01 华为VXLAN BGP EVPN

一、VXLAN转发面EVPN与集中式分布式网关

ospfbgpbridge-domain 1000vxlan vni 5010int nve 1source ip 1.1.1.1vni 5010 head-end peer-list 2.2.2.2int g0/0/1.1000 mode l2encapsulation dot1q vid 100bridge-domain 1000

无非是这几个内容

        1、underlay使用ospf实现互联互通与可靠性

        2、overlay使用bgp实现ipv4和evpn控制面的调度

        3、overlay使用bd和evpn instance实现数据面的转发

        4、overlay使用nve实现vxlan转发的源目接口与ip

        5、业务接入点

一个tips：

dis vxlan tunnel

        显示vxlan隧道是down的，说明vxlan目的地址是没有路由的，只要有路由就up，不管是否可达 

1、通讯模型

1.1 二层通讯

①、p1.1 查arp表，无1.2arp表项

②、p1.1 发送arp请求，FFFF广播帧

③、server->leaf 带tag100，进入g0/1.1000（子接口关联到bd1000）

interface g0/1.1000

        bridge-doamin 1000

④、bd1000收到广播帧,向用户侧、网络侧泛洪

        用户侧通过bd泛洪，不说

⑤、网络侧通过vxlan泛洪，隧道标识为5010，隧道起点接口为nve1 源地址为1.1.1.1

        bridge-domain 1000

                vxlan vni 5010

        根据nve的源目列表进行头端复制，以发送到多个vxlan隧道

        vxlan报文的udp源端口是根据内层的源目mac进行hash得出

⑥、VTEP 2.2.2.2收到广播帧 p1.2进行单播回应

⑦、bd1000收到单播帧 源mac2 目的mac1，在交换机查mac表，目的mac1有没有

⑧、交换机2封装vxlan报文

⑨、交换机1收到单播报文，形成mac地址表

2、evpn概述

evpn(ethernet virtual private network),bgp为evpn新规定了一种NRLL报文，用于承载evpn，也即熟知的bgp的type2、3、5类路由

        ①、Type2路由（MAC/IP路由）：用于主机MAC地址/ARP/IP路由通告。
        ②、Type3路由（Inclusive Multicast路由）：用于传递二层VNI和VTEP IP地址信息，实现VTEP的自动发现和VXLAN隧道的动态建立，实现BUM报文转发。
        ③、Type5路由（IP前缀路由）：用于主机IP路由通告及外部网络路由通告。

原先的vxlan静态配置太慢，随着bd的增多，依赖数据面路由学习太慢了，而且mac还容易超时，

2.1 静态方式配置VXLAN的问题

        ①、N台设备建立VXLAN隧道，手工配置方式最高达到 N(N-1)/2 次头端列表配置。操作太多，配置太复杂
        ②、静态VXLAN隧道只有数据转发平面，不能实现VTEP的自动发现、主机信息相互通告等
        ③、只能通过ARP广播的方式学习远端MAC地址，全网的广播泛洪太多，mac表项容易不完整，mac地址容易超时

2.2 Type2-MAC/IP路由

2.2.1 主机MAC地址通告(2元)

① 二元报文与场景

        只存在①和③时，为两元

        由用户侧产生的mac信息，并通过bgp发布到RR的为两元路由。相同子网主机互访场景下进行主机MAC地址通告，包含主机MAC信息和二层VNI。

② EVPN VPN-Instance

             ip vpn-instance=l3 vpn=   ip  vrf 有三层转发表    ip 转发表

        evpn vpn-instance=l2 vpn=mac vrf 有两层转发表   mac转发表

         一个设备上有多个MAC VRF，RD区分不同L2 VRF的路由，RT用作入向接受标记和出向发送标记，下图想要实现路由相互进入，不仅需要vpn的rt标识，还需要做路由泄露。

        ip vpn-instance ipv4与mac vpn-instance evpn代码对比：

ip vpn-instance abcvxlan vni 5000 ipv4-familyroute-distinguisher 1:1vpn-target 1:5000 export-extcommunityvpn-target 1:5000 import-extcommunitybridge-domain 1000vxlan vni 5010evpnroute-distinguisher 1:1vpn-target 1:1000 export-extcommunityvpn-target 1:1000 import-extcommunity

③ 虚机迁移拓展团体属性(vMotion)

        拓展团体属性的新旧序列号比较

2.2.2 主机ARP通告(3元)

        只存在①和②和③时，为三元

        集中式网关部署场景下通告ARP类型路由，包含主机IP信息、MAC信息和二层VNI。

2.2.3 主机IP路由通告(4元) IRB

        存在①②③④时，为四元

        分布式网关部署不同子网互访场景下，进行IRB类型路由通告。它包括主机MAC信息、IP信息、二层VNI和三层VNI

2.3 Type3-Inclusive Multicast路由

        该类型路由在VXLAN控制平面中主要用于VTEP的自动发现和VXLAN隧道的动态建立.PMSI中得VTEP IP标识该VTEP-IP具有组播能力

         只有以下命令配置后，才可以产生type3路由

vni 5010 head-end peer-list protocol bgp

2.4 Type5路由（IP前缀路由）

        实现VXLAN网络中的主机访问外部网络

bgp 100ipv4-family vpn-instance abcimport-route static/bgp/ospfadvertise l2vpn evpn

 引入ipv4-vpn的bgp路由表中，随后使用advertise发布到evpn中

对称性分布式网关在学习了type2 4元 type5路由后，形成以下路由表

2.5 evpn在二层网络得应用

        体现type2和type3路由

2.5.1 拓扑

 2.5.2 脚本配置

① underlay：接口、ospf

 ② overlay-控制面

        bgp采用路由反射器方案

leaf

bgp 100 instance abcpeer 11.3.3.3 as-number 100peer 11.3.3.3 connect-interface LoopBack1peer 11.4.4.4 as-number 100peer 11.4.4.4 connect-interface LoopBack1#l2vpn-family evpnpolicy vpn-targetpeer 11.3.3.3 enableypeer 11.4.4.4 enabley
#

spine

bgp 100router-id 11.4.4.4peer 11.1.1.1 as-number 100peer 11.1.1.1 connect-interface LoopBack1peer 11.2.2.2 as-number 100peer 11.2.2.2 connect-interface LoopBack1#ipv4-family unicastpeer 11.1.1.1 enablepeer 11.2.2.2 enable#l2vpn-family evpnundo policy vpn-targetpeer 11.1.1.1 enableypeer 11.1.1.1 reflect-clientpeer 11.2.2.2 enableypeer 11.2.2.2 reflect-client
#

 ③ overlay-数据转发面

bridge-domain 1000vxlan vni 5010evpnroute-distinguisher 1:1vpn-target 5010:1 export-extcommunityvpn-target 5010:1 import-extcommunity
#
interface Nve1source 1.1.1.1vni 5010 head-end peer-list protocol bgp
#
interface GE1/0/0.100 mode l2encapsulation dot1q vid 100bridge-domain 1000
#
interface ge 1/0/0 ports

④ 验证

display mac-address bridge-domain 1000

可以查看来自用户侧和网络侧收发的路由

dis vxlan tunnel
dis vxlan vni
dis vxlan peer

 查看用户侧的type2-2元路由

display bgp evpn all routing-table mac-route

查看用户侧的type2-2元路由-明细

 查看type3路由

  查看type3路由-明细

3 集中式网关

3.1 概述与脚本

        集中式网关需要在spine上也配置数据面bd和vxlan头端复制，网关vbdif也部署在spine上和ip vpn-instance，分布式网关spine-leaf无需部署，脚本如下

SW3

bridge-domain 100vxlan vni 1000evpnroute-dis 1:1vpn-target 1:1000
bridge-domain 200vxlan vni 2000evpnroute-dis 2:2vpn-target 2:2000interface nve 1source 3.3.3.3vni 1000 head-end peer-list protocol bgpvni 2000 head-end peer-list protocol bgpip vpn-instance router1route-dis 1:1int vbdif 100ip binding vpn-instance router1ip add 192.168.1.254 24
int vbdif 200ip binding vpn-instance router1ip add 192.168.2.254 24

• 优点：对跨子网流量进行集中管理，网关的部署和管理比较简单。
• 
• 缺点：
  • 转发路径不是最优：同一二层网关下跨子网的数据中心三层流量都需要经过集中三层网关转发。
  • ARP表项规格瓶颈：由于采用集中三层网关，通过三层网关转发的终端租户的ARP表项都需要在三层网关上生成，而三层网关上的ARP表项规格有限，这不利于数据中心网络的扩展。

3.2 多活集中式网关

 spine共同脚本

bd
vbdif
#多活时，vbdif的mac需要手动设置为相同
int lo 0ip add 45.45.45.45 32
int nvesource 45.45.45.45vni xxx

 spine1

int lo 1ip add 4444
dfs-group 1source 4444active-active-gatewaypeer 5555

spine2

int lo 1ip add 555
dfs-group 1source 5555active-active-gatewaypeer 4444

多活网关arp同步

 如果是更多的网关，则增加更多peer即可

dfs-group 1source 5555active-active-gatewaypeer 4444peer 6666peer 7777……

主机互访可以实现双活且ECMP，但是源为网关访问主机却存在问题，如图

3.3 ARP广播抑制抑制

        主机通告得ARP目的为FFFF，通过在交换机接口配置后，该广播报文到达交换机，通过查询MAC地址表，目的得FFFF将会被替换为MAC表中有的表项，例如MAC表中共有M2 2222 M3 3333，那么目的mac和ip会被相应得替换，源广播帧替换为单播发送到全网（leaf已经学到得表项，经过头端复制后发送）中，其他vtep就会学到该主机得arp信息

        既然leaf已经有表项了，为什么还需要发送arp广播呢，因为实际情况中，有些业务需要心跳，通过发送arp询问，保持表项为最新

3.3.1 二层arp广播泛洪抑制

bridge-domain 1000arp broadcast-suppress enable

3.3.2 三层arp转变为evpn路由

        使能BGP EVPN进行主机信息搜集功能

int vbdif 1000arp collect host enable……

 3.3.3 配置发布ARP类型得路由

bgp 100l2vpn-family evpnpeer x.x.x.x advertise arp

4 分布式网关

4.1 概述

 特点：

        每个leaf都是vtep的端点，都是具有三层和二层网关功能，spine不再作为vtep，不感知Vxlan隧道转发

        每个leaf自行学习arp信息，无需spine集中网关学习arp，提高设备运行效率

4.2 分布式网关原理

4.2.1 未引入evpn的情况

1.1访问2.2

        ① 1.1到网关1.254

        ② 查表，命中下面路由

        ③ 查vbdif2000得arp表，但实际上该bd下只能由本地产生得arp，因此以下这个数据包是不存在得。即使流量到了本地得BD 2000，因为没有2.2得arp信息，所以还是无法访问2.2.

 4.2.2 引入evpn的情况

分布式网关情况下，会在用户侧生成type2 2元路由，会发送到vxlan网络中type2 4元、type3路由

① 1.1访问2.2时，在leaf1，ip vrf中查L3(type2 4元产生)转发表，从leaf1发出的数据报应该如下格式：

vxlan内的mac不是1.1和2.2的mac，而是nve的mac

② 1.1访问1.2时，在leaf1，bd1000中查L2(type2 4元产生)转发表，从leaf1发出的数据报应该如下格式：

4.2.3 ARP L3网关代打及非对称场景

ARP L3 GW代答

int vbdif 1000arp proxy enablebridge-domain 1000arp broadcast-suppress enablearp l2-proxy gateway-mac

开启三层网关代答后，同网段的访问，也会通过网关查路由表的跨网段的通讯行为，不过大二层减少了泛洪

4.2.4 分布式网关Type5场景和MPLS L3 VPN

数据中心互联除了MPLS，也可以通过EVPN VXLAN互联

ip vpn-in abcvxlan vni 3000rd rt
#
int eth 0ip binding vpn-ins abcip addr 192.168.1.254 24
#
bgp 65000 instance defpeer r2 as-num 65000ipv4-family vpn-instance abcimport direct advertise l2vpn evpnl2vpn-family evpnpeer r2 enable
#
int nve 1source 1.1.1.1

5 实验

分布式网关实验

本文来自互联网用户投稿，文章观点仅代表作者本人，不代表本站立场，不承担相关法律责任。如若转载，请注明出处。 如若内容造成侵权/违法违规/事实不符，请点击【内容举报】进行投诉反馈！