Da VXLAN a MPLS IP VPN: un VNI non è un’etichetta MPLS

Entrambe le tecnologie mettono un identificatore davanti al pacchetto, quindi la conclusione sembra ovvia: mappare il VNI su un’etichetta MPLS e lasciare che le due reti si uniscano. Tale mappatura non esiste come operazione supportata, perché gli identificatori significano cose diverse e sono prodotti da piani di controllo diversi. Un VNI identifica un segmento VXLAN all’interno di un overlay; un’etichetta MPLS identifica un trattamento di inoltro lungo un percorso commutato da etichette. Unire i domini è una decisione di routing, non una traduzione di numeri.

Il mito: entrambi usano etichette, quindi mappatele

La somiglianza superficiale è reale e ingannevole. VXLAN porta un VNI a 24 bit nell’intestazione, e MPLS porta una pila di etichette, quindi sembra che un valore possa essere riscritto nell’altro su un dispositivo di confine.

Ciò che rompe l’idea è tutto ciò che circonda il valore. Il VNI è risolto dal piano di controllo EVPN e dagli endpoint del tunnel dell’underlay. L’etichetta è assegnata dal piano di inoltro MPLS lungo un percorso. Nessuno dei due lati ha una procedura definita per accettare l’identificatore dell’altro come proprio.

Che cosa inoltra realmente ciascun lato

Lato fabric, un dispositivo di confine termina il tunnel VXLAN, mappa il VNI su una VRF dell’inquilino e instrada il pacchetto come IP ordinario. Lato provider, il PE accetta la rotta del cliente in una VRF, impone la pila di etichette MPLS e la inoltra sull’IP VPN.

Quella consegna è il modello ben compreso di RFC 4364: il bordo cliente scambia rotte IP con il bordo provider, e ogni dominio possiede la propria incapsulazione. Il VNI è sparito quando il pacchetto raggiunge il PE, ed è esattamente per questo che il modello funziona.

Perché i piani di controllo non si fondono

EVPN Type 5 trasporta rotte di prefisso IP con next hop dell’overlay, mentre gli annunci VPN-IPv4 appartengono a un’altra famiglia di indirizzi. Route target dall’aspetto identico su entrambi i lati non traducono una famiglia nell’altra e non risolvono i next hop oltre il confine.

Un gateway integrato può svolgere entrambi i compiti solo quando la piattaforma implementa le incapsulazioni richieste e l’interworking tra famiglie di rotte. Tale capacità va verificata per l’hardware e la release esatti, non dedotta dal nome di una famiglia di prodotti.

Altre due ipotesi falliscono a questo confine. Un MPLS IP VPN fornisce raggiungibilità instradata, non un segmento Ethernet, quindi estendere i broadcast richiede un servizio di livello 2 supportato al suo posto. Ed entrambe le incapsulazioni consumano byte, quindi la MTU effettiva è minore di quanto suggerisca l’uno o l’altro underlay.

Scegliete la consegna instradata o il gateway integrato

Scegliete la consegna instradata quando l’inquilino ha bisogno di raggiungibilità IP e il provider offre già un servizio rivolto al CE. Mantiene la proprietà pulita: il fabric possiede VXLAN ed EVPN, il provider possiede MPLS e la VPN, e il confine possiede la mappatura da VRF a interfaccia. Pianificate scala dell’attacco, indirizzamento e failover con il provider invece di supporre che un solo collegamento basti.

Scegliete un gateway integrato solo quando una piattaforma che gestite supporta entrambi i ruoli e potete testare l’interworking. Il risparmio di apparati è reale, ma lo è anche il rischio operativo che un solo dispositivo diventi l’unico punto in cui due piani di controllo devono concordare.

Che cosa registrare per inquilino

Tenete un registro specifico dell’inquilino con l’attacco, i prefissi accettati ed esportati, il metodo di risoluzione del next hop e il comportamento atteso dopo un guasto del confine o del collegamento del provider. Includete il budget MTU a entrambi i confini di incapsulamento e il percorso di ritorno, perché una direzione diretta funzionante dimostra molto poco da sola.

Quel registro è ciò che collega due domini amministrativi senza fingere che le loro ipotesi di routing e incapsulamento siano uguali. Quando qualcuno chiederà più avanti se il VNI può semplicemente diventare un’etichetta, il documento risponderà con il progetto invece che con una discussione.