Redes de Virtualização por Sobreposição VXLAN, NVGRE e STT

1. Redes de Virtualização por Sobreposição VXLAN, NVGRE e STT Guilherme S. Sengès Igor D. Alvarenga Julio C. E. Moreira

2. 1. Redes nos Data Centers • Infraestrutura de servidores custa caro • Aluguel de máquinas virtuais é uma boa alternativa • Expansão do mercado consumidor • Do pequeno ao grande • Centenas de milhares de inquilinos Imagem: http://gunnertech.com/2011/12/what-is-aws-amazon-web-services/

3. a. Limitações do STP • Garantia de não existência de ciclos inutiliza vários caminhos existentes em uma rede • Operadores de Data Centers criticam o desperdício • Impossibilidade de múltiplos caminhos • Saturação dos links

4. b. Limitações da VLAN • Campo de identificação de uma VLAN de apenas 12 bits • 4096 VLANs é insuficiente • Cada inquilino utiliza várias VMs através de um ID VLAN

5. 2. Propostas Gerais para Solução • Questões cobertas pelos protocolos • Gerência de endereços sobrepostos entre diversos inquilinos. • Desacoplamento entre rede virtual e rede física • Mobilidade da máquina virtual • Suporte a um número "ilimitado" de redes virtuais • Endereçamento das redes virtuais é isolado da rede física • Tamanho das tabelas é reduzido

6. 3. Os Protocolos

7. a. VXLAN Disponível em:http://www.cisco.com/en/US/prod/collateral/switches/ps9441/ps9902/white_paper_c11-685115.html

8. a. VXLAN - VTEP • VTEP - VXLAN Tunnel Endpoint (extremidade do túnel VXLAN) • VNI - VXLAN Network Identifier (Identificador de Rede VXLAN) Disponível em:http://codingrelic.geekhold.com/2011/09/care-and-feeding-of-vxlan.html

9. Quadro VXLAN Disponível em:http://www.borgcube.com/blogs/2011/11/vxlan-primer-part-1/ Cabeçalho Ethernet • Outer Destination MAC Address • Local - MAC do VTEP de destino • Outra rede L3 - dispositivo do próximo salto, geralmente um roteador. • VLAN - Opcional. EtherType de 0x8100, associado a etiqueta VLAN ID. • Ethertype - Definido por 0x0800 - IPv4. Não inclui implementação IPv6.

10. Quadro VXLAN Cabeçalho IP • Protocol (Protocolo) - Definido como 0x11- pacote UDP. • Outer Source Address (IP de origem) - Endereço IP do VTEP de origem. • Outer Destination Adress (IP de destino) - Endereço IP do VTEP de destino. Se não conhecido, realizar processo de detecção: • IP de destino é substituído pelo grupo de IP multicast da VNI da VM de origem. • Todos os VTEPs recebem o quadro e desencapsulam, obtendo o mapeamento do MAC da VM de origem e o host VTEP. • Host VTEP da VM de destino envia respostas das máquinas virtuais ao VTEP de origem usando o endereço IP. • VTEP de origem acrescenta em suas tabelas o mapeamento do VTEP até o MAC da VM.

11. Quadro VXLAN Cabeçalho UDP • Source Port (Porta de Origem) - Definido pelo VTEP transmissor. • VXLAN Port (Porta VXLAN) - IANA - Internet Assigned Numbers Authority (Autoridade para Atribuição de Números da Internet) - atribuído à porta VXLAN. Ainda não definido. • UDP Checksum (Soma de Verificação UDP) - Definido como 0x0000. VTEP receptor deve verificar o checksum e, se não estiver correto, o quadro deve ser descartado. Cabeçalho VXLAN • VNI - Campo de 24 bits - identificador da Rede VXLAN. • Reserved (Reservado) - 24 bits e 8 bits reservados e definidos como zero.

12. Exemplo VXLAN Disponível em:http://www.borgcube.com/blogs/2011/11/vxlan-primer-part-1/

13. b. NVGRE Proposto por Microsoft, Arista Networks, Intel, Dell, Hewlett-Packard, Broadcom e Emulex; Tunelamento através do protocolo GRE (RFC2784 e RFC2890); Introdução de um identificador de sub-rede virtual (VSID) de 24 bits e um opcional de fluxo (FlowID) de 8 bits; Usa multicast IP sobre a rede física para prover broadcast e multicast para rede virtual; Prevê a extensão de de sub-redes entre diferentes instalações através do uso de VPN; Ainda não especifica o tratameto de fragmentação (ponto futuro).

14. b. NVGRE

15. b. NVGRE – Quadro

16. b. NVGRE – Quadro GRE Original GRE para NVGRE

17. b. NVGRE – Quadro • Não deve • haver VLAN

18. b. NVGRE – VPN

19. c. STT • Elo virtual Ethernet ponto-a-ponto • Exemplificado por Switches virtuais • Semelhanças com TCP/IP • Não há estado da conexão

20. c. STT

21. c. STT • Encapsulamento da carga • Carga pode conter outro cabeçalho TCP • TSO (TCP Segmentation Offload) • Diferencial na segmentação • Presentes em muitas placas de rede

22. c. STT Até 64 KB

23. c. STT Apresenta diferenças ! Até 64 KB

24. c. STT • Cabeçalho de quadro STT

25. c. STT • Versão do protocolo STT • Versão 0

26. c. STT • Flags • Características dos dados encapsulados Integridade verificada Não utilizados Encapsulado é um pacote TCP Versão do IP Integridade cabeçalhos TCP e IP

27. c. STT • L4 Offset • Distância entre cabeçalho STT e cabeçalho encapsulado • TCP ou UDP • Rapidez para leitura da carga

28. c. STT • Reserved • Ignorado pelo receptor • Bits em zero

29. c. STT • Tamanho máximo de segmento • Tamanho de segmento TCP • Usado por uma terminação do túnel para envio em outra rede

30. c. STT • PCP • Prioridade deste pacote no envio para outra rede

31. c. STT • Validade dos campos PCP e VLAN ID

32. c. STT • VLAN ID • Identificação da VLAN de destino aplicada pela terminação de túnel

33. c. STT • Context ID • Contexto pode possuir diferentes atribuições • Inquilino • VM

34. c. STT • Cabeçalho TCP • Diferentes interpretações

35. c. STT • Número de Sequência • Primeiros 16 bits • Tamanho do quadro STT • Últimos 16 bits • Deslocamento do segmento STT

36. c. STT • Número de confirmação (ACK) • Identificador para fragmentação • Mesma identificação para um quadro STT

37. c. STT • Perda de pacotes • Não há controle de correção • Cabeçalho TCP encapsulado pelo STT será responsável

38. c. STT • Segurança • Mecanismos de segurança para datagramas IP • Necessário ajustes no firewall para o aceite de pacotes STT • Sem estado de da conexão não há ataques por enchente de SYNs Imagem retirada de: http://pt.kioskea.net/faq/12083-o-que-e-um-firewall-como-funciona

39. 4. Considerações Finais • Muitas semelhanças entre os protocolos • Representam interesses de empresas distintas

40. 5. Perguntas 1) Quais são as duas principais limitações empregadas pelo uso do STP (Spanning Tree Protocol) na camada 2 da rede em sistemas com diversos inquilinos?

41. 5. Perguntas Resposta Em sistemas com diversos inquilinos, o corte alguns possíveis caminhos para evitar ciclos acarreta o desperdício de links que custam dinheiro e subutilizam a capacidade real da rede. Outra limitação expressiva é a incapacidade do uso de múltiplos caminhos para atingir um mesmo destino, assim não há como realizar o balanceamento de carga.

42. 5. Perguntas 2) Qual o motivo principal para o surgimento de protocolos como o VXLAN, o NVGRE e o STT em relação ao VLAN para sistemas com muitos inquilinos?

43. 5. Perguntas Resposta A ocorrência de centenas de milhares de inquilinos torna insuficiente o número de identificações disponíveis para segmentos de redes virtuais - destinados a um inquilino - em uma VLAN.

44. 5. Perguntas 3) Qual o objetivo principal de uma VXLAN?

45. 5. Perguntas Resposta Conectar duas ou mais redes de camada 3 fazendo com que elas operem como se estivessem conectadas em uma rede da camada 2, ou seja, cada uma faz parte da sua própria rede, mas “dentro” do mesmo domínio.

46. 5. Perguntas 4) Por qual motivo o protocolo STT defende a idéia de que seu desempenho é melhor do que os demais existentes?

47. 5. Perguntas Resposta O motivo principal do ganho em desempenho do STT está no uso do TSO (TCP Segmentation Offload) implementado por várias NICs (Network Interface Cards). Essa tecnologia permite a entrega de extensos quadros STT a placa de interface de rede, realizando a segmentação de acordo com o MSS (Maximum Segment Size) especificado pelos metadados do cabeçalho STT.

48. 5. Perguntas 5) Como é proposta a realização de multicaste broadcast na rede virtual pelo protocolo NVGRE?

49. 5. Perguntas Resposta É feita a associação de cada VSID com um endereço multicast de escopo administrativo. Desta forma, todo tráfego multicast e broadcast será encaminhado por uma rede multicast na qual estarão inscritos todos os NVEs que possuam CAs associadas à sub-rede correspondente.

50. 6. Referências [1] M. Mahalingam, D. Dutt, K. Duda, Arista, P. Agarwal, Broadcom, L. Kreeger, Cisco, T. Sridhar, VMware, M. Bursell, Citrix, C. Wright, RedHat. VXLAN: A framework for overlayingvirtualizedlayer 2 networks over layer 3 networks. Internet-Drafts, 2012. [2] M. Sridharan, A. Greenberg, N. Venkataramiah, Y. Wang, Microsoft, K. Duda, Arista Networks, I. Ganga, Intel, G. Lin, Dell, M. Pearson, Hewlett-Packard, P. Thaler, Broadcom, C. Tumuluri, Emulex. Nvgre: Network virtualizationusinggenericroutingencapsulation. Internet-Drafts, 2012. [3] B. Davie, J. Gross, VMware. A statelesstransporttunnelingprotocol for network virtualization. Internet-Drafts, 2012. [4] L. Yong, X. Xu, Huawei. NVGRE and VXLAN Encapsulation for L3VPN Extension. Internet-Drafts, 2012. [5] BalajiVenkatVenkataswami , BhargavBhikkaji , DELL-Force10. VM to VTEP mapstopologydiscovery in VXLAN based data centers. Internet-Drafts, 2012.