Tweet
Cấu hình NVE (Network Virtual Interface) trong VXLAN EVPN
Trong kiến trúc VXLAN EVPN, mỗi switch Leaf đóng vai trò VTEP (VXLAN Tunnel Endpoint). Để VTEP có thể tạo và quản lý các đường hầm VXLAN, Cisco NX-OS sử dụng một interface logic đặc biệt gọi là NVE (Network Virtual Interface).
Có thể xem NVE như đầu cuối của tất cả các tunnel VXLAN trên switch. Thay vì phải tạo một tunnel riêng cho từng VNI hoặc từng VTEP từ xa, toàn bộ các tunnel VXLAN đều được quản lý tập trung thông qua interface nve1.
Vì sao NVE không có địa chỉ IP?
Trong cấu hình:
interface nve1
no ip address
NVE không phải là một interface Layer 3 thông thường.
Nó không:
Thay vào đó, NVE chỉ thực hiện hai chức năng:
Địa chỉ IP mà VTEP sử dụng thực tế nằm trên Loopback0.
source-interface Loopback0
source-interface Loopback0
Đây là một trong những dòng lệnh quan trọng nhất.
Loopback0 chính là địa chỉ VTEP IP.
Ví dụ:
Leaf1
Loopback0 = 10.1.1.11
Leaf2
Loopback0 = 10.1.1.12
Khi Leaf1 gửi VXLAN packet sang Leaf2, tiêu đề ngoài (Outer IP Header) sẽ có dạng:
Outer Source IP = 10.1.1.11
Outer Destination IP = 10.1.1.12
Sử dụng Loopback thay vì địa chỉ IP của interface vật lý mang lại nhiều lợi ích:
Do đó, trong hầu hết các thiết kế VXLAN EVPN, địa chỉ VTEP luôn được gán trên Loopback.
host-reachability protocol bgp
host-reachability protocol bgp
Dòng lệnh này khai báo rằng EVPN sử dụng MP-BGP làm control plane.
Điều đó có nghĩa là:
đều được thực hiện thông qua BGP EVPN.
Nếu không có dòng lệnh này, switch sẽ quay về mô hình VXLAN truyền thống sử dụng Flood-and-Learn, vốn phụ thuộc vào multicast hoặc ingress replication để tìm kiếm endpoint.
member vni
Ví dụ:
member vni 10101
Lệnh này đưa VNI 10101 vào interface NVE.
Có thể hiểu:
VLAN 101
↓
VNI 10101
↓
NVE
↓
VXLAN Overlay
Từ thời điểm đó, mọi lưu lượng thuộc VNI 10101 sẽ được NVE đóng gói thành VXLAN để truyền qua mạng IP underlay.
member vni vrf
Ví dụ:
member vni 10900 vrf GREEN
member vni 10901 vrf RED
Đây là Layer 3 VNI (L3VNI).
Khác với Layer 2 VNI chỉ mở rộng một VLAN, L3VNI đại diện cho một VRF.
Ví dụ:
VRF GREEN
|
L3VNI 10900
VRF RED
|
L3VNI 10901
Nhờ vậy, mỗi tenant có:
Đây là nền tảng để triển khai Multi-Tenancy trong các Data Center hiện đại.
member vni ... mcast-group
Ví dụ:
member vni 10101
mcast-group 225.1.255.1
Trong VXLAN truyền thống, các gói BUM (Broadcast, Unknown Unicast, Multicast) cần được nhân bản đến tất cả các VTEP thuộc cùng một VNI.
Để thực hiện điều này, mỗi VNI được ánh xạ vào một nhóm multicast.
Ví dụ:
VNI 10101
↓
225.1.255.1
Khi một gói Broadcast xuất hiện:
Leaf1
↓
Multicast 225.1.255.1
↓
Tất cả VTEP tham gia nhóm multicast đều nhận được gói tin.
Cách làm này yêu cầu mạng underlay phải hỗ trợ multicast, thường sử dụng PIM.
member vni ... ingress-replication
Ví dụ:
member vni 10200 ingress-replication
Đây là một cơ chế thay thế multicast.
Thay vì gửi một gói multicast và để mạng underlay nhân bản, VTEP nguồn sẽ tự sao chép gói tin và gửi unicast đến từng VTEP đích.
Ví dụ:
Leaf1
có ba VTEP đích:
Leaf2
Leaf3
Leaf4
Thay vì:
1 gói multicast
Leaf1 sẽ tạo:
Unicast → Leaf2
Unicast → Leaf3
Unicast → Leaf4
Ingress Replication có ưu điểm là:
Tuy nhiên, khi số lượng VTEP tăng lên hàng trăm hoặc hàng nghìn, VTEP nguồn phải tự nhân bản rất nhiều gói tin, làm tăng tải CPU và băng thông.
Trong các Fabric hiện đại sử dụng BGP EVPN, ingress replication thường kết hợp với EVPN để phân phối danh sách VTEP một cách tự động, thay vì phải cấu hình thủ công.
NVE là "trái tim" của VXLAN Fabric
Trong một Leaf Switch, có thể hình dung các thành phần hoạt động như sau:
VLAN / SVI
│
▼
VNI Mapping
│
▼
NVE (nve1)
│
VXLAN Encapsulation
│
▼
Loopback0 (VTEP IP)
│
▼
Underlay IP Fabric
Chính sự kết hợp giữa NVE, VXLAN và EVPN đã tạo nên một Fabric có khả năng mở rộng lớn, hỗ trợ multi-tenancy, host mobility và định tuyến phân tán, đáp ứng yêu cầu của các Data Center hiện đại và môi trường Cloud quy mô lớn.
Trong kiến trúc VXLAN EVPN, mỗi switch Leaf đóng vai trò VTEP (VXLAN Tunnel Endpoint). Để VTEP có thể tạo và quản lý các đường hầm VXLAN, Cisco NX-OS sử dụng một interface logic đặc biệt gọi là NVE (Network Virtual Interface).
Có thể xem NVE như đầu cuối của tất cả các tunnel VXLAN trên switch. Thay vì phải tạo một tunnel riêng cho từng VNI hoặc từng VTEP từ xa, toàn bộ các tunnel VXLAN đều được quản lý tập trung thông qua interface nve1.
Vì sao NVE không có địa chỉ IP?
Trong cấu hình:
interface nve1
no ip address
NVE không phải là một interface Layer 3 thông thường.
Nó không:
- tham gia định tuyến
- không xuất hiện trong bảng routing
- không gửi hay nhận gói IP như một cổng vật lý
Thay vào đó, NVE chỉ thực hiện hai chức năng:
- đóng gói (encapsulation) Ethernet thành VXLAN
- giải đóng gói (decapsulation) VXLAN thành Ethernet
Địa chỉ IP mà VTEP sử dụng thực tế nằm trên Loopback0.
source-interface Loopback0
source-interface Loopback0
Đây là một trong những dòng lệnh quan trọng nhất.
Loopback0 chính là địa chỉ VTEP IP.
Ví dụ:
Leaf1
Loopback0 = 10.1.1.11
Leaf2
Loopback0 = 10.1.1.12
Khi Leaf1 gửi VXLAN packet sang Leaf2, tiêu đề ngoài (Outer IP Header) sẽ có dạng:
Outer Source IP = 10.1.1.11
Outer Destination IP = 10.1.1.12
Sử dụng Loopback thay vì địa chỉ IP của interface vật lý mang lại nhiều lợi ích:
- không thay đổi khi một uplink bị lỗi
- hỗ trợ ECMP
- dễ dàng hội tụ khi underlay thay đổi
- đảm bảo VTEP luôn ổn định
Do đó, trong hầu hết các thiết kế VXLAN EVPN, địa chỉ VTEP luôn được gán trên Loopback.
host-reachability protocol bgp
host-reachability protocol bgp
Dòng lệnh này khai báo rằng EVPN sử dụng MP-BGP làm control plane.
Điều đó có nghĩa là:
- học MAC Address
- học IP Address
- quảng bá VNI
- quảng bá thông tin Host Mobility
đều được thực hiện thông qua BGP EVPN.
Nếu không có dòng lệnh này, switch sẽ quay về mô hình VXLAN truyền thống sử dụng Flood-and-Learn, vốn phụ thuộc vào multicast hoặc ingress replication để tìm kiếm endpoint.
member vni
Ví dụ:
member vni 10101
Lệnh này đưa VNI 10101 vào interface NVE.
Có thể hiểu:
VLAN 101
↓
VNI 10101
↓
NVE
↓
VXLAN Overlay
Từ thời điểm đó, mọi lưu lượng thuộc VNI 10101 sẽ được NVE đóng gói thành VXLAN để truyền qua mạng IP underlay.
member vni vrf
Ví dụ:
member vni 10900 vrf GREEN
member vni 10901 vrf RED
Đây là Layer 3 VNI (L3VNI).
Khác với Layer 2 VNI chỉ mở rộng một VLAN, L3VNI đại diện cho một VRF.
Ví dụ:
VRF GREEN
|
L3VNI 10900
VRF RED
|
L3VNI 10901
Nhờ vậy, mỗi tenant có:
- bảng định tuyến riêng
- chính sách riêng
- không gian địa chỉ IP riêng
Đây là nền tảng để triển khai Multi-Tenancy trong các Data Center hiện đại.
member vni ... mcast-group
Ví dụ:
member vni 10101
mcast-group 225.1.255.1
Trong VXLAN truyền thống, các gói BUM (Broadcast, Unknown Unicast, Multicast) cần được nhân bản đến tất cả các VTEP thuộc cùng một VNI.
Để thực hiện điều này, mỗi VNI được ánh xạ vào một nhóm multicast.
Ví dụ:
VNI 10101
↓
225.1.255.1
Khi một gói Broadcast xuất hiện:
Leaf1
↓
Multicast 225.1.255.1
↓
Tất cả VTEP tham gia nhóm multicast đều nhận được gói tin.
Cách làm này yêu cầu mạng underlay phải hỗ trợ multicast, thường sử dụng PIM.
member vni ... ingress-replication
Ví dụ:
member vni 10200 ingress-replication
Đây là một cơ chế thay thế multicast.
Thay vì gửi một gói multicast và để mạng underlay nhân bản, VTEP nguồn sẽ tự sao chép gói tin và gửi unicast đến từng VTEP đích.
Ví dụ:
Leaf1
có ba VTEP đích:
Leaf2
Leaf3
Leaf4
Thay vì:
1 gói multicast
Leaf1 sẽ tạo:
Unicast → Leaf2
Unicast → Leaf3
Unicast → Leaf4
Ingress Replication có ưu điểm là:
- không cần triển khai multicast trong underlay
- cấu hình đơn giản hơn
- phù hợp với các môi trường quy mô nhỏ hoặc khi hạ tầng IP không hỗ trợ multicast
Tuy nhiên, khi số lượng VTEP tăng lên hàng trăm hoặc hàng nghìn, VTEP nguồn phải tự nhân bản rất nhiều gói tin, làm tăng tải CPU và băng thông.
Trong các Fabric hiện đại sử dụng BGP EVPN, ingress replication thường kết hợp với EVPN để phân phối danh sách VTEP một cách tự động, thay vì phải cấu hình thủ công.
NVE là "trái tim" của VXLAN Fabric
Trong một Leaf Switch, có thể hình dung các thành phần hoạt động như sau:
VLAN / SVI
│
▼
VNI Mapping
│
▼
NVE (nve1)
│
VXLAN Encapsulation
│
▼
Loopback0 (VTEP IP)
│
▼
Underlay IP Fabric
- NVE là điểm kết thúc của tất cả các tunnel VXLAN trên Leaf.
- Loopback0 cung cấp địa chỉ IP ổn định cho VTEP.
- MP-BGP EVPN phân phối thông tin MAC/IP và VNI giữa các VTEP.
- VNI ánh xạ các VLAN và VRF vào mạng Overlay.
- Multicast hoặc Ingress Replication đảm nhiệm việc xử lý lưu lượng BUM, tùy theo mô hình triển khai.
Chính sự kết hợp giữa NVE, VXLAN và EVPN đã tạo nên một Fabric có khả năng mở rộng lớn, hỗ trợ multi-tenancy, host mobility và định tuyến phân tán, đáp ứng yêu cầu của các Data Center hiện đại và môi trường Cloud quy mô lớn.
Attached Files