VXLAN (Virtual Extensible LAN, RFC 7348) kapselt Ethernet-Frames in UDP-Pakete und hebt damit die 4094-VLAN-Grenze auf: Jeder Mandant erhält eine eigene Overlay-Netzwerk-ID (VNI, 24 Bit). Die Konzepte erklärt der Artikel VXLAN; hier folgen die konkreten Kommandos für Linux und Cisco NX-OS.

Linux (iproute2)

Der Linux-Kernel kann VXLAN nativ: Ein VXLAN-Interface wird mit ip link add vom Typ vxlan angelegt. Das einfachste Modell verbindet zwei Hosts Punkt-zu-Punkt:

ip link add vxlan100 type vxlan id 100 dstport 4789 
    local 10.0.0.1 remote 10.0.0.2 dev eth0
ip link set vxlan100 up
ip addr add 10.10.0.1/24 dev vxlan100

id setzt die VNI (1-16777215), dstport 4789 den Standard-UDP-Port (IANA), remote den entfernten VTEP und dev das Underlay-Interface. Für mehrere Mandanten oder dynamisches MAC-Lernen hängt man das VXLAN-Interface an eine Linux-Bridge — der Bridge-Port lernt dann die MAC-Adressen wie bei einem normalen Switch:

ip link add br0 type bridge
ip link set br0 up
ip link set vxlan100 master br0        # VXLAN-Port der Bridge
bridge fdb append 00:00:00:00:00:00 dev vxlan100 dst 10.0.0.2

Die FDB-Zeile mit der All-Zero-MAC ist der Flood-Eintrag: Unbekannte Unicast-, Broadcast- und Multicast-Frames gehen an den entfernten VTEP. Anzeige und Diagnose:

ip -d link show vxlan100    # Konfiguration inkl. VNI, Port, Modus
ip link show master br0     # FDB-Einträge des Bridge-Ports
bridge fdb show dev vxlan100

Cisco NX-OS

Auf Nexus-Switches aktiviert man das Overlay-Feature und bildet VLANs auf VNIs ab. Die folgende Variante nutzt die statische Ingress-Replication ohne EVPN-Control-Plane:

feature nv overlay
feature vn-segment-vlan-based
vlan 100
  vn-segment 10100          # VNI zum VLAN 100
interface nve1              # Network Virtualization Edge
  source-interface loopback0
  member vni 10100
    ingress-replication protocol static
    peer-ip 10.0.0.2        # Remote-VTEP manuell eintragen

Die NVE-Schnittstelle ist die VTEP-Konfiguration auf NX-OS; jede VNI wird dort als Member mit ihrer Replikationsart (statisch, Multicast oder BGP) aufgeführt. Wichtige Anzeigen:

show vxlan vni             # VNI-Tabelle: VLAN, VNI, Zustand
show nve interface          # VTEP-Status, Source-Interface
show mac address-table vni 10100   # gelernte MACs im Overlay

In Rechenzentren wird die Control-Plane fast immer durch EVPN-Befehle ersetzt — der Klassiker über MPLS bleibt VPLS.

Verwandte Grundlagen: VXLAN (Konzept), EVPN (BGP-Steuerung), Ethernet-Frame als gekapselte Einheit und Bash-Befehle für die Linux-Werkzeuge.

Hot Standby Router Protocol (HSRP) ist Ciscos proprietäres Verfahren für einen redundanten Gateway: Ein Router ist Active, der zweite Standby, beide teilen sich eine virtuelle IP. Dieses Protokoll wird mit den standby-Befehlen direkt im Interface eingerichtet. Die Grundlagen erklärt der Artikel HSRP.

Grundkonfiguration

interface GigabitEthernet0/1
 ip address 192.168.1.1 255.255.255.0
 standby 1 ip 192.168.1.254    # virtuelle IP der Gruppe 1
 standby 1 priority 110        # 1-255, Standard 100; hoeher = Active
 standby 1 preempt             # Active-Uebernahme nach Erholung
 standby 1 track GigabitEthernet0/0 20
 standby 1 authentication md5 key-string geheim

Der zweite Router nutzt dieselbe Gruppen- und virtuelle IP mit niedrigerer Priorität. Ohne preempt bleibt der ursprüngliche Active-Router nach einem Failover dauerhaft Backup — preempt ist bei HSRP standardmäßig aus, anders als bei VRRP. track senkt die Priorität um den angegebenen Wert, wenn das verfolgte Interface (etwa die WAN-Strecke) ausfällt.

Version 2 und IPv6

HSRP Version 2 wird global aktiviert und erweitert die Gruppen von 0-255 auf 0-4095; nur sie beherrscht IPv6:

standby version 2
interface GigabitEthernet0/1
 standby 1 ipv6 fe80::1        # virtuelle IPv6-Adresse
 standby 1 priority 110
 standby 1 preempt

Die virtuelle MAC-Adresse lautet bei v1 0000.0c07.acXX (XX = Gruppe), bei v2 0000.0c9f.fXXX.

Anzeige und Diagnose

show standby brief     # kompakte Uebersicht: Interface, Gruppe, Prio, State
show standby           # Details inkl. virtueller MAC und Timer
debug standby          # Protokoll-Ereignisse live verfolgen

In show standby brief markiert ein P in der Prio-Spalte, dass Preempt konfiguriert ist.

Verwandte Grundlagen: VRRP-Befehle (offener Standard), GLBP-Befehle (aktiv-aktiv mit Lastverteilung), FHRP als Oberbegriff.

Gateway Load Balancing Protocol (GLBP) ist Ciscos Erweiterung der Gateway-Redundanz ins Aktiv-Aktiv-Modell: Statt eines passiven Standby-Routers verteilt ein Active Virtual Gateway (AVG) den Datenverkehr auf bis zu vier Active Virtual Forwarder (AVF), die gleichzeitig aktiv sind. Die Grundlagen liefert der Artikel GLBP, hier folgen die Kommandos.

Grundkonfiguration

interface GigabitEthernet0/1
 ip address 192.168.1.1 255.255.255.0
 glbp 1 ip 192.168.1.254    # virtuelle IP der Gruppe 1
 glbp 1 priority 110        # entscheidet ueber die AVG-Wahl
 glbp 1 preempt             # AVG-Uebernahme nach Erholung
 glbp 1 load-balancing round-robin   # Standard: round-robin

Der zweite Router erhält dieselbe Gruppen- und virtuelle IP mit niedrigerer Priorität. Weil jeder AVF eine eigene virtuelle MAC-Adresse besitzt, kann GLBP Antworten auf ARP-Anfragen im Wechsel (round-robin), gewichtet oder abhängig vom anfragenden Host (host-dependent) vergeben:

glbp 1 load-balancing weighted
glbp 1 weighting 120 lower 10 upper 110   # Gewicht mit Schwellen
glbp 1 weighting track GigabitEthernet0/0 30

Fällt ein Interface aus, senkt track das Gewicht; unterschreitet es die untere Schwelle, verliert der Router seine AVF-Rolle und der AVG verteilt dessen Last neu.

Weitere Optionen

glbp 1 timers 3 10          # Hello-/Hold-Timer in Sekunden
glbp 1 authentication md5 key-string geheim
glbp 1 preempt delay minimum 60   # Wartezeit vor Uebernahme

Die Gruppennummer gehört bei GLBP immer zum Befehl — ein nacktes glbp preempt ohne Nummer ist ungültige Syntax und wird verworfen.

Anzeige und Diagnose

show glbp brief    # je Gruppe: AVG/AVF-Zustand, virtuelle MACs
show glbp          # Details zu Gruppe, Gewichten und Load-Balancing
debug glbp         # Protokoll-Ereignisse

Verwandte Grundlagen: VRRP-Befehle und HSRP-Befehle (beide Aktiv-Standby), FHRP als Oberbegriff, Load-Balancer als verwandtes Konzept.

Das Virtual Router Redundancy Protocol (VRRP) stellt einen virtuellen Gateway mit fester IP und MAC-Adresse bereit; ein Router ist Master, die übrigen warten als Backup. Dieser Artikel zeigt die konkreten Kommandos für die drei häufigsten Umgebungen: Linux mit keepalived, Cisco IOS und MikroTik RouterOS. Die Konzepte dahinter erklärt der Artikel VRRP.

keepalived (Linux)

keepalived ist die verbreitetste VRRP-Implementierung für Linux. Die Konfiguration steht in /etc/keepalived/keepalived.conf:

global_defs {
    router_id LVS_DEVEL
}
vrrp_instance VIP1 {
    state MASTER            # MASTER oder BACKUP
    interface eth0          # Netzwerk-Interface
    virtual_router_id 55    # VRID 1-255, muss im LAN einheitlich sein
    priority 150            # hoeher = Master (255 = IP-Inhaber)
    advert_int 1            # Werbe-Intervall in Sekunden
    authentication {
        auth_type PASS      # einfaches Passwort
        auth_pass geheim    # gleiches Passwort auf allen Knoten
    }
    virtual_ipaddress {
        192.168.1.254/24    # die virtuelle IP (VIP)
    }
    track_script {
        check_apiserver     # optional: Health-Check-Skript
    }
}

Das Skript check_apiserver wird in einem vrrp_script-Block definiert; liefert es keinen Erfolg zurück, senkt keepalived die Priorität und der Backup-Knoten übernimmt. Aktiviert wird der Dienst mit systemctl enable --now keepalived, der Status lässt sich mit systemctl status keepalived und ip addr show eth0 (erscheint die VIP?) prüfen. Ohne VRRP-Konzept-Wissen helfen die Details im Artikel VRRP.

Cisco IOS

Auf Cisco-Geräten wird VRRP direkt im Interface konfiguriert:

interface GigabitEthernet0/1
 ip address 192.168.1.1 255.255.255.0
 vrrp 1 ip 192.168.1.254     # virtuelle Adresse der Gruppe 1
 vrrp 1 priority 110         # 1-255, Standard 100
 vrrp 1 preempt              # Wiederuebernahme bei hoeherer Prioritaet
 vrrp 1 track GigabitEthernet0/0 20   # Prioritaet -20 bei Ausfall
 vrrp 1 authentication geheim

Der zweite Router erhält dieselbe Gruppe mit niedrigerer Priorität (z. B. 100). Anzeige und Diagnose: show vrrp brief zeigt je Interface Gruppe, Priorität und Zustand (Master/Backup), show vrrp die Details, debug vrrp die Protokollereignisse.

MikroTik RouterOS

RouterOS kennt VRRP als Interface-Typ, seit Version 6 unter /interface vrrp, in Version 7 unter /interface/vrrp:

/interface vrrp add interface=bridge1 vrid=55 priority=150     interval=1 version=3 authentication=yes password=geheim     name=vrrp1
/ip address add address=192.168.1.254/24 interface=vrrp1

Der Backup-Router erhält dieselbe VRID mit niedrigerer Priorität. Status: /interface vrrp print und /interface vrrp monitor vrrp1 once (zeigt Master-/Backup-Zustand). Version 3 beherrscht auch IPv6.

Verwandte Grundlagen: HSRP-Befehle (Cisco-eigene Alternative), GLBP-Befehle (aktive Lastverteilung), FHRP als Oberbegriff und Failover als Ziel.