De VXLAN a MPLS IP VPN: un VNI no es una etiqueta MPLS

Ambas tecnologías colocan un identificador delante del paquete, así que la conclusión parece obvia: asigne el VNI a una etiqueta MPLS y deje que las dos redes se unan. Esa asignación no existe como operación compatible, porque los identificadores significan cosas distintas y los producen planos de control distintos. Un VNI identifica un segmento VXLAN dentro de un overlay; una etiqueta MPLS identifica un tratamiento de reenvío a lo largo de un camino conmutado por etiquetas. Unir los dominios es una decisión de enrutamiento, no una traducción de números.

El mito: ambos usan etiquetas, así que asócielas

La similitud superficial es real y engañosa. VXLAN lleva un VNI de 24 bits en su cabecera, y MPLS lleva una pila de etiquetas, así que parece que un valor podría reescribirse en el otro en un dispositivo de frontera.

Lo que rompe la idea es todo lo que rodea al valor. El VNI lo resuelve el plano de control EVPN y los extremos del túnel de la capa inferior. La etiqueta la asigna el plano de reenvío MPLS a lo largo de un camino. Ninguno de los dos lados tiene un procedimiento definido para aceptar el identificador del otro lado como propio.

Qué reenvía realmente cada lado

En el lado del fabric, un dispositivo de frontera termina el túnel VXLAN, asigna el VNI a una VRF de inquilino y enruta el paquete como IP ordinaria. En el lado del proveedor, el PE acepta la ruta del cliente en una VRF, impone la pila de etiquetas MPLS y la reenvía por la IP VPN.

Esa entrega es el modelo bien entendido de RFC 4364: el borde del cliente intercambia rutas IP con el borde del proveedor, y cada dominio posee su propia encapsulación. El VNI ya no está cuando el paquete llega al PE, y es exactamente por eso que el modelo funciona.

Por qué los planos de control no se fusionan

EVPN Type 5 transporta rutas de prefijo IP con siguientes saltos de overlay, mientras que los anuncios VPN-IPv4 pertenecen a otra familia de direcciones. Los objetivos de ruta que parecen idénticos en ambos lados no traducen una familia en la otra ni resuelven los siguientes saltos más allá de la frontera.

Una puerta de enlace integrada puede hacer ambas tareas solo cuando la plataforma implementa las encapsulaciones necesarias y la interoperación de familias de rutas. Esa capacidad debe verificarse para el hardware y la versión exactos, no inferirse del nombre de una familia de productos.

Otras dos suposiciones fallan en esta frontera. Una MPLS IP VPN ofrece alcanzabilidad enrutada, no un segmento Ethernet, así que extender difusiones requiere un servicio de capa 2 compatible en su lugar. Y ambas encapsulaciones consumen bytes, así que la MTU efectiva es menor de lo que sugiere cualquiera de las capas inferiores.

Elija entrega enrutada o puerta de enlace integrada

Elija la entrega enrutada cuando el inquilino necesite alcanzabilidad IP y el proveedor ya ofrezca un servicio orientado al CE. Mantiene la propiedad limpia: el fabric posee VXLAN y EVPN, el proveedor posee MPLS y la VPN, y la frontera posee la asignación de VRF a interfaz. Planifique la escala del enlace, el direccionamiento y la conmutación por error con el proveedor en lugar de suponer que un solo enlace basta.

Elija una puerta de enlace integrada solo cuando una plataforma que usted opera admita ambos papeles y pueda probar la interoperación. El ahorro en dispositivos es real, pero también lo es el riesgo operativo de que un dispositivo se convierta en el único lugar donde dos planos de control deben coincidir.

Qué registrar por inquilino

Mantenga un registro específico del inquilino con el enlace, los prefijos aceptados y exportados, el método de resolución del siguiente salto y el comportamiento esperado tras un fallo de la frontera o del enlace del proveedor. Incluya el presupuesto de MTU en ambas fronteras de encapsulación y el camino de retorno, porque un sentido directo que funciona demuestra muy poco por sí solo.

Ese registro es lo que conecta dos dominios administrativos sin pretender que sus suposiciones de enrutamiento y encapsulación son iguales. Cuando alguien pregunte más adelante si el VNI puede simplemente convertirse en una etiqueta, el documento responde con el diseño en lugar de con una discusión.