VXLAN : Virtual eXtensible Local Area Network
Réseau
VXLAN : Virtual eXtensible Local Area Network. « Réseau local virtuel extensible », par analogie avec des conteneurs maritimes qui transportent des pièces entières d'une maison à l'autre sans que les routes ne sachent ce qu'il y a dedans.
Encapsulation : VXLAN transporte des trames Ethernet dans des datagrammes UDP, ce qui permet d'étendre un réseau de niveau 2 au-dessus d'une infrastructure routée. Les extrémités de tunnel, appelées VTEP (VXLAN Tunnel Endpoint), encapsulent et désencapsulent le trafic.
Échelle : L'identifiant de segment, le VNI (VXLAN Network Identifier), tient sur 24 bits, soit environ seize millions de segments contre environ quatre mille VLAN. Le surcoût d'en-tête, une cinquantaine d'octets en IPv4, impose de relever la MTU du réseau sous-jacent.
Plan de contrôle : À l'origine, les VTEP apprennent les adresses par inondation multicast ; les déploiements actuels préfèrent un plan de contrôle BGP avec EVPN (Ethernet VPN). VXLAN n'apporte aucun chiffrement : il isole les segments comme une cloison japonaise isole une conversation, de manière surtout conventionnelle.
Ce qui arrive si on s'en passe
VXLAN n'apporte ni chiffrement ni authentification des extrémités : sur un réseau sous-jacent qu'un attaquant peut atteindre, un datagramme UDP bien formé envoyé vers un VTEP suffit à injecter une trame dans le segment de son choix, en fixant le VNI, et l'écoute du trafic encapsulé livre tout ce qui y passe. L'isolation entre segments n'existe que tant que personne n'écrit les en-têtes à la main. Oublier de relever la MTU du réseau sous-jacent fait enfin tomber les paquets trop grands, avec des pannes intermittentes qu'on attribue à tout sauf à la cinquantaine d'octets manquante. La cloison japonaise sépare les conversations, surtout pour ceux qui ont la politesse de ne pas écouter.
Explication de la marmotte
Dans un grand centre de serveurs, on veut parfois que des machines éloignées se comportent comme si elles étaient branchées dans la même pièce. Cette technique met les messages de ce petit réseau local dans des enveloppes ordinaires, qui voyagent sur le grand réseau comme n'importe quel courrier. À l'arrivée, on ouvre l'enveloppe et on retrouve le message d'origine. Chaque petit réseau porte un numéro, et il en existe des millions possibles, bien plus qu'avec les anciennes méthodes de séparation.
Où ce terme est utilisé
- MPLS, GMPLS, SD-WAN et overlays opérateurs (6 occurrences)
- Virtualisation réseau, NFV et data planes ouverts (6 occurrences)
- Ethernet, trames et commutation locale (3 occurrences)
- VPN, tunnels, bastions et interconnexions protégées (3 occurrences)
- Conteneurs, Kubernetes, CNI et service mesh (2 occurrences)
- Résolution locale, ICMP, MTU et multicast (2 occurrences)
- Couches, normes et vocabulaire de paquets (1 occurrence)