VXLAN 데이터 플레인 캡슐화를 통한 EVPN의 이해

EVPN 이해하기

EVPN(Ethernet VPN)은 IP 또는 IP/MPLS 백본 네트워크를 통해 서로 다른 레이어 2 도메인 간에 가상 멀티포인트 브리지 연결을 제공하는 표준 기반 기술입니다. IP VPN 및 VPLS(Virtual Private LAN Service)와 같은 다른 VPN 기술과 마찬가지로 EVPN 인스턴스는 고객 간의 논리적 서비스 분리를 유지하기 위해 프로바이더 에지(PE) 라우터에 구성됩니다. PE 라우터는 라우터, 스위치 또는 호스트가 될 수 있는 고객 에지(CE) 디바이스에 연결됩니다. 그런 다음 PE 라우터는 MP-BGP(Multiprotocol BGP)를 사용하여 도달 가능성 정보를 교환하고 PE 라우터 간에 캡슐화된 트래픽을 전달합니다. 아키텍처 요소는 다른 VPN 기술과 공통적이므로 그림 1과 같이 EVPN을 기존 서비스 환경에 원활하게 도입하고 통합할 수 있습니다.

EVPN은 레이어 2 오버레이 솔루션으로 사용되어 베어메탈 서버(BMS)와 같은 엔드 스테이션에서 레이어 2 연결이 필요할 때마다 가상 네트워크 내의 엔드포인트에 IP 언더레이를 통해 레이어 2 연결을 제공합니다. 그렇지 않으면 Contrail vRouter와 MX 시리즈 라우터 간의 VRF 테이블을 통해 레이어 3 라우팅이 사용됩니다. EVPN 기술은 온디맨드 방식으로 확장할 수 있는 유연한 멀티테넌시 서비스를 제공하며, 단일 서비스(레이어 2 확장)를 위해 서로 다른 물리적 데이터센터의 컴퓨팅 리소스를 자주 사용합니다.

EVPN의 MP-BGP 컨트롤 플레인을 사용하면 라이브 가상 머신을 한 데이터센터에서 다른 데이터센터로 동적으로 이동할 수 있으며, 이를 가상 머신(VM) 모션이라고도 합니다. VM을 대상 서버 또는 하이퍼바이저로 이동하면 Gratuitous ARP를 전송하여 대상 데이터센터에서 PE 디바이스의 레이어 2 포워딩 테이블을 업데이트합니다. 그런 다음 PE 디바이스는 MAC 경로 업데이트를 모든 원격 PE 디바이스로 전송하고, 이는 차례로 포워딩 테이블을 업데이트합니다. EVPN은 MAC 모빌리티라고도 하는 VM의 이동을 추적합니다.

또한 EVPN에는 MAC 플래핑을 탐지 및 중지하고 모든 활성 멀티홈 토폴로지에서 브로드캐스트, 알 수 없는 유니캐스트 및 멀티캐스트(BUM) 트래픽의 루프를 방지하는 메커니즘이 있습니다.

레이어 3 MPLS VPN과 유사한 EVPN 기술에는 IP/MPLS 코어를 사용하여 MAC 주소를 라우팅하는 개념이 포함되어 있습니다. EVPN은 다음과 같은 이점을 제공합니다.

• 활성 멀티홈 에지 장치를 보유할 수 있는 기능

• 앨리어싱

• 빠른 컨버전스

• 듀얼 액티브 링크 전반의 로드 밸런싱

• MAC 주소 이동성

• 멀티테넌시

또한 EVPN은 다음과 같은 기술을 사용합니다.

• 멀티호밍 은 액세스 링크 또는 PE 라우팅 디바이스 중 하나에 장애가 발생할 경우 이중화를 제공합니다. 두 경우 모두 트래픽은 나머지 활성 링크를 사용하여 CE 디바이스에서 PE 라우터로 흐릅니다. 반대 방향의 트래픽의 경우, 원격 PE 라우터는 포워딩 테이블을 업데이트하여 멀티홈 이더넷 세그먼트에 연결된 나머지 활성 PE 라우터로 트래픽을 전송합니다. EVPN은 트래픽 복원 시간을 단축하는 빠른 컨버전스 메커니즘을 제공하여 이러한 조정에 걸리는 시간이 PE 라우터에서 학습하는 미디어 액세스 제어(MAC) 주소 수와 무관합니다. All-active 멀티호밍을 통해 고객 에지(CE) 디바이스를 두 개 이상의 PE 라우터에 연결하여 디바이스 간의 모든 링크를 사용하여 트래픽이 전달되도록 할 수 있습니다. 이러한 멀티호밍을 통해 고객 에지(CE) 디바이스는 트래픽을 여러 PE 라우터로 로드 밸런싱할 수 있습니다. 더 중요한 것은 멀티호밍을 통해 원격 PE 라우터가 코어 네트워크 전반에서 멀티호밍 PE 라우터로 트래픽 부하를 분산할 수 있다는 것입니다. 데이터센터 간 트래픽 흐름의 이러한 로드 밸런싱을 앨 리어싱이라고 하며, 이로 인해 서로 다른 신호를 구별할 수 없게 되어 서로의 별칭이 됩니다. 앨리어싱은 디지털 오디오 및 디지털 이미지에 사용됩니다.

• 스플릿 호라이즌 은 네트워크에서 BUM(브로드캐스트, 알 수 없는 유니캐스트 및 멀티캐스트) 트래픽의 루프를 방지합니다. 스플릿 호라이즌의 기본 원칙은 간단합니다: 특정 패킷에 대한 라우팅에 대한 정보는 수신 방향으로 다시 전송되지 않습니다.

• 로컬 링크 편향 은 동일한 버추얼 섀시 또는 VCF의 서로 다른 멤버 스위치에 있는 멤버 링크로 구성된 LAG(Link Aggregation Group) 번들이 있는 버추얼 섀시 또는 버추얼 섀시 패브릭(VCF)에서 나가는 유니캐스트 트래픽을 전달하기 위해 로컬 링크를 사용하여 대역폭을 절약합니다. 로컬 링크는 트래픽을 수신한 멤버 스위치에 있는 LAG 번들의 멤버 링크입니다.

• VXLAN 캡슐화를 사용하는 EVPN은 가상 머신과 레이어 2 도메인 내의 TOR(Top-of-Rack) 스위치(예: QFX5100 스위치) 간의 레이어 2 연결에 사용됩니다.

Contrail을 사용하여 MX 시리즈 라우터를 레이어 2 또는 레이어 3 VXLAN 게이트웨이로 프로비저닝할 수 있습니다. MX 시리즈 라우터는 클라이언트 애플리케이션이 라우팅, 스위칭 및 보안 디바이스에 대한 구성 정보를 요청하고 변경하는 데 사용하는 XML 기반 프로토콜인 NETCONF XML 관리 프로토콜을 구현합니다. NETCONF XML 관리 프로토콜은 구성 데이터 및 원격 프로시저 호출에 XML 기반 데이터 인코딩을 사용합니다. NETCONF 프로토콜은 명령줄 인터페이스(CLI)의 구성 모드 명령과 동일한 기본 작업을 정의합니다. 애플리케이션은 프로토콜 작업을 사용하여 관리자가 CLI 구성 모드 명령을 사용하여 동일한 작업을 수행하는 방법과 유사하게 구성 문을 표시, 편집 및 커밋합니다.

가상 확장형 LAN(VXLAN) 이해하기

가상 확장형 LAN(VXLAN)은 레이어 2 네트워크 주소 공간을 4K에서 1,600만 개로 확장하는 오버레이 체계를 도입하여 VLAN 기반 환경에서 나타나는 확장 문제를 대부분 해결했습니다.

네트워크 오버레이는 물리적 네트워크를 통해 트래픽을 캡슐화하고 트래픽을 터널링하여 생성됩니다. 데이터센터에서 다양한 터널링 프로토콜을 사용하여 네트워크 오버레이를 생성할 수 있으며, 가장 일반적인 프로토콜은 VXLAN입니다. VXLAN 터널링 프로토콜은 레이어 3 UDP 패킷에서 레이어 2 이더넷 프레임을 캡슐화합니다. 이 캡슐화를 사용하면 물리적 레이어 3 네트워크로 확장할 수 있는 가상 레이어 2 서브넷 또는 세그먼트를 생성할 수 있습니다.

VXLAN 오버레이 네트워크에서 VXLAN 네트워크 식별자(VNI)는 각 레이어 2 서브넷 또는 세그먼트를 고유하게 식별합니다. VNI는 IEEE 802.1Q VLAN ID 세그먼트와 동일한 방식으로 트래픽을 세그먼트화합니다. VLAN의 경우와 마찬가지로 동일한 VNI의 가상 머신은 서로 직접 통신할 수 있는 반면, 서로 다른 VNI의 가상 머신은 서로 통신하기 위해 라우터가 필요합니다.

캡슐화 및 캡슐화 해제를 수행하는 개체를 VXLAN 터널 엔드포인트(VTEP)라고 합니다. 물리적 네트워크에서 레이어 2 또는 레이어 3 VXLAN 게이트웨이 역할을 하는 주니퍼 네트웍스 디바이스는 데이터 패킷을 에나캡슐화 및 캡슐화 해제할 수 있습니다. 이러한 유형의 VTEP를 하드웨어 VTEP라고 합니다. 가상 네트워크에서 VTEP는 KVM(커널 기반 가상 머신) 호스트와 같은 하이퍼바이저 호스트에 상주할 수 있습니다. 이러한 유형의 VTEP를 소프트웨어 VTEP라고 합니다.

각 VTEP에는 두 개의 인터페이스가 있습니다.

• 인터페이스 하나는 호스트의 가상 머신을 향하고 로컬 LAN 세그먼트의 VM 간에 통신을 제공하는 스위칭 인터페이스입니다.

• 다른 하나는 레이어 3 네트워크를 향하는 IP 인터페이스입니다.

각 VTEP에는 VTEP 간에 UDP 패킷을 라우팅하는 데 사용되는 고유한 IP 주소가 있습니다. 예를 들어, VTEP1이 VM1에서 VM3으로 주소가 지정된 이더넷 프레임을 수신하면 VNI 및 대상 MAC를 사용하여 포워딩 테이블에서 VTEP가 패킷을 보내는 대상을 찾습니다. 그런 다음 VNI가 포함된 VXLAN 헤더를 이더넷 프레임에 추가하고 레이어 3 UDP 패킷에서 프레임을 캡슐화한 후 레이어 3 네트워크를 통해 패킷을 VTEP2로 라우팅합니다. VTEP2는 원래 이더넷 프레임을 캡슐화 해제하여 VM3으로 전달합니다. VM1 및 VM3은 VXLAN 터널과 그 사이의 레이어 3 네트워크를 감지할 수 없습니다.

EVPN-VXLAN 통합 개요

VXLAN은 레이어 3 네트워크 위에 레이어 2 네트워크를 오버레이하는 터널링 체계를 정의합니다. 이 터널링 체계는 터널링을 위한 UDP/IP 캡슐화를 사용하여 유니캐스트 및 멀티캐스트 트래픽의 다중 경로를 지원하여 이더넷 프레임의 최적 전달을 가능하게 하며, 주로 데이터센터 내부 사이트 연결에 사용됩니다.

EVPN의 고유한 특징은 PE 라우터 간의 MAC 주소 학습이 컨트롤 플레인에서 발생한다는 것입니다. 로컬 PE 라우터는 고객 에지(CE) 디바이스에서 새로운 MAC 주소를 감지한 다음 MP-BGP를 사용하여 모든 원격 PE 라우터에 주소를 광고합니다. 이 방법은 데이터 플레인에서 알 수 없는 유니캐스트를 플러딩하여 학습하는 VPLS와 같은 기존 레이어 2 VPN 솔루션과 다릅니다. 이 컨트롤 플레인 MAC 학습 방법은 EVPN이 제공하는 많은 유용한 기능의 핵심 요소입니다.

MAC 학습은 컨트롤 플레인에서 처리되므로 EVPN은 PE 라우터 간에 서로 다른 데이터 플레인 캡슐화 기술을 지원할 수 있는 유연성을 제공합니다. 특히 엔터프라이즈 네트워크에서 모든 백본 네트워크가 MPLS를 실행하는 것은 아니기 때문에 이러한 유연성이 중요합니다.

EVPN은 클라우드 및 가상화 서비스를 제공하기 위해 데이터센터를 구축하는 네트워크 운영자가 직면하는 많은 문제를 해결합니다. EVPN의 주요 애플리케이션은 DCI(Data Center Interconnect)로, 최종 사용자에게 애플리케이션 트래픽을 전달하고 재해 복구를 위해 구축된 여러 데이터센터 간에 레이어 2 연결을 확장하는 기능을 말합니다.

다양한 DCI 기술을 사용할 수 있지만, EVPN은 액티브/액티브 이중화, 앨리어싱, 대량 MAC 철수와 같은 고유한 기능으로 인해 다른 MPLS 기술에 비해 이점이 있습니다. 결과적으로 DCI를 위한 솔루션을 제공하기 위해 VXLAN이 EVPN과 통합됩니다.

그림 2에서 볼 수 있듯이 MPLS 또는 IP 코어에 연결된 각 VXLAN은 내부 게이트웨이 프로토콜(IGP) 컨트롤 플레인의 독립적인 인스턴스를 실행합니다. 각 PE 라우터는 VXLAN의 IGP 컨트롤 플레인 인스턴스에 참여합니다. 각 고객은 데이터센터이므로 각 고객은 VXLAN 언더레이를 위한 자체 가상 라우터를 보유합니다.

각 PE 노드는 VXLAN 네트워크 식별자(VNI)가 브리지 도메인 또는 VLAN에 매핑되는 VXLAN 데이터 플레인 캡슐화를 종료할 수 있습니다. PE 라우터는 VXLAN에서 수신한 트래픽에 대해 데이터 플레인 학습을 수행합니다.

각 PE 노드는 EVPN을 구현하여 VXLAN 터널을 통해 학습된 클라이언트 MAC 주소를 BGP로 배포합니다. 각 PE 노드는 MPLS 코어를 통해 패킷을 전송할 때 MPLS로, VXLAN 네트워크를 통해 패킷을 전송할 때 VXLAN 터널 헤더로 VXLAN 또는 이더넷 프레임을 캡슐화합니다.

EVPN-VXLAN을 위한 방화벽 필터링 및 폴리싱 지원

VXLAN에 적용하는 각 방화벽 필터에 대해 레이어 2(이더넷) 패킷을 필터링하거나 family inet IRB 인터페이스에서 필터링하도록 지정합니다family ethernet-switching. IRB 인터페이스는 레이어 3 라우팅 인터페이스의 역할을 하여 1레이어 또는 2레이어 IP 패브릭 토폴로지에서 VXLAN을 연결합니다. 다음과 같은 제한 사항이 적용됩니다.

• VXLAN 전송 트래픽에는 필터링 및 폴리싱이 지원되지 않습니다.

• 송신 VTEP 디바이스의 VNI에 대한 방화벽 필터링은 지원되지 않습니다.

• 송신 VTEP 디바이스에서 VNI의 폴리싱은 지원되지 않습니다.

• VXLAN 헤더 필드에 대한 일치 조건은 지원되지 않습니다.

메모:

EVPN-VXLAN 방화벽 필터는 VXLAN 터널 엔드포인트(VTEP)에 의해 VXLAN 헤더가 제거된 후 인터페이스에서 구성됩니다.

방화벽 필터, 일치 조건 및 작업 구성에 대한 자세한 정보는 다음을 참조하십시오.

• 방화벽 필터 구성

• 방화벽 필터 일치 조건 및 조치(QFX 및 EX 시리즈 스위치)

• 방화벽 필터 일치 조건 및 동작(QFX10000 스위치)

• EX 시리즈 스위치용 방화벽 필터 개요

EVPN-VXLAN을 통한 Contrail 가상 네트워크 사용 이해

주니퍼 네트웍스 Contrail 가상화 소프트웨어는 확장성이 뛰어난 가상 네트워크 생성을 자동화하고 오케스트레이션하는 SDN(Software-Defined Networking) 솔루션입니다. 이러한 가상 네트워크를 통해 클라우드의 힘을 활용하여 새로운 서비스, 비즈니스 민첩성 향상 및 수익 성장을 달성할 수 있습니다. MX 시리즈 라우터는 EVPN-VXLAN을 사용하여 Contrail 가상 네트워크(VN) 내의 엔드 스테이션에 레이어 2 및 레이어 3 연결을 모두 제공할 수 있습니다.

가상 네트워크용 Contrail 소프트웨어는 레이어 2와 레이어 3 연결을 모두 제공합니다. Contrail을 사용하면 가능하면 레이어 2 브리징보다 레이어 3 라우팅이 선호됩니다. 레이어 3 라우팅은 Contrail vRouter와 물리적 MX 시리즈 라우터 간의 가상 라우팅 및 포워딩(VRF) 테이블을 통해 사용됩니다. MX 시리즈 라우터는 가상 네트워크 사이에 레이어 3 게이트웨이 기능을 제공합니다.

Contrail은 네트워크에 가상 디바이스와 베어메탈 디바이스가 모두 포함된 경우 EVPN-VXLAN을 사용할 수 있도록 지원합니다.

가상 네트워크에서는 두 가지 유형의 캡슐화 방법이 사용됩니다.

• MPLS-over-GRE(Generic Routing Encapsulation)는 Contrail과 MX 시리즈 라우터 간의 레이어 3 라우팅에 사용됩니다.

• EVPN-VXLAN은 레이어 2 도메인 내에서 가상 머신과 TOR(Top-of-Rack) 스위치(예: QFX5100 스위치) 간의 레이어 2 연결에 사용됩니다. 레이어 2 연결의 경우, 코어의 트래픽 로드 밸런싱은 EVPN에서 제공하는 멀티호밍 all-active 기능을 사용하여 수행됩니다. Junos OS 릴리스 17.3R1부터 EX9200 스위치는 Contrail을 통해 EVPN-VXLAN도 지원합니다.

메모:

MPLS 코어는 스위치에서 지원되지 않으며, MX 시리즈 라우터만 이 기능을 지원합니다.

QFX 시리즈 스위치에서는 EVPN-VXLAN과 OVSDB(Open vSwitch Database)-VXLAN을 동시에 혼합할 수 없습니다. 스위치가 OVSDB 관리형으로 설정되면 컨트롤러는 모든 포트를 OVSDB에서 관리하는 것으로 처리합니다.

MX 시리즈 라우터 및 EX9200 스위치 라인의 VXLAN 언더레이를 위한 EVPN-VXLAN 지원

MX 시리즈 라우터와 EX92xx 스위치 제품군은 VXLAN(Virtual Extensible LAN) 게이트웨이를 지원합니다. 각 VXLAN 게이트웨이는 다음과 같은 기능을 지원합니다.

• 기존 레이어 2 네트워크 및 VPLS 네트워크를 통한 스위칭 기능

• IRB를 사용하는 가상 확장형 LAN(VXLAN) 간 라우팅 및 가상 확장형 LAN(VXLAN) 전용 브리징 도메인

• 가상 스위치

• VRF 기능이 있는 VXLAN

• 구성 가능한 로드 밸런싱

• 원격 VTEP에 대한 통계

Junos OS 릴리스 17.3R1부터 MX 시리즈 라우터의 EVPN-VXLAN 지원이 IPv6 언더레이를 사용하는 VXLAN 게이트웨이 구현으로 확장됩니다. 주니퍼는 MX 시리즈 라우터에서 IPv6 언더레이를 사용하여 EVPN Type 1, Type 2, Type 3, Type 4 경로를 지원합니다.

IPv6 언더레이 지원과 함께 지원되는 서비스 유형은 다음과 같습니다.

• VLAN 기반 서비스

• VLAN 번들 서비스

• 포트 기반 서비스

• VLAN 인식 서비스

IPv4 및 IPv6 EVPN-VXLAN 언더레이는 모두 IP 주소 보급이 있는 EVPN 유형 2 MAC 주소와 IP 주소 보급이 있는 프록시 MAC 주소를 지원합니다.

QFX 시리즈 스위치의 VXLAN 언더레이를 위한 EVPN-VXLAN 지원

QFX 시리즈 스위치는 EVPN-VXLAN 네트워크에서 VXLAN 게이트웨이를 지원합니다. EVPN-VXLAN을 지원하는 모든 디바이스는 VXLAN 오버레이에 IPv4 언더레이를 사용할 수 있습니다.

주니퍼는 다음과 같이 QFX 시리즈 스위치의 EVPN-VXLAN 네트워크에서 VXLAN 오버레이를 위한 IPv6 언더레이 구성을 지원합니다.

• QFX10000 스위치 및 QFX5120 스위치 제품군: Junos OS 릴리스 21.2R2 및 21.4R1부터

• QFX5130-32CD 및 QFX5700 스위치: Junos OS Evolved 릴리스 22.3R1부터

MAC-VRF EVPN 인스턴스를 사용해서만 IPv6 언더레이를 구성할 수 있습니다. IPv6 언더레이를 사용하면 VXLAN 패킷의 외부 IP 헤더가 IPv6 헤더이며 VTEP 소스 주소를 IPv6 주소로 구성합니다. IPv6 언더레이 지원 및 IPv6 언더레이를 사용하도록 VXLAN 게이트웨이 디바이스를 구성하는 방법에 대한 자세한 내용은 IPv6 언더레이가 있는 EVPN-VXLAN 을 참조하십시오.

ACX 시리즈 디바이스의 VXLAN 언더레이를 위한 EVPN-VXLAN 지원

ACX7100-32C, ACX7100-48L 및 ACX7024 디바이스는 VXLAN 오버레이에 IPv4 또는 IPv6 언더레이를 사용할 수 있습니다. IPv6 언더레이는 MAC-VRF 라우팅 인스턴스(모든 서비스 유형)에서만 생성할 수 있습니다. 패브릭의 EVPN 인스턴스 전반에 걸쳐 IPv4 또는 IPv6 언더레이를 구성해야 합니다. 동일한 패브릭에서 IPv4 및 IPv6 언더레이를 혼합할 수 없습니다.

IPv6 언더레이를 생성하려면 계층에서 [edit system packet-forwarding-options system-profile] 문을 활성화 vxlan-extended 해야 합니다.

IPv6 언더레이를 사용하면 VXLAN 패킷의 외부 IP 헤더가 IPv6 헤더이며 VTEP 소스 주소를 IPv6 주소로 구성합니다. IPv6 언더레이 지원 및 IPv6 언더레이를 사용하도록 VXLAN 게이트웨이 디바이스를 구성하는 방법에 대한 자세한 내용은 IPv6 언더레이가 있는 EVPN-VXLAN 을 참조하십시오.

이 프로필을 활성화하면 패킷 전달 엔진이 다시 시작됩니다. 실행 중인 트래픽이 있으면 트래픽이 감소할 수 있습니다.

기본 시스템 프로필 사용으로 돌아가려면 명령을 실행합니다 delete system packet-forwarding-options system-profile vxlan-extended . PFE는 기본 시스템 프로필로 되돌리면 다시 시작됩니다. 이 프로세스 중에 실행 중인 모든 트래픽이 삭제될 수 있습니다.

EVPN-VXLAN 패킷 형식

EVPN-VXLAN 패킷 형식은 그림 3에 나와 있습니다.