VXLAN naar MPLS IP VPN: een VNI is geen MPLS-label

Beide technologieën zetten een identificatie voor het pakket, dus de conclusie lijkt voor de hand te liggen: map de VNI op een MPLS-label en laat de twee netwerken samengaan. Die mapping bestaat niet als ondersteunde bewerking, omdat de identificaties verschillende dingen betekenen en door verschillende controlelagen worden gemaakt. Een VNI identificeert een VXLAN-segment binnen een overlay; een MPLS-label identificeert een doorstuurbehandeling langs een labelgeschakeld pad. De domeinen verbinden is een routeringsbeslissing, geen vertaling van getallen.

De mythe: beide gebruiken labels, dus map ze

De oppervlakkige gelijkenis is echt en misleidend. VXLAN draagt een 24-bits VNI in zijn header, en MPLS draagt een stapel labels, dus het lijkt of de ene waarde op een grensapparaat in de andere kan worden herschreven.

Wat het idee breekt, is alles rond de waarde. De VNI wordt opgelost door het EVPN-controleplan en de tunneleindpunten van de onderlaag. Het label wordt toegekend door het MPLS-doorstuurplan langs een pad. Geen van beide kanten heeft een gedefinieerde procedure om de identificatie van de andere kant als de eigen te accepteren.

Wat elke kant feitelijk doorstuurt

Aan de fabric-kant beëindigt een grensapparaat de VXLAN-tunnel, mapt de VNI op een tenant-VRF en routeert het pakket als gewone IP. Aan de provider-kant neemt de PE de klantroute op in een VRF, legt de MPLS-labelstapel op en stuurt die door over de IP VPN.

Die overdracht is het goed begrepen model in RFC 4364: de klantrand wisselt IP-routes uit met de providerrand, en elk domein bezit zijn eigen inkapseling. De VNI is weg tegen de tijd dat het pakket de PE bereikt, en dat is precies waarom het model werkt.

Waarom de controlelagen niet samensmelten

EVPN Type 5 draagt IP-prefixroutes met overlay-next-hops, terwijl VPN-IPv4-aankondigingen tot een andere adresfamilie behoren. Identiek lijkende route-targets aan beide zijden vertalen de ene familie niet in de andere en lossen geen next hops over de grens op.

Een geïntegreerde gateway kan beide taken alleen uitvoeren wanneer het platform de vereiste inkapselingen en de interoperabiliteit tussen routefamilies implementeert. Die capaciteit moet voor de exacte hardware en release worden geverifieerd, niet worden afgeleid uit een productfamilienaam.

Nog twee aannames falen op deze grens. Een MPLS IP VPN levert gerouteerde bereikbaarheid, geen Ethernet-segment, dus broadcasten uitbreiden vereist in plaats daarvan een ondersteunde laag-2-dienst. En beide inkapselingen kosten bytes, dus de effectieve MTU is kleiner dan welke onderlaag dan ook suggereert.

Kies gerouteerde overdracht of geïntegreerde gateway

Kies de gerouteerde overdracht wanneer de tenant IP-bereikbaarheid nodig heeft en de provider al een CE-gerichte dienst biedt. Het houdt eigenaarschap schoon: de fabric bezit VXLAN en EVPN, de provider bezit MPLS en de VPN, en de grens bezit de mapping van VRF naar interface. Plan de schaal van de aansluiting, de adressering en de failover met de provider in plaats van aan te nemen dat één link genoeg is.

Kies een geïntegreerde gateway alleen wanneer een platform dat u beheert beide rollen ondersteunt en u de interoperabiliteit kunt testen. De besparing in apparaten is reëel, maar dat is het operationele risico ook dat één apparaat de enige plek wordt waar twee controlelagen het eens moeten zijn.

Wat per tenant moet worden vastgelegd

Houd een tenantspecifieke registratie bij met de aansluiting, de geaccepteerde en geëxporteerde prefixes, de methode om de next hop op te lossen en het verwachte gedrag na een storing van de grens of de providerlink. Neem het MTU-budget op bij beide inkapselingsgrenzen en het retourpad, want een werkende richting vooruit bewijst op zichzelf heel weinig.

Die registratie is wat twee administratieve domeinen verbindt zonder te doen alsof hun routerings- en inkapselingsaannames dezelfde zijn. Wanneer iemand later vraagt of de VNI gewoon een label kan worden, antwoordt het document met het ontwerp in plaats van met een discussie.