Les centres de données cloud modernes et les réseaux VPN distribués exigent un débit non bloquant et une reprise après sinistre en une fraction de seconde. Pendant longtemps, les ingénieurs réseau se sont appuyés sur l'agrégation de liens multi-châssis (MLAG) ou sur des empilements propriétaires pour connecter des serveurs bi-connectés à deux commutateurs leaf distincts.

Cependant, le MLAG couple étroitement les plans de contrôle des commutateurs via des liens d'interconnexion propriétaires (ISL), engendrant des divergences de configuration, des risques de scission de cerveau (split-brain) et de sévères limites d'évolutivité. L'Internet Engineering Task Force (IETF) a résolu ces contraintes architecturales en normalisant le multi-homing Ethernet Virtual Private Network (EVPN) dans les RFC 7432 et RFC 8365.

En dissociant la redondance des liaisons des interconnexions physiques directes, EVPN établit un plan de contrôle ouvert basé sur Multiprotocol BGP (MP-BGP). Grâce aux identifiants de segment Ethernet (ESI), au transfert all-active, à l'élection du Designated Forwarder (DF) et aux passerelles anycast distribuées, EVPN assure un acheminement symétrique et résilient sur les niveaux 2 et 3.

L'Impasse du MLAG Propriétaire : Pourquoi la Redondance Niveau 2 Échoue à Grande Échelle

Durant plus de deux décennies, le MLAG a permis de raccorder des hôtes à deux commutateurs sans que le protocole Spanning Tree (STP) ne bloque les ports redondants. Le MLAG associe deux commutateurs physiques pour présenter une liaison agrégée LACP IEEE 802.1AX unique au serveur ou au routeur connecté.

Malgré son omniprésence, le MLAG présente des faiblesses structurelles majeures :

  1. Couplage Propriétaire du Plan de Contrôle : Le MLAG repose sur des protocoles de synchronisation fermés via une liaison inter-châssis (ISL). Les administrateurs ne peuvent pas associer des matériels de fabricants différents au sein d'un même groupe de redondance.
  2. Risque de Scission Cérébrale (Split-Brain) : En cas de coupure du lien ISL accompagnée d'une perte des battements de cœur, les deux commutateurs revendiquent simultanément les adresses IP et MAC virtuelles. Cette anomalie génère des doublons de paquets, corrompt les caches ARP des serveurs et provoque des pertes de trafic.
  3. Limite Fixe à Deux Châssis : Une topologie MLAG ne peut pas s'étendre au-delà de deux commutateurs physiques, interdisant le raccordement simultané d'un hôte à trois ou quatre commutateurs leaf répartis dans différentes baies de serveurs.

EVPN élimine ces fragilités en confiant l'ensemble de la coordination multi-châssis aux messages BGP standard.

Architecture du Multi-Homing BGP EVPN : Le Plan de Contrôle RFC 7432

La RFC 7432 définit EVPN comme un plan de contrôle BGP pour les services Ethernet sur des fabrics IP et MPLS. Dans une architecture multi-homing EVPN, les commutateurs leaf redondants fonctionnent de façon totalement autonome, sans aucun lien physique direct de synchronisation entre eux.

La synchronisation s'effectue exclusivement par l'intermédiaire des annonces de routes MP-BGP AFI 25 (L2VPN) et SAFI 70 (EVPN) propagées sur le réseau sous-jacent (underlay IP).

Identifiants de Segment Ethernet (ESI) : Dissocier les Liens du Matériel Physique

Un segment Ethernet (Ethernet Segment - ES) représente l'ensemble des liaisons physiques redondantes reliant un équipement client à plusieurs commutateurs leaf (nœuds Provider Edge ou PE). Chaque segment reçoit un identifiant unique de 10 octets nommé Ethernet Segment Identifier (ESI).

La RFC 7432 spécifie plusieurs formats d'ESI. Dans les réseaux de centres de données, le Type 0 (configuration manuelle) et le Type 1 (génération automatique à partir de l'adresse MAC et de la clé de port LACP IEEE 802.1AX) sont privilégiés :

+--------------------+---------------------------------------+
| Type ESI (1 octet) | Valeur (9 octets)                     |
+--------------------+---------------------------------------+
| Type 0x00          | Identifiant manuel arbitraire         |
| Type 0x01          | Adresse MAC (6B) + Port Key (2B) + 0  |
+--------------------+---------------------------------------+

Lorsque deux commutateurs distincts observent le même ESI non nul sur leurs interfaces vers les serveurs, ils détectent automatiquement leur connexion au même segment physique et activent les procédures multi-homing.

Types de Routes EVPN en Pratique : Découverte Automatique et Signatures de Segments

La RFC 7432 introduit des types de routes NLRI spécifiques pour orchestrer le multi-homing :

  • Route Type 1 (Ethernet Auto-Discovery Route) : Annoncée par ESI pour confirmer la capacité all-active et distribuer les labels de filtrage split-horizon. Elle permet également un retrait massif de routes en cas de panne de lien.
  • Route Type 2 (MAC/IP Advertisement Route) : Propage les adresses MAC et les liaisons ARP associées apprises sur un ESI, reliées aux VNI de niveau 2.
  • Route Type 4 (Ethernet Segment Route) : Permet de découvrir les autres commutateurs raccordés au même ESI afin d'échanger leurs adresses IP et de lancer l'élection du Designated Forwarder.

Transfert All-Active : Équilibrage de Charge Symétrique Multi-Châssis via LACP

EVPN prend en charge deux modes d'exploitation : Single-Active et All-Active. En mode Single-Active, seul un commutateur achemine le trafic pour un ESI donné tandis que les autres restent en réserve. En mode All-Active, tous les commutateurs connectés transfèrent simultanément les trames de données de bout en bout.

Comme le serveur configure une agrégation LACP standard répartie sur ses interfaces physiques, le trafic sortant est équilibré de façon symétrique sur tous les commutateurs leaf. Ces derniers encapsulent les paquets dans des tunnels VXLAN sans provoquer de boucles réseau.

Architecture Anti-Boucle : Filtrage Split-Horizon via les Labels ESI

Dans une configuration all-active, lorsqu'un hôte envoie un paquet de diffusion, monodiffusion inconnue ou multidiffusion (BUM) vers Leaf-1, celui-ci doit le répliquer via la fabric VXLAN vers Leaf-2. Toutefois, Leaf-2 est également raccordé directement au serveur émetteur par le segment ESI partagé.

Si Leaf-2 réinjectait ce paquet répliqué vers le serveur, une boucle de niveau 2 se produirait instantanément. EVPN évite ce problème grâce au filtrage split-horizon :

  1. Les commutateurs leaf annoncent un label ESI dédié dans leurs routes de Type 1 (Route Type 1 per-ES).
  2. Lorsque Leaf-1 encapsule un paquet BUM provenant de l'ESI-A dans VXLAN, il insère le label d'origine ESI.
  3. À la réception du paquet encapsulé depuis le cœur de réseau, Leaf-2 examine le label ESI source. S'il correspond à son propre segment ESI-A local, Leaf-2 élimine la trame sur le port de ce segment tout en la distribuant sur ses autres interfaces locales.

Ce filtrage matériel élimine le renvoi en écho des paquets sans nécessiter la désactivation des liens physiques.

Élection du Designated Forwarder (DF) : Suppression de la Duplication de Trafic BUM

Bien que le mode all-active autorise tous les commutateurs à relayer le trafic monodiffusion connu, le trafic multipoint BUM issu du cœur de réseau vers les serveurs ne doit être transmis que par un seul commutateur par domaine de diffusion. Si Leaf-1 et Leaf-2 transmettaient tous deux les diffusions vers le serveur, celui-ci recevrait des paquets en double.

EVPN met en œuvre une élection de Designated Forwarder (DF) afin d'attribuer un unique commutateur responsable du trafic BUM pour chaque VLAN ou étiquette Ethernet.

L'Algorithme d'Élection Modulo : Fonctionnement et Risques de Hachage Inégal

La RFC 7432 définit un algorithme d'élection par défaut reposant sur l'opération modulo. Les commutateurs leaf collectent les routes Type 4 pour l'ESI considéré, trient la liste des adresses IP candidates et leur attribuent un index i (allant de 0 à N - 1).

Le commutateur désigné comme DF pour le VLAN V est calculé selon la relation :

DF Index = V mod N

Dans cette formule, V correspond à l'identifiant du VLAN et N au nombre total de commutateurs PE éligibles. Malgré sa simplicité, ce mécanisme peut induire des déséquilibres lorsque la répartition des identifiants VLAN est discontinue.

Élection DF Basée sur la Priorité : Contrôle Déterministe via la RFC 8584

Pour surmonter les limitations du calcul modulo, la RFC 8584 établit un cadre d'élection extensible. Elle introduit une élection basée sur des priorités à l'aide d'une communauté étendue BGP :

+-----------------------------------------------------------+
| Priorité DF (2 octets)    | Drapeaux d'Élection (2 octets)|
+-----------------------------------------------------------+

Les ingénieurs peuvent assigner une priorité explicite (de 0 à 65535) à chaque équipement. Le commutateur doté de la priorité la plus élevée devient le DF principal. La RFC 8584 intègre également des temporisateurs de préemption douce et le bit Don't Preempt Me (DP), ce qui protège le réseau contre les micro-coupures lorsqu'un nœud redémarre et réintègre le segment.

Passerelles Anycast Distribuées : Routage IRB Symétrique sur Commutateurs Leaf

Le multi-homing EVPN s'intègre harmonieusement avec le routage et pontage intégrés (IRB) pour relayer les données entre sous-réseaux. Les protocoles traditionnels de redondance du premier saut (FHRP, tels que VRRP) saturent les liaisons en concentrant le trafic sur une passerelle unique.

À l'opposé, EVPN met en place une passerelle Anycast distribuée sur chaque commutateur leaf :

  • Tous les commutateurs partagent la même adresse IP virtuelle et la même adresse MAC virtuelle pour chaque sous-réseau (ex. IP 10.100.1.1/24, MAC 00:00:5E:00:01:01).
  • Dès qu'un hôte émet une requête ARP pour sa passerelle, le commutateur leaf local l'intercepte et y répond directement.
  • Le routage inter-sous-réseaux s'effectue localement dès le premier saut grâce au modèle Symmetric IRB (RFC 9135). Les paquets traversent la fabric Spine encapsulés dans un VNI de niveau 3 (par exemple VNI 50000), ce qui évite les détours inutiles par des routeurs centraux.

Convergence Rapide et Retrait Massif : Élimination des Trous Noirs d'Adresses MAC

Dans les centres de données de grande dimension, un segment Ethernet peut héberger des dizaines de milliers d'adresses MAC. Si la liaison physique entre Leaf-1 et un serveur tombe en panne, le retrait individuel de chaque annonce de Type 2 par BGP prendrait plusieurs secondes et causerait d'importantes pertes de données.

EVPN résout ce défi grâce au mécanisme d'alias et de retrait massif (Mass Withdrawal) :

Adresse MAC (00:1A:2B:3C:4D:5E) ---> Annoncée avec ESI-123 (Route Type 2)
Leaf-1 et Leaf-2               ---> Annoncent l'accès ESI-123 (Route Type 1)

Les commutateurs distants créent des entrées de routage multi-chemins équilibrés (ECMP) vers Leaf-1 et Leaf-2 pour toutes les adresses associées à l'ESI-123. Dès que Leaf-1 détecte la rupture de sa liaison locale :

  1. Leaf-1 émet immédiatement un retrait unique de sa route Type 1 relative à l'ESI-123.
  2. Les commutateurs distants suppriment instantanément Leaf-1 de leurs listes de prochains sauts ECMP pour toutes les adresses MAC de cet ESI, redirigeant le flux vers Leaf-2 en quelques millisecondes.
  3. Leaf-1 purge ensuite ses routes Type 2 en arrière-plan sans perturber les communications en cours.

Pour mesurer les comportements d'acheminement et analyser les sauts de transit, les équipes techniques peuvent évaluer leurs flux via notre outil d’inspection IP.

Infrastructure RiceGuard Edge Fabric : Réseau Résilient de Passerelles Anycast

Au sein de VPNRice, l'infrastructure à haute disponibilité RiceGuard déploie le multi-homing all-active BGP EVPN selon la RFC 7432 sur l'ensemble de ses points de présence périphériques. La suppression des clusters MLAG propriétaires garantit une stabilité de niveau opérateur :

  • Maintenance Périphérique Sans Coupure : Les nœuds de passerelle peuvent appliquer des mises à jour du noyau en toute sécurité. L'ajustement des priorités RFC 8584 permet de drainer progressivement le trafic vers les nœuds voisins avant toute intervention.
  • Équilibrage Symétrique ECMP en Entrée : Les flux entrants provenant des opérateurs de transit sont équilibrés entre les grappes de calcul all-active, éliminant les goulets d'étranglement de routage asymétrique. Les utilisateurs qui téléchargent nos versions logicielles via le logiciel client bénéficient d'un débit stable.
  • Optimisation Guidée par la Télémétrie : Les états virtuels de niveaux 2 et 3 sont corrélés avec les mesures de performance réseau en temps réel, dans le prolongement de nos travaux sur la programmation réseau SRv6 et le hachage ECMP pour GRE-in-UDP et GENEVE.

Mise en Œuvre Pratique : Configuration du Multi-Homing EVPN avec Linux FRRouting

Les suites logicielles ouvertes telles que FRRouting (FRR) offrent une prise en charge complète du multi-homing EVPN RFC 7432 sous Linux. L'exemple suivant illustre la configuration d'un segment all-active et d'une passerelle Anycast dans FRRouting :

! /etc/frr/frr.conf
router bgp 65001
 bgp router-id 192.0.2.11
 no bgp default ipv4-unicast
 neighbor FABRIC peer-group
 neighbor FABRIC remote-as 65000
 neighbor 192.0.2.1 peer-group FABRIC
 !
 address-family l2vpn evpn
  neighbor FABRIC activate
  advertise-all-vni
  advertise-default-gw
  autort rfc8365-compatible
 exit-address-family
!
interface bond0
 description Dual-Homed CE Link
 evpn multihoming es-id 00:11:22:33:44:55:66:77:88:99
 evpn multihoming es-sys-mac 00:11:22:33:44:55
 evpn multihoming df-preference 50000
!
interface vlan100
 description Anycast Gateway Subnet
 ip address 10.100.1.1/24
 ip gateway-address 10.100.1.1

Remplacer les anciens regroupements MLAG par le standard ouvert BGP EVPN all-active multi-homing apporte une isolation rigoureuse des pannes, une interopérabilité multi-constructeurs et une évolutivité horizontale transparente.