¿Qué es una interfaz virtual de túnel (TVI)?

Una interfaz virtual de túnel (TVI) es una interfaz VOS lógica, cuyo nombre comienza por el prefijo «tvi-», que termina un túnel —como IPsec, GRE, VXLAN o una ruta superpuesta de SD-WAN— en lugar de un puerto físico. Las plantillas de flujo de trabajo las crean automáticamente y las numeran por inquilino para los túneles del plano de control hacia los controladores y los túneles del plano de datos entre dispositivos SD-WAN.

Puntos clave

• Un TVI es una interfaz lógica que termina un túnel, no un puerto.
• Los TVI utilizan el prefijo «tvi-» y se numeran según la organización del arrendatario.
• Las plantillas de flujo de trabajo crean automáticamente TVI y asignan direcciones IP predeterminadas.
• Las interfaces TVI admiten subredes /31 y se les puede asignar una nueva dirección para evitar conflictos.
• Los TVI emparejados conectan las zonas de microsegmentación con los routers virtuales.

En esta página: Por qué es importante · Cómo funciona · Tipos · TVI y Versa · Preguntas frecuentes

¿Por qué es importante un TVI?

Cada red superpuesta SD-WAN y cada VPN de sitio a sitio necesita un punto al que dirigir el tráfico de entrada y salida una vez que el túnel está activo: una interfaz a la que pueda apuntar una tabla de enrutamiento, a la que pueda vincularse una zona de cortafuegos y a la que pueda llegar una ruta estática o una sesión BGP. Una TVI es ese punto de enlace en un dispositivo VOS: sin ella, un túnel no es más que una ruta cifrada sin lugar en la lógica de reenvío del dispositivo.

Dado que los TVI son de naturaleza lógica y no física, un dispositivo VOS puede terminar tantos túneles como le permitan su política y su margen de licencias, independientemente del número de puertos físicos que tenga. Esto es lo que permite que un único dispositivo de sucursal mantenga, al mismo tiempo, una conectividad resiliente con dos controladores, múltiples túneles de sitio a sitio hacia diferentes centros de distribución y rutas de microsegmentación hacia una pasarela SASE : cada túnel cuenta con su propio TVI, su propia dirección y su propio lugar en el enrutamiento y en la política de zonas.

¿Qué es un TVI?

Una TVI representa un extremo de un túnel en un dispositivo VOS. Se comporta como cualquier otra interfaz de capa 3 en lo que respecta al enrutamiento y las políticas —puede pertenecer a un enrutador virtual, transportar una ruta estática o aprendida mediante BGP, ubicarse en una zona de seguridad—, pero en lugar de un cable físico, su «enlace» es el propio túnel: IPsec, GRE, VXLAN o una ruta del plano de datos de SD-WAN hacia otro dispositivo VOS.

Los TVI se denominan con un tvi-<slot>/<number> por ejemplo, una convención tvi-0/101 o tvi-15/100. La numeración se aplica por organización de inquilino, y la ranura específica utilizada (tvi-0 frente a tvi-15) y los rangos numéricos varían según el modelo de implementación: las interfaces generadas a partir de plantillas de flujo de trabajo reservan sus propios rangos, de modo que las TVI configuradas manualmente pueden evitar colisiones con ellas.

Tipos de direccionamiento TVI

La mayoría de los TVI obtienen su dirección IP automáticamente. Cuando las plantillas de Workflow configuran IPsec para un dispositivo de sucursal, Versa Director asigna automáticamente direcciones del rango 169.254.0.0/24 y crea el TVI emparejado en ambos extremos del túnel; en los casos habituales, no es necesario realizar ningún paso de asignación manual de direcciones.

Las TVI manuales y reasignadas son importantes en dos situaciones. En primer lugar, dado que ese rango predeterminado se encuentra en el VRF de la LAN del inquilino, debe ser único en toda la organización; si dos sucursales o dos túneles de sitio a sitio llegan a la misma puerta de enlace VOS con direcciones TVI que se solapan, la puerta de enlace rechaza la configuración y es necesario reasignar las direcciones de las TVI — Versa admite subredes /31 para ello, lo que permite mantener al mínimo el espacio de direcciones de cada túnel—. En segundo lugar, algunos diseños emparejan deliberadamente dos TVI: una TVI se conecta a una red LAN, mientras que la segunda se conecta al enrutador virtual utilizado para detectar redes de confianza, y ambas se añaden conjuntamente a la LAN-VR del inquilino y a las zonas orientadas al cliente —un patrón utilizado para enrutar el tráfico de acceso seguro a través de un portal cautivo con fines de microsegmentación—.

TVI y Versa

Los TVI aparecen siempre que un dispositivo VOS termina un túnel. En Integración entre SD-WAN y el hub SSE, Las pasarelas gestionadas por Concerto (VCG) reciben una numeración de TVI de forma predeterminada cuando se configuran túneles de sitio a sitio, mientras que el cliente gestiona la numeración de TVI en el concentrador SSE del lado del Director, normalmente en el tvi-15/<number> rango, hasta tvi-15/19999 – y establece conexiones EBGP directamente a través de las direcciones IP de TVI para crear rutas de tráfico en modo activo-en espera o activo-activo.

En Secure SD-WAN integración con Versa SSE, la configuración IPsec de un dispositivo de sucursal en un VCG crea un tvi-0/<number> interfaz con una dirección 169.254.0.x asignada automáticamente; cuando ese rango predeterminado entra en conflicto con una dirección ya existente en la organización, es necesario reasignar la sucursal y sus rutas estáticas de forma conjunta. En Microsegmentación basada en EIP para SD-LAN, las TVI emparejadas conectan una red LAN orientada al cliente y su enrutador virtual de detección de redes de confianza a una pasarela SASE , completándose la ruta mediante una ruta estática a través de la TVI emparejada.

Preguntas frecuentes

¿Qué significa el prefijo «tvi-» en el nombre de una interfaz?

Marca la interfaz como una interfaz virtual de túnel, es decir, un punto final lógico para un túnel en lugar de un puerto físico. El número que aparece después de la barra, como por ejemplo tvi-0/101, distingue entre varios TVI en el mismo dispositivo y su ámbito de aplicación se define por inquilino.

¿Es necesario asignar manualmente una dirección IP a un TVI?

No suele ser así. Las plantillas de flujo de trabajo asignan automáticamente direcciones TVI, normalmente del rango 169.254.0.0/24, al configurar IPsec para una sucursal o una pasarela. El direccionamiento manual o la reasignación de direcciones son necesarios principalmente para resolver conflictos cuando ese rango predeterminado ya está en uso en otra parte de la organización.

¿Por qué habría que volver a asignar direcciones a dos interfaces TVI?

Las direcciones TVI deben ser únicas dentro del VRF de la LAN del inquilino. Si a dos sucursales, o a dos túneles de sitio a sitio que llegan a la misma pasarela, se les asigna automáticamente el mismo rango predeterminado, la pasarela rechaza la configuración duplicada, por lo que las TVI que entran en conflicto deben trasladarse a un rango de direcciones diferente y único.

¿Qué es una interfaz TVI emparejada?

Una configuración de TVI por pares utiliza dos TVI conjuntamente: uno conecta una red LAN a un enrutador virtual, y el otro conecta ese enrutador virtual a una ruta de detección de redes de confianza. Ambos se añaden al LAN-VR del inquilino y a las zonas pertinentes, un patrón que se utiliza para el enrutamiento de acceso seguro microsegmentado.

¿Puede un TVI transportar BGP además de rutas estáticas?

Sí. Una TVI es una interfaz de capa 3 enrutable, por lo que puede transportar una ruta estática hacia un siguiente salto a través del túnel, o establecer una conexión entre pares mediante EBGP utilizando la propia dirección IP de la TVI como dirección de vecino —el modelo utilizado para el enrutamiento dinámico entre las pasarelas SD-WAN y los hubs SSE—.

Más información sobre los TVI

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre los TVI, te recomiendo que eches un vistazo a esto a continuación.