Netzwerk & WAN
VXLAN
VXLAN (Virtual Extensible LAN) transportiert Layer-2-Netze als Tunnel über ein Layer-3-Netz und ermöglicht so skalierbare, mandantenfähige Netz-Overlays.
- Rund 16 Mio. Segmente (24-Bit-VNI)
- MAC-in-UDP (Port 4789)
- Spine-Leaf-Fabric
- BGP-EVPN-Steuerebene
- Layer 2 über Layer 3
VXLAN (Virtual Extensible LAN) transportiert Layer-2-Segmente als Tunnel über ein geroutetes Layer-3-Netz. Dazu kapselt es komplette Ethernet-Frames in UDP (MAC-in-UDP) und überwindet so die Grenze klassischer VLANs (rund 4096) und die Bindung an ein flaches L2-Netz.
Dieser Artikel erklärt die Kapselung mit VNI und VTEP, die zwei Steuerebenen Flood-and-Learn und BGP-EVPN, den Aufbau einer Spine-Leaf-Fabric, den unverzichtbaren Umgang mit MTU und Overhead, die L2- und L3-Dienste über EVPN samt verteiltem Anycast-Gateway und die typischen Fallstricke beim Betrieb eines Overlays.
1. Was VXLAN löst
Klassische VLANs nach IEEE 802.1Q haben ein 12-Bit-Tag und damit maximal 4094 nutzbare Segmente, zu wenig für mandantenfähige Rechenzentren mit vielen Kunden. Außerdem enden VLANs an der Routing-Grenze. VXLAN hebt beides auf: Es spannt L2-Segmente über beliebige L3-Strecken und vergibt deutlich mehr Segment-Kennungen, sodass sich Mandanten sauber trennen lassen, auch mit überlappenden Adress- und MAC-Bereichen.
2. Kapselung: VNI und VTEP
VXLAN packt den Ethernet-Frame in einen VXLAN-Header, UDP (Zielport 4789), IP und einen äußeren Ethernet-Header. Das VNI (VXLAN Network Identifier) ist 24 Bit breit und erlaubt rund 16 Millionen isolierte Segmente. Die Tunnel terminiert ein VTEP (VXLAN Tunnel Endpoint), der kapselt und entkapselt; das kann ein Switch (Hardware-VTEP im ASIC) oder ein Hypervisor sein.
Ein wichtiges Detail für die Lastverteilung: Der UDP-Quellport wird aus den inneren Paketfeldern gehasht. Dadurch sehen die ECMP-fähigen Spines pro Verkehrsfluss unterschiedliche Werte und verteilen die Last sauber auf parallele Pfade, ohne Pakete eines Flusses umzuordnen.
3. Steuerebene: Flood-and-Learn oder BGP-EVPN
In der ursprünglichen VXLAN-Spezifikation (RFC 7348) lernen die VTEPs MAC-Adressen nur im Datenpfad. Den BUM-Verkehr (Broadcast, unbekannter Unicast, Multicast) verteilen sie über IP-Multicast im Underlay oder über Head-End-Replication (Kopien an jeden VTEP). Beides erzeugt viel Flutverkehr und kennt kein zentrales MAC-Verzeichnis.
Der moderne Weg ist eine BGP-EVPN-Steuerebene (RFC 8365 auf Basis von RFC 7432): MAC- und IP-Adressen werden per BGP verteilt statt im Datenpfad geflutet. Das ermöglicht ARP-Suppression (lokale ARP-Antworten ohne Flooding), schnelle Konvergenz und Multihoming. Für Produktionsfabriken ist EVPN heute die Empfehlung; reines Flood-and-Learn gilt als überholt.
4. Spine-Leaf-Fabric
Die typische Topologie ist eine Spine-Leaf-Fabric: Die Leaf-Switches sind die VTEPs und tragen das Overlay, die Spines routen nur IP im Underlay und wissen von VXLAN nichts. Das Underlay braucht lediglich IP-Erreichbarkeit aller VTEP-Loopbacks und nutzt dafür ein Routing-Protokoll wie OSPF, IS-IS oder eBGP. Moderne Switches führen Kapselung und Entkapselung vollständig im ASIC aus, also ohne CPU-Last bei Leitungsgeschwindigkeit.
Cisco NX-OS: L2VNI über BGP-EVPN (Auszug)
vlan 100
vn-segment 10100
!
interface nve1
source-interface loopback0
host-reachability protocol bgp
member vni 10100
ingress-replication protocol bgp5. MTU und Overhead
Die Kapselung kostet Platz, das ist der häufigste Stolperstein. Über IPv4 kommen rund 50 Byte Tunnel-Overhead hinzu, über IPv6 rund 70 Byte:
| Header | IPv4-Underlay | IPv6-Underlay |
|---|---|---|
| VXLAN | 8 Byte | 8 Byte |
| UDP | 8 Byte | 8 Byte |
| IP (äußerer) | 20 Byte | 40 Byte |
| Ethernet (äußerer) | 14 Byte | 14 Byte |
| Summe Overhead | 50 Byte | 70 Byte |
6. Warum das Underlay eine größere MTU braucht
Bei Standard-MTU 1500 im Underlay schrumpft die nutzbare innere MTU auf 1450 Byte (IPv4) bzw. 1430 Byte (IPv6). Pakete nahe 1500 Byte gehen dann still verloren. Es gibt zwei saubere Wege: entweder das gesamte Underlay auf Jumbo Frames (MTU 9000, mindestens aber 1600) anheben, damit Tenant-Schnittstellen weiterhin volle 1500 Byte ohne Fragmentierung bedienen, oder die Tenant-MTU bewusst absenken. In der Praxis ist die größere Underlay-MTU der verbreitete Weg. Prüfen lässt sich das per Ping mit gesetztem DF-Bit und steigender Paketgröße.
7. L2- und L3-Dienste über EVPN
Über EVPN trägt VXLAN sowohl Bridging als auch Routing: Ein L2VNI bildet ein Broadcast-Segment innerhalb eines Mandanten ab, ein L3VNI trägt den gerouteten Verkehr zwischen Subnetzen eines Mandanten (symmetrisches IRB, beide Leafs routen und bridgen). Mit dem verteilten Anycast-Gateway tragen alle Leafs dieselbe Gateway-IP und -MAC; der jeweils nächste Leaf routet direkt, ein zentrales Gateway als Engpass entfällt und VM-Umzüge bleiben transparent. Für die Kopplung mehrerer Rechenzentren (DCI) lässt sich EVPN-VXLAN über definierte Gateways strecken.
8. Typische Fallstricke
- MTU zuerst fehlende Jumbo Frames im Underlay sind der Fehler Nummer eins und führen zu stillem Paketverlust nahe 1500 Byte.
- Multicast oder EVPN für BUM Multicast-Underlay senkt die Replikationslast an den sendenden VTEPs, führt aber PIM-Betrieb und Gruppen-Zustand ein; EVPN mit Ingress-Replication vermeidet Multicast, belastet bei großen Fabrics aber die sendenden VTEPs. Moderne Deployments bevorzugen oft EVPN ohne Multicast. EVPN reduziert BUM stark, eliminiert es aber nicht.
- VTEP-Skalierung Anzahl unterstützter VNIs und Remote-VTEPs ist ASIC-abhängig und muss zur Fabric-Größe passen.
- Sichtbarkeit im Overlay Firewalls und IDS/IPS müssen VXLAN-gekapselte Pakete auswerten können; Fehlersuche erfordert Blick auf Underlay und Overlay zugleich.
9. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Rund 16 Mio. Segmente statt 4094 VLANs | Rund 50 bis 70 Byte Overhead pro Frame |
| Nur IP-Konnektivität im Underlay nötig, kein MPLS, kein STP | Jumbo Frames im Underlay faktisch zwingend, sonst stiller Verlust |
| Transparente VM-Mobilität über L3-Grenzen | Overlay plus Underlay erfordern Know-how auf beiden Ebenen |
| ECMP-Lastverteilung über UDP-Quellport-Entropy | EVPN mit L2VNI/L3VNI/Anycast-Gateway ist konfigurationsintensiv |
| Saubere Mandantentrennung, ARP-Suppression über EVPN | Gekapselter Verkehr erschwert Security-Inspektion und Debugging |
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
VXLAN im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.