VXLAN インターフェイスの概要
VXLAN は、VLAN の場合と同じイーサネットレイヤ 2 ネットワークサービスを提供しますが、より優れた拡張性と柔軟性を備えています。VLAN と比較して、VXLAN には次の利点があります。
-
データセンター全体でのマルチテナントセグメントの柔軟な配置。
-
より多くのレイヤ 2 セグメント（最大 1600 万の VXLAN セグメント）に対応するための高度なスケーラビリティ。
ここでは、VXLAN の動作について説明します。VXLAN の詳細については、RFC 7348 を参照してください。
VXLAN カプセル化
VXLAN は、レイヤ 3 ネットワーク上のレイヤ 2 オーバーレイ方式です。VXLAN は、MAC Address-in-User Datagram Protocol（MAC-in-UDP）のカプセル化を使用します。元のレイヤ 2 フレームに VXLAN ヘッダーが追加され、UDP-IP パケットに置かれます。
VXLAN トンネル エンドポイント
VXLAN トンネル エンドポイント（VTEP）デバイスは、VXLAN のカプセル化およびカプセル化解除を実行します。各 VTEP には 2 つのインターフェイス タイプ（セキュリティ ポリシーを適用する VXLAN Network Identifier（VNI）インターフェイスと呼ばれる 1 つ以上の仮想インターフェイスと、 VTEP 間に VNI をトンネリングする VTEP 送信元インターフェイスと呼ばれる通常のインターフェイス）があります。VTEP 送信元インターフェイスは、VTEP 間通信のトランスポート IP ネットワークに接続されます。
次の図に、レイヤ 3 ネットワークで VTEP として機能し、サイト間の VNI 1、2、3 を拡張する 2 つの ASA と仮想サーバ 2 を示します。ASA は、VXLAN と VXLAN 以外のネットワークの間のブリッジまたはゲートウェイとして機能します。
VTEP 間の基盤となる IP ネットワークは、VXLAN オーバーレイに依存しません。カプセル化されたパケットは、発信元 IP アドレスとして開始 VTEP を持ち、宛先 IP アドレスとして終端 VTEP を持っており、外部 IP アドレス ヘッダーに基づいてルーティングされます。宛先 IP アドレスは、リモート VTEP が不明な場合、マルチキャストグループにすることができます。デフォルトでは、 宛先ポートは UDP ポート 4789 です（ユーザ設定可能）。
VTEP 送信元インターフェイス
VTEP 送信元インターフェイスは、すべての VNI インターフェイスに関連付けられる予定の標準の ASA インターフェイス（物理、冗長、EtherChannel、または VLAN）です。ASA/セキュリティ コンテキストごとに 1 つの VTEP 送信元インターフェイスを設定できます。
VTEP 送信元インターフェイスは、VXLAN トラフィック専用にすることができますが、その使用に制限されません。必要に応じて、インターフェイスを通常のトラフィックに使用し、そのトラフィックのインターフェイスにセキュリティ ポリシーを適用できます。ただし、VXLAN トラフィックの場合は、すべてのセキュリティ ポリシーを VNI インターフェイスに適用する必要があります。VTEP インターフェイスは、物理ポートとしてのみ機能します。
トランスペアレント ファイアウォール モードでは、VTEP 送信元インターフェイスは、BVI の一部ではないため、その IP アドレスを設定しません。このインターフェイスは、管理インターフェイスが処理される方法に似ています。
VNI インターフェイス
VNI インターフェイスは VLAN インターフェイスに似ています。VNI インターフェイスは、タギングを使用して特定の物理インターフェイスでのネットワーク トラフィックの分割を維持する仮想インターフェイスです。各VNI インターフェイスにセキュリティ ポリシーを直接適用します。
追加できる VTEP インターフェイスは 1 つだけで、すべての VNI インターフェイスは、同じ VTEP インターフェイスに関連付けられます。
VXLAN パケット処理
VTEP 送信元インターフェイスを出入りするトラフィックは、VXLAN 処理、特にカプセル化または非カプセル化の対象となります。
カプセル化処理には、次のタスクが含まれます。
-
VTEP 送信元インターフェイスにより、VXLAN ヘッダーが含まれている内部 MAC フレームがカプセル化されます。
-
UDP チェックサム フィールドがゼロに設定されます。
-
外部フレームの送信元 IP がVTEP インターフェイスの IP に設定されます。
-
外部フレームの宛先 IP がリモート VTEP IP ルックアップによって決定されます。
カプセル化解除については、次の場合に ASA によって VXLAN パケットのみがカプセル化解除されます。
-
これが、宛先ポートが 4789 に設定された UDP パケットである場合（この値はユーザー設定可能です）。
-
入力インターフェイスが VTEP 送信元インターフェイスである場合。
-
入力インターフェイスの IP アドレスが宛先 IP アドレスと同じになります。
-
VXLAN パケット形式が標準に準拠します。
ピア VTEP
ASA がピア VTEP の背後にあるデバイスにパケットを送信する場合、ASA には次の 2 つの重要な情報が必要です。
-
リモート デバイスの宛先 MAC アドレス
-
ピア VTEP の宛先 IP アドレス
ASA は VNI インターフェイスのリモート VTEP IP アドレスに対する宛先 MAC アドレスのマッピングを維持します。
ASA がこの情報を検出するには 2 つの方法あります。
-
単一のピア VTEP IP アドレスを ASA に静的に設定できます。
手動で複数のピアを定義することはできません。
ASA が VXLAN カプセル化 ARP ブロードキャストを VTEP に送信し、エンド ノードの MAC アドレスを取得します。
-
マルチキャスト グループは、VNI インターフェイスごとに（または VTEP 全体に）設定できます。
ASA は、IP マルチキャスト パケット内の VXLAN カプセル化 ARP ブロードキャスト パケットを VTEP 送信元インターフェイスを経由して送信します。この ARP 要求への応答により、ASA はリモート VTEP の IP アドレスと、リモート エンド ノードの宛先 MAC アドレスの両方を取得することができます。
VXLAN 使用例
ここでは、ASA 上への VXLAN の実装事例について説明します。
VXLAN ブリッジまたはゲートウェイの概要
各 ASA の VTEP は、VM、サーバ、PC、VXLAN のオーバーレイ ネットワークなどのエンドノードの間のブリッジまたはゲートウェイとして機能します。VTEP 送信元インターフェイス経由の VXLAN カプセル化を使用して受信された着信フレームの場合は、ASA が VXLAN ヘッダーを抽出して、内部イーサネット フレームの宛先 MAC アドレスに基づいて非 VXLAN ネットワークに接続された物理インターフェイスにその着信フレームを転送します。
ASA は、常に VXLAN パケットを処理します。未処理の VXLAN パケットを他の 2 つの VTEP 間でそのまま転送しません。
VXLAN ブリッジ
ブリッジグループを使用する場合（トランスペアレント ファイアウォール モードまたは任意ルーテッド モード）、ASA は、同じネットワークに存在する VXLAN セグメント（リモート）とローカル セグメント間の VXLAN ブリッジとして機能できます。この場合、ブリッジグループのメンバーは通常インターフェイス 1 つのメンバーが通常のインターフェイスで、もう 1 つのメンバーが VNI インターフェイスです。
VXLAN ゲートウェイ（ルーテッド モード）
ASA は、VXLAN ドメインと VXLAN 以外のドメインの間のルータとして機能し、異なるネットワーク上のデバイスを接続できます。
VXLAN ドメイン間のルータ
VXLAN 拡張レイヤ 2 ドメインを使用すると、VM は、ASA が同じラックにないとき、あるいは ASA がレイヤ 3 ネットワーク上の離れた場所にあるときに、ゲートウェイとして ASA を指し示すことができます。
このシナリオに関する次の注意事項を参照してください。
-
VM3 から VM1 へのパケットでは、ASA がデフォルト ゲートウェイであるため、宛先 MAC アドレスは ASA の MAC アドレスです。
-
仮想サーバー 2 の VTEP 送信元インターフェイスは、VM3 からパケットを受信してから、VNI 3 の VXLAN タグでパケットをカプセル化して ASA に送信します。
-
ASA は、パケットを受信すると、パケットをカプセル化解除して内部フレームを取得します。
-
ASA は、ルート ルックアップに内部フレームを使用して、宛先が VNI 2 上であることを認識します。VM1 のマッピングがまだない場合、ASA は VNI 2 カプセル化された ARP ブロードキャストを VNI 2 のマルチキャスト グループ IP で送信します。
（注）
このシナリオでは複数の VTEP ピアがあるため、ASA は複数のダイナミック VTEP ピア ディスカバリを使用する必要があります。
-
ASA は VNI 2 の VXLAN タグでパケットを再度カプセル化し、仮想サーバー 1 に送信します。カプセル化の前に、ASA は内部フレームの宛先 MAC アドレスを変更して VM1 の MAC にします（ASA で VM1 の MAC アドレスを取得するためにマルチキャスト カプセル化 ARP が必要な場合があります）。
-
仮想サーバー 1 は、VXLAN パケットを受信すると、パケットをカプセル化解除して内部フレームを VM1 に配信します。
Feedback