EVPN小实验：集中式EVPN网关配置

女爷i 2022-10-19 12:58 250阅读 0赞

前面通过四个实验大概了解了一下VXLAN隧道的建立过程，包括二层的头端复制实验、集中式VXLAN网关和分布式VXLAN网关，而使用华为模拟器eNSP做的实验因为模拟器问题没有成功。不过这四个实验都有一个共同点，那就是都是以手工方式进行建立和关联的。

VXLAN隧道的建立方式有两种：

1、手工方式，就是前面实验用到的。手工配置Tunnel接口，并指定隧道的源IP地址和目的IP地址分别为本端和远端VTEP的IP地址。

2、自动方式，一般是通过ENDP（Enhanced Neighbor Discovery Protocol，增强的邻居发现协议）或EVPN（Ethernet Virtual Private Network，以太网虚拟专用网络），发现远端VTEP后，自动在本端和远端VTEP之间建立VXLAN隧道。

而VXLAN隧道与VXLAN关联的方式也有两种：

1、还是手工方式，手工将VXLAN隧道与VXLAN关联起来。

2、自动方式，一般是通过EVPN协议自动关联VXLAN隧道与VXLAN。

可以看到，自动建立VXLAN隧道和自动关联VXLAN隧道都提到了EVPN，关于EVPN，之前也发了两篇RFC文章进行相关介绍，有兴趣的小伙伴可以阅读一下。

今天来操练一下集中式EVPN网关配置小实验。

# 组网需求 #

VSR1、VSR3为与服务器连接的VTEP设备，VSR2为与广域网连接的集中式EVPN网关设备，ISP-VFW为广域网内的三层设备，VSR-RR为RR，负责在路由器之间反射BGP路由。

虚拟机VM1和VM3同属于VXLAN10，VM2和VM4同属于VXLAN 20。相同VXLAN之间可以二层互通，确保虚拟机在站点之间进行迁移时用户的访问流量不会中断；不同VXLAN之间、VXLAN与广域网之间可以通过集中式EVPN网关互通。

## 实验环境 ##

VMWare ESXi 6.7.0（ProLiant DL360 Gen9，48核心，128G内存）

H3C VSR1000（Version 7.1.064, Release 0621P18，4核心，8G内存）

H3C VFW1000（Version 7.1.064, ESS 1171P13，4核心，8G内存)

Windows 7旗舰版（测试用虚拟机，8核心，16G内存）

# 组网图 #

集中式EVPN网关配置组网图，跟之前的组网图依旧很像。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70][]

M地址指远程管理的带外管理口地址。新建一个vSwitch，所有线路均使用该vSwitch中端口组实现，建议将不同链路隔离进不同的VLAN，避免广播风暴。

# 配置步骤 #

## 1、配置IP地址和单播路由协议 ##

调通底层网络，配置各接口的IP地址和子网掩码，并在IP核心网络内配置OSPF协议，和之前的实验配置基本相同。

将VM1和VM3的网关地址指定为192.168.2.1，将VM2和VM4的网关地址指定为192.168.10.1。

## 2、配置VSR1 ##

开启L2VPN能力，并关闭远端MAC地址和远端ARP自动学习功能。

vxlan tunnel mac-learning disable

l2vpn enable

vxlan tunnel arp-learning disable

在VSI实例vpna下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。同时创建VXLAN 10。

vsi vpna

arp suppression enable

vxlan 10

evpn encapsulation vxlan

route-distinguisher auto

vpn-target auto export-extcommunity

vpn-target auto import-extcommunity

在VSI实例vpnb下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。同时创建VXLAN 20。

vsi vpnb

arp suppression enable

vxlan 20

evpn encapsulation vxlan

route-distinguisher auto

vpn-target auto export-extcommunity

vpn-target auto import-extcommunity

配置BGP发布EVPN路由。

bgp 1234

peer 4.4.4.4 as-number 1234

peer 4.4.4.4 connect-interface LoopBack0

address-family l2vpn evpn

peer 4.4.4.4 enable

配置接入服务器的接口GigabitEthernet3/0与VSI实例vpna关联，接入服务器的接口GigabitEthernet1/0/2与VSI实例vpnb关联。

interface GigabitEthernet3/0

xconnect vsi vpna

interface GigabitEthernet4/0

xconnect vsi vpnb

## 3、配置VSR2 ##

开启L2VPN能力，并关闭远端MAC地址和远端ARP自动学习功能。

vxlan tunnel mac-learning disable

l2vpn enable

vxlan tunnel arp-learning disable

创建VSI虚接口VSI-interface1和VSI-interface2，并为其配置IP地址，这两个IP地址分别作为VXLAN 10和VXLAN 20内虚拟机的网关地址。

interface Vsi-interface1

ip address 192.168.2.1 255.255.255.0

interface Vsi-interface2

ip address 192.168.10.1 255.255.255.0

在VSI实例vpna下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。同时创建VXLAN 10，并配置VXLAN 10所在的VSI实例和接口VSI-interface1关联。

vsi vpna

gateway vsi-interface 1

vxlan 10

evpn encapsulation vxlan

route-distinguisher auto

vpn-target auto export-extcommunity

vpn-target auto import-extcommunity

在VSI实例vpnb下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。同时创建VXLAN 20，并配置VXLAN 20所在的VSI实例和接口VSI-interface2关联。

vsi vpnb

gateway vsi-interface 2

vxlan 20

evpn encapsulation vxlan

route-distinguisher auto

vpn-target auto export-extcommunity

vpn-target auto import-extcommunity

配置BGP发布EVPN路由。

bgp 1234

peer 4.4.4.4 as-number 1234

peer 4.4.4.4 connect-interface LoopBack0

address-family l2vpn evpn

peer 4.4.4.4 enable

## 4、配置VSR3 ##

开启L2VPN能力，并关闭远端MAC地址和远端ARP自动学习功能。

vxlan tunnel mac-learning disable

l2vpn enable

vxlan tunnel arp-learning disable

在VSI实例vpna下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。同时创建VXLAN 10。

vsi vpna

arp suppression enable

vxlan 10

evpn encapsulation vxlan

route-distinguisher auto

vpn-target auto export-extcommunity

vpn-target auto import-extcommunity

在VSI实例vpnb下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。同时创建VXLAN 20。

vsi vpnb

arp suppression enable

vxlan 20

evpn encapsulation vxlan

route-distinguisher auto

vpn-target auto export-extcommunity

vpn-target auto import-extcommunity

配置BGP发布EVPN路由。

bgp 1234

peer 4.4.4.4 as-number 1234

peer 4.4.4.4 connect-interface LoopBack0

address-family l2vpn evpn

peer 4.4.4.4 enable

配置接入服务器的接口GigabitEthernet3/0与VSI实例vpna关联，接入服务器的接口GigabitEthernet1/0/2与VSI实例vpnb关联。

interface GigabitEthernet3/0

xconnect vsi vpna

interface GigabitEthernet4/0

xconnect vsi vpnb

## 5、配置VSR4 ##

\# 配置Router D与其他路由器建立BGP连接, 配置发布EVPN路由，并关闭BGP EVPN路由的VPN-Target过滤功能。最后配置Router D为路由反射器。

bgp 1234

group evpn internal

peer evpn as-number 200 //配置完之后不显示，也没有影响

peer evpn connect-interface LoopBack0

peer 1.1.1.1 group evpn

peer 2.2.2.2 group evpn

peer 3.3.3.3 group evpn

address-family l2vpn evpn

undo policy vpn-target

peer evpn enable

peer evpn reflect-client

# 验证配置 #

## 1、验证EVPN网关设备VSR2 ##

查看EVPN自动发现的邻居信息。

display evpn auto-discovery imet

![2021071109421633.png][]

查看Tunnel接口信息，可以看到VXLAN模式的Tunnel接口处于UP状态。

display interface tunnel

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 1][]

看到有4个tunnel接口，其中0和1是自动生成的，21和23是之前手工配置的，没有删除。不知道0和1没有UP起来是不是这个原因，把之前手工配置的21和23删掉看一下。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 2][]

果然，就是这个原因，看来手工配置的隧道优先于自动生成的隧道。

查看VSI虚接口信息，可以看到VSI虚接口处于UP状态。

display interface vsi-interface

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 3][]

查看VSI的详细信息，可以看到VSI内创建的VXLAN、与VXLAN关联的VXLAN隧道、与VSI关联的VSI虚接口等信息。

display l2vpn vsi verbose

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 4][]

查看VSI的MAC地址表项信息，可以看到已学习到的MAC地址信息。

![20210711094251511.png][]

对比组网拓扑可知：000c-29cb-2b41和000c-2949-0032为VSR1连接的虚拟机，Link ID为Tunnel0，结合tunnel接口信息，可以知道是从VSR1学习到的；对应的VSI name表示从哪个VSI上来的，此处分别对应vpna和vpnb。000c-2999-235a和000c-290b-6ea7为VSR3连接的虚拟机，Link ID为Tunnel1，结合tunnel接口信息，可以知道是从VSR3学习到的；对应的VSI name表示从哪个VSI上来的，此处分别对应vpna和vpnb。

查看VSR2上VSI的EVPN ARP表项信息，可以看到已学习到了虚拟机的ARP信息。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 5][]

对比看一下ARP表项信息，可以看到关键信息大抵相同。EVPN ARP表项中，标志位中显示为B（BGP）、GL（Gateway + Local active）。

![20210711094309881.png][]

查看BGP l2vpn对等体信息，确实显示很详细。

display bgp l2vpn evpn

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 6][]

VSR2设备上的路由信息如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 7][]

查看VSR2上FIB表项信息，可以看到已学习到了虚拟机的转发表项信息。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 8][]

## 2、验证主机 ##

对比组网拓扑，在VM4这台主机（192.168.10.188）上ping测VM1（192.168.2.160）和VM2（192.168.10.110），结果如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 9][]

对比上个分布式网关实验，看一下tracert路径效果，和实际二层环境效果相同。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 10][]

ping网关和ISP-VFW公网设备测试。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 11][]

可以看到，四台虚拟机之间可以互访，并且都可以访问到网关，网关之外的ISP-VFW设备访问也正常。

# 总结 #

因为是在上个实验基础上基础操作的，所以实验出了几个小状况，总结一下。

1、手工配置的隧道要删除，否则会和自动生成的隧道冲突，导致自动生成的接口状态DOWN，影响转发。排查了好久，不影响MAC地址和ARP信息学习，但是就是不通。

2、VSI接口删不删的问题不大，不在VSI实例下调用就没有实际影响。

3、集中式网关和分布式网关场景下经过的跳数是不一样的。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70]: /images/20221004/beb01399943f41a8b6d424d3f3f119f7.png
[2021071109421633.png]: /images/20221004/0adbc4d11a0345b48777070ca534d3b8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 1]: /images/20221004/d3bfad7dd6684c0e9d46f781c341b894.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 2]: /images/20221004/2211a1e4af0240d5b48c5c4a5cdc7b1e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 3]: /images/20221004/eeb3ef27ba8d47a489357a8a153e6f3c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 4]: /images/20221004/1a26c4b650cc463cac6aed8bd1846f08.png
[20210711094251511.png]: /images/20221004/6fef2a38021342f9b746b504683a80f3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 5]: /images/20221004/949546444e034917af5fe8ccf70e4251.png
[20210711094309881.png]: /images/20221004/3c7a3bb273fa44f2977d05891168ca53.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 6]: /images/20221004/ef893e7451374082860ddbded717bb43.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 7]: /images/20221004/f1eb59a3ca434f3ca62c82d7b1f28afd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 8]: /images/20221004/48e58e4d1fbd491196671bd0614022a3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 9]: /images/20221004/e3e2bd3a894948aa91041792c5426e38.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 10]: /images/20221004/79fbd029b6054c44aee115709002838b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 11]: /images/20221004/81b22ce0e47443fb94b5559ba1519944.png