Vue d’ensemble d’un cœur réduit avec multihébergement EVPN dans un réseau de campus

Avantages d’EVPN-VXLAN

Cette architecture fournit une connectivité de couche 2 ou 3 optimisée, transparente et conforme aux normes. Les réseaux de campus EVPN-VXLAN de Juniper Networks offrent les avantages suivants :

• Architecture cohérente et évolutive : les entreprises disposent généralement de plusieurs sites avec des exigences de taille différentes. Une architecture de campus commune basée sur EVPN-VXLAN est cohérente sur tous les sites, quelle que soit leur taille. EVPN-VXLAN évolue à mesure que le site évolue.

• Déploiement multifournisseur : l’architecture EVPN-VXLAN utilise des protocoles normalisés afin que les entreprises puissent déployer des réseaux de campus à l’aide d’équipements réseau multifournisseurs. Il n’existe pas d’exigence de verrouillage d’un fournisseur unique.

• Réduction du flooding et de l’apprentissage : l’apprentissage de couche 2/couche 3 basé sur le plan de contrôle réduit le flood et les problèmes d’apprentissage associés à l’apprentissage du plan de données. L’apprentissage des adresses MAC dans le plan de transfert a un impact négatif sur les performances du réseau à mesure que le nombre de points de terminaison augmente. Le plan de contrôle EVPN gère l’échange et l’apprentissage des itinéraires, de sorte que les adresses MAC nouvellement apprises ne sont pas échangées dans le plan de transfert.

• Connectivité indépendante de l’emplacement : l’architecture du campus EVPN-VXLAN offre une expérience de point de terminaison cohérente, quel que soit l’emplacement du point de terminaison. Certains terminaux nécessitent une accessibilité de couche 2, comme les anciens systèmes de sécurité des bâtiments ou les appareils IoT. La superposition VXLAN de couche 2 offre une accessibilité de couche 2 sur tous les campus sans aucune modification du réseau sous-jacent. Grâce à notre intégration du contrôle d’accès réseau basé sur des normes, un point de terminaison peut être connecté n’importe où sur le réseau.

• Indépendant de la couche inférieure : le VXLAN en tant que superposition est indépendant de la sous-couche. Avec une superposition VXLAN, vous pouvez connecter plusieurs campus avec un service VPN de couche 2 ou VPN de couche 3 provenant d’un fournisseur WAN ou en utilisant IPsec sur Internet.

• Segmentation cohérente du réseau : une architecture universelle basée sur EVPN-VXLAN sur l’ensemble des campus et des centres de données garantit une segmentation cohérente du réseau de bout en bout pour les terminaux et les applications.

• Gestion simplifiée : les campus et les centres de données basés sur une conception EVPN-VXLAN commune peuvent utiliser des outils et des équipes réseau communs pour déployer et gérer les réseaux de campus et de centres de données.

Réseau sous-jacent et réseau de superposition

Cet exemple de configuration réseau déploie une structure de campus avec un réseau sous-jacent IP de couche 3 avec EVPN-VXLAN comme superposition. Vous pouvez utiliser OSPF ou BGP comme protocole de sous-couche et iBGP comme protocole de superposition, dans cet exemple, nous utilisons BGP comme protocole de routage de sous-couche et MP-BGP avec signalisation EVPN comme protocole de plan de contrôle de superposition. VXLAN est le protocole d’encapsulation du plan de données superposé.

Architecture centrale réduite

Une architecture de cœur réduit prend le réseau hiérarchique normal à trois niveaux et le réduit à un réseau à deux niveaux. Dans un réseau à deux niveaux, les fonctions des commutateurs de la couche centrale et de la couche de distribution sont « réduites » en une couche centrale et une couche de distribution combinées sur un seul commutateur. Vous pouvez utiliser l’EX4650 ou le commutateur QFX5120 comme commutateur principal réduit. Dans cet exemple, nous utilisons le commutateur EX4650 comme commutateur central réduit.

Multihébergement EVPN

Les nouvelles normes technologiques EVPN, notamment les RFC 8365, 7432 et 7348, introduisent le concept d’agrégation de liens dans les EVPN avec des segments Ethernet. Les segments Ethernet d’un EVPN collectent les liens dans un bundle et attribuent un numéro (appelé Ethernet segment identifier) aux liens groupés. Le même ESI peut être attribué aux liens de plusieurs nœuds autonomes, une fonctionnalité d’agrégation de liens importante qui apporte une redondance au niveau du nœud aux périphériques d’un réseau EVPN-VXLAN. Les liens groupés numérotés avec un ESI sont souvent appelés LAG ESI.

Le multihébergement de couche 2 dans les réseaux EVPN dépend de la fonctionnalité de multihébergement EVPN. Le multihébergement EVPN, qui fournit une prise en charge complète des liaisons actives-actives, est également fréquemment activé avec LACP pour garantir une prise en charge multifournisseur des appareils qui accèdent au réseau du campus. Le multihébergement de couche 2 avec LACP est une option de configuration particulièrement intéressante lors du déploiement d’appareils qui se connectent à des points d’accès dans un réseau de campus, car le multihébergement est transparent du point de vue de l’accès. Avec ESI, le point d’accès fonctionne comme s’il était connecté à un seul nœud, même s’il est connecté à deux commutateurs ou plus.

Le multihébergement EVPN fournit une connectivité redondante entre les points d’accès et la couche centrale réduite. Cet exemple configure ESI en mode entièrement actif pour équilibrer la charge du trafic sur tous les équipements multirésidents connectés.

Couche d’accès

La couche d’accès fournit une connectivité réseau aux appareils des utilisateurs finaux, tels que les ordinateurs personnels, les téléphones VoIP, les imprimantes et les appareils IoT, ainsi qu’une connectivité aux points d’accès sans fil. Dans cet exemple, nous utilisons des points d’accès Mist comme point d’accès. Les services informatiques en évolution recherchent une approche cohérente pour gérer les réseaux filaires et sans fil. Juniper Networks dispose d’une solution capable de simplifier et d’automatiser les opérations et le dépannage de bout en bout, évoluant finalement vers le Self-Driving Network™. L’intégration de la plateforme Mist dans ce RCE permet de relever ces deux défis.

Mist est conçu dès le départ pour répondre aux besoins réseau stricts de l’ère moderne du cloud et des appareils intelligents. Mist offre des capacités uniques pour le réseau local filaire et sans fil.

• Assurance filaire et sans fil : Mist est activé avec l’assurance filaire et sans fil. Une fois configurées, les attentes de niveau de service (SLE) pour les indicateurs clés de performance filaire et sans fil telles que le débit, la capacité, l’itinérance et la disponibilité sont prises en compte dans la plateforme Mist. Ce NCE utilise les services Mist Wired Assurance.

• Marvis : un moteur d’IA intégré qui fournit un dépannage rapide des problèmes filaires et sans fil, une analyse des tendances, la détection des anomalies et une correction proactive des problèmes.

Pour plus d’informations sur l’intégration Mist et les commutateurs EX, consultez Comment connecter des points d’accès Mist et des commutateurs Juniper EX Series.

VRF Segmentation

La segmentation VRF est utilisée pour organiser les utilisateurs et les appareils en groupes sur un réseau partagé tout en séparant et en isolant les différents groupes. Les périphériques de routage sur le réseau créent et gèrent une table VRF (Virtual Routing and Forwarding) distincte pour chaque groupe. Les utilisateurs et les périphériques d’un groupe sont placés dans un segment VRF et peuvent communiquer entre eux, mais ils ne peuvent pas communiquer avec les utilisateurs d’un autre segment VRF. Si vous souhaitez envoyer et recevoir du trafic d’un segment VRF vers un autre segment VRF, vous devez configurer le chemin de routage. Dans cet exemple, nous configurons les chemins de routage pour qu’ils passent par un routeur SRX Series. Cela vous permet de définir des stratégies pour autoriser ou refuser l’accès à des ressources spécifiques sur un segment VRF à d’autres groupes. Le routeur SRX Series applique les règles de stratégie pour le trafic de transit en identifiant et en autorisant le trafic qui peut transiter et en refusant le trafic non autorisé. Pour plus d’informations sur la configuration d’un chemin de routage via un routeur SRX, consultez Comment configurer le routeur SRX. La figure 2 montre la topologie réduite de notre réseau central avec les 3 segments VRF (employés, invités et appareils IoT).

Figure 2 : segmentation VRF