VXLAN・EVPNによるデータセンター設計

読み：ぶいえっくすらんいーぶいぴーえぬによるでーたせんたーせっけい　／　英語表記：data center network design with VXLAN and EVPN

VXLANでレイヤー2のネットワークをレイヤー3のネットワーク上に構成し、EVPNで端末や接続先の情報を交換する設計である。通信を運ぶ仕組みと転送先を知らせる仕組みを分け、利用者ごとのネットワークの分離と拡張性を確保する。

イマシルちゃんの解説

データセンターでは、離れたラックのサーバ同士を同じLANにつなぎたいことがあるんだ。
そこで使えるのが、LANのフレームをIPパケットに包んで運ぶトンネル技術のVXLANだよ。
途中のルータは外側の宛先を見て運ぶから、サーバの設置場所に縛られずにネットワークを組めるんだ。
ただし、届け先のサーバがどのトンネルの先にいるかを知る必要があるよ。
EVPNは、その接続情報をルータ同士で交換する制御技術なんだ。
運ぶ経路とサーバの接続情報を分けて管理すると、台数が増えたときも構成を広げやすくなるよ。

より深い解説

物理的な場所と論理的なネットワークを分ける

データセンターでは複数の利用者が同じ物理設備を共有する。この利用者や管理単位をテナントという。テナントごとの通信を分離しながら、仮想サーバを別のラックへ移動できるようにすることが設計上の課題になる。

VXLANは、VTEP間をつなぐIPネットワークの上に論理的なLANを構成する。土台となるネットワークをアンダーレイネットワーク、その上の仮想ネットワークをオーバレイネットワークという。VTEPはフレームを包んで送り、受信側で取り出すトンネルの端点である。

論理的なLANはVNIという番号で識別する。サーバ側のVLAN IDとVNIの対応を各VTEPに設定するため、接続場所によってVLAN IDが異なっていても同じVNIへ収容できる。

この例ではラックAとBのサーバを同じ論理的なLANへ接続できる。ラックAとCはVLAN IDが同じでも別のVNIに属する。通信可否を調べるときはIPアドレスの見た目だけで判断せず、VLANとVNIの対応を確認する。異なるVNI間で通信するには別途ルーティングを設計する。

カプセル化の内側と外側を読み分ける

VTEPはサーバから受け取ったイーサネットフレームにヘッダーを付け、UDPを使って相手のVTEPへ送る。内側にはサーバ同士の通信が残り、外側にはVTEP間で運ぶための情報が付く。構成図やパケットを読むときは、この二つの宛先を分けて追う。

既知のユニキャストを運ぶ場合、外側の宛先はリモートVTEPのIPアドレスとなる。元のサーバのIPアドレスを外側へ入れるわけではない。さらに外側のイーサネットヘッダーは、アンダーレイ上の各リンクで次の機器へ届けるために使われる。

ヘッダーが増えるため、アンダーレイのMTUにも余裕が必要である。例えばテナント側のIPパケットが1,500オクテットで、内側にVLANタグがなく外側がオプションなしのIPv4なら、外側のIPパケットは1,550オクテットになる。端点だけでなく、ECMPで使う途中の経路も含めてこのサイズを通せるか確認する。計算に含めるヘッダーの範囲はVXLANの記事で整理している。

土台となる経路を先に設計する

VXLANを設定しても、VTEP間でIPパケットが届かなければ通信できない。アンダーレイにOSPFを使う構成では、各ルータがLSAを交換してLSDBというネットワーク構成のデータベースを作り、自分を起点とする最短経路を計算する。同じエリアで情報が収束していても、起点が違うため各ルータの経路表は同じにはならない。

ECMPは等コストの複数経路を利用する仕組みである。一般にフローごとの振り分けが行われるため、複数経路があることだけで一本の通信が全回線の合計速度になるとは限らない。

ループバックインタフェースは、物理ポートのリンク断に直接連動しない論理インタフェースである。別経路が残っていれば同じVTEPのアドレスへの通信を継続できる。ここで設定するのはネットワーク内から到達可能なアドレスであり、自分自身だけを表す127.0.0.1ではない。

未知の宛先をどう探すか

フレームの宛先がまだ分からないときは、同じ論理的なLANへ広く転送する必要がある。ブロードキャスト、宛先MACアドレスを未学習のユニキャスト、マルチキャストをまとめてBUMという。未学習のユニキャストはUnknown Unicastと呼ぶ。

データプレーンでMACアドレスを学習する方式では、内側の送信元MACアドレス、VNI、外側の送信元IPアドレスを対応付ける。これによって、どのLANのどのサーバが、どのVTEPの先にいるかを記録できる。調査時には宛先の情報を学習したものと取り違えないようにする。

例えばARP要求を受信したVTEPは、要求を送ったサーバの接続先を学習できる。その後のARP応答では、学習済みの対応を使って要求元のVTEPへユニキャストで返せる。このとき学習するサーバとVTEPを取り違えないことが重要である。

BUMの転送先は、基本的には同じVNIに参加するリモートVTEPである。土台のネットワーク全体や別テナントへ無条件に広げるものではない。

マルチキャストとユニキャスト複製を選ぶ

BUMを運ぶ代表的な方法には、アンダーレイのIPマルチキャストを利用する方法と、入口のVTEPで複製する方法がある。

PIM-SMを使う構成では、ランデブーポイント（RP）を基点とする共有ツリーなどで配送経路を作る。受信側への配送経路と、VNIに対応するグループを確認する。送信元を起点とするツリーへ切り替わる場合もあるため、すべてのデータが常にRPを通るとは限らない。

EVPNはユニキャスト複製に必要な参加先の情報を配れるが、EVPNの導入によってマルチキャストが一律に禁止されるわけではない。採用する方式を設計として選ぶ。

EVPNで接続情報を交換する

EVPNを利用すると、VTEP同士はMP-BGPでMACアドレスや接続先VTEPなどの情報を交換する。ローカルで学習した端末の情報を広告することで、別のVTEPはその端末からデータを受信する前に転送先を知ることができる。

端末の到達情報とBUMの参加先は、目的が異なるEVPNの経路として広告される。必要な経路を受信して取り込めているかを確認する。MACアドレスの到達先が事前に分かれば、Unknown Unicastによるフラッディングを減らせる。ブロードキャストを含むすべてのBUMが自動的になくなるわけではない。

同一AS内でiBGPの接続数を抑えるにはルートリフレクタを使う。各VTEPがすべてのVTEPと接続する代わりに、ルートリフレクタがクライアント間の経路情報を中継する。冗長化するときはクラスターIDやORIGINATOR_IDを使ったループ防止を理解し、どの機器を同じクラスターとして扱うかを設計する。ルートリフレクタを経由するのは経路情報であり、サーバのデータ通信も必ずそこを経由するという意味ではない。

サーバの接続を冗長化する

EVPNマルチホーミングでは、一つのEthernet Segmentを複数のVTEPへ接続する。同じ接続区間を識別する番号がESIである。ESIを共有する対応機器とサーバのリンクアグリゲーションを組み合わせると、複数のリンクをアクティブにして利用できる。

ESIはVNIとは役割が違う。VNIは仮想ネットワークを識別し、ESIは複数の機器が同じEthernet Segmentへ接続していることを識別する。ESIの一致に加えて、サーバとスイッチのリンクアグリゲーションやVLANの設定も合わせる。

All-Active構成では、ネットワーク側から同じサーバへBUMが重複して届かないようにDF（Designated Forwarder）を選出する。DFはその区間へBUMを届ける代表であり、通常のユニキャストまで常に一台だけが転送するという意味ではない。障害時には残った接続への切替えと、古い到達情報の撤回が正しく行われることを確認する。

構築後は土台から順番に確かめる

障害の切り分けは、物理リンク、アンダーレイの経路、EVPNの情報交換、サーバ側の対応関係の順に進める。VTEPへpingが届くだけでは、正しいVNIでフレームが運ばれていることまでは確認できない。

参考資料

出題範囲はIPA 令和6年度春期ネットワークスペシャリスト午後Ⅱ 問題冊子の問1と、採点講評を参照した。本文は汎用的な設計の考え方として整理している。

• RFC 7348：VXLANはカプセル化とデータプレーン学習を定めている。
• RFC 7432：EVPNとRFC 8365：EVPNを利用したオーバーレイは経路広告とマルチホーミングを説明している。
• RFC 2328：OSPFv2、RFC 4456：ルートリフレクション、RFC 7761：PIM-SMはアンダーレイと経路情報の扱いを確認する資料になる。

午後での問われ方

実際の試験ではここに出る！全1問

ネットワークスペシャリスト

午後Ⅱ

• R6春 問1