¿Qué es VXLAN?
Cómo VXLAN encapsula Ethernet sobre UDP/IP, qué hacen VTEP y VNI, y qué validar en MTU, control plane y segmentación.
VXLAN es una tecnología de red overlay que transporta tramas Ethernet de una red virtual dentro de paquetes UDP sobre una infraestructura IP. Así permite crear segmentos lógicos de capa 2 sobre una red subyacente de capa 3, que puede enrutar entre centros de datos o racks. Los extremos de encapsulación se llaman VTEP.
VXLAN nació para ampliar la segmentación más allá del espacio pequeño de identificadores VLAN tradicional. El mecanismo encapsula tráfico; no sustituye el diseño de enrutamiento, seguridad o alta disponibilidad. Para que funcione, los VTEP y la red IP deben conocer cómo alcanzar los extremos y qué identificador corresponde a cada segmento.
Dentro del paquete encapsulado
Cuando una máquina envía una trama a otra red VXLAN, el VTEP de origen conserva la trama Ethernet y la encapsula con cabeceras VXLAN, UDP e IP exterior. La red física enruta el paquete IP hasta el VTEP de destino, que retira las cabeceras y entrega la trama en el segmento lógico correcto. La infraestructura física ve paquetes IP; el servicio overlay conserva la trama interior.
Cada segmento utiliza un VXLAN Network Identifier, o VNI, de 24 bits. El espacio numérico es mucho mayor que los identificadores VLAN de 12 bits, aunque el rango realmente utilizable depende de la implementación. El VNI identifica el segmento overlay, no es una dirección de host ni cifra el tráfico.
La asignación habitual para VXLAN utiliza UDP destino 4789. Los VTEP pueden usar puertos origen variables para facilitar el reparto de tráfico en redes que aplican hashing sobre los encabezados. Los firewalls y balanceadores deben permitir el transporte real de los VTEP. Un bloqueo de UDP o un MTU insuficiente puede parecer un fallo de aplicación aunque el plano físico tenga rutas.
-InfraCrew dice: El paquete de fuera llega al VTEP; el de dentro sigue hablando Ethernet.-
El plano de control decide quién está dónde
VXLAN define la encapsulación, pero el tejido necesita aprender o distribuir la relación entre máquinas, MAC, VNI y VTEP. Los primeros despliegues podían usar aprendizaje y flooding; en diseños actuales se utiliza con frecuencia BGP EVPN como plano de control para anunciar rutas de host y reducir el tráfico de difusión. EVPN y VXLAN cumplen papeles distintos y suelen combinarse, no son nombres intercambiables.
El RFC 8365 describe el uso de EVPN como overlay de capa 2 y capa 3 para entornos de centros de datos, incluidos casos que emplean VXLAN. La elección de plano de control afecta a movilidad, aprendizaje, escala y convergencia. La encapsulación por sí sola no crea la tabla de vecinos que los VTEP necesitan.
También hace falta controlar el alcance de la difusión y el aprendizaje de MAC. Un diseño puede distribuir tráfico desconocido mediante multicast, replicación unicast o mecanismos propios del fabricante. La estrategia depende del tejido y sus límites, por eso conviene documentar el comportamiento de BUM —broadcast, unknown unicast y multicast— y la forma de escalarlo.
-InfraCrew dice: El VNI pone la etiqueta; el plano de control averigua a quién llamar.-
MTU, seguridad y dominios de fallo
VXLAN añade cabeceras al paquete exterior y consume parte de la MTU disponible. El tamaño depende de IPv4 o IPv6 y de las cabeceras del transporte, por lo que el valor exacto debe calcularse para la plataforma y ruta desplegadas. Una prueba de ping pequeña no descubre todos los problemas de MTU. Valida tamaños representativos y comprueba fragmentación o descartes a lo largo del underlay.
La encapsulación no implica cifrado ni aislamiento suficiente por sí sola. Un VNI separa segmentos lógicos, pero las políticas de acceso, firewalls y controles de host siguen siendo necesarios. VXLAN no es una VPN criptográfica. Si el tráfico cruza infraestructura no confiable, aplica cifrado en una capa apropiada y verifica cómo interactúa con el MTU.
La redundancia de VTEP y rutas evita que el fallo de un único camino interrumpa el segmento, pero añade estados que deben converger. Asegura que las rutas exteriores alcancen los VTEP y que el control plane retire ubicaciones antiguas. La movilidad de una máquina puede depender tanto del underlay como del overlay.
Cómo comprobar un despliegue VXLAN
Inventaría VNI, subredes, VTEP, puertos UDP, mecanismos de descubrimiento y reglas de seguridad. Confirma que los números se asignan sin conflicto y que el plano de control converge cuando un endpoint cambia de host. El mapa de VNI debe tener propietario y propósito, como el de las VLAN físicas.
Prueba conectividad entre endpoints del mismo segmento, aislamiento frente a otros VNIs, resolución de rutas y tamaños de paquete. Luego fuerza una pérdida controlada de enlace o VTEP en un entorno seguro para medir recuperación. El tiempo de convergencia es parte del servicio, no una nota al pie del diagrama.
Por último, correlaciona contadores del switch físico, VTEP, hipervisor y plano de control. Revisa drops, MTU, errores de encapsulación y anuncios duplicados. Diagnosticar por capas evita cambiar reglas del overlay cuando el problema vive en el transporte IP, o al revés.
-InfraCrew dice: Una trama puede viajar lejos sin que el equipo físico conozca su conversación completa.-
Diccionario de la Crew
VTEP — Punto de terminación VXLAN que encapsula y desencapsula el tráfico overlay.
VNI — Identificador de 24 bits que distingue un segmento VXLAN.
Underlay — Red IP física que transporta los paquetes encapsulados entre VTEP.