VXLAN (Virtual eXtensible LAN) ist eine Overlay-Technik, die Ethernet-Frames in UDP/IP-Pakete verkapselt und so logische Layer-2-Netze über beliebige IP-Netze spannt. Der Standard steht im RFC 7348.
Das Problem: die VLAN-Grenze
Klassische VLANs nach IEEE 802.1Q besitzen nur eine 12-Bit-Kennung und erlauben damit höchstens 4.094 Segmente. In großen Rechenzentren und Cloud-Umgebungen mit vielen Mandanten reicht das nicht. VXLAN ersetzt die VLAN-ID durch einen 24-Bit-VNI (VXLAN Network Identifier) und bietet so rund 16,7 Millionen isolierte Overlay-Netze.
MAC-in-UDP: So funktioniert die Kapselung
Ein VTEP (VXLAN Tunnel Endpoint) — eine Funktion auf dem Switch oder im Hypervisor — nimmt den Ethernet-Frame eines lokalen Netzwerks entgegen, ergänzt einen VXLAN-Header mit dem VNI und verpackt alles in ein UDP-Datagramm an Port 4789. Am Ziel-VTEP wird der originale Frame wieder ausgepackt und an den Ziel-Host zugestellt. Das Netzwerkpaket reist also unsichtbar durch das physische IP-Netz.
Warum Overlay? Mobilität und Mandanten-Trennung
Weil die Overlay-Netze unabhängig von der physischen Topologie sind, können virtuelle Maschinen über Standorte und Layer-3-Grenzen hinweg umziehen, ohne ihre IP-Adresse zu ändern. Mandanten bleiben strikt getrennt, auch wenn sie dieselbe physische Infrastruktur teilen. Verwandte Bausteine sind IP-Tunnel und Subnetz und CIDR.
VXLAN und BGP EVPN
Die klassische VXLAN-Variante lernt MAC-Adressen per Flooding. Der De-facto-Standard in modernen Leaf-Spine-Rechenzentren ist dagegen VXLAN mit BGP EVPN: BGP verteilt die MAC- und IP-Adressinformationen zwischen den VTEPs, wodurch unnötiges Flooding entfällt und die Netze auch im großen Maßstab effizient bleiben.
Verwandte Grundlagen: Netzwerkkarte, SDN, BGP.