Qu'est-ce que le VXLAN ?

Le Virtual Extensible LAN (VXLAN) est un protocole d'encapsulation qui achemine des trames Ethernet de couche 2 sur un réseau IP de couche 3 en les encapsulant dans des paquets UDP, à l'aide d'un identifiant de réseau de 24 bits permettant d'étendre la couverture bien au-delà des VLAN traditionnels. Versa Le SD-WAN associe le VXLAN à l'EVPN et à l'IPsec pour établir des tunnels superposés chiffrés entre les sites.

Points clés à retenir

• Le protocole VXLAN achemine des trames Ethernet à l'intérieur de paquets UDP sur un réseau IP.
• Un VNI 24 bits prend en charge jusqu'à 16 millions de segments, contre 4 094 pour un VLAN.
• Les VTEP encapsulent et décapsulent le trafic à chaque extrémité du tunnel.
• EVPN utilise le protocole MP-BGP pour distribuer les informations d'accessibilité MAC et IP pour le VXLAN.
• Versa associe les technologies VXLAN, EVPN et IPsec pour les réseaux SD-WAN et les superpositions LAN.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · VXLAN et Versa · FAQ

Pourquoi le VXLAN est-il important ?

Les VLAN traditionnels identifient un segment de couche 2 à l’aide d’une balise de 12 bits, ce qui limite un réseau à 4 094 segments utilisables – une limite que les centres de données multi-locataires et les environnements cloud ont dépassée depuis des années. Le VXLAN remplace cette balise par un identifiant de réseau de 24 bits, permettant de créer plus de 16 millions de segments isolés, tout en conservant le même isolement du domaine de diffusion que celui offert par les VLAN. Tout aussi important, le VXLAN dissocie l’accessibilité de la couche 2 de la topologie physique : deux hôtes situés sur le même segment virtuel peuvent se trouver derrière des routeurs différents, dans des baies différentes ou dans des centres de données différents, reliés uniquement par un routage IP classique.

Ce découplage fait de VXLAN la base standard des réseaux overlay modernes. Les fournisseurs de cloud l’utilisent pour offrir à chaque locataire un réseau isolé sur une infrastructure partagée ; les structures d’entreprise s’en servent pour étendre la couche 2 à travers un cœur « leaf-spine » routé sans saturer le réseau sous-jacent. Associé à l’EVPN pour la distribution du plan de contrôle, le VXLAN offre une évolutivité que les VLAN plats, limités par le protocole Spanning Tree, ne peuvent pas égaler – c’est pourquoi il est désormais à la base tant des structures de centres de données que des réseaux superposés SD-WAN, y compris ceux d’ Versa.

Qu'est-ce que le VXLAN ?

Le protocole VXLAN fonctionne sur deux plans. Dans le plan de données, un point d’extrémité de tunnel VXLAN (VTEP) – un commutateur, un routeur ou un hôte physique ou virtuel – prend une trame Ethernet d’origine et l’enveloppe dans un en-tête VXLAN de 8 octets contenant l’identifiant de réseau VXLAN (VNI) de 24 bits (à ne pas confondre avec les noms d’interface « vni- » sur les appliances VOS, qui font l’objet d’une entrée distincte dans le glossaire), un en-tête UDP externe de 8 octets (port de destination 4789 attribué par l’IANA, bien que certaines implémentations puissent en utiliser d’autres), ainsi qu’un en-tête IP externe adressé au VTEP distant. Le VTEP destinataire supprime ces en-têtes et achemine la trame d’origine vers le segment local approprié, identifié par le VNI.

Au niveau du plan de contrôle, le VXLAN est généralement associé à l’EVPN, qui utilise le BGP multiprotocole (MP-BGP) – étendu à la famille d’adresses VPN de couche 2 et à la famille d’adresses EVPN qui lui fait suite – pour répartir les adresses MAC et les informations de routage IP entre les VTEP. Cela permet à un VTEP de déterminer où se trouve une adresse MAC distante avant même que le trafic n'arrive, évitant ainsi le comportement de « flood-and-learn » (inondation et apprentissage) sur lequel repose le VXLAN classique (sans EVPN).

Types de VXLAN

EVPN définit deux méthodes pour associer des VLAN à des segments VXLAN. Un service basé sur les VLAN associe un seul VNI à une instance EVPN et gère une table MAC par VNI : c'est simple, mais chaque VLAN nécessite sa propre instance. Un « bundle » prenant en charge les VLAN associe plusieurs VNI à une seule instance EVPN tout en conservant une table de pont distincte par VNI, ce qui réduit la charge de configuration par VLAN dans les déploiements à grande échelle.

EVPN définit également cinq types de routes qui transportent les informations du plan de contrôle de VXLAN : le type 1 (détection automatique Ethernet, pour les sites à multi-connexions), le type 2 (annonces MAC/IP), le type 3 (routes de multidiffusion inclusives, qui établissent des chemins de transmission pour le trafic de diffusion, de monodiffusion inconnue et de multidiffusion), Type 4 (routes de segment Ethernet, utilisées pour élire un transporteur désigné en cas de multihébergement) et Type 5 (routes de préfixe IP, qui dissocient l’accessibilité IP des annonces MAC/IP). Le trafic de diffusion, de monodiffusion inconnue et de multidiffusion (BUM) est géré par réplication à l’entrée plutôt que par multidiffusion sous-jacente.

VXLAN & Versa

Versa Les périphériques équipés du système d’exploitation VOS exécutent EVPN VXLAN pour le SD-WAN, en créant des superpositions de couche 2 entre les périphériques en périphérie client sur le réseau sous-jacent WAN de couche 3 : un commutateur virtuel (MAC-VRF) est configuré avec un domaine de pont mappé par VNI, EVPN est activé avec l’encapsulation VXLAN, et les pairs MP-BGP entre les VTEP assurent la distribution de l’accessibilité MAC et IP. Ce même mécanisme sous-tend l’EVPN VXLAN pour le ZT-LAN, où les VTEP sont situés sur des périphériques « leaf » et « spine » au sein d’une structure LAN Zero Trust plutôt que sur des périphériques de bord exposés au WAN.

Sur le réseau, la couche superposée d’ Versautilise le port UDP 4790 pour les communications VXLAN entre les succursales, les concentrateurs et les contrôleurs – et non le port par défaut 4789 défini par l’IANA – ; les règles de pare-feu le long du chemin doivent donc autoriser le port UDP 4790 pour que la couche superposée puisse fonctionner. Le VXLAN est également présent dans les maillages de commutateurs de campus : les modèles de workflow SD-LAN permettent à un administrateur d’activer le VXLAN par port de commutateur, d’attribuer une adresse IP VTEP et de configurer un commutateur virtuel VXLAN ainsi qu’un VRF dès qu’au moins un port de couche 3 est disponible. Sur ces trois types de chemins, VOS prend en charge les types de services EVPN « bundle » basés sur les VLAN et « VLAN-aware », ainsi que les routes EVPN de type 1 à 5 ; la prise en charge des routes de type 5 a été ajoutée dans la version 22.1.1, et l’ensemble des fonctionnalités est disponible depuis la version 21.2.1.

Questions fréquentes

Quelle est la différence entre un VXLAN et un VLAN ?

Un VLAN marque les trames à l'aide d'un identifiant de 12 bits, ce qui limite un réseau à 4 094 segments et le confine généralement à un seul domaine de couche 2. Le protocole VXLAN encapsule les trames à l'aide d'un VNI de 24 bits et les achemine sur la couche 3, prenant ainsi en charge plus de 16 millions de segments et permettant à un segment de s'étendre sur plusieurs réseaux routés et centres de données.

Qu'est-ce qu'un point d'extrémité de tunnel VXLAN (VTEP) ?

Un VTEP est un dispositif qui encapsule et décapsule le trafic VXLAN : il ajoute les en-têtes VXLAN, UDP et IP externes lors de la sortie, et les supprime lors de l'entrée. Un VTEP peut être un commutateur ou un routeur physique, ou encore un dispositif virtuel fonctionnant sur un hyperviseur.

Comment fonctionne l'EVPN avec le VXLAN ?

EVPN est le plan de contrôle le plus couramment associé au plan de données VXLAN. Il utilise le protocole BGP multiprotocole pour annoncer l'accessibilité MAC et IP entre les VTEP avant l'acheminement du trafic, ce qui permet de connaître à l'avance les hôtes distants au lieu de les découvrir par le biais d'un processus de « flood-and-learn » ; il définit également des types de routes pour le multihébergement, la livraison BUM et l'annonce de préfixes IP.

Qu'est-ce que le trafic BUM dans un réseau VXLAN ?

L'acronyme BUM désigne le trafic de diffusion, le trafic « unknown-unicast » et le trafic de multidiffusion, c'est-à-dire les trames qui ne peuvent pas être transmises à une destination unique connue. Les déploiements VXLAN gèrent généralement le trafic BUM par le biais de la réplication à l'entrée, le VTEP d'entrée envoyant une copie à tous les autres VTEP du segment.

Quel port UDP utilise VXLAN ?

Le port de destination VXLAN attribué par l’IANA est le port UDP 4789, mais les implémentations peuvent utiliser d’autres valeurs, et c’est effectivement le cas : la superposition SD-WAN d’ Versaachemine le trafic VXLAN entre les succursales, les hubs et les contrôleurs via le port UDP 4790. Lors de la création de règles de pare-feu pour un déploiement Versa , autorisez le port UDP 4790 pour la couche superposée ; le port 4789 n’apparaît dans les environnements Versa que pour des utilisations sans rapport, telles que la mise en réseau superposée Docker entre les nœuds du cluster Director.

En savoir plus sur VXLAN

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au VXLAN, voici quelques liens qui pourraient vous intéresser.