De VXLAN à MPLS IP VPN : un VNI n’est pas une étiquette MPLS

Les deux technologies placent un identifiant devant le paquet, donc la conclusion paraît évidente : mapper le VNI sur une étiquette MPLS et laisser les deux réseaux se rejoindre. Ce mapping n’existe pas comme opération prise en charge, car les identifiants désignent des choses différentes et sont produits par des plans de contrôle différents. Un VNI identifie un segment VXLAN dans un overlay ; une étiquette MPLS identifie un traitement de transfert le long d’un chemin commuté par étiquettes. Relier les domaines est une décision de routage, pas une traduction de nombres.

Le mythe : les deux utilisent des étiquettes, donc mappez-les

La ressemblance de surface est réelle et trompeuse. VXLAN porte un VNI de 24 bits dans son en-tête, et MPLS porte une pile d’étiquettes, si bien qu’on croit qu’une valeur pourrait être réécrite en l’autre sur un équipement de frontière.

Ce qui brise l’idée, c’est tout ce qui entoure la valeur. Le VNI est résolu par le plan de contrôle EVPN et les extrémités du tunnel du sous-jacent. L’étiquette est attribuée par le plan de transfert MPLS le long d’un chemin. Aucun des deux côtés n’a de procédure définie pour accepter l’identifiant de l’autre comme le sien.

Ce que chaque côté transfère réellement

Côté fabric, un équipement de frontière termine le tunnel VXLAN, mappe le VNI sur un VRF de locataire et route le paquet comme de l’IP ordinaire. Côté fournisseur, le PE accepte la route du client dans un VRF, impose la pile d’étiquettes MPLS et la transfère sur l’IP VPN.

Cette remise est le modèle bien compris de RFC 4364 : le bord client échange des routes IP avec le bord fournisseur, et chaque domaine possède sa propre encapsulation. Le VNI a disparu lorsque le paquet atteint le PE, et c’est précisément pourquoi le modèle fonctionne.

Pourquoi les plans de contrôle ne fusionnent pas

EVPN Type 5 transporte des routes de préfixe IP avec des sauts suivants d’overlay, tandis que les annonces VPN-IPv4 appartiennent à une autre famille d’adresses. Des cibles de route d’apparence identique des deux côtés ne traduisent pas une famille en l’autre et ne résolvent pas les sauts suivants au-delà de la frontière.

Une passerelle intégrée ne peut assumer les deux rôles que si la plateforme met en œuvre les encapsulations requises et l’interfonctionnement des familles de routes. Cette capacité doit être vérifiée pour le matériel et la version exacts, non déduite du nom d’une famille de produits.

Deux autres hypothèses échouent à cette frontière. Un MPLS IP VPN fournit une joignabilité routée, pas un segment Ethernet, donc étendre les diffusions exige un service de couche 2 pris en charge à la place. Et les deux encapsulations consomment des octets, donc la MTU effective est plus petite que ne le suggère l’un ou l’autre sous-jacent.

Choisissez la remise routée ou la passerelle intégrée

Choisissez la remise routée lorsque le locataire a besoin de joignabilité IP et que le fournisseur propose déjà un service orienté CE. Elle garde la propriété nette : le fabric possède VXLAN et EVPN, le fournisseur possède MPLS et le VPN, et la frontière possède le mapping du VRF vers l’interface. Planifiez l’échelle du raccordement, l’adressage et le basculement avec le fournisseur au lieu de supposer qu’un seul lien suffit.

Ne choisissez une passerelle intégrée que si une plateforme que vous exploitez prend en charge les deux rôles et que vous pouvez tester l’interfonctionnement. L’économie d’équipements est réelle, mais le risque opérationnel l’est aussi qu’un seul équipement devienne le seul endroit où deux plans de contrôle doivent s’accorder.

Ce qu’il faut consigner par locataire

Tenez un registre propre au locataire avec le raccordement, les préfixes acceptés et exportés, la méthode de résolution du saut suivant et le comportement attendu après une panne de la frontière ou du lien fournisseur. Incluez le budget MTU aux deux frontières d’encapsulation et le chemin de retour, car un sens aller qui fonctionne prouve très peu à lui seul.

Ce registre est ce qui relie deux domaines administratifs sans prétendre que leurs hypothèses de routage et d’encapsulation sont identiques. Quand quelqu’un demandera plus tard si le VNI peut simplement devenir une étiquette, le document répondra par la conception plutôt que par une discussion.