Mappare una porta di accesso non taggata sul VNI EVPN corretto

Un normale host Ethernet invia trame non taggate e la fabric EVPN deve comunque trasportarle nel servizio tenant corretto. La porta di accesso classifica la trama in un segmento locale, il VTEP mappa quel segmento su un VNI e l’attachment remoto presenta la trama come il suo host si aspetta. Il VLAN e il VNI identificano parti diverse di quel percorso e non devono condividere un numero. Segui il runbook qui sotto in ordine, perché un errore in qualsiasi punto produce lo stesso sintomo: un host che trasmette e non riceve nulla.

Seguire una trama attraverso la fabric

Per un semplice servizio basato su VLAN, un percorso illustrativo è questo:

Host A: untagged frame
  to access port: local VLAN 110
  to VTEP A: L2VNI 50110
  to VTEP B: corresponding local service
  to access port: untagged frame to Host B

I numeri di VLAN e VNI sono esempi, non una regola. Il VLAN locale è una classificazione di ingress che esiste su un solo switch; l’L2VNI è l’identificatore di servizio overlay che entrambi i VTEP comprendono. La specifica overlay RFC 8365 tiene separato l’identificatore di servizio da come un host è collegato e nomina tre forme: basata su VLAN, raggruppata e VLAN-aware.

Configurare la classificazione di ingress

L’host ha un indirizzo e non raggiunge nulla, mentre la porta stessa risulta attiva. Stabilisci in quale modalità di collegamento si trova davvero la porta — una porta di accesso che trasporta trame non taggate o un trunk con un VLAN nativo — e imposta esplicitamente quella. Una trama non taggata esce comunque dalla porta dentro un segmento locale con un nome, e quel segmento è una decisione, non un effetto collaterale della piattaforma. Apri la configurazione in esecuzione della porta e leggi la classificazione che ha davvero, invece di fidarti di un valore predefinito del fornitore che non hai mai impostato.

Su uno switch tipico la sequenza è un cambio di modalità e un’assegnazione di VLAN di accesso, seguiti da un controllo che la porta sia realmente up e in quello stato. Se la porta è un trunk, è il VLAN nativo a gestire le trame non taggate, e quella è una configurazione diversa con modi di guasto diversi. Annota sia la modalità sia il VLAN prima di proseguire.

show running-config interface Ethernet1/1
show interface Ethernet1/1 switchport
show vlan brief

Configurare il VTEP e la mappatura dei VNI

Il VTEP aggiunge l’incapsulamento VXLAN e il VNI. L’host non genera quell’intestazione e non ha bisogno di sapere che il servizio esiste.

Mappa il VLAN locale sull’L2VNI con la forma di comando supportata dalla piattaforma e mantieni quella mappatura coerente su entrambe le estremità del servizio. Un L2VNI tenant e l’L3VNI usato per il routing tra subnet sono oggetti diversi, e mescolare i loro numeri rompe il routing senza toccare il percorso L2; e ricorda che una rotta di underlay funzionante verso il VTEP remoto appartiene a un ulteriore livello dell’allestimento.

Se la mappatura è errata, la trama entra comunque nella fabric e finisce semplicemente nel servizio sbagliato. Ecco perché il controllo è un controllo di servizio, non un controllo di link.

Configurare la presentazione di egress

All’estremità remota il servizio ricevuto deve tornare in ciò che l’host si aspetta: Ethernet nudo su una porta di accesso, un tag specifico su un trunk che controlli, e una gestione del tag interno che corrisponda al modello di servizio scelto. Controlla l’elenco dei VLAN consentiti sul trunk prima di dare la colpa all’overlay, perché un tag che il trunk di egress non consente viene scartato dopo che l’overlay ha già fatto il suo lavoro. Verifica che l’host remoto si aspetti la presentazione che riceve e non quella ipotizzata dal tuo diagramma.

Se un tag interno sopravviva è una proprietà del modello di servizio che hai scelto, quindi nessun articolo può promettere in generale di rimuoverlo o conservarlo. Un progetto che presuppone un comportamento e una piattaforma che ne implementa un altro supereranno un test di link e falliranno sull’applicazione.

Leggi insieme l’apprendimento MAC locale, la rotta di servizio EVPN e la mappatura dell’attachment remoto, e guida la scoperta dei vicini di cui l’applicazione ha bisogno invece di un solo ping. Un indirizzo MAC appreso in un altro dominio di bridge può essere perfettamente valido lì e comunque puntare al servizio sbagliato.

Verificare con una sola coppia di host

Attiva una coppia di host e dimostra il percorso completo prima di aggiungere una seconda coppia. Poi leggi lo stato su entrambi i VTEP e conferma che lo stesso identificatore di servizio compaia a entrambe le estremità.

show mac address-table vlan 110
show bgp l2vpn evpn
show nve peers

Per ogni estremità annota quattro valori: presentazione della porta, segmento locale, L2VNI e presentazione inversa in egress. Quella traccia permette al prossimo ingegnere di capire perché l’host ha una semplice connessione non taggata mentre la fabric trasporta un servizio tenant. Se una modifica fallisce, riporta la porta al VLAN precedente e ripeti il test sulla stessa coppia, così il rollback è uno stato noto e non una supposizione.