VXLAN do MPLS IP VPN: VNI není MPLS label

Obě technologie vkládají identifikátor před paket, takže závěr vypadá samozřejmě: namapujte VNI na MPLS label a nechte obě sítě spojit. Takové mapování jako podporovaná operace neexistuje, protože identifikátory znamenají různé věci a vytvářejí je různé řídicí roviny. VNI identifikuje segment VXLAN uvnitř overlay sítě; MPLS label identifikuje způsob přeposílání po cestě s přepojováním labelů. Spojení domén je rozhodnutí o směrování, ne překlad čísel.

Mýtus: obojí používá labely, tak je namapujte

Povrchní podobnost je skutečná a zavádějící. VXLAN nese v hlavičce 24bitové VNI a MPLS nese zásobník labelů, takže to vypadá, jako by šlo jednu hodnotu přepsat na druhou na hraničním zařízení.

Ideu boří všechno kolem hodnoty. VNI řeší řídicí rovina EVPN a koncové body tunelu v podkladové síti. Label přiděluje přeposílací rovina MPLS podél cesty. Ani jedna strana nemá definovaný postup, jak přijmout identifikátor druhé strany za svůj.

Co každá strana skutečně přeposílá

Na straně fabricu hraniční zařízení ukončí tunel VXLAN, namapuje VNI na VRF nájemce a směruje paket jako běžné IP. Na straně poskytovatele PE přijme trasu zákazníka do VRF, vloží zásobník labelů MPLS a přepošle ji přes IP VPN.

Toto předání je dobře srozumitelný model v RFC 4364: zákaznická hrana si vyměňuje IP trasy s hranou poskytovatele a každá doména vlastní své zapouzdření. VNI je pryč, než paket dorazí k PE, a právě proto model funguje.

Proč se řídicí roviny neslučují

EVPN Type 5 nese trasy IP prefixů s overlay next hop, zatímco inzeráty VPN-IPv4 patří do jiné adresní rodiny. Stejně vypadající cíle tras na obou stranách nepřekládají jednu rodinu do druhé a neřeší next hop přes hranici.

Integrovaná brána zvládne obě práce jen tehdy, když platforma implementuje požadovaná zapouzdření a propojení adresních rodin. Tuto schopnost je nutné ověřit pro konkrétní hardware a verzi, ne ji odvozovat z názvu produktové řady.

Na této hranici selhávají další dva předpoklady. MPLS IP VPN poskytuje směrovanou dostupnost, ne Ethernet segment, takže roztažení broadcastů vyžaduje podporovanou službu vrstvy 2. A obě zapouzdření spotřebovávají bajty, takže efektivní MTU je menší, než naznačuje kterákoli podkladová síť.

Zvolte směrované předání, nebo integrovanou bránu

Směrované předání zvolte, když nájemce potřebuje IP dostupnost a poskytovatel už nabízí službu vůči CE. Zachovává čisté vlastnictví: fabric vlastní VXLAN a EVPN, poskytovatel vlastní MPLS a VPN a hranice vlastní mapování VRF na rozhraní. Naplánujte rozsah připojení, adresování a přepnutí při výpadku s poskytovatelem, místo abyste předpokládali, že jeden spoj stačí.

Integrovanou bránu zvolte jen tehdy, když platforma, kterou provozujete, podporuje obě role a můžete propojení otestovat. Úspora zařízení je reálná, ale reálné je i provozní riziko, že se jedno zařízení stane jediným místem, kde se dvě řídicí roviny musí shodnout.

Co zaznamenávat pro každého nájemce

Veďte záznam specifický pro nájemce s připojením, přijatými a exportovanými prefixy, způsobem řešení next hop a očekávaným chováním po výpadku hranice nebo spoje poskytovatele. Zahrňte rozpočet MTU na obou hranicích zapouzdření a zpětnou cestu, protože fungující směr vpřed sám o sobě dokazuje jen velmi málo.

Tento záznam spojuje dvě administrativní domény, aniž by předstíral, že jejich předpoklady o směrování a zapouzdření jsou stejné. Když se někdo později zeptá, zda se VNI může prostě stát labelem, dokument odpovídá návrhem, ne hádkou.