آموزش VXLAN در میکروتیک؛ شبکه‌ی لایه-۲ روی UDP
گاهی لازم است دو کامپیوتر که در دو شهر مختلف‌اند، انگار در یک سوییچ واحد قرار دارند — یعنی در یک شبکه‌ی لایه-۲ (Ethernet) مشترک. روش کلاسیک VLAN نیست، چون VLAN فقط داخل یک سوییچ یا با کابل مستقیم کار می‌کند و تعدادش هم محدود است. راه مدرن VXLAN است: بسته‌های Ethernet را داخل UDP می‌پیچد و از روی هر شبکه‌ی IP عبور می‌دهد. در این آموزش VXLAN را روی دو روتر میکروتیک پیاده می‌کنیم.
این آموزش بخشی از مجموعه‌ی آموزش‌های میکروتیک داماش است؛ برای مبانی به میکروتیک چیست و برای اتصال دو شبکه با روش‌های دیگر به تونل Site-to-Site میکروتیک مراجعه کنید.
VXLAN چیست و چه فرقی با VLAN دارد؟
VXLAN (Virtual eXtensible LAN) یک تکنیک کپسوله‌سازی است که در سال ۲۰۱۴ در RFC 7348 استاندارد شد. کارش ساده است: یک فریم Ethernet کامل را می‌گیرد، یک هدر ۸ بایتی به آن اضافه می‌کند، درون UDP می‌گذارد و از شبکه‌ی IP می‌فرستد. در مقصد، هدرها کنده می‌شود و فریم Ethernet اصلی تحویل داده می‌شود.
فرق اصلی با VLAN در دو چیز است:
- محدودیت تعداد: VLAN فیلد ۱۲ بیتی دارد، یعنی حداکثر ۴٬۰۹۶ شبکه. VXLAN فیلد ۲۴ بیتی (VNID) دارد، یعنی بیش از ۱۶ میلیون شبکه. برای دیتاسنتر و فابریک بزرگ این تفاوت حیاتی است.
- برد: VLAN به یک بخش کابلی/سوییچی محدود است. VXLAN از روی هر زیرساخت IP عبور می‌کند — حتی اینترنت.
نکته‌ی مهم: VLAN و VXLAN رقیب نیستند، بلکه VXLAN سطح بالاتر است. کاری که قبلاً با VLAN انجام می‌دادید، همچنان با VLAN انجام می‌شود.
VXLAN چطور کار می‌کند؟
سه مفهوم اصلی دارد:
- VTEP (VXLAN Tunnel Endpoint): نقطه‌ی ورود و خروج تونل؛ روی هر روتر قرار می‌گیرد. وظیفه‌اش کپسوله‌کردن در ارسال و کپسوله‌زدایی در دریافت است.
- VNID (VNI): شماره‌ی شبکه‌ی مجازی (مثل شماره‌ی VLAN). دو VTEP فقط وقتی با هم تبادل می‌کنند که VNID یکسان داشته باشند.
- پورت UDP ۴۷۸۹: پورت اختصاصی VXLAN که IANA به آن اختصاص داده است.
وقتی کامپیوتر A در سایت ۱ یک فریم به کامپیوتر B در سایت ۲ می‌فرستد، روتر ۱ فریم را می‌گیرد، داخل UDP ۴۷۸۹ می‌پیچد و به IP روتر ۲ می‌فرستد. روتر ۲ آن را باز می‌کند و فریم Ethernet را داخل شبکه‌ی لایه-۲ محلی تحویل می‌دهد.
پیش‌نیاز: زیرساخت و MTU
قبل از پیکربندی، دو شرط را بررسی کنید:
- مسیریابی IP بین دو روتر: دو روتر باید از روی زیرساخت IP همدیگر را ببینند (ping بین آدرس‌های WAN برقرار باشد).
- MTU: VXLAN به ازای هر بسته ۵۰ بایت هدر اضافه می‌کند (۸ بایت هدر VXLAN + ۸ بایت UDP + ۲۰ بایت IP + ۱۴ بایت Ethernet). اگر MTU مسیر ۱۵۰۰ است، MTU لایه‌ی VXLAN باید ۱۴۵۰ تنظیم شود تا از قطعه‌قطعه شدن (fragmentation) جلوگیری شود.
راه‌حل جایگزین، فعال‌سازی Jumbo Frame روی زیرساخت (MTU ۱۶۰۰ یا بیشتر) است که در دیتاسنتر رایج است.
پیکربندی VXLAN روی دو روتر میکروتیک
فرض کنیم دو سایت با این مشخصات:
- سایت ۱: آدرس WAN روتر A = ۱۹۸.۵۱.۱۰۰.۱ / شبکه‌ی داخلی = ۱۹۲.۱۶۸.۱۰.۰/۲۴
- سایت ۲: آدرس WAN روتر B = ۱۹۸.۵۱.۱۰۰.۲ / شبکه‌ی داخلی = ۱۹۲.۱۶۸.۲۰.۰/۲۴
هدف: دو شبکه‌ی داخلی در یک لایه-۲ واحد با هم ادغام شوند (VNID=۱۰).
روتر A (سایت ۱):
/interface vxlan add name=vxlan1 vni=10 port=4789 remote=198.51.100.2 local-address=198.51.100.1 mtu=1450 /ip address add address=192.168.10.1/24 interface=vxlan1
روتر B (سایت ۲):
/interface vxlan add name=vxlan1 vni=10 port=4789 remote=198.51.100.1 local-address=198.51.100.2 mtu=1450 /ip address add address=192.168.20.1/24 interface=vxlan1
تنها فرق دو طرف، مقدار remote است که به سمت مقابل اشاره می‌کند. اگر زیرساخت شما MTU ۱۶۰۰ دارد، می‌توانید mtu را بالاتر ببرید.
مرحله‌ی بعد: مسیریابی روی VXLAN
در مثال بالا، آدرس IP مستقیماً روی interface روتر قرار گرفت. اگر فقط می‌خواهید دو شبکه‌ی داخلی از طریق لایه-۲ با هم ارتباط داشته باشند، همان کافی است. اما اگر ترافیک باید از روترهای دیگر هم عبور کند، یک مسیر استاتیک یا داینامیک (OSPF/BGP) روی شبکه‌ی VXLAN اضافه کنید:
/ip route add dst-address=192.168.20.0/24 gateway=192.168.10.1
برای شبکه‌های بزرگ‌تر، OSPF یا BGP روی اینترفیس VXLAN راه‌حل بهتری است.
کاربردهای واقعی VXLAN
- اتصال دو دیتاسنتر: سرورها در دو دیتاسنتر مختلف اما در یک شبکه‌ی Ethernet — مناسب برای خوشه‌بندی و جابجایی ماشین مجازی.
- فابریک شبکه‌ی مرکز داده: ساخت شبکه‌های tenant مجازی روی یک زیرساخت مشترک.
- شبکه‌ی داخلی بین شعبه‌ها: وقتی دو شعبه باید پروتکل‌های لایه-۲ (مثل برخی پروتکل‌های صنعتی) با هم تبادل کنند.
تست و عیب‌یابی
- پینگ آدرس WAN مقابل: قبل از هر چیزی، مسیر IP باید برقرار باشد.
- پینگ آدرس VXLAN مقابل:
ping 192.168.20.1از روی روتر A باید جواب بدهد. - بررسی ترافیک: با
/interface monitor-traffic vxlan1ببینید آیا بسته رد و بدل می‌شود. - پورت ۴۷۸۹ باز باشد: اگر فایروال وسط دارید، فیگ UDP روی پورت ۴۷۸۹ باید مجاز باشد. از ابزار بررسی باز بودن پورت کمک بگیرید.
نشانه‌ی رایج مشکل: اگر همه‌چیز تنظیم است ولی پینگ جواب نمی‌دهد، اول MTU را چک کنید. بسته‌های بزرگ در مسیر با MTU ۱۵۰۰ دراپ می‌شوند.
سوالات متداول درباره VXLAN در میکروتیک
VXLAN امن است؟
خود VXLAN رمزنگاری ندارد؛ یعنی هر کسی در مسیر می‌تواند محتوای بسته را ببیند. اگر بین دو سایت ناامن (اینترنت عمومی) استفاده می‌کنید، باید آن را داخل یک تونل رمزنگاری‌شده (IPsec یا WireGuard) ببرید.
تفاوت VXLAN و EoIP در میکروتیک چیست؟
EoIP پروتکل اختصاصی میکروتیک است و همان کار لایه-۲ را انجام می‌دهد ولی استاندارد نیست و فقط بین دو میکروتیک کار می‌کند. VXLAN استاندارد RFC است و با تجهیزات سیسکو، لینوکس و سایر برندهاinterop دارد. راهنمای تونل Site-to-Site مقایسه‌ی کامل‌تری دارد.
چند شبکه‌ی VXLAN روی یک روتر می‌توانم داشته باشم؟
چندین. هر کدام یک interface با VNID متفاوت می‌سازید و به IP و مسیر دلخواه متصل می‌شوند.
VXLAN روی اینترنت ایرانی خوب کار می‌کند؟
اگر زیرساخت دو نقطه پایدار باشد، بله. ولی توجه کنید که VXLAN رمزنگاری ندارد؛ روی اینترنت عمومی حتماً داخل IPsec/WireGuard ببرید.
آیا VXLAN با NAT کار می‌کند؟
در حالت استاندارد، VTEP باید از طرفین قابل دسترسی باشد. در پشت NAT باید پورت UDP ۴۷۸۹ را پورت‌فوروارد کنید.
جمع‌بندی
VXLAN راهی استاندارد و مقیاس‌پذیر برای کشیدن یک شبکه‌ی لایه-۲ روی هر زیرساخت IP است. در میکروتیک با یک دستور /interface vxlan add در هر طرف راه می‌افتد. دو نکته‌ی حیاتی: MTU را ۵۰ بایت پایین‌تر از مسیر بگیرید و یادتان باشد VXLAN جایگزین رمزنگاری نیست — روی اینترنت عمومی حتماً داخل یک تونل امن ببرید.
منابع و مطالعه‌ی بیشتر
برای عمیق‌شدن در این موضوع، توصیه می‌کنیم مستندات رسمی VXLAN در میکروتیک را مطالعه کنید.
سوالات متداول درباره‌ی VXLAN در میکروتیک
VXLAN در میکروتیک چیست؟
VXLAN در میکروتیک موضوعی است که در این مقاله به طور کامل بررسی کردیم. VXLAN در میکروتیک به شما کمک می‌کند تا اتصال شفاف بدون محدودیت VLAN داشته باشید و شبکه‌ی خود را حرفه‌ای‌تر مدیریت کنید.
آیا VXLAN در میکروتیک برای کسب‌وکار من مناسب است؟
اگر به شبکه‌ی لایه-۲ بین دو نقطه نیاز دارید، VXLAN در میکروتیک می‌تواند راهکار مناسبی برای شما باشد. برای مشاوره‌ی رایگان با کارشناسان داماش تماس بگیرید.
مهم‌ترین مزیت VXLAN در میکروتیک چیست؟
مهم‌ترین مزیت VXLAN در میکروتیک، اتصال شفاف بدون محدودیت VLAN است. با VXLAN در میکروتیک می‌توانید شبکه‌ی خود را پایدارتر و سریع‌تر کنید و از قطعی‌های ناگهانی در امان باشید.
جمع‌بندی نهایی: شبکه‌ی لایه-۲ با VXLAN در میکروتیک
در این آموزش یاد گرفتیم که VXLAN در میکروتیک امکان ساخت شبکه‌ی لایه-۲ روی UDP را فراهم می‌کند و محدودیت ۴۰۹۶ VLAN را به طور کامل از بین می‌برد.
مهم‌ترین نکته در VXLAN در میکروتیک این است که VNI دو طرف باید یکسان باشد و اینترفیسها به یکدیگر متصل شوند.
با VXLAN در میکروتیک می‌توانید ماشین‌های مجازی در دو دیتاسنتر مختلف را در یک شبکه‌ی محلی قرار دهید، انگار که در یک سوئیچ هستند.
عیب‌یابی VXLAN در میکروتیک
اگر پس از راه‌اندازی VXLAN در میکروتیک، دستگاه‌های دو سایت یکدیگر را ندیدند، این مراحل را بررسی کنید.
بررسی VNI یکسان: مهم‌ترین شرط VXLAN این است که VNI در هر دو طرف یکسان باشد. اگر روتر A از VNI ۱۰۰ استفاده می‌کند و روتر B از VNI ۲۰۰، تونل هرگز کار نمی‌کند. در Winbox به مسیر Interfaces > VXLAN بروید و VNI را در هر دو طرف مقایسه کنید.
بررسی اینترفیس‌های وصل: VXLAN به یک اینترفیس Underlay با IP نیاز دارد. مطمئن شوید اینترفیسی که IP به آن اختصاص داده شده، به‌عنوان اینترفیس VXLAN انتخاب شود. معمولاً این همان اینترفیسی است که به اینترنت یا VPN متصل است.
بررسی آدرس‌های IP: در VXLAN، دو طرف در یک شبکه‌ی لایه-۲ قرار می‌گیرند. اگر از /30 استفاده می‌کنید، مطمئن شوید آدرس‌های هر دو طرف در یک زیرشبکه هستند. مثلاً ۱۰.۱۰.۱۰.۱/۳۰ و ۱۰.۱۰.۱۰.۲/۳۰.
بررسی فایروال: VXLAN از UDP استفاده می‌کند. پورت پیش‌فرض ۴۷۸۹ است. اگر فایروال این پورت را مسدود کند، تونل برقرار نمی‌شود. قانون allow برای UDP پورت ۴۷۸۹ در chain input اضافه کنید.
کاربردهای پیشرفته‌ی VXLAN
علاوه بر اتصال ساده‌ی دو سایت، VXLAN در میکروتیک برای سناریوهای زیر هم استفاده می‌شود: مهاجرت زنده‌ی ماشین‌های مجازی بین دو دیتاسنتر (چون شبکه‌ی لایه-۲ یکسان است)، ایجاد VLANهای هم‌نام در چند سایت بدون تداخل، و اتصال شعبی که از پروتکل‌های غیرIP مثل IPX یا AppleTalk استفاده می‌کنند.
مثال کاربردی: اتصال شفاف دو دیتاسنتر با VXLAN
برای درک کاربرد واقعی VXLAN در میکروتیک، این سناریو را بررسی می‌کنیم.
وضعیت: شرکتی دو دیتاسنتر دارد. در دیتاسنتر A سرورهای وب و در دیتاسنتر B سرورهای دیتابیس قرار دارند. برنامه نیاز دارد که سرورهای وب و دیتابیس در یک شبکه‌ی لایه-۲ باشند (چون پروتکل برنامه broadcast می‌فرستد و از VLAN ID یکسان استفاده می‌کند).
راه‌حل VXLAN: در هر دو دیتاسنتر یک روتر میکروتیک قرار می‌گیرد. VXLAN با VNI یکسان (مثلاً ۱۰۰۰) ساخته می‌شود. حالا سرورهای دو دیتاسنتر در یک شبکه‌ی لایه-۲ قرار می‌گیرند، انگار که به یک سوئیچ وصل هستند. سرورهای وب می‌توانند مستقیماً با سرورهای دیتابیس صحبت کنند بدون اینکه نیازی به NAT یا مسیریابی باشد.
مزیت نسبت به VLAN سنتی: VLAN فقط ۴۰۹۶ شناسه دارد و در شبکه‌های بزرگ کم می‌آورد. VXLAN ۱۶ میلیون VNI دارد. همچنین VLAN فقط در یک دیتاسنتر کار می‌کند و نمی‌تواند از روی اینترنت عبور کند، اما VXLAN روی UDP کپسوله می‌شود و می‌تواند از هر شبکه‌ای عبور کند.
ملاحظات عملکرد VXLAN
VXLAN یک header اضافه ۵۰ بایتی اضافه می‌کند. اگر MTU روی ۱۵۰۰ تنظیم شده باشد، بسته‌های بزرگ ممکن است fragment شوند. بهتر است MTU را روی مسیر بین دو روتر به ۱۶۰۰ افزایش دهید یا MSS clamping را فعال کنید. همچنین پردازش VXLAN بار پردازشی روی روتر دارد، پس برای ترافیک خیلی سنگین، روتر قدرتمندی انتخاب کنید.
امنیت هم مهم است: VXLAN به صورت پیش‌فرض رمزنگاری ندارد. اگر روی اینترنت عمومی ترافیک می‌فرستید، ابتدا یک تونل WireGuard بین دو روتر برقرار کنید و VXLAN را روی آن تونل اجرا کنید. اینطوری ترافیک لایه-۲ شما هم رمزنگاری شده است.
سوالات متداول تکمیلی درباره‌ی VXLAN
VXLAN روی اینترنت عمومی امن است؟
به خودی خود نه. VXLAN رمزنگاری ندارد و هرکسی می‌تواند بسته‌ها را ببیند. اگر روی اینترنت عمومی ترافیک می‌فرستید، حتماً VXLAN را داخل یک تونل WireGuard اجرا کنید. ترکیب WireGuard + VXLAN هم امن است و هم عملکرد خوبی دارد.
VXLAN چقدر بار پردازشی روی روتر دارد؟
برای ترافیک معمولی (تا چند صد مگابیت بر ثانیه)، پردازش VXLAN روی روترهای میکروتیک ناچیز است. برای ترافیک بالاتر، روترهای سری CCR با پردازنده‌های چند هسته‌ای توصیه می‌شوند. همچنین می‌توانید hardware offloading را بررسی کنید.
آیا می‌توان VXLAN و VLAN را همزمان استفاده کرد؟
بله، این ترکیب رایج است. VLANها برای جدا کردن شبکه‌ها در یک دیتاسنتر و VXLAN برای اتصال شبکه‌های لایه-۲ بین دیتاسنترها استفاده می‌شود. می‌توانید ترافیک یک VLAN را داخل یک VXLAN کپسوله کنید تا در سایت مقابل همان VLAN در دسترس باشد.
نکات حرفه‌ای VXLAN در میکروتیک
در پایان چند نکته که از تجربه‌ی راه‌اندازی VXLAN در محیط‌های تولید به دست آورده‌ایم.
۱. MTU را تنظیم کنید: VXLAN ۵۰ بایت header اضافه می‌کند. اگر MTU مسیر روی ۱۵۰۰ است، بسته‌های بزرگ fragment می‌شوند. MTU لینک بین دو روتر را روی ۱۶۰۰ تنظیم کنید یا MSS clamping را فعال کنید.
۲. ترافیک را مانیتور کنید: VXLAN یک شبکه‌ی شفاف لایه-۲ ایجاد می‌کند که ممکن است broadcast storm ایجاد کند. مانیتورینگ ترافیک تونل به شما کمک می‌کند مشکلات را زود تشخیص دهید.
۳. VNI را مستند کنید: در شبکه‌هایی با چندین VXLAN، نگه‌داشتن لیست VNIها و شبکه‌های مربوطه ضروری است. بدون مستندسازی، بعد از چند ماه نمی‌دانید هر VNI چه کاری انجام می‌دهد.
۴. همیشه backup link داشته باشید: اگر تونل VXLAN قطع شود، ارتباط لایه-۲ قطع می‌شود. یک مسیر backup (مثلاً یک تونل دوم از طریق اینترنت دیگر) داشته باشید.
۵. امنیت را فراموش نکنید: VXLAN به صورت پیش‌فرض رمزنگاری ندارد. اگر روی اینترنت عمومی ترافیک می‌فرستید، حتماً آن را داخل WireGuard اجرا کنید.
توصیه نهایی داماش درباره‌ی VXLAN
VXLAN در میکروتیک یک ابزار عالی برای سناریوهای پیشرفته‌ی شبکه است. اگر این آموزش را قدم به قدم دنبال کرده‌اید، حالا باید شبکه‌ی لایه-۲ شما کار کند. در صورت بروز مشکل، بخش عیب‌یابی را مرور کنید — پاسخ سوالات رایج آنجاست.
اگر برای اجرای VXLAN به روترهای قدرتمندتر یا سرور نیاز دارید، می‌توانید از پلن‌های داماش دیدن کنید. تیم ما در انتخاب تجهیزات مناسب به صورت رایگان مشاوره می‌دهد.
نکته‌ی پایانی
VXLAN در میکروتیک ممکن است برای شروع پیچیده به نظر برسد، اما با درک سه مفهوم اصلی (VNI، underlay و overlay) می‌توانید در کمتر از یک روز آن را یاد بگیرید. اگر سوالی پیش آمد، تیم داماش آماده‌ی کمک رایگان است.
روترهای میکروتیک و سرورهای داماش بستر مناسبی برای آزمایش و اجرای VXLAN فراهم می‌کنند. با شبکه‌ی پایدار و پشتیبانی فارسی، می‌توانید شبکه‌ی لایه-۲ خود را با خیال راحت بسازید.
شروع کنید همین امروز
VXLAN را با یک سناریوی ساده شروع کنید: دو روتر، دو شبکه، یک VNI. وقتی اولین تونل کار کرد، سناریوهای پیچیده‌تر را امتحان کنید. یادتان باشد که یادگیری شبکه مثل ساختن خانه است — از پایه شروع کنید و به مرور بنا را بالا ببرید. تیم داماش در این مسیر با مشاوره‌ی رایگان کنار شماست.
فراموش نکنید که VXLAN در میکروتیک تنها روش شفاف برای اتصال لایه-۲ بین دو سایت است.
وقتی VXLAN در میکروتیک را راه‌اندازی کردید، دو دیتاسنتر مثل یک شبکه‌ی محلی عمل می‌کنند.
تیم داماش در راه‌اندازی VXLAN در میکروتیک به صورت رایگان مشاوره می‌دهد.
