Was ist VXLAN?

Virtual Extensible LAN (VXLAN) ist ein Kapselungsprotokoll, das Layer-2-Ethernet-Frames über ein Layer-3-IP-Netzwerk transportiert, indem es diese in UDP-Pakete einbindet und dabei eine 24-Bit-Netzwerkkennung verwendet, um weit über die Grenzen herkömmlicher VLANs hinaus zu skalieren. Versa SD-WAN kombiniert VXLAN mit EVPN und IPsec, um verschlüsselte Overlay-Tunnel zwischen Standorten aufzubauen.

Die wichtigsten Erkenntnisse

• VXLAN überträgt Ethernet-Frames in UDP-Paketen über ein IP-Netzwerk.
• Ein 24-Bit-VNI unterstützt bis zu 16 Millionen Segmente, im Gegensatz zu den 4.094 eines VLANs.
• VTEPs kapseln den Datenverkehr an jedem Tunnelendpunkt ein und entkapseln ihn dort wieder.
• EVPN nutzt MP-BGP, um die MAC- und IP-Erreichbarkeit für VXLAN zu verteilen.
• Versa kombiniert VXLAN mit EVPN und IPsec für SD-WAN- und LAN-Overlays.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · VXLAN & Versa · Häufig gestellte Fragen

Warum ist VXLAN wichtig?

Herkömmliche VLANs kennzeichnen ein Layer-2-Segment mit einem 12-Bit-Tag, wodurch die Anzahl der nutzbaren Segmente auf 4.094 begrenzt ist – eine Grenze, die in mandantenfähigen Rechenzentren und Cloud-Umgebungen bereits vor Jahren überschritten wurde. VXLAN ersetzt dieses Tag durch eine 24-Bit-Netzwerkkennung, die Platz für über 16 Millionen isolierte Segmente bietet, und bewahrt dabei die gleiche Isolierung der Broadcast-Domänen, die auch VLANs bieten. Ebenso wichtig ist, dass VXLAN die Erreichbarkeit auf Layer 2 von der physischen Topologie entkoppelt: Zwei Hosts im selben virtuellen Segment können sich hinter verschiedenen Routern, in unterschiedlichen Racks oder in verschiedenen Rechenzentren befinden und sind lediglich über gewöhnliches IP-Routing miteinander verbunden.

Diese Entkopplung macht VXLAN zur Standardgrundlage für moderne Overlay-Netzwerke. Cloud-Anbieter nutzen es, um jedem Mandanten ein isoliertes Netzwerk auf einer gemeinsam genutzten Infrastruktur bereitzustellen; Unternehmensnetzwerke nutzen es, um Layer 2 über einen gerouteten Leaf-Spine-Kern zu erweitern, ohne das Underlay zu überfluten. In Kombination mit EVPN für die Verteilung der Steuerungsebene lässt sich VXLAN auf eine Weise skalieren, wie es flache, an Spanning Tree gebundene VLANs nicht können – weshalb es mittlerweile sowohl den Grundlage für Rechenzentrumsnetzwerke als auch für SD-WAN-Overlays bildet, darunter auch das von Versa.

Was ist VXLAN?

VXLAN arbeitet auf zwei Ebenen. In der Datenebene nimmt ein VXLAN-Tunnel-Endpunkt (VTEP) – ein physischer oder virtueller Switch, Router oder Host – einen ursprünglichen Ethernet-Frame und umhüllt ihn mit einem 8-Byte-VXLAN-Header, der die 24-Bit-VXLAN-Netzwerkkennung (VNI – nicht zu verwechseln mit den vni-Schnittstellennamen auf VOS-Geräten, ein separater Glossareintrag) enthält, einen 8-Byte-UDP-Außenheader (IANA-zugewiesener Zielport 4789, wobei Implementierungen auch andere Ports verwenden können) sowie einen IP-Außenheader, der an den entfernten VTEP adressiert ist. Der empfangende VTEP entfernt diese Header und leitet den ursprünglichen Frame an das richtige lokale Segment weiter, das durch die VNI identifiziert wird.

In der Steuerungsebene wird VXLAN üblicherweise mit EVPN kombiniert, das Multiprotocol BGP (MP-BGP) – erweitert um die Layer-2-VPN-Adressfamilie und die EVPN-Nachfolgeadressfamilie – nutzt, um MAC-Adressen und IP-Routing-Informationen zwischen VTEPs zu verteilen. Dadurch kann ein VTEP bereits vor dem Eintreffen des Datenverkehrs ermitteln, wo sich eine entfernte MAC-Adresse befindet, wodurch das „Flood-and-Learn“-Verhalten vermieden wird, auf das reines VXLAN (ohne EVPN) angewiesen ist.

Arten von VXLAN

EVPN definiert zwei Möglichkeiten, VLANs VXLAN-Segmenten zuzuordnen. Ein VLAN-basierter Dienst ordnet eine einzelne VNI einer EVPN-Instanz zu und verwaltet pro VNI eine MAC-Tabelle – das ist einfach, erfordert jedoch für jedes VLAN eine eigene Instanz. Ein VLAN-fähiges Bundle ordnet mehrere VNIs einer einzigen EVPN-Instanz zu und verwaltet dabei pro VNI eine separate Bridge-Tabelle, was den Konfigurationsaufwand pro VLAN in größeren Bereitstellungen reduziert.

EVPN definiert außerdem fünf Routentypen, die die Informationen der VXLAN-Steuerungsebene übertragen: Typ 1 (Ethernet-Auto-Discovery für Standorte mit mehreren Anschlüssen), Typ 2 (MAC/IP-Advertisement), Typ 3 (inklusive Multicast-Routen, die Übertragungswege für Broadcast-, Unknown-Unicast- und Multicast-Verkehr einrichten), Typ 4 (Ethernet-Segmentrouten, die zur Wahl eines designierten Weiterleiters bei Multihoming verwendet werden) und Typ 5 (IP-Präfixrouten, die die IP-Erreichbarkeit von MAC/IP-Ankündigungen entkoppeln). Broadcast-, Unknown-Unicast- und Multicast-Verkehr (BUM) wird über Eingangsreplikation statt über Underlay-Multicast abgewickelt.

VXLAN & Versa

Versa Geräte mit dem Betriebssystem „VOS“ nutzen EVPN-VXLAN für SD-WAN und bauen Layer-2-Overlays zwischen den Edge-Geräten der Kunden über das Layer-3-WAN-Underlay hinweg auf: Ein virtueller Switch (MAC-VRF) wird mit einer VNI-zugeordneten Bridge-Domäne konfiguriert, EVPN wird mit VXLAN-Kapselung aktiviert, und MP-BGP-Peers zwischen VTEPs verteilen die MAC- und IP-Erreichbarkeit. Derselbe Mechanismus liegt auch EVPN VXLAN für ZT-LAN zugrunde, wobei sich die VTEPs nicht auf WAN-seitigen Edge-Geräten, sondern auf Leaf- und Spine-Geräten innerhalb einer Zero-Trust-LAN-Fabric befinden.

Im Netzwerk nutzt das Overlay von „ Versa“ den UDP-Port 4790 für die VXLAN-Kommunikation zwischen Zweigstellen-, Hub- und Controller-Geräten – und nicht den IANA-Standardwert 4789 –, sodass die Firewall-Regeln entlang der Strecke UDP 4790 zulassen müssen, damit das Overlay eingerichtet werden kann. VXLAN kommt auch in Campus-Switch-Fabrics zum Einsatz: Mithilfe von SD-LAN-Workflow-Vorlagen kann ein Administrator VXLAN pro Switch-Port aktivieren, eine VTEP-IP-Adresse zuweisen und einen virtuellen VXLAN-Switch sowie ein VRF konfigurieren, sobald mindestens ein Layer-3-Port vorhanden ist. Über alle drei Pfade hinweg unterstützt VOS die VLAN-basierten und VLAN-fähigen EVPN-Diensttypen „Bundle“ sowie EVPN-Routen der Typen 1 bis 5; die Unterstützung für Routen vom Typ 5 wurde in Release 22.1.1 hinzugefügt, wobei der umfassendere Funktionsumfang seit 21.2.1 verfügbar ist.

Häufig gestellte Fragen

Was ist der Unterschied zwischen VXLAN und einem VLAN?

Ein VLAN versieht Frames mit einer 12-Bit-ID, wodurch ein Netzwerk auf 4.094 Segmente begrenzt wird und in der Regel innerhalb einer Layer-2-Domäne bleibt. VXLAN kapselt Frames mit einer 24-Bit-VNI und leitet sie über Layer 3 weiter, wodurch über 16 Millionen Segmente unterstützt werden und ein Segment sich über geroutete Netzwerke und Rechenzentren erstrecken kann.

Was ist ein VXLAN-Tunnel-Endpunkt (VTEP)?

Ein VTEP ist ein Gerät, das VXLAN-Datenverkehr kapseln und entkapseln – dabei werden beim Ausgang die VXLAN-, UDP- und äußeren IP-Header hinzugefügt und beim Eingang wieder entfernt. Ein VTEP kann ein physischer Switch oder Router sein oder ein virtuelles Gerät, das auf einem Hypervisor läuft.

Wie funktioniert EVPN in Verbindung mit VXLAN?

EVPN ist die Steuerungsschicht, die am häufigsten mit der Datenschicht von VXLAN kombiniert wird. Es nutzt Multiprotocol BGP, um die MAC- und IP-Erreichbarkeit zwischen VTEPs vor dem Datenverkehr bekanntzugeben, sodass Remote-Hosts bereits im Voraus bekannt sind, anstatt erst durch „Flood-and-Learn“ entdeckt zu werden, und es definiert Routentypen für Multihoming, BUM-Übertragung und die Bekanntgabe von IP-Präfixen.

Was versteht man unter BUM-Verkehr in einem VXLAN-Netzwerk?

BUM steht für Broadcast-, Unknown-Unicast- und Multicast-Verkehr – Frames, die nicht an ein einzelnes bekanntes Ziel weitergeleitet werden können. Bei VXLAN-Implementierungen wird BUM-Verkehr in der Regel durch Eingangsreplikation verarbeitet, wobei der Eingangs-VTEP eine Kopie an jeden anderen VTEP im Segment sendet.

Welchen UDP-Port verwendet VXLAN?

Der von der IANA zugewiesene VXLAN-Zielport ist UDP 4789, doch Implementierungen können auch andere Werte verwenden – das SD-WAN-Overlay von Versaüberträgt VXLAN zwischen Zweigstellen-, Hub- und Controller-Geräten über UDP 4790. Beim Erstellen von Firewall-Regeln für eine „ Versa “-Bereitstellung sollten Sie UDP 4790 für das Overlay zulassen; 4789 taucht in „ Versa “-Umgebungen nur für andere Zwecke auf, wie beispielsweise Docker-Overlay-Netzwerke zwischen Director-Clusterknoten.

Mehr zu VXLAN

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit VXLAN beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.