Was ist eine virtuelle Tunnelschnittstelle (TVI)?

Eine Tunnel Virtual Interface (TVI) ist eine logische VOS-Schnittstelle mit dem Präfix „tvi-“, die einen Tunnel – beispielsweise IPsec, GRE, VXLAN oder einen SD-WAN-Overlay-Pfad – anstelle eines physischen Ports abschließt. Workflow-Vorlagen erstellen diese automatisch und nummerieren sie pro Mandant für Control-Plane-Tunnel zu Controllern sowie für Data-Plane-Tunnel zwischen SD-WAN-Geräten.

Die wichtigsten Erkenntnisse

• Ein TVI ist eine logische Schnittstelle, die einen Tunnel abschließt, und kein Port.
• TVIs verwenden das Präfix „tvi-“ und werden nach Mieterorganisation nummeriert.
• Workflow-Vorlagen erstellen automatisch TVIs und weisen Standard-IP-Adressen zu.
• TVI-Schnittstellen unterstützen /31-Subnetze und können neu adressiert werden, um Adresskonflikte zu vermeiden.
• Gepaarte TVIs verbinden Mikrosegmentierungszonen mit virtuellen Routern.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · TVI & Versa · Häufig gestellte Fragen

Warum ist ein TVI wichtig?

Jedes SD-WAN-Overlay und jedes Site-to-Site-VPN benötigt, sobald ein Tunnel eingerichtet ist, einen Ort, an den der Datenverkehr hin- und von dem er zurückgeleitet werden kann – eine Schnittstelle, auf die eine Routing-Tabelle verweisen kann, an die eine Firewall-Zone gebunden werden kann und die über eine statische Route oder eine BGP-Sitzung erreichbar ist. Ein TVI ist dieser Anbindungspunkt auf einem VOS-Gerät: Ohne ihn ist ein Tunnel lediglich ein verschlüsselter Pfad, der in der Weiterleitungslogik des Geräts keinen Platz hat.

Da TVIs eher logischer als physischer Natur sind, kann ein VOS-Gerät so viele Tunnel terminieren, wie es an Richtlinien und Lizenzen zur Verfügung hat – unabhängig von der Anzahl seiner physischen Ports. Dadurch kann ein einzelnes Filialgerät gleichzeitig eine ausfallsichere Erreichbarkeit über zwei Controller, mehrere Site-to-Site-Tunnel zu verschiedenen Hubs und Mikrosegmentierungspfade zu einem „ SASE “-Gateway aufrechterhalten – jeder Tunnel erhält dabei eine eigene TVI, eine eigene Adresse und einen eigenen Platz im Routing sowie in der Zonenrichtlinie.

Was ist ein TVI?

Ein TVI stellt ein Ende eines Tunnels auf einem VOS-Gerät dar. Es verhält sich in Bezug auf Routing und Richtlinien wie jede andere Layer-3-Schnittstelle – es kann zu einem virtuellen Router gehören, eine statische oder über BGP erlernte Route übertragen, sich in einer Sicherheitszone befinden –, doch anstelle eines physischen Kabels ist seine „Verbindung“ der Tunnel selbst: IPsec, GRE, VXLAN oder ein SD-WAN-Datenebenenpfad zu einem anderen VOS-Gerät.

TVIs werden mit einem tvi-<slot>/<number> zum Beispiel eine Tagung tvi-0/101 oder tvi-15/100. Die Nummerierung gilt jeweils pro Mandantenorganisation, und der konkret verwendete Slot (tvi-0 gegenüber tvi-15) und die Nummernbereiche variieren je nach Bereitstellungsmodell – Durch Workflow-Vorlagen generierte Schnittstellen reservieren eigene Bereiche, sodass manuell konfigurierte TVIs Konflikte mit diesen vermeiden können.

Arten der TVI-Adressierung

Die meisten TVIs erhalten ihre IP-Adresse automatisch. Wenn Workflow-Vorlagen IPsec für ein Zweigstellen-Gerät konfigurieren, weist „ Versa Director“ automatisch Adressen aus dem Bereich 169.254.0.0/24 zu und erstellt das gepaarte TVI an beiden Enden des Tunnels – im Normalfall ist keine manuelle Adressvergabe erforderlich.

Manuelle und neu adressierte TVIs spielen in zwei Situationen eine Rolle. Erstens: Da sich dieser Standardbereich im LAN-VRF des Mandanten befindet, muss er unternehmensweit eindeutig bleiben; wenn zwei Zweigstellen oder zwei Site-to-Site-Tunnel mit überlappenden TVI-Adressen auf demselben VOS-Gateway landen, lehnt das Gateway die Konfiguration ab, und die TVIs müssen neu adressiert werden – „ Versa “ unterstützt hierfür /31-Subnetze, wodurch der Adressraum jedes Tunnels minimal gehalten wird. Zweitens werden in manchen Designs zwei TVIs bewusst gepaart: Ein TVI verbindet sich mit einem LAN-Netzwerk, ein zweiter mit dem virtuellen Router, der zur Erkennung vertrauenswürdiger Netzwerke dient, und beide werden gemeinsam dem LAN-VR des Mandanten sowie den kundenorientierten Zonen hinzugefügt – ein Muster, das verwendet wird, um den Secure-Access-Datenverkehr zur Mikrosegmentierung über ein Captive Portal zu leiten.

TVI & Versa

TVIs treten überall dort auf, wo ein VOS-Gerät einen Tunnel beendet. In Integration von SD-WAN und SSE-Hub, Von Concerto verwaltete Gateways (VCGs) erhalten standardmäßig eine TVI-Nummerierung, wenn Site-to-Site-Tunnel konfiguriert werden, während der Kunde die TVI-Nummerierung auf dem Director-seitigen SSE-Hub verwaltet – üblicherweise im tvi-15/<number> Bereich, bis zu tvi-15/19999 – und richtet EBGP-Peer-Verbindungen direkt über die TVI-IP-Adressen ein, um Active-Standby- oder Active-Active-Datenpfade aufzubauen.

In Secure SD-WAN Integration mit „ Versa “ SSE, die IPsec-Konfiguration eines Zweigstellen-Geräts für eine VCG erstellt eine tvi-0/<number> Schnittstelle mit einer automatisch zugewiesenen Adresse im Format 169.254.0.x; wenn dieser Standardadressbereich mit einer bereits vorhandenen Adresse innerhalb der Organisation kollidiert, müssen die Zweigstelle und ihre statischen Routen gemeinsam neu adressiert werden. In EIP-basierte Mikrosegmentierung für SD-LAN, verbinden gepaarte TVIs ein kundenseitiges LAN-Netzwerk und dessen virtuellen Router zur Erkennung vertrauenswürdiger Netzwerke mit einem „ SASE “-Gateway, wobei eine statische Route über die gepaarten TVIs den Pfad vervollständigt.

Häufig gestellte Fragen

Was bedeutet das Präfix „tvi-“ in einem Schnittstellennamen?

Dadurch wird die Schnittstelle als virtuelle Tunnelschnittstelle gekennzeichnet – also als logischer Endpunkt eines Tunnels und nicht als physischer Port. Die Zahl nach dem Schrägstrich, wie zum Beispiel tvi-0/101, unterscheidet mehrere TVIs auf demselben Gerät und gilt pro Mandant.

Muss bei einem TVI die IP-Adresse manuell vergeben werden?

In der Regel nicht. Workflow-Vorlagen weisen TVI-Adressen automatisch zu, in der Regel aus dem Bereich 169.254.0.0/24, wenn sie IPsec für eine Zweigstelle oder ein Gateway konfigurieren. Eine manuelle Adressierung oder Neuzuweisung ist hauptsächlich erforderlich, um Konflikte zu beheben, wenn dieser Standardbereich bereits an anderer Stelle im Unternehmen verwendet wird.

Warum müssten zwei TVI-Schnittstellen neu adressiert werden?

TVI-Adressen müssen innerhalb des LAN-VRF des Mandanten eindeutig sein. Wenn zwei Zweigstellen oder zwei Site-to-Site-Tunnel, die auf demselben Gateway landen, automatisch denselben Standardadressbereich zugewiesen bekommen, lehnt das Gateway die doppelte Konfiguration ab, sodass die sich überschneidenden TVIs in einen anderen, eindeutigen Adressbereich verschoben werden müssen.

Was ist eine gepaarte TVI-Schnittstelle?

Bei einer gepaarten TVI-Konfiguration werden zwei TVIs zusammen verwendet: Eine verbindet ein LAN-Netzwerk mit einem virtuellen Router, die andere verbindet diesen virtuellen Router mit einem Pfad zur Erkennung vertrauenswürdiger Netzwerke. Beide werden dem LAN-VR des Mandanten sowie den entsprechenden Zonen hinzugefügt – ein Muster, das für das mikrosegmentierte Routing mit sicherem Zugriff verwendet wird.

Kann ein TVI sowohl BGP- als auch statische Routen übertragen?

Ja. Eine TVI ist eine routbare Layer-3-Schnittstelle, sodass sie eine statische Route zu einem nächsten Hop über den Tunnel übertragen oder über EBGP eine Peer-Verbindung herstellen kann, wobei die eigene IP-Adresse der TVI als Nachbaradresse verwendet wird – das gleiche Modell, das auch für das dynamische Routing zwischen SD-WAN-Gateways und SSE-Hubs verwendet wird.

Mehr zu TVIs

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über TVIs informieren, sollten Sie sich als Nächstes diese hier ansehen.