatenverkehr nicht unterstützt.
-
Die Firewallfilterung für VNI am ausgehenden VTEP-Gerät wird nicht unterstützt.
-
Die Überwachung von VNI am ausgehenden VTEP-Gerät wird nicht unterstützt.
-
Übereinstimmungsbedingungen für VXLAN-Header-Felder werden nicht unterstützt.
EVPN-VXLAN-Firewall-Filter werden auf der Schnittstelle konfiguriert, nachdem der VXLAN-Header vom VXLAN Tunnel Endpoint (VTEP) entfernt wurde.
Weitere Informationen zum Konfigurieren von Firewall-Filtern, Übereinstimmungsbedingungen und -aktionen finden Sie unter:
Grundlegendes zur Verwendung von Contrail Virtual Networks mit EVPN-VXLAN
Die Contrail-Virtualisierungssoftware von Juniper Networks ist eine softwaredefinierte Netzwerklösung (SDN), die die Erstellung hoch skalierbarer virtueller Netzwerke automatisiert und orchestriert. Mit diesen virtuellen Netzwerken können Sie die Leistungsfähigkeit der Cloud nutzen – für neue Services, erhöhte geschäftliche Agilität und Umsatzsteigerung. Router der MX-Serie können EVPN-VXLAN nutzen, um sowohl Layer-2- als auch Layer-3-Konnektivität für Endstationen innerhalb eines virtuellen Contrail-Netzwerks (VN) bereitzustellen.
Die Contrail-Software für virtuelle Netzwerke bietet sowohl Layer-2- als auch Layer-3-Konnektivität. Bei Contrail wird Layer-3-Routing nach Möglichkeit Layer-2-Bridging vorgezogen. Layer-3-Routing wird über virtuelle Routing- und Weiterleitungstabellen (VRF) zwischen Contrail vRoutern und physischen Routern der MX-Serie verwendet. Router der MX-Serie bieten Layer-3-Gateway-Funktionalität zwischen virtuellen Netzwerken.
Contrail ermöglicht Ihnen die Verwendung von EVPN-VXLAN, wenn Ihr Netzwerk sowohl virtuelle als auch Bare-Metal-Geräte umfasst.
In virtuellen Netzwerken werden zwei Arten von Kapselungsmethoden verwendet.
-
MPLS-over-GRE (Generic Routing Encapsulation) wird für das Layer-3-Routing zwischen Contrail- und Routern der MX-Serie verwendet.
-
EVPN-VXLAN wird für die Layer-2-Konnektivität zwischen virtuellen Maschinen und Top-of-Rack (TOR)-Switches verwendet, z. B. QFX5100-Switches innerhalb einer Layer-2-Domäne. Für Layer 2-Konnektivität wird das Load Balancing des Datenverkehrs im Core mithilfe der von EVPN bereitgestellten Multihoming-Funktion "Alle Aktiven" erreicht. Ab Junos OS Version 17.3R1 unterstützen EX9200-Switches auch EVPN-VXLAN mit Contrail.
MPLS-Core wird auf Switches nicht unterstützt – diese Funktion wird nur von Routern der MX-Serie unterstützt.
Sie können EVPN-VXLAN nicht gleichzeitig mit Open vSwitch Database (OVSDB)-VXLAN auf Switches der QFX-Serie mischen. Nachdem ein Switch auf OVSDB-verwaltet gesetzt wurde, behandelt der Controller alle Ports als von OVSDB verwaltet.
EVPN-VXLAN-Unterstützung für VXLAN-Underlays auf Routern der MX-Serie und den Switches der EX9200-Serie
Router der MX-Serie und Switches der EX92xx-Serie unterstützen VXLAN-Gateways (Virtual Extensible LAN). Jedes VXLAN-Gateway unterstützt die folgenden Funktionalitäten:
-
Switching-Funktionalität mit herkömmlichen Layer-2-Netzwerken und VPLS-Netzwerken
-
Inter-VXLAN-Routing und Nur-VXLAN-Bridging-Domäne mit IRB
-
Virtuelle Switches
-
VXLAN mit VRF-Funktionalität
-
Konfigurierbares Load Balancing
-
Statistiken für Remote-VTEP
Ab Junos OS Version 17.3R1 wird die EVPN-VXLAN-Unterstützung auf Routern der MX-Serie auf die VXLAN-Gateway-Implementierung mit einem IPv6-Underlay erweitert. Wir unterstützen EVPN Typ 1-, Typ 2-, Typ 3- und Typ 4-Routen mit einem IPv6-Underlay auf Routern der MX-Serie.
Wir unterstützen die folgenden Servicetypen mit der IPv6-Underlay-Unterstützung:
-
VLAN-basierter Service
-
VLAN-Bundle-Service
-
Portbasierter Service
-
VLAN-fähiger Service
Sowohl IPv4- als auch IPv6-EVPN-VXLAN-Underlays unterstützen EVPN-MAC-Adressen vom Typ 2 mit IP-Adressankündigung und Proxy-MAC-Adressen mit IP-Adressankündigung.
EVPN-VXLAN-Unterstützung für VXLAN-Underlays auf Switches der QFX-Serie
Switches der QFX-Serie unterstützen VXLAN-Gateways in einem EVPN-VXLAN-Netzwerk. Alle Geräte, die EVPN-VXLAN unterstützen, können ein IPv4-Underlay für das VXLAN-Overlay verwenden.
Wir unterstützen auch die Konfiguration eines IPv6-Underlay für das VXLAN-Overlay in EVPN-VXLAN-Netzwerken auf Switches der QFX-Serie. Sie können ein IPv6-Underlay nur mithilfe von MAC-VRF EVPN-Instanzen konfigurieren. Bei einem IPv6-Underlay ist der äußere IP-Header im VXLAN-Paket ein IPv6-Header, und Sie konfigurieren die VTEP-Quelladresse als IPv6-Adresse. Weitere Informationen zur Unterstützung von IPv6-Underlays und zur Konfiguration eines VXLAN-Gateway-Geräts für die Verwendung eines IPv6-Underlay finden Sie unter EVPN-VXLAN mit einem IPv6-Underlay .
EVPN-VXLAN-Unterstützung für VXLAN-Underlays auf Geräten der ACX-Serie
ACX7100-32C-, ACX7100-48L- und ACX7024-Geräte können entweder ein IPv4- oder ein IPv6-Underlay für das VXLAN-Overlay verwenden. Sie können ein IPv6-Underlay nur mit MAC-VRF-Routinginstanzen (alle Servicetypen) erstellen. Sie müssen entweder ein IPv4- oder ein IPv6-Underlay für die EVPN-Instanzen in der Fabric konfigurieren. Es ist nicht möglich, IPv4- und IPv6-Underlays in derselben Fabric zu mischen.
Um ein IPv6-Underlay zu erstellen, müssen Sie die vxlan-extended Anweisung in der [edit system packet-forwarding-options system-profile] Hierarchie aktivieren.
Bei einem IPv6-Underlay ist der äußere IP-Header im VXLAN-Paket ein IPv6-Header, und Sie konfigurieren die VTEP-Quelladresse als IPv6-Adresse. Weitere Informationen zur Unterstützung von IPv6-Underlays und zur Konfiguration eines VXLAN-Gateway-Geräts für die Verwendung eines IPv6-Underlay finden Sie unter EVPN-VXLAN mit einem IPv6-Underlay .
Nachdem Sie dieses Profil aktiviert haben, wird die Packet Forwarding Engine neu gestartet. Der Datenverkehr kann unterbrochen werden, wenn Datenverkehr ausgeführt wird.
Um wieder das Standardsystemprofil zu verwenden, geben Sie den delete system packet-forwarding-options system-profile vxlan-extended Befehl ein. Die PFE wird neu gestartet, nachdem Sie zum Standardsystemprofil zurückgekehrt sind. Während dieses Vorgangs kann der ausgeführte Datenverkehr unterbrochen werden.
EVPN-VXLAN-Paketformat
Das EVPN-VXLAN-Paketformat ist in Abbildung 3 dargestellt.
Tabellarischer Änderungsverlauf
Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie Funktionen entdecken , um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.