Eén netwerk over meerdere datacenters — het klinkt simpel, en met een wavelength of Ethernet-lijntje tussen twee sites kóm je er ook. Maar zodra het er drie of meer worden, of je wilt redundante paden, loopt klassiek Layer 2 tegen zijn eigen ontwerp aan. EVPN-VXLAN is het antwoord dat de netwerkwereld daarop heeft gestandaardiseerd — en de techniek waarop wij onze eigen multipoint L2-diensten leveren.
Waarom klassiek L2 over WAN kraakt
Ethernet is ontworpen voor één kabel, niet voor een land. Rek je een klassiek L2-domein op over meerdere locaties, dan neem je de zwaktes mee:
- Spanning tree — redundante paden worden geblokkeerd in plaats van gebruikt. Van je dure dubbele verbinding staat er dus één werkloos te wachten, en een topologiewijziging laat het hele domein even stilvallen.
- Flood-and-learn — een switch die een MAC-adres niet kent, stuurt het frame overal heen. Over een WAN-verbinding is dat flooding op zijn duurst, en een broadcaststorm op één site trekt álle sites omver.
- Schaal — 4096 VLAN's klinkt ruim, tot je als dienstverlener meerdere klanten met elk hun eigen VLAN-reeksen over dezelfde infrastructuur moet vervoeren.
VXLAN: het dataplane
VXLAN lost het transportprobleem op met een simpel idee: stop het Ethernet-frame in een UDP-pakket en verstuur het over een gewoon gerouteerd IP-netwerk. De apparaten die in- en uitpakken heten VTEP's (VXLAN Tunnel Endpoints); het onderliggende netwerk — de underlay — ziet alleen IP-verkeer.
Dat heeft twee grote gevolgen. Ten eerste: de underlay blijft gerouteerd, dus alle paden zijn actief (ECMP) en failover is een routeringskwestie in plaats van een spanning-tree-gebeurtenis. Ten tweede: het segment-ID (VNI) is 24 bits — ruim 16 miljoen gescheiden netwerken in plaats van 4096 VLAN's. Elke klant krijgt zijn eigen VNI's; verkeer van verschillende klanten raakt elkaar nooit.
EVPN: het controlplane
VXLAN zegt alleen hoe frames worden vervoerd — niet wie waar zit. Zonder meer intelligentie val je alsnog terug op flood-and-learn, maar dan in tunnels. Daar komt EVPN binnen: een BGP-adresfamilie (RFC 7432, met VXLAN als dataplane in RFC 8365) die MAC-adressen — en de bijbehorende IP's — als routes verspreidt.
Elke VTEP adverteert via BGP welke MAC-adressen achter hem leven. Het resultaat:
- Geen flooding om te leren — elke VTEP wéét waar een adres zit voordat het eerste frame vertrekt, en beantwoordt ARP-verzoeken lokaal (ARP-suppressie);
- Actief-actief multihoming — een klantaansluiting op twee switches tegelijk (ESI), met beide poorten in gebruik in plaats van één op standby;
- Snelle convergentie — valt een VTEP of link weg, dan trekt BGP alle bijbehorende adressen in één klap terug (mass withdrawal) en routeert de rest eromheen — geen minutenlang uitgevallen domein maar sub-seconde herstel, zeker in combinatie met BFD.
Dat EVPN gewoon BGP is, is geen detail: het is hetzelfde protocol dat het internet aan elkaar knoopt — beproefd, schaalbaar en met beleid te sturen.
Oud en nieuw naast elkaar
| Klassiek L2 / VPLS | EVPN-VXLAN | |
|---|---|---|
| Redundante paden | geblokkeerd (spanning tree) | allemaal actief (ECMP) |
| MAC-adressen leren | flood-and-learn | via BGP geadverteerd |
| Multihoming | actief-passief | actief-actief (ESI) |
| Segmenten | 4096 VLAN's | 16,7 miljoen VNI's |
| Herstel na storing | topologie-herberekening | route-withdrawal, sub-seconde |
Eén standaard — met bij elke vendor een staartje
EVPN-VXLAN is bewust géén vendortruc: het is een open IETF-standaard die vrijwel elke fabrikant implementeert. Dat is de kracht — je ontwerp is niet getrouwd met één leverancier en de kennis is overdraagbaar.
Maar wie er in de praktijk mee werkt, weet: elke vendor breit er een eigen staartje aan. Subtiele verschillen in hoe multihoming (ESI) is uitgewerkt, welke defaults en route-afleidingen worden gehanteerd, hoe routing tussen segmenten (IRB) precies loopt. Binnen één ecosysteem klikt alles naadloos in elkaar; apparatuur van verschillende vendors in één fabric aan elkaar knopen is níet zomaar plug-and-play — dat vraagt om per feature testen wat er écht interoperabel is. In de praktijk ontwerp je een fabric daarom binnen één vendor-domein, met de open standaard als garantie dat je er later zonder herontwerp uit kunt.
Hoe wij het draaien
Ons netwerk tussen de Nederlandse datacenters is zo'n EVPN-VXLAN-fabric: de underlay is ons eigen gerouteerde netwerk over eigen belichte dark fiber, en de fabric draait op apparatuur die wij zelf operationeel beheren. Neem je bij ons een EVPN-dienst af, dan krijg je daar een eigen, strikt gescheiden segment op: twee, drie of meer datacenters die zich gedragen als één LAN — met alle paden actief en automatisch herstel bij storingen.
En het mooie voor jou: van al het bovenstaande merk je níets. De handoff is gewoon Ethernet op 1 tot 100 gigabit, jij houdt je eigen VLAN's en IP-plan, en de fabric doet de rest.