Verwenden eines standardmäßigen Layer-3-Gateways zum Routing des Datenverkehrs in einem EVPN-VXLAN-Overlay-Netzwerk
Physische (Bare-Metal-) Server in einer Ethernet VPN-Virtual Extensible LAN (EVPN-VXLAN)-Umgebung sind auf ein standardmäßiges Layer-3-Gateway angewiesen, um ihren Datenverkehr von einem virtuellen Netzwerk (VN) zu einem anderen physischen Server oder einer virtuellen Maschine (VM) in einem anderen VN zu leiten. Sie können die Standard-Gateway-Funktionalität auf einem Gerät von Juniper Networks aktivieren, das als Layer-3-VXLAN-Gateway fungiert. Auf einem Layer-3-VXLAN-Gateway können Sie eine integrierte Routing- und Bridging-Schnittstelle (IRB) mit einer virtuellen Gateway-Adresse (VGA) konfigurieren, die wiederum die IRB-Schnittstelle als standardmäßiges Layer-3-Gateway konfiguriert. Sie können eine IRB-Schnittstelle mit einem VGA konfigurieren, wenn Sie EVPN-VXLAN in einem Datencenter und in der Data Center Interconnect (DCI)-Lösung verwenden.
Grundlegendes zum Standard-Gateway
Um die Standard-Gateway-Funktion zu aktivieren, konfigurieren Sie eine IRB-Schnittstelle mit einer eindeutigen IP-Adresse und einer MAC-Adresse (Media Access Control). Darüber hinaus konfigurieren Sie die IRB-Schnittstelle mit einem VGA, bei dem es sich um eine Anycast-IP-Adresse handeln muss, und das Layer-3-VXLAN-Gateway generiert automatisch eine MAC-Adresse.
Wenn Sie eine IPv4-Adresse für den VGA angeben, generiert das Layer-3-VXLAN-Gateway automatisch 00:00:5e:00:01:01 als MAC-Adresse. Wenn Sie eine IPv6-Adresse angeben, generiert das Layer-3-VXLAN-Gateway automatisch 00:00:5e:00:02:01 als MAC-Adresse.
Auf Geräten von Juniper Networks, die als Layer-3-VXLAN-Gateways fungieren, können Sie explizit eine IPv4- oder IPv6-MAC-Adresse für ein Standard-Gateway konfigurieren, indem Sie die virtual-gateway-v4-mac Konfigurationsanweisung or virtual-gateway-v6-mac auf Hierarchieebene [edit interfaces irb unit logical-unit-number] verwenden. Bei dieser Konfiguration überschreibt das Gerät die automatisch generierte MAC-Adresse mit der konfigurierten MAC-Adresse.
Ein VGA und die zugehörige MAC-Adresse stellen die Standard-Gateway-Funktion in einem bestimmten VN bereit. Sie konfigurieren jeden Host (physischer Server oder VM) in der VN für die Verwendung der VGA.
Durch die Verwendung einer Anycast-IP-Adresse als VGA kann eine VM, wenn sie von einem EVPN-Provider-Edge-Gerät (PE) auf ein anderes in derselben VN verschoben wird, dasselbe Standardgateway verwenden. Mit anderen Worten, Sie müssen die VM nicht mit einer neuen Standard-Gateway-IP-Adresse für die MAC-Bindung aktualisieren.
Layer-3-VXLAN-Gateways in einer EVPN-VXLAN-Topologie reagieren auf ARP-Anforderungen (Address Resolution Protocol) für den VGA und leiten Pakete weiter, die für die standardmäßige Gateway-MAC-Adresse bestimmt sind.
Wenn Sie Ihren IRB-Schnittstellen einen VGA zuweisen, empfehlen wir als bewährte Methode, auch eine MAC-Adresse (VMAC) für virtuelle Gateways zu konfigurieren. Sie sollten allen IRB-Schnittstellen, die Sie mit demselben VGA konfigurieren, dieselbe VMAC zuweisen. Das heißt, die VGA-Adresse, die als Standard-Gateway innerhalb eines bestimmten VN verwendet wird, teilt sich auch auf allen IRB-Schnittstellen dieselbe VMAC-Adresse. Die Kombination aus VGA und VMAC muss innerhalb jeder VN eindeutig sein. Anders ausgedrückt: Innerhalb eines VLAN weisen Sie dieselben VGA und VMAC zu, während Sie zwischen VNs eindeutige VGA/VMAC-Kombinationen konfigurieren müssen.
| Virtuelles Netzwerk | IRB VGA | IRB VMAC | Hinweis |
|---|---|---|---|
| VN 1 | 10.0.1.254/24 | 00:05:85:00:01:01 | Weisen Sie allen IRBs, die VN 1 bedienen, dieselben VGA und VMAC zu. Diese Werte unterscheiden sich von denen, die dem IRB für VN 2 zugewiesen sind. |
| VN 2 | 10.0.2.254/24 | 00:05:85:00:02:02 | Weisen Sie allen IRBs, die VN 2 bedienen, dieselben VGA und VMAC zu. Diese Werte unterscheiden sich von denen, die dem IRB für VN 1 zugewiesen sind |
Das Befolgen dieser Empfehlung vermeidet asymmetrische Datenpfade für ARP-Anforderungen und -Antworten, wenn die IRB-Schnittstelle ARP-Nachrichten sendet, die für die MAC-Adresse eines Endziels bestimmt sind.
Auf Geräten von Juniper Networks, die als Layer-3-VXLAN-Gateways in einem EVPN-VXLAN-Bridging-Overlay mit zentralem Routing (EVPN-VXLAN-Topologie mit einer zweischichtigen IP-Fabric) fungieren, wird empfohlen, dass die IP-Adresse der IRB-Schnittstelle für die verschiedenen Layer-3-VXLAN-Gateways für ein bestimmtes virtuelles Netzwerk eindeutig ist und Sie eine virtuelle Gateway-MAC-Adresse für das IRB konfigurieren. Wenn Sie diese Empfehlung befolgen, wird ein asymmetrischer Datenpfad für die ARP-Anforderung und -Antwort vermieden, wenn die IRB-Schnittstelle ARP-Nachrichten sendet, die für die MAC-Adresse eines Endziels bestimmt sind. Wenn Sie eine virtuelle Gateway-MAC-Adresse für die IRB-Schnittstelle konfigurieren, empfehlen wir, eine eindeutige MAC-Adresse für die verschiedenen Layer-3-VXLAN-Gateways und in einem bestimmten Layer-3-VXLAN-Gateway dieselbe MAC-Adresse für verschiedene IRB-Einheiten zu verwenden.
Für IRB-Schnittstellen, die auf QFX10000-Switches in einem EVPN-VXLAN-Edge-Routed-Bridging-Overlay (EVPN-VXLAN-Topologie mit einer zweischichtigen IP-Fabric) konfiguriert sind, können Sie alternativ jede IRB-Schnittstelle auf jedem Layer-3-VXLAN-Gateway in einem VN mit derselben MAC-Adresse konfigurieren. Weitere Informationen finden Sie unter Beispiel: Konfigurieren eines EVPN-VXLAN Edge-Routed Bridging-Fabric mit einem Anycast-Gateway.
Die automatische ESI-Generierung ist standardmäßig auf Geräten in EVPN-VXLAN-Netzwerken mit EVPN-Multihoming für virtuelle Gateway-Redundanz aktiviert (siehe Grundlegendes zum redundanten Standard-Gateway). Es wird empfohlen, die automatische ESI-Generierung für EVPN-Netzwerke mit Edge-Routed Bridging-Overlays zu deaktivieren. Um die automatische ESI-Generierung zu deaktivieren, schließen Sie die no-auto-virtual-gateway-esi Anweisung auf Hierarchieebene [edit interfaces irb unit logical-unit-number] ein.
Um eine IRB-Schnittstelle zu beheben, können Sie die IP-Adresse der Schnittstelle pingen.
Zur Fehlerbehebung bei einem Standard-Gateway auf einem Router der MX-Serie können Sie den VGA des Standard-Gateways von einem CE-Gerät aus pingen. Um das Pingen des VGA zu unterstützen, fügen Sie die virtual-gateway-accept-data Anweisung in die [edit interfaces irb unit] Hierarchie des bevorzugten virtuellen Gateways ein.
Zusätzlich können Sie die IP-Adresse des CE-Geräts vom PE-Gerät (Router der MX-Serie) aus pingen. Um das Pingen der IP-Adresse des CE-Geräts zu unterstützen, fügen Sie die bevorzugte Anweisung in [edit interfaces irb unit logical-unit-number family (inet |inet6} address ip-address] die Hierarchie mit der eindeutigen IRB-IP-Adresse ein. Andernfalls müssen Sie die eindeutige IRB-IP-Adresse manuell als Quell-IP-Adresse angeben, wenn Sie das CE-Gerät pingen.
Für jede IRB-Schnittstelle mit konfiguriertem VGA gibt es zwei Sätze von IP- und MAC-Adressen – einen Satz für die IRB-Schnittstelle selbst und einen für das Standard-Gateway. Infolgedessen kündigt das Gerät MAC-Routen sowohl für die IRB-Schnittstelle als auch für das Standard-Gateway an. Der MAC-Routenankündigung für das Standardgateway für das Standardgateway ist jedoch kein standardmäßiges erweitertes Community-Attribut zugeordnet, da alle Layer-3-VXLAN-Gateways dieselbe Anycast-IP-Adresse und MAC-Bindung haben.
- verstehen, wie ein Standard-Gateway bekannten Unicast-Datenverkehr zwischen virtuellen Netzwerken verarbeitet
- verstehen, wie ein Standard-Gateway unbekannten Unicast-Datenverkehr zwischen virtuellen Netzwerken verarbeitet
verstehen, wie ein Standard-Gateway bekannten Unicast-Datenverkehr zwischen virtuellen Netzwerken verarbeitet
In dem in Abbildung 1 dargestellten zentral gerouteten Bridging-Overlay fungieren die Router der MX-Serie als Layer-3-VXLAN-Gateways und die Switches der QFX5200-Serie als Layer-2-VXLAN-Gateways. Die Endhosts 1 bis 4 sind physische Server, die miteinander kommunizieren müssen.
In dieser Topologie tauschen Endhost 1 in VN1 (10.10.0.0/24) und Endhost 3 in VN 2 (10.20.0.0/24) bekannte Unicast-Pakete aus. Nehmen Sie vor dem Paketaustausch zwischen den beiden Endhosts an, dass die Hosts ARP-Anforderungen an MX1 gesendet haben, bei dem es sich um ein Layer-3-VXLAN-Gateway handelt, und dass MX1 mit der MAC-Adresse eines Standardgateways in VN1 geantwortet hat.
Zum Beispiel erstellt Endhost 1 ein Paket und sendet es an QFX1, ein Layer-2-VXLAN-Gateway. QFX1 kapselt das Paket mit einem VXLAN-Header ein und sendet es an MX1. Für die innere Ziel-MAC enthält das Paket die MAC-Adresse eines Standard-Gateways in VN1. Für die innere Ziel-IP enthält das Paket die IP-Adresse von Endhost 3. Nach Erhalt des Pakets entkapselt MX1 es und führt nach Erkennung der MAC-Adresse des Standard-Gateways im inneren Ziel-MAC-Feld eine Routensuche nach der IP-Adresse von Endhost 3 in der L3-VRF-Routing-Tabelle für VN1 durch. Nachdem eine Route gefunden wurde, wird das Paket an VN2 weitergeleitet und basierend auf dem ARP-Routeneintrag wird das Paket mit einem VXLAN-Header eingekapselt und an QFX3 gesendet. QFX3 entkapselt das Paket und sendet es an Endhost 3.
Der Datenverkehrsfluss und die Verarbeitung von bekanntem Unicast-Datenverkehr in einem Edge-Routed Bridging-Overlay sind im Wesentlichen die gleichen wie in diesem Abschnitt beschrieben. Der einzige Unterschied besteht darin, dass im Edge-Routed Bridging-Overlay ein Switch der QFX-Serie, der Layer-3-VXLAN-Gateway-Funktionalität unterstützt, sowohl als Layer-2- als auch als Layer-3-VXLAN-Gateways fungiert.
verstehen, wie ein Standard-Gateway unbekannten Unicast-Datenverkehr zwischen virtuellen Netzwerken verarbeitet
Die Informationen in diesem Abschnitt gelten für den Datenverkehrsfluss und die Verarbeitung von unbekannten Unicast-Paketen in zentral gerouteten und Edge-gerouteten Bridging-Overlays.
Für unbekannten Unicast-Datenverkehr zwischen VNs, der von einem physischen Server initiiert wird, ist in jeder Phase ein zusätzlicher ARP-Anforderungs- und Antwortprozess erforderlich. Nachdem die MAC-Zieladressen sowohl für das Standard-Gateway als auch für den Host aufgelöst wurden, fließt der Datenverkehr auf die gleiche Weise wie unter Grundlegendes zum Umgang eines Standard-Gateways mit bekanntem Unicast-Datenverkehr zwischen virtuellen Netzwerken beschrieben.
Grundlegendes zum redundanten Standard-Gateway
Die Geräte von Juniper Networks, die als Layer-3-VXLAN-Gateways fungieren, können auch redundante Standard-Gateway-Funktionen bereitstellen. Ein redundantes Standardgateway verhindert den Verlust der Kommunikation zwischen physischen Servern in einem VN und physischen Servern oder VMs in einem anderen VN.
Die redundante Standard-Gateway-Funktionalität wird in der Regel in einer EVPN-VXLAN-Topologie erreicht, in der ein Provider-Edge-Gerät (PE) wie ein Layer-2-VXLAN-Gateway oder ein Contrail vRouter im Aktiv-Aktiv-Modus mit mehreren Layer-3-VXLAN-Gateways verbunden ist. Auf den Layer-3-VXLAN-Gateways sind IRB-Schnittstellen als Standard-Gateways konfiguriert. Beachten Sie, dass jedes Standard-Gateway dieselbe VGA- und MAC-Adresse verwendet. Außerdem sind die VGAs und MAC-Adressen derselben Ethernet-Segment-ID (ESI) zugeordnet.
Der mit der VGA- und der MAC-Adresse des Standard-Gateways verknüpfte ESI wird automatisch von einem autonomen System (AS) und dem VXLAN Network Identifier (VNI) für den VN abgeleitet. Infolgedessen haben die MAC-Routen des Standard-Gateways, die von jedem Layer-3-VXLAN-Gateway für einen bestimmten VN angekündigt werden, denselben ESI.
Aus der Perspektive eines Layer-2-VXLAN-Gateways oder eines Contrail vRouters, der mehrfach mit den Layer-3-VXLAN-Gateways verbunden ist, sind die Adressen jedes Standard-Gateways, das auf jedem Layer-3-VXLAN-Gateway konfiguriert ist, identisch. Infolgedessen erstellen die PE-Geräte einen ECMP (Equal-Cost Multipath)-Next-Hop, um jedes Standard-Gateway zu erreichen. Datenverkehr, der von einem Host stammt und für die MAC-Adresse eines Standardgateways bestimmt ist, wird ausgeglichen.
Wenn eines der Layer-3-VXLAN-Gateways ausfällt, werden die Remote-PE-Geräte über das Zurückziehen oder Löschen des nächsten Hops an die Standard-Gateway-MAC-Adresse benachrichtigt. Der Pfad zum ausgefallenen Layer-3-VXLAN-Gateway wird aus der Next-Hop-Datenbank entfernt. Trotz der Entfernung des Pfads ist das Standard-Gateway, das auf dem verbleibenden Layer-3-VXLAN-Gateway konfiguriert ist, weiterhin erreichbar, und die ARP-Einträge für die Hosts bleiben unverändert.
Dynamisches ARP-Processing verstehen
Wenn ein physischer Server die MAC-Adresse seines Standard-Gateways ermitteln muss, initiiert der physische Server eine ARP-Anfrage, die den VGA des Standard-Gateways enthält. In einem zentral gerouteten Bridging-Overlay empfängt ein Layer-2-VXLAN-Gateway in der Regel die ARP-Anfrage, kapselt die Anfrage in einen VXLAN-Header und leitet das eingekapselte Paket an ein Layer-3-VXLAN-Gateway weiter. In einem Edge-Routed Bridging-Overlay empfängt ein Layer-2- und -3-VXLAN-Gateway in der Regel die ARP-Anfrage von dem direkt verbundenen physischen Server.
Nach Erhalt der ARP-Anforderung entkapselt das Layer-3-VXLAN-Gateway das Paket gegebenenfalls, erlernt die IP- und MAC-Bindung des physischen Servers und erstellt einen ARP-Eintrag in seiner Datenbank. Das Layer-3-VXLAN-Gateway antwortet dann mit der MAC-Adresse des Standard-Gateways.
In einem zentral gerouteten Bridging-Overlay wird die ARP-Antwort mit einem VXLAN-Header gekapselt und per Unicast zurück an das Layer-2-VXLAN-Gateway gesendet. Das Layer-2-VXLAN-Gateway entkapselt die ARP-Antwort und leitet das Paket an den physischen Server weiter.
In einem Edge-Routed Bridging-Overlay wird die ARP-Antwort per Unicast an den direkt verbundenen physischen Server gesendet.
In einer Situation, in der ein physischer Server in VN1 ein Paket erstellt, das für einen physischen Server in VN2 bestimmt ist, durchsucht das Layer-3-VXLAN-Gateway seine Datenbank nach einem ARP-Eintrag für den physischen Zielserver. Wenn keine Übereinstimmung gefunden wird, initiiert das Layer-3-VXLAN-Gateway eine ARP-Anforderung, die die IP- und MAC-Adressen der IRB-Schnittstelle enthält, die VN2 zugeordnet ist, und sendet die Anforderung an den physischen Zielserver. Der physische Zielserver lernt die IP/MAC-Bindung der IRB-Schnittstelle und fügt den ARP-Eintrag in seiner Datenbank entsprechend hinzu oder aktualisiert ihn. Der physische Server sendet dann eine ARP-Antwort, die die MAC-Adresse der IRB-Schnittstelle enthält, zurück an das Layer-3-VXLAN-Gateway.