VXLAN zu MPLS IP VPN: Ein VNI ist kein MPLS-Label

Beide Technologien setzen eine Kennung vor das Paket, daher wirkt die Schlussfolgerung naheliegend: das VNI auf ein MPLS-Label abbilden und die beiden Netze zusammenführen. Diese Abbildung existiert nicht als unterstützter Vorgang, weil die Kennungen unterschiedliche Dinge bedeuten und von unterschiedlichen Steuerungsebenen erzeugt werden. Ein VNI kennzeichnet ein VXLAN-Segment innerhalb eines Overlays; ein MPLS-Label kennzeichnet eine Weiterleitungsbehandlung entlang eines labelvermittelten Pfads. Die Domänen zu verbinden ist eine Routingentscheidung, keine Übersetzung von Zahlen.

Der Mythos: beide nutzen Labels, also bilde sie ab

Die oberflächliche Ähnlichkeit ist real und irreführend. VXLAN trägt ein 24-Bit-VNI im Header, und MPLS trägt einen Stapel von Labels, daher sieht es aus, als könnte ein Wert an einem Grenzgerät in den anderen umgeschrieben werden.

Was die Idee zerstört, ist alles um den Wert herum. Das VNI wird von der EVPN-Steuerungsebene und den Tunnelendpunkten des Underlays aufgelöst. Das Label wird von der MPLS-Weiterleitungsebene entlang eines Pfads zugewiesen. Keine Seite hat ein definiertes Verfahren, die Kennung der anderen Seite als eigene zu übernehmen.

Was jede Seite tatsächlich weiterleitet

Auf der Fabric-Seite beendet ein Grenzgerät den VXLAN-Tunnel, bildet das VNI auf eine Tenant-VRF ab und routet das Paket als gewöhnliches IP. Auf der Anbieterseite nimmt das PE die Kundenroute in eine VRF auf, legt den MPLS-Labelstapel an und leitet sie über das IP VPN weiter.

Diese Übergabe ist das gut verstandene Modell in RFC 4364: Die Kundenseite tauscht IP-Routen mit der Anbieterseite aus, und jede Domäne besitzt ihre eigene Kapselung. Das VNI ist verschwunden, wenn das Paket das PE erreicht, und genau deshalb funktioniert das Modell.

Warum die Steuerungsebenen nicht verschmelzen

EVPN Type 5 trägt IP-Präfixrouten mit Overlay-Next-Hops, während VPN-IPv4-Ankündigungen zu einer anderen Adressfamilie gehören. Gleich aussehende Route Targets auf beiden Seiten übersetzen nicht die eine Familie in die andere und lösen keine Next Hops über die Grenze hinweg auf.

Ein integriertes Gateway kann beide Aufgaben nur dann erfüllen, wenn die Plattform die erforderlichen Kapselungen und die Interworking-Funktion zwischen den Routenfamilien implementiert. Diese Fähigkeit muss für die genaue Hardware und Version überprüft werden, nicht aus einem Produktfamiliennamen abgeleitet.

Zwei weitere Annahmen scheitern an dieser Grenze. Ein MPLS IP VPN liefert geroutete Erreichbarkeit, kein Ethernet-Segment, daher erfordert das Ausdehnen von Broadcasts stattdessen einen unterstützten Layer-2-Dienst. Und beide Kapselungen verbrauchen Bytes, daher ist die effektive MTU kleiner, als es jede der Underlays nahelegt.

Wählen Sie geroutete Übergabe oder integriertes Gateway

Wählen Sie die geroutete Übergabe, wenn der Tenant IP-Erreichbarkeit braucht und der Anbieter bereits einen CE-zugewandten Dienst anbietet. Sie hält die Zuständigkeiten klar: Das Fabric besitzt VXLAN und EVPN, der Anbieter besitzt MPLS und das VPN, und die Grenze besitzt die Abbildung von VRF auf Schnittstelle. Planen Sie Anschlussgröße, Adressierung und Failover mit dem Anbieter, statt anzunehmen, eine einzelne Verbindung reiche aus.

Wählen Sie ein integriertes Gateway nur, wenn eine von Ihnen betriebene Plattform beide Rollen unterstützt und Sie das Interworking testen können. Die Einsparung an Geräten ist real, aber auch das Betriebsrisiko, dass ein Gerät der einzige Ort wird, an dem zwei Steuerungsebenen übereinstimmen müssen.

Was pro Tenant zu erfassen ist

Führen Sie eine tenantbezogene Aufzeichnung mit dem Anschluss, den akzeptierten und exportierten Präfixen, dem Verfahren zur Auflösung des Next Hop und dem erwarteten Verhalten nach einem Ausfall der Grenze oder der Anbieterverbindung. Nehmen Sie das MTU-Budget an beiden Kapselungsgrenzen und den Rückweg auf, denn eine funktionierende Hinrichtung beweist für sich genommen sehr wenig.

Diese Aufzeichnung ist es, die zwei administrative Domänen verbindet, ohne vorzugeben, ihre Routing- und Kapselungsannahmen seien gleich. Wenn später jemand fragt, ob das VNI einfach ein Label werden kann, antwortet das Dokument mit dem Design statt mit einer Diskussion.