Hạ tầng trung tâm dữ liệu quy mô lớn và mạng lưới VPN biên đòi hỏi thông lượng cao cùng khả năng phục hồi sau sự cố tính bằng phần nghìn giây. Trong nhiều năm, các kỹ sư vận hành phụ thuộc vào công nghệ gộp liên kết đa khung (MLAG) hoặc xếp chồng thiết bị độc quyền để đấu nối máy chủ vào hai thiết bị chuyển mạch leaf độc lập.

Tuy nhiên, MLAG buộc mặt phẳng điều khiển của hai switch phải đồng bộ qua đường kết nối nội bộ độc quyền (inter-switch link - ISL). Mô hình này dẫn tới rủi ro phân mảnh cấu hình, lỗi não đôi (split-brain) và hạn chế mở rộng. Nhóm IETF đã giải quyết các nút thắt này bằng việc chuẩn hóa công nghệ Ethernet Virtual Private Network (EVPN) multi-homing trong RFC 7432 và RFC 8365.

Bằng cách tách rời tính năng dự phòng liên kết khỏi phần cứng trung gian, EVPN thiết lập mặt phẳng điều khiển mở dựa trên Multiprotocol BGP (MP-BGP). Thông qua định danh ESI, cơ chế chuyển tiếp all-active, bầu chọn Designated Forwarder (DF) và cổng anycast đối xứng, EVPN mang lại khả năng định tuyến chuyển mạch linh hoạt trên các kiến trúc hiện đại.

Ngõ Cụt Của MLAG Kế Thừa: Vì Sao Dự Phòng Lớp 2 Độc Quyền Thất Bại Khi Mở Rộng

Trong hơn hai thập kỷ, công nghệ MLAG là giải pháp phổ biến để cung cấp tính năng dự phòng máy chủ mà không bị giao thức Spanning Tree (STP) khóa cổng. MLAG kết hợp hai switch vật lý thành một cụm luận lý nhằm tiếp nhận kênh truyền gộp LACP chuẩn IEEE 802.1AX từ phía máy chủ.

Mặc dù được triển khai rộng rãi, MLAG tồn tại nhiều điểm yếu cố hữu:

  1. Ràng Buộc Mặt Phẳng Điều Khiển Độc Quyền: MLAG yêu cầu các bản tin kiểm tra trạng thái nội bộ chạy qua đường truyền ISL riêng biệt. Người quản trị không thể ghép cặp thiết bị từ các nhà sản xuất khác nhau trong cùng một nhóm dự phòng.
  2. Rủi Ro Lỗi Não Đôi (Split-Brain): Khi đường truyền ISL bị đứt nhưng hai switch vẫn hoạt động độc lập, cả hai thiết bị đều tự nhận quyền sở hữu địa chỉ IP ảo và địa chỉ MAC ảo. Tình trạng này sinh ra gói tin trùng lặp, gây xung đột bộ nhớ đệm ARP và làm gián đoạn lưu lượng qua mạng.
  3. Giới Hạn Hai Thiết Bị Cố Định: Kiến trúc MLAG không thể mở rộng quá hai khung máy leaf. Việc kết nối đồng thời một máy chủ tới ba hoặc bốn switch ở các dãy tủ rack khác nhau là điều bất khả thi với MLAG tiêu chuẩn.

EVPN giải quyết triệt để vấn đề này bằng cách đưa toàn bộ tiến trình điều phối đa thiết bị vào các bản tin MP-BGP tiêu chuẩn.

Kiến Trúc BGP EVPN Multi-Homing: Mặt Phẳng Điều Khiển Theo Chuẩn RFC 7432

RFC 7432 định nghĩa EVPN như một mặt phẳng điều khiển cho các dịch vụ Ethernet hoạt động trên nền tảng mạng IP và MPLS. Trong mô hình EVPN multi-homing, các switch leaf hoạt động hoàn toàn độc lập mà không cần bất kỳ đường truyền ISL kết nối trực tiếp nào giữa chúng.

Quá trình đồng bộ diễn ra thông qua các tuyến MP-BGP AFI 25 (L2VPN) và SAFI 70 (EVPN) được truyền tải trên lớp mạng underlay IP.

Định Danh Đoạn Ethernet (ESI): Tách Rời Liên Kết Khỏi Phần Cứng Vật Lý

Một đoạn Ethernet (Ethernet Segment - ES) đại diện cho tập hợp các liên kết vật lý dự phòng nối một thiết bị máy chủ vào hai hoặc nhiều switch leaf. Mỗi đoạn kết nối được gắn một chuỗi định danh duy nhất gồm 10 byte gọi là Ethernet Segment Identifier (ESI).

RFC 7432 hỗ trợ nhiều định dạng ESI khác nhau. Trong mạng trung tâm dữ liệu, định dạng Type 0 (cấu hình thủ công) và Type 1 (tự động tạo từ địa chỉ MAC và Port Key LACP IEEE 802.1AX) được ứng dụng phổ biến:

+--------------------+---------------------------------------+
| Loại ESI (1 byte)  | Giá trị (9 bytes)                     |
+--------------------+---------------------------------------+
| Type 0x00          | Định danh thủ công tùy chỉnh 9 byte   |
| Type 0x01          | Địa chỉ MAC máy chủ (6B) + Port Key+0 |
+--------------------+---------------------------------------+

Khi hai switch leaf ghi nhận cùng một giá trị ESI trên các cổng giao tiếp nối xuống hạ tầng, chúng tự động nhận diện kết nối vào chung một Ethernet Segment và kích hoạt quy trình phối hợp dự phòng.

Các Loại Tuyến EVPN Trong Thực Tế: Auto-Discovery Và Chữ Ký Đoạn Ethernet

RFC 7432 giới thiệu các loại tuyến BGP NLRI chuyên biệt nhằm phục vụ tính năng multi-homing:

  • Tuyến Loại 1 (Ethernet Auto-Discovery Route): Được quảng bá cho từng ESI nhằm công bố khả năng multi-homing all-active và phân phối nhãn lọc split-horizon. Tuyến này hỗ trợ thu hồi hàng loạt khi đường truyền gặp sự cố.
  • Tuyến Loại 2 (MAC/IP Advertisement Route): Quảng bá địa chỉ MAC của máy chủ và thông tin liên kết ARP học được trên ESI, gắn kèm nhãn VNI Lớp 2.
  • Tuyến Loại 4 (Ethernet Segment Route): Khám phá các switch leaf khác đang đấu nối vào cùng một ESI, cho phép trao đổi địa chỉ IP để khởi động quy trình bầu chọn Designated Forwarder.

Chuyển Tiếp All-Active: Cân Bằng Tải Đa Khung Đối Xứng Qua LACP

EVPN hỗ trợ hai chế độ hoạt động: Single-Active và All-Active. Ở chế độ Single-Active, chỉ một switch được phép chuyển tiếp dữ liệu cho đoạn ESI trong khi các liên kết còn lại ở trạng thái dự phòng. Ở chế độ All-Active, tất cả các switch leaf kết nối đồng thời tham gia chuyển tiếp các khung tin unicast từ máy chủ.

Nhờ việc máy chủ cấu hình kênh gộp LACP phân bổ đều qua các cổng vật lý, lưu lượng phát đi được chia tải đối xứng qua các switch leaf. Các thiết bị leaf đóng gói gói tin vào đường hầm VXLAN và chuyển tiếp qua mạng underlay mà không tạo ra hiện tượng quay đầu vòng lặp.

Kiến Trúc Chống Vòng Lặp: Cơ Chế Lọc Split-Horizon Bằng Nhãn ESI

Trong mô hình all-active, khi một máy chủ gửi khung tin quảng bá hoặc multicast (BUM) tới Leaf-1, Leaf-1 sẽ sao chép và chuyển tiếp khung tin qua mạng VXLAN tới Leaf-2. Tuy nhiên, Leaf-2 cũng đấu nối trực tiếp vào chính máy chủ đó qua đoạn ESI dùng chung.

Nếu Leaf-2 tiếp tục đẩy gói tin vừa nhận được ngược xuống máy chủ, hiện tượng trùng lặp khung tin và vòng lặp Lớp 2 sẽ bùng phát. EVPN ngăn chặn tình trạng này bằng kỹ thuật lọc split-horizon:

  1. Mỗi switch leaf quảng bá một nhãn ESI Label trong bản tin Tuyến Loại 1 (Route Type 1 per-ES).
  2. Khi Leaf-1 đóng gói gói tin BUM vào VXLAN, nó gắn kèm nhãn ESI gốc đại diện cho đoạn mạng khởi phát.
  3. Khi Leaf-2 nhận gói tin từ mạng xương sống, phần cứng kiểm tra nhãn ESI nguồn. Nếu gói tin bắt nguồn từ cùng đoạn ESI cục bộ, Leaf-2 lập tức hủy gói tin trên cổng kết nối xuống ESI đó, trong khi vẫn chuyển tiếp bình thường tới các giao diện mạng khác.

Quy trình lọc tại phần cứng giúp ngăn chặn hiện tượng dội ngược khung tin mà không cần vô hiệu hóa cổng vật lý.

Cơ Chế Bầu Chọn Designated Forwarder (DF): Ngăn Chặn Nhân Bản Lưu Lượng BUM

Mặc dù chế độ all-active cho phép toàn bộ các switch tham gia chuyển tiếp lưu lượng unicast đã học địa chỉ, nhưng với lưu lượng BUM truyền từ lõi mạng xuống thiết bị người dùng, chỉ duy nhất một switch được phép thực thi trên mỗi miền quảng bá. Nếu cả Leaf-1 và Leaf-2 cùng đẩy lưu lượng quảng bá xuống máy chủ, hạ tầng sẽ bị ngập lụt bởi dữ liệu trùng lặp.

EVPN triển khai cơ chế bầu chọn Designated Forwarder (DF) để chỉ định switch đảm nhiệm chuyển tiếp dữ liệu BUM cho từng VLAN hoặc thẻ Ethernet Tag cụ thể.

Thuật Toán Bầu Chọn Modulo: Cơ Chế Hoạt Động Và Nguy Cơ Lệch Băm Hash

RFC 7432 quy định thuật toán bầu chọn DF mặc định dựa trên phép chia lấy dư modulo. Các switch tham gia thu thập bản tin Tuyến Loại 4 cho đoạn ESI tương ứng, sắp xếp danh sách địa chỉ IP ứng viên theo thứ tự tăng dần và gán chỉ số i (từ 0 đến N - 1).

Switch được chọn làm Designated Forwarder cho VLAN V thỏa mãn công thức:

DF Index = V mod N

Trong đó V là mã nhận diện VLAN ID và N là tổng số switch tham gia nhóm. Mặc dù dễ triển khai, giải thuật modulo có thể gây ra hiện tượng phân bổ lệch tải khi danh sách VLAN không liên tục.

Bầu Chọn DF Theo Độ Ưu Tiên: Kiểm Soát Xác Định Nhờ Chuẩn RFC 8584

Để khắc phục hạn chế của thuật toán modulo, chuẩn RFC 8584 mở rộng khung bầu chọn DF. Tiêu chuẩn này cung cấp cơ chế bầu chọn dựa trên độ ưu tiên thông qua thuộc tính mở rộng BGP DF Election Extended Community:

+-----------------------------------------------------------+
| Độ ưu tiên DF (2 bytes) | Cờ trạng thái bầu chọn (2 bytes)|
+-----------------------------------------------------------+

Người quản trị có thể gán giá trị độ ưu tiên rõ ràng (từ 0 đến 65535) cho từng switch. Thiết bị sở hữu độ ưu tiên cao nhất sẽ nắm quyền DF chính. Chuẩn RFC 8584 còn tích hợp bộ đếm thời gian chuyển tiếp mượt mà và cờ Don't Preempt Me (DP), ngăn chặn hiện tượng chập chờn gói tin khi một switch vừa khởi động lại gia nhập đoạn mạng.

Cổng Anycast Phân Tán: Định Tuyến IRB Đối Xứng Trên Toàn Bộ Switch Leaf

EVPN multi-homing kết hợp trực tiếp với cơ chế Định tuyến và Cầu nối Tích hợp (IRB) để luân chuyển gói tin giữa các mạng con. Các giao thức dự phòng truyền thống như VRRP thường gây lãng phí băng thông do dồn toàn bộ lưu lượng qua một router trung tâm.

Ngược lại, EVPN triển khai mô hình Cổng Anycast Phân Tán (Distributed Anycast Gateway) trên mọi switch leaf:

  • Mỗi switch leaf được cấu hình cùng một địa chỉ IP ảo và địa chỉ MAC ảo cho cổng mặc định của từng mạng con (ví dụ: IP 10.100.1.1/24, MAC 00:00:5E:00:01:01).
  • Khi máy chủ gửi bản tin hỏi ARP tìm cổng mặc định, switch leaf tại chỗ chặn và phản hồi trực tiếp.
  • Tiến trình định tuyến giữa các dải mạng diễn ra ngay tại switch leaf đầu tiên thông qua kiến trúc Symmetric IRB (RFC 9135). Gói tin đi qua mạng lõi được bọc trong nhãn VNI Lớp 3 (như VNI 50000), loại bỏ hoàn toàn các chặng trung chuyển thừa.

Hội Tụ Tốc Độ Cao Và Rút Tuyến Hàng Loạt: Triệt Tiêu Hố Đen Địa Chỉ MAC

Trong trung tâm dữ liệu quy mô lớn, một đoạn Ethernet Segment có thể chứa hàng chục nghìn địa chỉ MAC. Nếu đường dây nối giữa Leaf-1 và máy chủ gặp sự cố, việc thu hồi từng bản tin Tuyến Loại 2 qua giao thức BGP sẽ mất nhiều giây, gây mất mát dữ liệu.

EVPN giải quyết triệt để vấn đề này thông qua cơ chế Thu Hồi Tuyến Hàng Loạt (Mass Withdrawal):

Địa chỉ MAC (00:1A:2B:3C:4D:5E) ---> Quảng bá kèm ESI-123 (Tuyến Loại 2)
Leaf-1 và Leaf-2                ---> Quảng bá khả năng tới ESI-123 (Tuyến Loại 1)

Các switch ở xa thiết lập bảng chuyển tiếp đa đường bình đẳng (ECMP) hướng tới cả Leaf-1 và Leaf-2 cho mọi địa chỉ MAC gắn với ESI-123. Khi Leaf-1 phát hiện đường cáp cục bộ bị đứt:

  1. Leaf-1 lập tức gửi bản tin thu hồi duy nhất đối với Tuyến Loại 1 đại diện cho đoạn ESI-123.
  2. Các switch từ xa ngay lập tức loại Leaf-1 khỏi danh sách chuyển tiếp ECMP cho toàn bộ địa chỉ MAC thuộc ESI-123, chuyển toàn bộ lưu lượng sang Leaf-2 trong thời gian vài mili-giây.
  3. Sau đó, Leaf-1 tiến hành dọn dẹp các bản ghi Tuyến Loại 2 ở chế độ nền mà không làm gián đoạn các luồng truyền dữ liệu đang hoạt động.

Để quan sát hành vi định tuyến và kiểm tra các tuyến đường chuyển tiếp thực tế, người dùng có thể tham khảo công cụ kiểm tra địa chỉ IP.

Hạ Tầng RiceGuard Edge Fabric: Mạng Lưới Anycast Gateway Bền Vững

Tại VPNRice, mạng lưới hạ tầng RiceGuard triển khai công nghệ BGP EVPN all-active multi-homing theo chuẩn RFC 7432 tại các trạm biên phân tán đa khu vực. Việc loại bỏ cụm MLAG độc quyền giúp hệ thống đạt độ ổn định tiêu chuẩn viễn thông:

  • Bảo Trì Thiết Bị Không Gây Gián Đoạn: Các nút biên có thể cập nhật nhân hệ điều hành mượt mà. Việc điều chỉnh giá trị ưu tiên theo chuẩn RFC 8584 giúp dẫn lưu lượng sang nút bên cạnh một cách chủ động trước khi tiến hành bảo trì.
  • Cân Bằng Tải Chiều Vào Đối Xứng: Dữ liệu từ các nhà mạng trung chuyển quốc tế phân bổ đồng đều qua các cụm máy chủ all-active, tránh hiện tượng nghẽn cổ chai định tuyến bất đối xứng. Người dùng tải bản cài đặt qua phần mềm ứng dụng luôn nhận được kết nối thông suốt.
  • Tối Ưu Hóa Dựa Trên Giám Sát Thời Gian Thực: Trạng thái mạng ảo Lớp 2 và Lớp 3 kết nối trực tiếp với dữ liệu giám sát định tuyến, kế thừa các nguyên lý đã được phân tích trong các bài viết về lập trình mạng SRv6 và băm ECMP cho GRE-in-UDP và GENEVE.

Cấu Hình Thực Tế: Triển Khai EVPN Multi-Homing Với FRRouting Trên Linux

Các bộ phần mềm mã nguồn mở như FRRouting (FRR) hỗ trợ đầy đủ các tính năng EVPN multi-homing theo chuẩn RFC 7432 trên hệ điều hành Linux. Dưới đây là cấu hình mẫu cho đoạn Ethernet all-active và cổng Anycast Gateway trong FRR:

! /etc/frr/frr.conf
router bgp 65001
 bgp router-id 192.0.2.11
 no bgp default ipv4-unicast
 neighbor FABRIC peer-group
 neighbor FABRIC remote-as 65000
 neighbor 192.0.2.1 peer-group FABRIC
 !
 address-family l2vpn evpn
  neighbor FABRIC activate
  advertise-all-vni
  advertise-default-gw
  autort rfc8365-compatible
 exit-address-family
!
interface bond0
 description Dual-Homed CE Link
 evpn multihoming es-id 00:11:22:33:44:55:66:77:88:99
 evpn multihoming es-sys-mac 00:11:22:33:44:55
 evpn multihoming df-preference 50000
!
interface vlan100
 description Anycast Gateway Subnet
 ip address 10.100.1.1/24
 ip gateway-address 10.100.1.1

Chuyển đổi kiến trúc mạng từ các cụm MLAG độc quyền sang tiêu chuẩn mở BGP EVPN all-active multi-homing giúp đội ngũ kỹ sư hạ tầng đạt được khả năng cô lập sự cố chính xác, tương thích đa nhà sản xuất và mở rộng quy mô linh hoạt.