Begriff
VXLAN (Virtual Extensible LAN)
Warum wichtig?
Dieser Begriff ist ein Knoten im SengakujiWorks-Wissensnetz. Nutze Level 0 für die erste Einordnung, Level 1 für Praxis, Level 2 für technische Struktur und Level 3 für Grenzen, Fallstricke und Expertenkontext.
Klassische VLANs haben ein Problem: Sie sind auf 4096 Netzwerke begrenzt (12-Bit ID). Für eine Cloud wie AWS mit Millionen Kunden reicht das nicht. Wir brauchen etwas Größeres. VXLAN ist wie VLAN auf Steroiden. Es packt deine Ethernet-Pakete in UDP-Pakete (Tunneling) und schickt sie über das normale Netzwerk. Damit kannst du bis zu 16 Millionen virtuelle Netzwerke bauen (24-Bit ID). Es erlaubt VMs, miteinander zu reden, als wären sie im selben Raum, auch wenn sie physisch in verschiedenen Rechenzentren (Layer 3 getrennt) stehen.
Merksatz: Ein Tunneling-Protokoll, das Layer-2-Ethernet-Rahmen in Layer-3-UDP-Pakete kapselt, um skalierbare virtuelle Overlay-Netzwerke in der Cloud zu schaffen.
In Docker/Kubernetes Overlay Networks:
Wenn du zwei Container auf zwei verschiedenen Servern startest und sie pingen können, ist das oft VXLAN.
docker network create -d overlay my-net
Docker baut im Hintergrund VXLAN-Tunnel zwischen den Nodes auf.
In Linux:
ip link add vxlan0 type vxlan id 100 group 239.1.1.1 dev eth0 dstport 4789
ip link set vxlan0 up
Jetzt hast du ein virtuelles Kabel (vxlan0), das magisch mit anderen Servern verbunden ist.
1. Encapsulation Format
Ein Ethernet-Frame (Layer 2) wird genommen. Es wird ein VXLAN Header hinzugefügt (darin steht die VNI - VXLAN Network Identifier, z. B. 100). Dann wird das Ganze in ein UDP Paket (Port 4789) gesteckt. Dann in ein IP Paket. Das nennt man MAC-in-UDP. Für die Router dazwischen ist es nur "irgendein UDP Traffic". Sie müssen nix von VXLAN wissen.
2. VTEP (VXLAN Tunnel End Point)
Der Punkt, wo das Paket verpackt/entpackt wird. Das kann Software sein (Linux Kernel, Open vSwitch) oder Hardware (moderne Switches und SmartNICs machen VXLAN in Silicon -> Offloading). Hardware Offloading ist wichtig, weil Kapselung CPU kostet.
3. MTU Problem
Da der Header 50 Bytes groß ist (VXLAN + UDP + IP), wird das Paket größer. Wenn deine Netzwerk-MTU 1500 ist, ist das VXLAN-Paket 1550 -> Fragmentierung (langsam) oder Drop. Lösung:
- Jumbo Frames im physischen Netz aktivieren (MTU 9000).
- Oder die virtuelle MTU verringern (z. B. 1450 im Container).
1. Control Plane vs. Data Plane (BGP EVPN)
In den Anfangstagen von VXLAN nutzte man Multicast für das "Learning" von MAC-Adressen (Sende an alle: Wo ist IP X?). Das skaliert in riesigen Netzen extrem schlecht ("Broadcast Storms"). Die Lösung für Profis ist BGP EVPN (Ethernet VPN). Hierbei wird ein Control-Plane-Protokoll (BGP) genutzt, um die Standorte von IPs und MAC-Adressen zwischen den Switchen zu verteilen, bevor das erste Paket überhaupt abgeschickt wird. Der VXLAN-Switch fragt dann einfach seine lokale BGP-Tabelle: "Wo ist MAC-A?" -> "Hinter VTEP-B". So gibt es kein Flooding mehr, und das Netz bleibt ruhig.
2. Underlay vs. Overlay
Man muss strikt trennen:
- Underlay: Das physische Netzwerk (Router, Kabel, OSPF/BGP). Es muss nur eins können: UDP-Pakete schnell von IP A nach IP B routen.
- Overlay: Das VXLAN-Netzwerk. Hier leben die Container und VMs. Sie "wissen" nichts von den Routern dazwischen. Ein häufiger Production-Gotcha: Wenn das Underlay ECMP (Equal-Cost Multi-Pathing) nutzt, werden VXLAN-Pakete oft ungleichmäßig verteilt, weil alle Pakete den gleichen inneren Source-Port haben. Modernes VXLAN nutzt daher den Source Port des äußeren UDP-Headers als Hash über die inneren Daten, damit das Underlay den Traffic perfekt über alle physischen Leitungen "shreddern" (load balancen) kann.
3. VNI Splitting & Data Center Interconnect (DCI)
VXLAN wird oft genutzt, um Layer-2-Netze über Rechenzentrums-Grenzen hinweg zu dehnen. Das ist riskant. Ein Fehler in RZ-A (z. B. eine Loop) kann über die VXLAN-Brücke sofort RZ-B lahmlegen.
Network Architects nutzen daher Anycast Gateways. Das bedeutet, dass die Standard-Gateway-IP (z. B. .1) in jedem Rechenzentrum lokal existiert. Wenn eine VM von RZ-A nach RZ-B verschoben wird (vMotion), behält sie ihre IP und ihr Gateway, muss aber für den Internetzugriff nicht mehr zurück nach RZ-A tunneln.
Quick-Check
Unterschied zu VLAN?
Skalierung (16 Mio vs 4096). Und Routing: VLANs brauchen Layer-2-Verbindung zwischen Switches. VXLAN braucht nur Layer-3 (IP), kann also übers Internet oder WAN geroutet werden.Flooding?
Wie findet Switch A den Switch B? VXLAN nutzt oft Multicast (eine Nachricht an alle: "Wer hat MAC X?"), um Ziele zu lernen. In der Cloud nutzt man oft einen Controller (BGP/EVPN), der das Wissen verteilt, um Flooding zu vermeiden.GENEVE?
Der Nachfolger von VXLAN. Noch flexibler, erlaubt mehr Metadaten im Header. Wird von AWS und VMware gepusht.