VXLAN، اختصار Virtual Extensible LAN، هي تقنية محاكاة افتراضية للشبكات تُستخدم في مراكز البيانات والبيئات السحابية. تتيح وضع أجهزة افتراضية موجودة على خوادم وسويتشات مختلفة ضمن شبكة Layer 2 واحدة، بينما تمر البيانات بينها عبر بنية نقل تعتمد على IP.
تتعامل التقنية مع تحديين شائعين في مراكز البيانات، هما محدودية مساحة معرّفات VLAN والحاجة إلى تمديد شبكات Layer 2 عبر بنية Layer 3. لتحقيق ذلك، تغلّف VXLAN إطار Ethernet داخل UDP/IP، وتترك لشبكة النقل مهمة إيصال الحزمة إلى نقطة النهاية المناسبة.
تنشئ VXLAN شبكات Layer 2 Overlay فوق بنية IP مشتركة. يحدد VNI الشبكة الافتراضية، وتقوم نقاط VTEP بالتغليف وفكّه. وفي تصميم EVPN-VXLAN، يوزّع BGP EVPN معلومات الوصول، مثل عناوين MAC وعناوين IP المرتبطة بها عند توفرها.
1. ما هي تقنية VXLAN؟
تعني VXLAN الشبكة المحلية الافتراضية القابلة للتوسّع. لنفترض أن جهازين افتراضيين يتصلان بسويتشين مختلفين داخل مركز بيانات. إذا انتميا إلى نفس شبكة VXLAN، يمكنهما تبادل إطارات Ethernet ضمن نطاق Layer 2 نفسه. تحمل شبكة IP الوسيطة الإطار المغلّف بين نقطتي VTEP، ثم يستخرج الطرف المستقبل الإطار ويسلّمه إلى الوجهة.
لماذا ظهرت VXLAN؟
يستخدم IEEE 802.1Q معرّف VLAN بطول 12 بت، ويتيح نطاق المعرّفات العادية من 1 إلى 4094. أما VXLAN فتستخدم حقل VNI بطول 24 بت، أي مساحة نظرية تبلغ 224 = 16,777,216 قيمة. تعتمد السعة الفعلية على حدود المنصّة والجداول والموارد والتصميم.
| المعيار | VLAN | VXLAN |
|---|---|---|
| المعرّف | VLAN ID | VNI |
| طول المعرّف | 12 بت | 24 بت |
| مساحة المعرّفات | 4094 قيمة لمعرّفات VLAN العادية | نحو 16.8 مليون قيمة نظرية لحقل VNI |
| طريقة العمل | تقسيم شبكة Ethernet إلى نطاقات Layer 2 | إنشاء شبكات Layer 2 افتراضية فوق بنية نقل IP |
| آلية النقل | إطارات Ethernet، مع وسم 802.1Q حيث يلزم | تغليف إطارات Ethernet داخل UDP/IP |
| المكوّنات الأساسية | سويتشات ومنافذ Access أو Trunk | نقاط VTEP ومعرّفات VNI وشبكة IP Underlay |
| الاستخدام الشائع | تقسيم الشبكات المحلية وشبكات الوصول | مراكز البيانات والسحابة والبيئات متعددة العملاء |
يمكن أن يستخدم الخادم VLAN محلية عند الوصول، ثم يربط جهاز VTEP تلك الـ VLAN بمعرّف VNI. يحدد VLAN ID نطاق الوصول المحلي، ويحدد VNI الشبكة الافتراضية عبر نقاط VTEP المشاركة. وتوصي RFC 7348 بإزالة وسم VLAN الداخلي عند التغليف ما لم يُضبط الجهاز للاحتفاظ به.
2. كيف تعمل VXLAN؟
أولاً، شبكة النقل Underlay
هي البنية التي توصل حزم IP بين عناوين VTEP. في تصميم Leaf–Spine موجّه، يمكن استخدام BGP أو OSPF أو IS-IS لبناء مسارات Underlay. تهمّ هنا ثلاثة أشياء عملياً، وهي قابلية الوصول بين نقاط VTEP، وحجم الحزم الذي يتحمّله المسار، والسياسات التي تسمح بمرور الحركة بين الطرفين.
ثانياً، الشبكة الافتراضية Overlay
تضم الشبكات المنطقية التي تُنشأ فوق Underlay. يمكن مثلاً تشغيل شبكتين لعميلين مختلفين على نفس البنية، مع تخصيص VNI مستقل لكل شبكة. يبقى لكل شبكة نطاق Layer 2 مستقل، ويخضع أي اتصال مطلوب بين الشبكات للتوجيه والسياسات المطبّقة على البوابات.
ثالثاً، نقطة نهاية النفق VTEP
VTEP اختصار VXLAN Tunnel Endpoint. تغلّف نقطة VTEP عند الإرسال إطار Ethernet بترويسات VXLAN وUDP وIP، وتفكّ التغليف عند الاستقبال. قد توجد هذه الوظيفة على سويتش فيزيائي يدعم VXLAN، أو سويتش افتراضي داخل Hypervisor، أو بوابة شبكية تدعمها. يُستخدم لكل نقطة عنوان IP يمكن الوصول إليه عبر Underlay، ويكون غالباً عنوان Loopback في تصاميم Leaf–Spine.
رابعاً، معرّف الشبكة الافتراضية VNI
VNI اختصار VXLAN Network Identifier. في مثال Layer 2، يحدد هذا الحقل الشبكة الافتراضية التي ينتمي إليها الإطار. يبيّن الرسم أمثلة على الربط بين VLAN محلية وVNI. يختار المصمّم القيم وفق خطة التوزيع وإمكانات الأجهزة.
- VLAN 10VNI 10010
- VLAN 20VNI 10020
- VLAN 30VNI 10030
- VLAN 110VNI 10110
خامساً، كيف تنتقل البيانات فعلياً؟
في المثال التالي، يتصل VM-A بـ Leaf-01، ويتصل VM-B بـ Leaf-02. يربط الطرفان VLAN 110 بـ VNI 10110. نفترض أن نقطة VTEP المرسلة تعرف مسبقاً عنوان MAC للوجهة ونقطة VTEP التي يمكن الوصول إليها عبرها.
- يرسل VM-A إطار Ethernet عبر شبكة الوصول المحلية.
- يحدد Leaf-01 أن الإطار ينتمي إلى VNI 10110، ويبحث عن عنوان MAC الوجهة ضمن هذا النطاق.
- يغلّف Leaf-01 الإطار ويضيف الترويسات الخارجية. في المثال، عنوان IP الخارجي للمصدر 10.0.0.11، وللوجهة 10.0.0.12.
- تمرّر أجهزة Underlay الحزمة حسب عنوان IP الخارجي للوجهة.
- يفكّ Leaf-02 التغليف، ويستخدم VNI لربط الإطار بشبكة Layer 2 المحلية، ثم يرسله إلى VM-B.
3. تركيب حزمة VXLAN والمنفذ المستخدم
يضيف VTEP أربع ترويسات أمام إطار Ethernet الداخلي. يوضّح الرسم ترتيبها من الخارج إلى الداخل. يظهر في نهاية إطار Ethernet الخارجي أيضاً حقل FCS خاص بالإطار الخارجي.
| المكوّن | الحجم أو القيمة | الوظيفة |
|---|---|---|
| Outer Ethernet | 14 بايت من دون وسم VLAN أو FCS | نقل الحزمة عبر وصلة Ethernet الحالية. |
| Outer IP | 20 بايت لـ IPv4 من دون خيارات، أو 40 بايت للترويسة الأساسية لـ IPv6 | يحمل عنوانَي IP لنقطتي VTEP. |
| UDP Header | 8 بايت | يتضمّن منفذ الوجهة ومنفذ المصدر. |
| VXLAN Header | 8 بايت | يتضمّن VNI بطول 24 بت وحقل الأعلام. |
| Inner Ethernet Frame | متغيّر | يحمل ترويسة Ethernet الأصلية والحمولة داخل النفق، من دون FCS الأصلي. |
خصصت IANA المنفذ UDP 4789 لـ VXLAN. وهو منفذ الوجهة الافتراضي في RFC 7348. عند استخدام منصّات أو إعدادات مختلفة، تحقّق من توافق منفذ الوجهة عند الطرفين ومن سماح سياسات الشبكة للحركة بين عناوين VTEP المعتمدة.
لماذا تستخدم VXLAN بروتوكول UDP؟
يتيح UDP حمل إطار Ethernet عبر بنية IP. توصي RFC 7348 باشتقاق منفذ UDP المصدر من حقول الحزمة الداخلية، بحيث تختلف قيمة المنفذ بين التدفقات. تستفيد أجهزة Underlay من هذا التنوع عند توزيع التدفقات على مسارات ECMP إذا كانت خوارزمية التوزيع تستخدم منفذ UDP المصدر.
ما تأثير VXLAN على MTU؟
إذا كان IP MTU داخل الشبكة الافتراضية 1500 بايت، يبيّن الجدول أدناه الحد الأدنى لحجم حزمة IP الخارجية على مسار Underlay. يفترض المثال عدم وجود وسم VLAN داخل الإطار المغلّف، وعدم وجود خيارات IPv4 أو ترويسات امتداد IPv6 أو تغليف إضافي.
| بروتوكول النقل الخارجي | الحساب بالبايت | الحد الأدنى لـ IP MTU على Underlay |
|---|---|---|
| IPv4 | 1500 + 14 + 8 + 8 + 20 | 1550 بايت |
| IPv6 | 1500 + 14 + 8 + 8 + 40 | 1570 بايت |
في هذا الحساب، تمثّل 14 بايت ترويسة Ethernet الداخلية، وتمثّل القيمتان 8 بايت ترويستَي VXLAN وUDP. أما ترويسة Ethernet الخارجية ووسم VLAN الخارجي، إن وُجد، فتدخل في حساب سعة إطار الوصلة Layer 2. إذا احتُفظ بوسم VLAN داخل الإطار المغلّف، يزداد المطلوب لـ IP MTU بمقدار 4 بايت لكل وسم داخلي. تحقّق من طريقة تعريف MTU على كل جهاز عند تطبيق الأرقام.
تُلزم RFC 7348 نقاط VTEP بعدم تجزئة حزم VXLAN. قد تؤدي التجزئة أثناء عبور IPv4 أو عدم كفاية MTU إلى إسقاط الحزم. اختبر المسار من نقطة VTEP إلى الأخرى بحزم مناسبة للحجم المتوقع، بما في ذلك المسارات البديلة عند استخدام ECMP.
4. ما الفرق بين VXLAN وEVPN؟
في بنية EVPN-VXLAN، تعمل VXLAN في مستوى نقل البيانات (Data Plane)، ويعمل BGP EVPN في مستوى التحكم (Control Plane). تحمل VXLAN الإطارات، بينما يوزّع EVPN معلومات الوصول بين الأجهزة المشاركة.
| العنصر | VXLAN | BGP EVPN |
|---|---|---|
| الدور | تغليف بيانات المستخدم ونقلها | توزيع معلومات الوصول والشبكات المشاركة |
| المستوى الوظيفي | Data Plane | Control Plane |
| آلية العمل | UDP/IP Encapsulation | إعلانات مسارات EVPN عبر BGP |
| أمثلة على المعلومات | VNI وإطار Ethernet الداخلي | إعلانات MAC/IP واكتشاف المشاركين في توزيع حركة BUM |
يعلن مسار EVPN Type 2 (MAC/IP Advertisement) عنوان MAC، وقد يتضمّن عنوان IP المرتبط به. ويتيح مسار EVPN Type 3 (IMET) اكتشاف نقاط VTEP المشاركة في توزيع الحركة متعددة الوجهات ضمن نطاق الشبكة المعني. يمكن كذلك تشغيل VXLAN بطرق مثل إعداد نقاط VTEP يدوياً أو استخدام Flood and Learn، بحسب دعم المنصّة.
كيف تُوزّع حركة BUM؟
تشمل BUM إطارات Broadcast وUnknown Unicast وMulticast. عند الحاجة إلى توزيعها بين نقاط VTEP، تُستخدم طريقتان شائعتان:
- Underlay Multicast يرسل VTEP الحركة عبر مجموعة Multicast، وتتولى بنية النقل توزيعها إلى النقاط المشاركة.
- Ingress Replication ينشئ VTEP المرسل نسخاً من الإطار ويرسل نسخة Unicast إلى كل نقطة VTEP مشاركة مطلوبة. يزيد عدد النسخ التي يولّدها الطرف المرسل مع زيادة عدد الأطراف المستقبلة.
5. أين تُستخدم VXLAN وكيف تُصمّم؟
- مراكز البيانات لتوزيع شبكات الخوادم والأنظمة الافتراضية عبر عدة أجهزة Leaf.
- البيئات السحابية ومتعددة العملاء لعزل شبكات Layer 2. ويمكن تكرار نطاقات IP بين العملاء إذا كانت جداول التوجيه معزولة ضمن VRFs منفصلة.
- نقل الأجهزة الافتراضية لإبقاء الجهاز على الشبكة المنطقية نفسها عند نقله بين خوادم تدعم آلية النقل والتصميم المعتمد.
- الربط بين مراكز البيانات عندما يتطلّب التصميم تمديد شبكات أو تبادل مسارات بين المواقع، وفق خصائص وصلات WAN ومتطلبات الأمان والعزل.
كيف تُبنى شبكة Leaf–Spine؟
في التصميم التالي، يتصل كل Leaf بكلا جهازي Spine عبر روابط موجّهة. تتصل الخوادم بأجهزة Leaf، وتعمل أجهزة Leaf كنقاط VTEP، بينما تمرّر أجهزة Spine حزم IP في Underlay. يوضّح الرسم دور Spine في مسار البيانات. وقد يُسند إلى بعض أجهزة Spine أيضاً دور BGP Route Reflector بحسب تصميم مستوى التحكم.
كل جهاز Leaf متصل بجهازي Spine. تنتهي أنفاق VXLAN عند أجهزة Leaf في هذا التصميم.
خطوات تصميم EVPN-VXLAN Fabric
- تصميم Underlay. حدّد عناوين الروابط وبروتوكول التوجيه ومسارات ECMP وMTU عبر الشبكة.
- تحديد عناوين VTEP. خصّص العناوين، وتحقّق من إعلانها وإمكانية الوصول إليها بين النقاط المشاركة.
- تخطيط VLAN وVNI وVRF. اربط شبكات الوصول المحلية بمعرّفات Layer 2 VNI، ووثّق نطاقات العزل وتوزيعها.
- ضبط VXLAN. فعّل التغليف على أجهزة VTEP واضبط معرّفات الشبكات ومنفذ الوجهة بما يتوافق بين الأجهزة.
- ضبط BGP EVPN. أنشئ جلسات BGP لتمرير إعلانات EVPN وحدّد سياسات الاستيراد والتصدير وRoute Targets حسب التصميم.
- تحديد بوابات التوجيه. استخدم VRF لعزل جداول التوجيه، وLayer 3 VNI في التصاميم التي تتطلبه، مثل Symmetric IRB. يمكن توزيع Anycast Gateway عندما تدعمها المنصّة ويستفيد منها التصميم.
- الاختبار والمراقبة. تحقّق من MTU ومسارات EVPN وتعلّم MAC وتوزيع حركة BUM وسلوك الشبكة عند تعطل رابط أو جهاز.
تختلف حدود عدد VNIs ونقاط VTEP ومسارات EVPN، كما تختلف ميزات التغليف العتادي والتوجيه وAnycast Gateway باختلاف المنصّة والإصدار. قارن متطلبات التصميم بحدود السعة الموثّقة للأجهزة الفعلية.
6. مميزات VXLAN وتحدياتها
المميزات
- التوسّع. مساحة VNI أكبر من مساحة VLAN ID، ما يسهّل توزيع عدد أكبر من الشبكات المنطقية.
- تقسيم الشبكات. يمكن عزل شبكات العملاء والخدمات على بنية نقل مشتركة.
- تمديد Layer 2. يمكن وصل الأجهزة الموجودة ضمن نفس الشبكة الافتراضية عبر بنية Layer 3 موجّهة.
- مرونة توزيع الخدمات. يمكن توزيع الخوادم أو نقل الأجهزة الافتراضية بين مواقعها داخل البنية مع إبقائها في الشبكة المنطقية المناسبة، وفق دعم المنصّة.
- الاستفادة من ECMP. يمكن توزيع تدفقات VXLAN على مسارات IP متساوية الكلفة عندما يوفّرها Underlay.
التحديات
- تعقيد التشغيل. يحتاج الفريق إلى فهم Underlay وOverlay وVTEP وVNI ومسارات EVPN.
- حجم الحزم. تتطلب الترويسات الإضافية تخطيط MTU على جميع الروابط التي قد تمر بها الحركة.
- استكشاف الأعطال. قد تكون المشكلة في IP Routing أو ربط VLAN بـ VNI أو مسارات EVPN أو التمرير العتادي.
- التوافق والسعة. تحقّق من دعم الخصائص بين المنصّات ومن حدود جداول MAC ومسارات EVPN ونقاط VTEP وتوزيع حركة BUM.
7. أفضل الممارسات الأمنية والتشغيلية
يحدد VNI نطاق الشبكة الافتراضية، بينما تحتاج سرّية البيانات إلى طبقة حماية مستقلة. عند عبور شبكة غير موثوقة، يمكن استخدام IPsec عندما يلائم التصميم والمنصّة.
- حماية نقاط VTEP. قيّد حركة VXLAN بين عناوين نقاط النهاية المعتمدة، وطبّق حماية من انتحال عناوين المصدر عند حدود الشبكة حيثما أمكن.
- تقييد منفذ VXLAN. اسمح بمنفذ UDP الوجهة المستخدم بين الأطراف المطلوبة. المنفذ الافتراضي هو 4789/UDP.
- حماية BGP EVPN. احصر الجلسات بالأطراف المصرّح بها، وراجع سياسات قبول الإعلانات واستيرادها وتصديرها.
- عزل الإدارة والعملاء. افصل شبكة الإدارة، وطبّق سياسات واضحة على حركة المرور بين VRFs والشبكات الافتراضية.
- المراقبة. راقب تغيّرات MAC غير المعتادة، وحركة Broadcast، وحالة جلسات BGP، ومؤشرات إسقاط الحزم.
- التوثيق. احتفظ بمخطط Underlay وOverlay وجدول يربط VLAN وVNI وVRF وعناوين VTEP.
قائمة تحقق قبل التشغيل في بيئة الإنتاج
- تحقّق من قابلية الوصول بين عناوين VTEP ومن قواعد UDP على المسار.
- راجع ربط VLAN بـ VNI وتوزيع VRFs وRoute Targets.
- اختبر Path MTU، بما فيه مسارات ECMP أو المسارات البديلة.
- تحقّق من ظهور مسارات EVPN الصحيحة وتعلّم MAC محلياً وعن بُعد.
- اختبر حركة BUM حسب السياسة، وعزل العملاء، وفقدان رابط أو جهاز.
- جهّز المراقبة والسجلات وخطة الرجوع إلى الإعداد السابق.
8. استكشاف أعطال VXLAN
ابدأ بفحص Underlay من عنوان VTEP المصدر إلى عنوان VTEP الوجهة. بعد إثبات وصول IP، افحص حجم الحزمة وسماح UDP، ثم راجع إعداد VNI وجداول MAC ومسارات EVPN. ينجح Ping صغير أحياناً بينما تفشل الحزم الأكبر، لذلك اجعل اختبار MTU خطوة مستقلة.
| العَرَض | السبب المحتمل | طريقة الفحص |
|---|---|---|
| عنوان VTEP البعيد غير قابل للوصول | مسار IP مفقود أو خلل في إعلان Loopback | افحص جدول التوجيه واختبر الاتصال باستخدام عنوان VTEP المحلي كمصدر. |
| IP قابل للوصول وحركة VXLAN غائبة | حجب UDP أو عدم توافق إعدادات VXLAN | راجع ACL والمنفذ عند الطرفين. أثناء إرسال حركة اختبار، التقط الحزم على Underlay للتحقّق من عناوين VTEP ومنفذ UDP ومعرّف VNI. |
| تصل الحزمة المغلّفة ولا يصل الإطار إلى الجهاز | اختلاف VLAN Mapping أو VNI أو خلل في منفذ الوصول | راجع الربط المحلي على الطرفين، وعضوية VLAN، وجداول MAC. |
| عنوان MAC البعيد غائب | خلل في تعلّم MAC أو إعلان EVPN أو استيراد المسار | افحص جدول MAC عند الطرف البعيد وإعلان Type 2 واستيراده عند الطرف المحلي. |
| حزم صغيرة تنجح ونقل ملفات كبيرة يفشل | Path MTU أصغر من الحجم المطلوب بعد التغليف | اختبر حزم IP بأحجام مختلفة بين نقاط VTEP وراجع عدّادات الإسقاط. |
| مشكلات في Broadcast أو Multicast | خلل في Ingress Replication أو Underlay Multicast | افحص عضوية المجموعة أو قائمة النسخ ومسارات IMET، حسب آلية التوزيع المستخدمة. |
| انقطاع بعد فقدان رابط | مسار بديل غير صالح أو تأخر في تقارب التوجيه | راجع مسارات ECMP وتوقيت التقارب وصلاحية MTU على المسار البديل. |
الأسئلة الشائعة حول VXLAN
هل VXLAN أفضل من VLAN؟
تعتمد الإجابة على التصميم. تناسب VLAN تقسيم الشبكات المحلية، وتناسب VXLAN ربط شبكات Layer 2 منطقية عبر بنية IP وتوسيع مساحة المعرّفات. يمكن استخدام VLAN عند الوصول وVXLAN داخل الشبكة نفسها.
هل يمكن تشغيل VXLAN بدون BGP EVPN؟
نعم. من الخيارات المتاحة الإعداد الثابت أو Flood and Learn، بحسب المنصّة. يوفّر BGP EVPN آلية لتوزيع معلومات الوصول عبر مستوى تحكم مشترك، خصوصاً عندما يزداد عدد الشبكات ونقاط VTEP.
ما المنفذ المستخدم في VXLAN؟
منفذ الوجهة الافتراضي المخصص لـ VXLAN هو UDP 4789. يعتمد منفذ المصدر عادةً على حساب مشتق من الحزمة الداخلية لتوفير تنوع بين التدفقات.
هل تحتاج VXLAN إلى سويتشات Layer 3؟
المتطلب هو قابلية وصول IP بين عناوين VTEP. يمكن توفيرها عبر بنية Layer 2 إذا كانت العناوين على نفس شبكة IP، وعبر التوجيه إذا كانت على شبكات IP مختلفة. تستخدم تصاميم Leaf–Spine الشائعة بنية Layer 3 موجّهة.
هل تشفّر VXLAN البيانات؟
لا. تغلّف VXLAN إطار Ethernet داخل UDP/IP. عند اشتراط تشفير الحركة، أضف آلية مستقلة مثل IPsec وفق متطلبات التصميم.
الخاتمة
تتيح VXLAN توسيع شبكات Layer 2 فوق بنية IP مشتركة، وتفيد خصوصاً في مراكز البيانات التي تحتاج إلى تشغيل شبكات منطقية عديدة. يحدد VNI الشبكة، وتغلّف نقاط VTEP الإطارات وتنقلها، ويمكن لـ BGP EVPN توزيع معلومات الوصول. عند تصميم الشبكة، ابدأ بمسارات Underlay وMTU، ثم وثّق ربط VLAN وVNI وVRF، واختبر التمرير والعزل قبل التشغيل في بيئة الإنتاج.
المراجع التقنية
- مواصفة VXLAN وتنسيق الحزم ومتطلبات MTU والأمان. RFC 7348
- تخصيص منفذ الوجهة UDP 4789. سجل IANA
- بنية EVPN فوق شبكات Overlay وتوزيع الحركة متعددة الوجهات. RFC 8365
- أنواع مسارات EVPN ومعلومات MAC/IP. RFC 7432
- دمج التوجيه والتجسير في تصاميم EVPN. RFC 9135
- نطاق معرّفات VLAN في تطبيقات 802.1Q. Juniper Networks