Einen ungetaggten Zugangsport der richtigen EVPN-VNI zuordnen

Ein gewöhnlicher Ethernet-Host sendet ungetaggte Frames, und das EVPN-Fabric muss sie trotzdem im richtigen Tenant-Dienst befördern. Der Zugangsport klassifiziert den Frame in ein lokales Segment, der VTEP ordnet dieses Segment einer VNI zu, und der entfernte Attachment präsentiert den Frame so, wie es sein Host erwartet. VLAN und VNI bezeichnen unterschiedliche Abschnitte dieses Pfads und müssen keine gemeinsame Nummer haben. Arbeiten Sie das folgende Runbook der Reihe nach ab, denn ein Fehler an jeder beliebigen Stelle erzeugt dasselbe Symptom: einen Host, der sendet und nichts zurückbekommt.

Einen Frame durch das Fabric verfolgen

Für einen einfachen VLAN-basierten Dienst sieht ein beispielhafter Pfad so aus:

Host A: untagged frame
  to access port: local VLAN 110
  to VTEP A: L2VNI 50110
  to VTEP B: corresponding local service
  to access port: untagged frame to Host B

Die VLAN- und VNI-Nummern sind Beispiele, keine Regel. Das lokale VLAN ist eine Ingress-Klassifikation, die auf einem Switch existiert; die L2VNI ist die Overlay-Dienstkennung, die beide VTEPs verstehen. Die Overlay-Spezifikation RFC 8365 hält die Dienstkennung davon getrennt, wie ein Host angebunden ist, und nennt drei Formen: VLAN-basiert, gebündelt und VLAN-aware.

Ingress-Klassifikation konfigurieren

Der Host hat eine Adresse und erreicht nichts, während der Port selbst sichtbar ist. Entscheiden Sie, in welchem Anbindungsmodus der Port wirklich steht – ein Zugangsport, der ungetaggte Frames führt, oder ein Trunk mit einem nativen VLAN – und setzen Sie genau diesen explizit. Ein ungetaggter Frame verlässt den Port trotzdem innerhalb eines benannten lokalen Segments, und dieses Segment ist eine Entscheidung und kein Nebeneffekt der Plattform. Öffnen Sie die laufende Konfiguration des Ports und lesen Sie die Klassifikation, die er tatsächlich hat, statt einer Herstellervorgabe zu vertrauen, die Sie nie gesetzt haben.

Auf einem typischen Switch besteht die Abfolge aus einem Moduswechsel und der Zuweisung eines Zugangs-VLAN, gefolgt von einer Prüfung, ob der Port wirklich up ist und sich in diesem Zustand befindet. Ist der Port ein Trunk, übernimmt das native VLAN die ungetaggten Frames, und das ist eine andere Konfiguration mit anderen Fehlerbildern. Notieren Sie sowohl den Modus als auch das VLAN, bevor Sie weitermachen.

show running-config interface Ethernet1/1
show interface Ethernet1/1 switchport
show vlan brief

VTEP und VNI-Zuordnung konfigurieren

Der VTEP fügt die VXLAN-Kapselung und die VNI hinzu. Der Host erzeugt diesen Header nicht und muss nicht wissen, dass der Dienst existiert.

Ordnen Sie das lokale VLAN der L2VNI in der von der Plattform unterstützten Befehlsform zu und halten Sie diese Zuordnung auf beiden Enden des Dienstes konsistent. Eine Tenant-L2VNI und die L3VNI für das Routing zwischen Subnetzen sind verschiedene Objekte, und das Vermischen ihrer Nummern bricht das Routing, ohne den L2-Pfad zu berühren; und denken Sie daran, dass eine funktionierende Underlay-Route zum entfernten VTEP zu noch einer weiteren Ebene des Aufbaus gehört.

Ist die Zuordnung falsch, gelangt der Frame trotzdem ins Fabric und landet einfach im falschen Dienst. Deshalb ist die Prüfung eine Dienstprüfung und keine Linkprüfung.

Egress-Präsentation konfigurieren

Am fernen Ende muss der empfangene Dienst wieder in die Form gebracht werden, die der Host erwartet: blankes Ethernet an einem Zugangsport, ein bestimmtes Tag an einem Trunk, den Sie kontrollieren, und eine Behandlung innerer Tags, die zum gewählten Dienstmodell passt. Prüfen Sie die Liste der erlaubten VLANs am Trunk, bevor Sie das Overlay verantwortlich machen, denn ein Tag, das der Egress-Trunk nicht zulässt, wird verworfen, nachdem das Overlay seine Arbeit bereits getan hat. Bestätigen Sie, dass der entfernte Host die Präsentation erwartet, die er erhält, und nicht die, die Ihr Diagramm angenommen hat.

Ob ein inneres Tag überlebt, ist eine Eigenschaft des von Ihnen gewählten Dienstmodells, daher kann kein Artikel generell Entfernen oder Beibehalten versprechen. Ein Design, das das eine Verhalten annimmt, und eine Plattform, die das andere umsetzt, bestehen einen Linktest und scheitern an der Anwendung.

Lesen Sie das lokale MAC-Lernen, die EVPN-Dienstroute und die Zuordnung des entfernten Attachments zusammen und treiben Sie die Nachbarschaftserkennung voran, die die Anwendung braucht, statt nur einen Ping. Eine MAC-Adresse, die in einer anderen Bridge-Domain gelernt wurde, kann dort völlig gültig sein und trotzdem auf den falschen Dienst zeigen.

Mit einem Host-Paar verifizieren

Bringen Sie ein Host-Paar hoch und beweisen Sie den vollständigen Pfad, bevor Sie ein zweites Paar hinzufügen. Lesen Sie dann den Zustand auf beiden VTEPs und bestätigen Sie, dass dieselbe Dienstkennung an beiden Enden erscheint.

show mac address-table vlan 110
show bgp l2vpn evpn
show nve peers

Notieren Sie für jedes Ende vier Werte: Port-Präsentation, lokales Segment, L2VNI und die umgekehrte Präsentation am Egress. Diese Aufzeichnung erlaubt es dem nächsten Techniker zu sehen, warum der Host eine einfache ungetaggte Verbindung hat, während das Fabric einen Tenant-Dienst befördert. Wenn eine Änderung fehlschlägt, setzen Sie den Port auf sein vorheriges VLAN zurück und testen Sie dasselbe Paar erneut, damit der Rollback ein bekannter Zustand ist und keine Vermutung.