VXLAN について

VXLAN テクノロジーでは、VLAN の場合と同様にネットワークをセグメント化できますが、VLAN では得られないメリットもあります。VXLANを使用する最も重要なメリットを以下に示します。

• 理論的には、管理ドメインに 1,600 万もの VXLAN を作成できます(これと比較して、ジュニパーネットワークス デバイスの VLAN は 4,094 です)。

  • MXシリーズルーターとEX9200スイッチは、32,000ものVXLAN、32,000ものマルチキャストグループ、8,000ものVTEP(仮想トンネルエンドポイント)をサポートします。つまり、MXシリーズルーターをベースにしたVXLANは、クラウドビルダーが大量のテナントをサポートするために必要な規模で、ネットワークをセグメント化できます。

  • QFX10000 シリーズ スイッチは、4,000 の VXLAN と 2,000 のリモート VTEP をサポートします。

  • QFX5100、QFX5110、QFX5200、QFX5210、EX4600 スイッチは、4,000 の VXLAN、4,000 のマルチキャスト グループ、2,000 のリモート VTEP をサポートしています。

  • EX4300-48MP スイッチは、4,000 の VXLAN をサポートしています。

• 別々のレイヤー 2 ドメインに存在するサーバー間での仮想マシンの移行は、レイヤー 3 ネットワーク上でトラフィックをトンネリングすることで有効にできます。この機能により、レイヤー 2 の境界の制約を受けることなく、大規模なレイヤー 2 ドメインや地理的に拡張されたレイヤー 2 ドメインを作成せずに、データ センター内またはデータ センター間で動的にリソースを割り当てることができます。

VXLAN を使用して、レイヤー 3 ネットワークを介して接続される小規模なレイヤー 2 ドメインを作成するということは、STP(スパニング ツリー プロトコル)を使用してトポロジーを収束する必要はなく、代わりにレイヤー 3 ネットワークのより堅牢なルーティング プロトコルを使用できます。STP が存在しない場合、どのリンクもブロックされないため、購入したすべてのポートから価値を最大限に引き出すことができます。ルーティングプロトコルを使用してレイヤー2ドメインに接続することで、トラフィックのロードバランシングを行い、利用可能な帯域幅を最大限に活用することもできます。データ センター内またはデータ センター間で頻繁に送受信される East-West トラフィックの量を考慮すると、そのトラフィックに対するネットワーク パフォーマンスを最大限に高めることが非常に重要です。

ビデオ「 データセンターでオーバーレイネットワークを使用する理由」 では、VXLANを使用するメリットの概要を簡単に説明しています。

VXLAN は、しばしばオーバーレイ技術と呼ばれます。IP アドレスを含むVXLANパケットにイーサネットフレームをカプセル化(トンネリング)することで、レイヤー 3 ネットワークを介したレイヤー 2 接続拡張が可能になるためです。VXLANをサポートするデバイスは 、仮想トンネルエンドポイント(VTEP)と呼ばれ、エンドホスト、ネットワークスイッチ、ルーターなどです。VTEP は、VXLAN トラフィックをカプセル化し、トラフィックが VXLAN トンネルを出たときにトラフィックのカプセル化を解除します。イーサネット フレームをカプセル化する場合、VTEP は以下のフィールドを含む多数のフィールドを追加します。

• 外部メディアアクセス制御(MAC)宛先アドレス(トンネルエンドポイントVTEPのMACアドレス)

• 外側の MAC 送信元アドレス(トンネル送信元 VTEP の MACアドレス)

• 外側の IP 宛先アドレス(トンネル エンドポイント VTEP の IP アドレス)

• 外側の IP 送信元アドレス(トンネル送信元 VTEP の IP アドレス)

• 外側の UDP ヘッダー

• VXLANを一意に識別するために使用される、 VNI(VXLANネットワーク識別子)と呼ばれる24ビットフィールドを含むVXLANヘッダー。VNI は VLAN ID と似ていますが、24 ビットであるため、作成できる VXLAN の数は VLAN よりもはるかに多くなります。

図1 は、VXLANパケット形式を示しています。

図1:VXLANパケット形式

Junos OSは、以下の環境でのVXLANの実装をサポートしています。

• 手動 VXLAN—この環境では、ジュニパーネットワークスのデバイスは、VTEP として機能するダウンストリーム デバイスのトランジット デバイス、またはレイヤー 3 ネットワークを介して通信する仮想マシン(VM)をホストするダウンストリーム サーバーの接続を提供するゲートウェイとして機能します。この環境では、SDN(Software-Defined Networking)コントローラは導入されません。

  注:

  QFX10000スイッチは、手動VXLANをサポートしていません。

• OVSDB-VXLAN—この環境では、SDNコントローラはOVSDB(Open vSwitch Database)管理プロトコルを使用して、コントローラ(VMware NSXやジュニパーネットワークス Contrailコントローラなど)とOVSDBをサポートするジュニパーネットワークスデバイスが通信できる手段を提供します。

• EVPN-VXLAN—この環境では、イーサネットVPN(EVPN)は、ホスト(物理サーバーとVM)をネットワーク内の任意の場所に配置し、同じ論理レイヤー2オーバーレイネットワークに接続を維持できるようにするコントロールプレーンテクノロジーであり、VXLANはレイヤー2オーバーレイネットワークのデータプレーンを作成します。

スイッチが以下の役割をすべて実行するように設定できます。

• (EX4300-48MP を除くすべてのスイッチ)SDNコントローラを使用していない環境で、VTEPとして機能するダウンストリームホスト用のトランジットレイヤー3スイッチとして機能します。この設定では、スイッチで VXLAN 機能を設定する必要はありません。スイッチが VXLAN マルチキャスト グループのマルチキャスト ツリーを形成できるように、IGMP と PIM を設定する必要はあります。(詳細については、「 手動 VXLAN には PIM が必要 」を参照してください)。

• (EX4300-48MP を除くすべてのスイッチ)SDNコントローラの有無にかかわらず、環境で同一データセンター内またはデータセンター間で仮想化ネットワークと仮想化されていないネットワーク間のレイヤー2ゲートウェイとして機能します。たとえばスイッチを使用して、VXLAN を使用するネットワークを VLAN を使用するネットワークに接続できます。

• (EX4300-48MP スイッチ)キャンパスネットワークで、仮想化ネットワークと仮想化されていないネットワーク間のレイヤー2ゲートウェイとして機能します。たとえばスイッチを使用して、VXLAN を使用するネットワークを VLAN を使用するネットワークに接続できます。

• (EX4300-48MP を除くすべてのスイッチ)同一データ センター内または異なるデータ センター内の仮想化ネットワーク間のレイヤー 2 ゲートウェイとして機能し、これらのネットワークとデータ センター間で仮想マシンの移動(VMotion)を可能にします。たとえば、2 つの異なるネットワークのデバイス間の VMotion を許可したい場合、両方のネットワークに同じ VLAN を作成し、両方のデバイスをその VLAN に配置できます。これらのデバイスに接続されたスイッチは VTEP として動作し、その VLAN を同じ VXLAN にマッピングでき、VXLAN トラフィックを 2 つのネットワーク間でルーティングできます。

• (EVPN-VXLAN搭載のQFX5110およびQFX5120スイッチ)同じデータセンター内の異なるVXLAN間のトラフィックをルーティングするレイヤー3ゲートウェイとして機能します。

• (EVPN-VXLAN搭載のQFX5110およびQFX5120スイッチ)標準のルーティングプロトコルまたは仮想プライベートLANサービス(VPLS)トンネルを使用して、WANまたはインターネットを介して異なるデータセンター内の異なるVXLAN間のトラフィックをルーティングするレイヤー3ゲートウェイとして機能します。

ヘッダーを追加すると 50 バイトから 54 バイトが追加されるため、より大きなパケットに対応するために VTEP の MTU を増やす必要がある場合があります。たとえば、スイッチがデフォルトの MTU 値 1,514 バイトを使用していて、1,500 バイトのパケットを VXLAN 上で転送する場合は、MTU を増やして、追加ヘッダーによってパケット サイズを増やす必要があります。

QFX5100スイッチJunos OSリリース14.1X53-D25以降、QFX5110およびQFX5200スイッチJunos OSリリース15.1X53-D210以降、QFX5210スイッチJunos OSリリース18.1R1以降、EX4600スイッチJunos OSリリース18.2R1以降、VXLANトラフィックの宛先ポートとして使用するUDPポートを設定できるようになりました。VXLAN 宛先ポートをデフォルトの UDP ポートである 4789 以外に設定するには、次のステートメントを入力します。

set protocols l2-learning destination-udp-port port-number

設定したポートは、スイッチに設定されたすべての VXLAN に使用されます。

デフォルトでは、ホストテーブルが容量に達すると、追加のホストエントリーが最長プレフィックス一致(LPM)テーブルにオーバーフローします。これにより、小さなホストエントリーがLPMテーブル内の貴重な領域を消費するため、ルーティングパフォーマンスが低下する可能性があります。

Junos OSリリース25.2R1以降、 set forwarding-options no-host-as-lpm ステートメントを設定することで、ホストエントリーがLPMテーブルに波出するのを防ぐことができます。このオプションを有効にすると、ホストエントリーがLPMテーブルに入るのがブロックされ、完全なホストテーブル条件を通知するエラーメッセージが記録されます。この制限により、ネットワークの効率的な運用にとって通常より重要な、より大きなサブネットルートでもLPMテーブルの完全性が維持されます。この設定では、PFEを再起動してLPMテーブルから既存のホストエントリーをすべてクリアし、テーブルが今後のサブネットルート専用となるようにする必要があります。再始動は、残留ホスト項目が表スペースの使用率に影響を与えるのを防ぐため、クリーン状態を維持するために不可欠です。

ホスト エントリー オーバーフロー防止は、ホスト エントリー要求が高い環境に特に有効です。この機能は、IPv4 と IPv6 の両方のルートをサポートし、VXLAN 環境と非 VXLAN 環境に適用できるため、さまざまな導入シナリオに汎用性があります。ホストルートとサブネットルートを分離することで、ホストエントリーがLPMテーブルに波出することによるルーティングパフォーマンスの低下を回避できます。さらに、CLIオプションを切り替えるたびにシステムログメッセージが生成され、変更管理とトラブルシューティングのための監査証跡が得られます。この機能を活用することで、ルーティングテーブルの管理を強化し、ルーティング効率を向上させ、ルーティングテーブルエントリーを体系的に制御することができます。

ホストエントリーオーバーフロー防止機能をサポートする製品の全リストについては、 機能エクスプローラー を参照してください。

VTEPとして動作するスイッチがブロードキャスト、不明なユニキャスト、またはマルチキャストパケットを受信すると、パケットに対して次のアクションを実行します。

1. パケットのカプセル化を解除し、ローカルで接続されたホストに配信します。

2. 次に、VXLANカプセル化を再度追加し、VXLAN内の他のVTEPにパケットを送信します。

これらのアクションは、VXLAN トンネル アドレスとして使用されるループバック インターフェイスによって実行されるため、VTEP で使用可能な帯域幅に悪影響を与える可能性があります。QFX5100スイッチJunos OSリリース14.1X53-D30以降、QFX5110スイッチおよびQFX5200スイッチJunos OSリリース15.1X53-D210以降、QFX5210スイッチJunos OSリリース18.1R1、EX4600スイッチJunos OSリリース18.2R1以降、特定のマルチキャストグループのトラフィックを必要とするVXLAN内の他のVTEPに接続されたマルチキャストレシーバーがないことがわかっている場合は、 以下のステートメントを入力することで、ループバックインターフェイスの処理負荷を軽減できます。

この場合、指定したグループのトラフィックは転送されませんが、その他のマルチキャスト トラフィックはすべて転送されます。VXLAN 内の他の VTEP にマルチキャスト トラフィックを転送しない場合は、次のステートメントを入力します。

MXシリーズルーター、EX9200スイッチ、またはQFX10000スイッチをVTEPとして機能し、次の役割をすべて実行するように設定できます。

• 同一データ センター内またはデータ センター間で仮想化ネットワークと仮想化されていないネットワーク間のレイヤー 2 ゲートウェイとして機能します。たとえば、MXシリーズルーターを使用して、VXLANを使用するネットワークをVLANを使用するネットワークに接続できます。

• 同一データ センター内または異なるデータ センター内の仮想化ネットワーク間のレイヤー 2 ゲートウェイとして機能し、これらのネットワークとデータ センター間で仮想マシンの移動(VMotion)を可能にします。

• 同じデータセンター内の異なるVXLAN間のトラフィックをルーティングするレイヤー3ゲートウェイとして機能します。

• 標準のルーティングプロトコルまたは仮想プライベートLANサービス(VPLS)トンネルを使用して、WANまたはインターネットを介して異なるデータセンター内の異なるVXLAN間のトラフィックをルーティングするレイヤー3ゲートウェイとして機能します。

コントローラ(VMware NSX またはジュニパーネットワークス Contrail コントローラなど)を使用している環境では、ジュニパーネットワークス デバイス上で VXLAN をプロビジョニングできます。また、コントローラは、VTEP が到達可能性をアドバタイズし、他の VTEP の到達可能性について学習するために使用するコントロール プレーンも提供します。コントローラを使用する代わりに、ジュニパーネットワークスのデバイス上で手動で VXLAN を作成することもできます。このアプローチを使用する場合、VTEP 間で VXLAN トンネルを作成できるように、VTEP 上でプロトコル非依存マルチキャスト(PIM)も設定する必要があります。

また、特定の VXLAN の各 VTEP を同じマルチキャスト グループのメンバーになるように設定する必要があります。(可能な場合は、VXLAN ごとに異なるマルチキャスト グループ アドレスを割り当てます。ただし、これは必須ではありません。複数の VXLAN が同じマルチキャスト グループを共有できます)。VTEP は、接続されたホストから受信した ARP 要求をマルチキャスト グループに転送できます。グループ内の他の VTEP は、VXLAN 情報のカプセル化を解除し(同じ VXLAN のメンバーであることが前提)、ARP 要求を接続されたホストに転送します。ターゲット ホストが ARP 要求を受信すると、その MACアドレスで応答し、その VTEP はこの ARP 応答を送信元 VTEP に返送します。このプロセスを通じて、VTEP は VXLAN 内の他の VTEP の IP アドレスと、他の VTEP に接続されているホストの MAC アドレスを学習します。

マルチキャスト グループとツリーは、VTEP 間でブロードキャスト、不明なユニキャスト、マルチキャスト(BUM)トラフィックを転送するためにも使用されます。これにより、BUM トラフィックが VXLAN の外部に不必要にフラッディングするのを防ぎます。

VXLANトンネルを形成するレイヤー3ルートは、デフォルトでパケット単位のロードバランシングを使用します。つまり、リモートVTEPへのECMPパスがある場合、ロードバランシングが実装されます。これは、パケット単位のロードバランシングがデフォルトで使用されない通常のルーティング動作とは異なります。(通常のルーティングでは、デフォルトでプレフィックス単位のロードバランシングが使用されます)。

UDPヘッダーの送信元ポートフィールドは、レイヤー3ネットワーク内のVXLANトラフィックのECMPロードバランシングを有効にするために使用されます。このフィールドは内側のパケット フィールドのハッシュに設定され、ECMP がトンネル(フロー)間の識別に使用できる変数になります。

フローベースの ECMP で通常使用されるその他のフィールドは、VXLAN での使用には適していません。同じ 2 つの VTEP 間のトンネルはすべて同じ外側の送信元と宛先 IP アドレスを持ち、UDP 宛先ポートは定義に従ってポート 4789 に設定されます。そのため、これらのフィールドのいずれも、ECMP でフローを区別するのに十分な方法を提供しません。

QFX5120スイッチが、コアに接続するレイヤー3タグ付きインターフェイスまたはIRBインターフェイス上でトラフィックをトンネル化しようとすると、スイッチはパケットを破棄します。この問題を回避するには、レイヤー 3 タグ付きインターフェイスまたは IRB インターフェイスで、単純な 2 期間のフィルターベースのファイアウォールを設定します。

次に例を示します。

条件1は、スイッチのループバックインターフェイスに割り当てられた送信元VTEP IPアドレス(192.168.0.1/24)によって識別されるQFX5210スイッチ宛てのトラフィックを照合して受け入れます。条件 1 については、アクションを指定するときに、トラフィックを受け入れるのではなく、トラフィックをカウントする代わりにトラフィックをカウントできることに注意してください。

条件2は、他のすべてのデータトラフィックを照合させ、インターフェイスet-0/0/3で構成されたルーティングインスタンス(ルート1)に転送します。

この例では、インターフェイス et-0/0/3 がルーティング インスタンス route1 によって参照されていることに注意してください。そのため、 set firewall family inet filter vxlan100 term 2 then routing-instance route1 コマンドを含める必要があります。このコマンドを使用しないと、ファイアウォールフィルターは正しく機能しません。

QFX5100 スイッチと QFX5110 スイッチでは、 ping コマンドと traceroute コマンドを使用して、 overlay パラメーターと各種オプションを含めることで、VXLAN トンネルを通過するトラフィック フローのトラブルシューティングを行うことができます。これらのオプションを使用して、 ping パケットまたは traceroute パケットを強制的に、VXLANトンネルを通過するデータパケットと同じパスをたどらせます。つまり、アンダーレイパケット(ping および traceroute)に、オーバーレイパケット(データトラフィック)と同じルートを取らせます。詳細については、「 ping overlay 」と「 traceroute overlay 」を参照してください。

VXLANの標準を定義したRFCとインターネットドラフト:

• RFC 7348、 仮想拡張可能なローカルエリアネットワーク(VXLAN):レイヤー3ネットワーク上に仮想化レイヤー2ネットワークをオーバーレイするためのフレームワーク

• インターネットドラフトdraft-ietf-nvo3-vxlan-gpe、 VXLANの汎用プロトコル拡張