EVPN-VXLAN: come funzionano le reti overlay moderne

Le reti aziendali e di datacenter hanno vissuto per vent'anni sopra spanning tree e VLAN a 12 bit. Entrambi i limiti sono diventati insostenibili: 4094 VLAN non bastano in ambienti multi-tenant, e STP spegne metà dei link disponibili pur di evitare i loop. EVPN-VXLAN è la risposta che si è imposta come standard di fatto.

Il problema che risolve

Serve estendere un dominio layer 2 tra rack, sale o sedi diverse senza trascinarsi dietro i difetti del layer 2 classico:

• Scalabilità degli identificativi: il VLAN ID a 12 bit permette 4094 segmenti, il VNI di VXLAN ne permette oltre 16 milioni
• Uso dei link: con STP i percorsi ridondanti restano bloccati, con un underlay routed tutti i link trasportano traffico
• Propagazione dei guasti: un broadcast storm in un dominio L2 esteso si propaga ovunque, mentre l'incapsulamento lo confina
• Mobilità: spostare una macchina virtuale o un servizio tra rack senza cambiare indirizzamento

VXLAN: il data plane

VXLAN incapsula il frame ethernet originale dentro un pacchetto UDP, tipicamente sulla porta 4789. L'header aggiunge circa 50 byte: ethernet esterno, IP, UDP e header VXLAN, che contiene il VNI a 24 bit.

I punti di ingresso e uscita del tunnel si chiamano VTEP, VXLAN Tunnel End Point. Un VTEP prende il frame del server collegato, lo incapsula e lo spedisce verso il VTEP remoto attraverso una rete IP puramente routed: l'underlay. L'underlay non sa nulla dei MAC dei server, vede solo traffico UDP tra le loopback degli switch.

Conseguenza operativa importante: l'MTU dell'underlay va aumentato. Con MTU 1500 lato server servono almeno 1550 byte sull'underlay, e in pratica si configurano jumbo frame a 9000 per non doverci pensare più.

EVPN: il control plane

VXLAN da solo non sa dove stanno i MAC address. Le prime implementazioni usavano il flood-and-learn con multicast nell'underlay: funzionante, ma fragile e scomodo da gestire.

EVPN risolve il problema usando BGP, precisamente la famiglia di indirizzi L2VPN EVPN, per distribuire le informazioni di raggiungibilità. Ogni VTEP annuncia via BGP i MAC imparati localmente, e gli altri costruiscono la propria tabella di forwarding senza flooding.

I tipi di rotta EVPN più usati:

L'ARP suppression merita una nota: poiché il VTEP conosce già la corrispondenza MAC/IP dalle route type 2, può rispondere localmente alle ARP request invece di allagare il fabric. In ambienti densi riduce sensibilmente il traffico broadcast.

Underlay e overlay

Un fabric EVPN-VXLAN si progetta a due livelli separati:

• Underlay: topologia leaf-spine, ECMP su tutti i link, un IGP oppure eBGP con ASN privati per annunciare le sole loopback. Deve essere semplice e stabile, perché tutto il resto ci si appoggia sopra
• Overlay: sessioni BGP EVPN tra le loopback dei leaf, tipicamente con gli spine come route reflector per evitare un full mesh iBGP

La separazione è il punto di forza del modello: l'underlay può essere ottimizzato per convergenza rapida e non viene mai toccato quando si aggiunge un tenant o un segmento. Le modifiche di servizio avvengono solo nell'overlay.

Distributed anycast gateway

Nel modello classico il default gateway di una subnet vive su una coppia di switch, e tutto il traffico inter-VLAN deve arrivare fin lì. Con EVPN si configura lo stesso indirizzo IP e lo stesso MAC di gateway su tutti i leaf che ospitano quella subnet.

Il server usa sempre il gateway più vicino, che è lo switch a cui è collegato. Il routing tra subnet avviene sul primo hop invece di attraversare il fabric, e una migrazione tra rack non cambia nulla dal punto di vista dell'host.

Quando ha senso e quando no

EVPN-VXLAN è la scelta giusta quando:

• Ci sono più tenant da isolare sulla stessa infrastruttura fisica
• Serve multihoming attivo-attivo senza protocolli proprietari di stacking
• Il fabric deve crescere aggiungendo leaf senza riprogettazione
• Si vuole estendere un segmento L2 tra sale o sedi distinte su trasporto IP

Non ha senso su una rete con due switch e trenta host: la complessità del control plane BGP non viene ripagata. La soglia pratica è indicativamente quando si superano le poche decine di nodi o quando compare il requisito multi-tenant.

Va considerato anche il costo operativo: un fabric EVPN richiede competenze BGP solide, strumenti di verifica dello stato delle rotte e un minimo di automazione per la configurazione. Gestito a mano su decine di nodi diventa rapidamente fragile.

Interazione con il mondo ISP

Per un operatore EVPN non resta confinato al datacenter. Le stesse route type permettono di costruire servizi di trasporto layer 2 verso i clienti business, portando un segmento ethernet tra sedi diverse sopra il backbone IP.

Dal punto di vista del cliente il risultato è una rete che si comporta come uno switch esteso tra le sue sedi; dal punto di vista dell'operatore è un servizio che si attiva con una manciata di comandi sui nodi di bordo, senza toccare il core.

Su rete Velix i servizi di trasporto layer 2 multi-sede si progettano caso per caso in base alla topologia delle sedi e ai requisiti di banda garantita: il team tecnico valuta se l'interconnessione vada realizzata come circuito punto-punto o come dominio multipunto.