
CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH
Danh sách nội dung [Ẩn]
Hiểu về EVPN với VXLAN Data Plane Encapsulation
Ethernet VPNs (EVPNs) cho phép bạn kết nối các nhóm các site khách hàng phân tán bằng cách sử dụng cầu nối tầng 2 ảo, và Virtual Extensible LANs (VXLANs) cho phép bạn mở rộng kết nối tầng 2 qua một mạng tầng 3 trung gian. Điều này giúp phân đoạn mạng giống như VLAN, nhưng không bị giới hạn về khả năng mở rộng như VLAN truyền thống. EVPN kết hợp với VXLAN giúp xử lý kết nối tầng 2 mà không cần phải phụ thuộc vào các giao thức định tuyến hạn chế như Spanning Tree Protocol (STP), từ đó giải phóng mạng tầng 3 của bạn để sử dụng các giao thức định tuyến hiệu quả hơn.
EVPN với VXLAN có thể được sử dụng cùng hoặc không cùng với phần mềm ảo hóa Contrail của Juniper Networks — hãy sử dụng EVPN với VXLAN khi bạn có môi trường bao gồm cả máy ảo và máy vật lý.
Ethernet VPN (EVPN) là một công nghệ tiêu chuẩn cung cấp khả năng kết nối đa điểm ảo giữa các miền tầng 2 khác nhau qua mạng lõi IP hoặc IP/MPLS. Giống như các công nghệ VPN khác, chẳng hạn như IP VPN hoặc VPLS (Virtual Private LAN Service), EVPN được cấu hình trên các router biên nhà cung cấp dịch vụ (PE - Provider Edge) để đảm bảo tách biệt dịch vụ giữa các khách hàng.
Các router PE sẽ kết nối tới các thiết bị ở biên mạng khách hàng (CE - Customer Edge), có thể là router, switch hoặc máy chủ. Các router PE này sẽ trao đổi thông tin định tuyến thông qua giao thức Multiprotocol BGP (MP-BGP), sau đó chuyển tiếp lưu lượng đã được đóng gói giữa các router PE. Vì cấu trúc của công nghệ này có điểm tương đồng với các công nghệ VPN khác, bạn có thể tích hợp EVPN vào môi trường mạng hiện tại một cách dễ dàng, như được minh họa trong Hình 1.
Hình 1: Tổng quan về EVPN
EVPN được sử dụng như một giải pháp overlay Tầng 2 để cung cấp kết nối Tầng 2 qua lớp hạ tầng IP (IP underlay) cho các điểm cuối trong mạng ảo, bất cứ khi nào các thiết bị đầu cuối như máy chủ vật lý (BMS) yêu cầu kết nối Tầng 2. Trong các trường hợp khác, định tuyến Tầng 3 được sử dụng thông qua bảng định tuyến VRF giữa các vRouter Contrail và các router dòng MX. Công nghệ EVPN hỗ trợ môi trường đa thuê (multitenancy), cung cấp các dịch vụ linh hoạt có thể mở rộng theo nhu cầu, thường sử dụng tài nguyên tính toán từ nhiều trung tâm dữ liệu vật lý khác nhau cho cùng một dịch vụ (mở rộng Tầng 2).
Mặt điều khiển MP-BGP của EVPN cho phép bạn di chuyển máy ảo (VM) đang hoạt động từ trung tâm dữ liệu này sang trung tâm dữ liệu khác một cách linh động — được gọi là VM motion. Sau khi bạn di chuyển một VM đến máy chủ hoặc hypervisor đích, nó sẽ gửi một gói ARP tự phát (gratuitous ARP), cập nhật bảng chuyển tiếp Tầng 2 trên thiết bị PE ở trung tâm dữ liệu đích. Thiết bị PE đó sẽ truyền bản cập nhật tuyến MAC đến tất cả các thiết bị PE từ xa, để chúng cập nhật bảng chuyển tiếp của mình. EVPN theo dõi chuyển động của máy ảo, còn được gọi là khả năng di động địa chỉ MAC (MAC mobility).
EVPN còn có các cơ chế phát hiện và ngăn chặn hiện tượng MAC flapping (địa chỉ MAC liên tục thay đổi cổng học) và ngăn chặn vòng lặp lưu lượng quảng bá, unicast không xác định, và multicast (BUM) trong kiến trúc multi-homed hoạt động đồng thời (all-active).
Công nghệ EVPN, tương tự như VPN Tầng 3 sử dụng MPLS, bao gồm khái niệm định tuyến các địa chỉ MAC thông qua lõi mạng IP/MPLS. EVPN mang lại các lợi ích sau:
Ngoài ra, EVPN còn sử dụng các kỹ thuật sau:
Bạn có thể sử dụng Contrail để cấu hình router dòng MX Series như một gateway VXLAN hoạt động ở Tầng 2 hoặc Tầng 3. Các router dòng MX triển khai giao thức quản lý NETCONF XML, đây là một giao thức dựa trên XML cho phép các ứng dụng client yêu cầu và thay đổi thông tin cấu hình trên các thiết bị định tuyến, chuyển mạch, và bảo mật. Giao thức NETCONF XML sử dụng mã hóa dữ liệu dựa trên XML cho dữ liệu cấu hình và các lệnh gọi thủ tục từ xa (remote procedure calls).
NETCONF định nghĩa các thao tác cơ bản tương đương với các lệnh trong chế độ cấu hình (configuration mode) của giao diện dòng lệnh (CLI). Các ứng dụng có thể sử dụng các thao tác này để hiển thị, chỉnh sửa và cam kết cấu hình tương tự như cách quản trị viên sử dụng CLI để thực hiện các thao tác này.
Virtual eXtensible LANs (VXLANs) là một cơ chế overlay giúp mở rộng không gian địa chỉ mạng Tầng 2 từ 4.000 VLAN lên đến 16 triệu — giải quyết hiệu quả vấn đề giới hạn khả năng mở rộng trong các môi trường dựa trên VLAN truyền thống.
Mạng overlay được tạo ra bằng cách đóng gói lưu lượng (encapsulation) và truyền lưu lượng này qua mạng vật lý (tunneling). Trong trung tâm dữ liệu, có thể sử dụng nhiều giao thức đường hầm khác nhau để tạo mạng overlay — phổ biến nhất là VXLAN. VXLAN là một giao thức tunneling đóng gói các frame Ethernet Tầng 2 vào trong các gói UDP Tầng 3. Việc đóng gói này cho phép bạn tạo ra các subnet ảo Tầng 2 có thể mở rộng qua các mạng vật lý Tầng 3.
Trong mạng VXLAN overlay, VXLAN Network Identifier (VNI) là định danh duy nhất cho mỗi subnet hoặc đoạn mạng Tầng 2. VNI phân đoạn lưu lượng giống như cách mà VLAN ID (802.1Q) thực hiện. Giống như VLAN, các máy ảo nằm cùng một VNI có thể giao tiếp trực tiếp với nhau, còn nếu nằm ở các VNI khác nhau thì cần có router để liên lạc.
Thành phần đảm nhận việc đóng gói và giải đóng gói các gói dữ liệu trong VXLAN được gọi là VXLAN Tunnel Endpoint (VTEP). Trong mạng vật lý, thiết bị của Juniper hoạt động như một gateway VXLAN Tầng 2 hoặc Tầng 3 có thể thực hiện encapsulation và de-encapsulation — được gọi là VTEP phần cứng (hardware VTEP). Trong mạng ảo, VTEP có thể tồn tại trong các máy chủ hypervisor như máy chủ KVM, và được gọi là VTEP phần mềm (software VTEP).
Mỗi VTEP có hai giao diện:
Mỗi VTEP có một địa chỉ IP duy nhất để định tuyến các gói UDP giữa các VTEP với nhau. Ví dụ: Khi VTEP1 nhận được một frame Ethernet từ VM1 gửi đến VM3, nó sẽ sử dụng VNI và MAC đích để tra trong bảng chuyển tiếp nhằm xác định VTEP nào sẽ nhận gói tin. Sau đó, VTEP1 thêm tiêu đề VXLAN (chứa VNI) vào frame Ethernet, rồi đóng gói vào gói UDP Tầng 3 và gửi qua mạng Tầng 3 đến VTEP2. VTEP2 sẽ giải đóng gói gói UDP và gửi frame Ethernet gốc đến VM3. Từ góc nhìn của VM1 và VM3, VXLAN tunnel và mạng Tầng 3 hoàn toàn vô hình — giống như hai máy ảo này đang kết nối trực tiếp với nhau trong cùng một mạng LAN.
VXLAN định nghĩa một cơ chế đường hầm (tunneling) để triển khai mạng Tầng 2 trên nền của mạng Tầng 3. Cơ chế này cho phép truyền dẫn hiệu quả các khung Ethernet (Ethernet frames), hỗ trợ định tuyến đa đường (multipathing) cho cả lưu lượng unicast và multicast bằng cách sử dụng phương thức đóng gói UDP/IP. VXLAN chủ yếu được sử dụng để kết nối giữa các site trong cùng một trung tâm dữ liệu (intra-data center).
Một đặc điểm nổi bật của EVPN là việc học địa chỉ MAC giữa các router PE được thực hiện trên mặt điều khiển (control plane). Router PE cục bộ sẽ phát hiện một địa chỉ MAC mới từ thiết bị CE, sau đó sử dụng MP-BGP để quảng bá địa chỉ này đến tất cả các router PE từ xa. Phương pháp này khác với các giải pháp VPN Tầng 2 truyền thống như VPLS, vốn học MAC thông qua việc phát tán lưu lượng unicast chưa biết (unknown unicast flooding) trong mặt dữ liệu (data plane). Cơ chế học MAC qua mặt điều khiển này là yếu tố cốt lõi tạo ra nhiều tính năng mạnh mẽ mà EVPN cung cấp.
Vì việc học MAC diễn ra ở control plane, EVPN có tính linh hoạt cao để hỗ trợ nhiều công nghệ encapsulation khác nhau ở data plane giữa các router PE. Điều này rất quan trọng vì không phải mọi mạng backbone đều sử dụng MPLS, đặc biệt là trong các mạng doanh nghiệp.
EVPN giải quyết nhiều thách thức mà các nhà vận hành mạng gặp phải khi xây dựng trung tâm dữ liệu để cung cấp dịch vụ điện toán đám mây và ảo hóa. Ứng dụng chính của EVPN là trong kết nối giữa các trung tâm dữ liệu (Data Center Interconnect – DCI), cho phép mở rộng kết nối Tầng 2 giữa các trung tâm dữ liệu được triển khai nhằm nâng cao hiệu suất phân phối lưu lượng ứng dụng đến người dùng và hỗ trợ khôi phục sau thảm họa (disaster recovery).
Mặc dù có nhiều công nghệ DCI khác nhau, EVPN có lợi thế nổi bật so với các công nghệ MPLS khác nhờ các tính năng đặc trưng như: Redundancy hoạt động đồng thời (active/active) Aliasing, Thu hồi hàng loạt địa chỉ MAC (mass MAC withdrawal). Vì vậy, để cung cấp giải pháp DCI, VXLAN thường được tích hợp với EVPN.
Như minh họa trong Hình 2, mỗi mạng VXLAN được kết nối với mạng lõi MPLS hoặc IP sẽ chạy một phiên bản độc lập của giao thức định tuyến nội bộ (IGP). Mỗi router PE tham gia vào phiên bản IGP của VXLAN tương ứng. Mỗi khách hàng được xem như một trung tâm dữ liệu riêng biệt, vì vậy mỗi khách hàng có một router ảo riêng để phục vụ cho lớp dưới (underlay) của VXLAN.
Mỗi nút PE có thể kết thúc (terminate) quá trình encapsulation của VXLAN, tại đó VXLAN Network Identifier (VNI) sẽ được ánh xạ với một bridge domain hoặc VLAN. Router PE sẽ thực hiện việc học dữ liệu (data plane learning) từ lưu lượng nhận được qua VXLAN.
Mỗi nút PE triển khai EVPN để phân phối địa chỉ MAC của client mà nó học được thông qua VXLAN tunnel vào BGP. Nút PE sẽ đóng gói các khung VXLAN hoặc Ethernet với MPLS header khi gửi gói tin qua mạng MPLS lõi, hoặc với VXLAN header khi gửi gói tin qua mạng VXLAN.
Đối với mỗi bộ lọc tường lửa (firewall filter) được áp dụng cho một mạng VXLAN, bạn cần chỉ định: family ethernet-switching để lọc các gói dữ liệu Tầng 2 (Ethernet), hoặc family inet để lọc trên các giao diện IRB. Giao diện IRB hoạt động như một giao diện định tuyến Tầng 3, dùng để kết nối các VXLAN trong các kiến trúc IP fabric một tầng hoặc hai tầng. Tuy nhiên, có một số hạn chế cần lưu ý như sau:
**Lưu ý: Các bộ lọc tường lửa trong EVPN-VXLAN được cấu hình trên giao diện sau khi tiêu đề VXLAN đã bị loại bỏ bởi điểm đầu cuối đường hầm VXLAN (VXLAN Tunnel Endpoint - VTEP).
Phần mềm ảo hóa Contrail của Juniper Networks là một giải pháp mạng được định nghĩa bằng phần mềm (SDN – Software Defined Networking) giúp tự động hóa và điều phối việc tạo ra các mạng ảo có khả năng mở rộng cao. Các mạng ảo này cho phép bạn tận dụng sức mạnh của điện toán đám mây — để triển khai các dịch vụ mới, tăng tính linh hoạt trong kinh doanh và thúc đẩy tăng trưởng doanh thu. Router dòng MX Series có thể sử dụng EVPN-VXLAN để cung cấp cả kết nối Tầng 2 và Tầng 3 cho các thiết bị đầu cuối nằm trong mạng ảo Contrail (VN – Virtual Network).
Phần mềm Contrail hỗ trợ kết nối Tầng 2 (Layer 2 bridging) và Tầng 3 (Layer 3 routing) trong các mạng ảo. Trong môi trường Contrail, định tuyến Tầng 3 được ưu tiên sử dụng hơn cầu nối Tầng 2 khi có thể. Việc định tuyến Tầng 3 được thực hiện thông qua bảng định tuyến ảo (VRF – Virtual Routing and Forwarding) giữa các vRouter của Contrail và các router vật lý dòng MX Series. Các router dòng MX đảm nhận vai trò gateway Tầng 3 giữa các mạng ảo.
Contrail cho phép bạn sử dụng EVPN-VXLAN khi hệ thống mạng bao gồm cả thiết bị ảo (virtual) và thiết bị vật lý (bare-metal).
Có hai phương thức encapsulation (đóng gói) được sử dụng trong mạng ảo:
**Lưu ý: Mạng lõi MPLS không được hỗ trợ trên các switch — chỉ các router dòng MX Series mới hỗ trợ tính năng này. Không thể kết hợp sử dụng EVPN-VXLAN với OVSDB-VXLAN trên các switch dòng QFX Series. Sau khi một switch được thiết lập ở chế độ quản lý qua OVSDB, bộ điều khiển (controller) sẽ coi mọi cổng trên switch đều do OVSDB quản lý.
Router dòng MX và switch dòng EX92xx hỗ trợ gateway VXLAN (Virtual Extensible LAN). Mỗi gateway VXLAN hỗ trợ các chức năng sau:
Chức năng chuyển mạch (switching) với các mạng Tầng 2 truyền thống và mạng VPLS
Định tuyến giữa các VXLAN (inter-VXLAN routing) và cầu nối (bridging) trong miền VXLAN-only sử dụng IRB
Switch ảo (Virtual switches)
VXLAN với chức năng VRF (Virtual Routing and Forwarding)
Cấu hình cân bằng tải (configurable load balancing)
Thống kê cho VTEP từ xa (statistics for remote VTEP)
Bắt đầu từ Junos OS phiên bản 17.3R1, hỗ trợ EVPN-VXLAN trên router dòng MX được mở rộng để triển khai gateway VXLAN sử dụng hạ tầng IPv6 (IPv6 underlay).
Trên router dòng MX, chúng tôi hỗ trợ các loại tuyến EVPN sau với underlay IPv6: Type 1: Auto-discovery routes (tự động khám phá). Type 2: MAC/IP advertisement routes (quảng bá địa chỉ MAC/IP). Type 3: Inclusive multicast routes (đa hướng bao phủ). Type 4: Ethernet Segment routes (phân đoạn Ethernet)
Các loại dịch vụ (service types) được hỗ trợ với underlay IPv6 bao gồm:
Dịch vụ dựa trên VLAN (VLAN-based service)
Dịch vụ gộp VLAN (VLAN-bundle service)
Dịch vụ dựa trên cổng (Port-based service)
Dịch vụ nhận biết VLAN (VLAN-aware service)
Cả underlay EVPN-VXLAN dùng IPv4 và IPv6 đều hỗ trợ:
Địa chỉ MAC Type 2 có quảng bá địa chỉ IP
MAC proxy (địa chỉ MAC thay thế) có quảng bá địa chỉ IP
Các switch dòng QFX hỗ trợ VXLAN gateway trong mạng EVPN-VXLAN. Tất cả các thiết bị hỗ trợ EVPN-VXLAN đều có thể sử dụng hạ tầng IPv4 (IPv4 underlay) cho lớp phủ VXLAN (VXLAN overlay).
Ngoài ra, switch dòng QFX cũng hỗ trợ cấu hình hạ tầng IPv6 cho lớp phủ VXLAN trong mạng EVPN-VXLAN. Tuy nhiên, bạn chỉ có thể cấu hình underlay IPv6 bằng cách sử dụng các instance MAC-VRF của EVPN. Với underlay IPv6: Tiêu đề IP bên ngoài của gói VXLAN là tiêu đề IPv6, địa chỉ nguồn của VTEP phải được cấu hình là địa chỉ IPv6. Để biết thêm chi tiết về hỗ trợ underlay IPv6 và cách cấu hình thiết bị VXLAN gateway để sử dụng underlay IPv6, hãy tham khảo tài liệu EVPN-VXLAN với Underlay IPv6.
Các thiết bị ACX7100-32C, ACX7100-48L và ACX7024 có thể sử dụng underlay IPv4 hoặc IPv6 cho lớp phủ VXLAN. Bạn chỉ có thể tạo underlay IPv6 với các instance định tuyến MAC-VRF (hỗ trợ cho tất cả các loại dịch vụ). Bạn phải cấu hình underlay là IPv4 hoặc IPv6 cho toàn bộ các instance EVPN trong cùng một fabric — không thể trộn lẫn IPv4 và IPv6 underlay trong cùng một hệ thống.
Để tạo underlay IPv6, bạn cần kích hoạt lệnh sau: [set system packet-forwarding-options system-profile vxlan-extended]. Tại phân cấp cấu hình: [edit system packet-forwarding-options system-profile]
Khi sử dụng underlay IPv6: Tiêu đề IP ngoài trong gói VXLAN là IPv6, bạn cần cấu hình địa chỉ nguồn của VTEP là địa chỉ IPv6
Để biết thêm thông tin về cấu hình underlay IPv6 và cách thiết lập gateway VXLAN sử dụng IPv6, hãy tham khảo tài liệu hướng dẫn về EVPN-VXLAN with IPv6 Underlay.
**Lưu ý quan trọng: Sau khi bạn bật cấu hình này, Bộ máy chuyển tiếp gói tin (Packet Forwarding Engine – PFE) sẽ khởi động lại. Trong thời gian khởi động lại, lưu lượng có thể bị gián đoạn hoặc mất gói nếu có traffic đang chạy.
Để quay lại cấu hình hệ thống mặc định, bạn sử dụng lệnh: [delete system packet-forwarding-options system-profile vxlan-extended]. Sau đó, PFE sẽ khởi động lại lần nữa, và trong quá trình này, lưu lượng đang chạy có thể bị rớt.
Định dạng gói tin EVPN-VXLAN được minh họa trong hình 3.
Hình 3: EVPN-VXLAN Packet Format.
Chúc các bạn thực hiện thành công. Hi vọng bài viết này sẽ giúp ích cho các bạn trong công việc. Nếu bạn có vấn đề gì thắc mắc đừng ngần ngại liên hệ với chúng tôi theo thông tin dưới đây để được hỗ trợ thêm.
Hẹn gặp lại các bạn trong các bài viết tiếp theo!
CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH
• Địa chỉ: Số 23E4 KĐT Cầu Diễn, Tổ 7, Phú Diễn, Bắc Từ Liêm, Hà Nội
• Điện thoại: 02432012368
• Hotline: 098 115 6699
• Email: info@datech.vn
• Website: https://datech.vn