VXLAN — Розширена віртуальна локальна мережа¶

VXLAN (Virtual Extensible LAN) — протокол тунелювання, що дозволяє передавати кадри Ethernet рівня L2 через IP-мережу рівня L3, створюючи розподілені "плоскі" мережі між географічно розділеними вузлами так, ніби вони знаходяться в одному комутаторі.

Опис¶

Традиційні VLAN обмежені одним фізичним сегментом мережі та підтримують лише 4096 ідентифікаторів. VXLAN знімає обидва обмеження: тунелі можуть проходити через будь-яку IP-інфраструктуру, а простір ідентифікаторів (VNI — VXLAN Network Identifier) становить 16 мільйонів значень. Це зробило VXLAN стандартом для хмарних і датацентрових overlay-мереж.

Технічно VXLAN інкапсулює оригінальний Ethernet-кадр у UDP-пакет (порт 4789) і додає 8-байтний VXLAN-заголовок з VNI. Отриманий UDP-пакет маршрутизується звичайними IP-засобами через L3-мережу. На стороні отримувача VTEP (VXLAN Tunnel Endpoint) розпаковує кадр і передає його у відповідний сегмент L2. VTEP може бути фізичним комутатором, роутером або програмним інтерфейсом у Linux.

Через UDP-інкапсуляцію VXLAN по замовчуванню не шифрує трафік. Для захищеної передачі VXLAN-тунелі розгортають поверх IPsec або WireGuard, або ж використовують EVPN (Ethernet VPN) як площину управління для динамічного розподілу MAC/IP-адрес між VTEP.

VXLAN добре підходить для сценаріїв, де потрібно з'єднати кілька L2-сегментів через L3-мережу: хмарні розгортання, мульти-датацентрові конфігурації, або промислові мережі з обладнанням, що не підтримує маршрутизацію.

В контексті UMTC¶

У польових мережах UMTC VXLAN може застосовуватись для об'єднання абонентських сегментів кількох веж LTE в одну L2-підмережу. Наприклад, якщо потрібно, щоб пристрої на різних позиціях отримали адреси з одного DHCP-пулу і бачили один одного без маршрутизації — VXLAN-тунель між MikroTik-роутерами вирішує це завдання.

Проте для більшості польових сценаріїв достатньо звичайної L3-маршрутизації через WireGuard або GRE. VXLAN виправданий там, де є конкретна потреба у прозорому L2-з'єднанні, наприклад, для підтримки застарілого обладнання або протоколів, що не підтримують маршрутизацію (деякі промислові протоколи, Multicast-застосунки).

Linux-ядро підтримує VXLAN нативно через інтерфейс vxlan, що дозволяє реалізувати VTEP на будь-якому Linux-хості — включаючи BBU-сервери та польові комп'ютери.

Пов'язані терміни¶

vlan — класична L2-сегментація, яку VXLAN розширює для роботи через L3
gre — альтернативний протокол тунелювання, простіший, але без масштабованості VNI
ipsec — протокол захисту, що застосовується поверх VXLAN для шифрування трафіку
vrf — логічна ізоляція маршрутних таблиць, яка доповнює VXLAN при мульти-тенантних розгортаннях
wireguard — зручна альтернатива для L3-тунелів, якщо не потрібна прозора L2-зв'язність

Посилання¶

RFC 7348 — VXLAN — специфікація протоколу
Linux Kernel: VXLAN — реалізація у ядрі Linux