#vxlan — Public Fediverse posts

VxLAN в энтерпрайз-сегменте, или Как построить Wi-Fi поверх VxLAN

Привет, это Данил Киселев, сетевой инженер в Yandex Infrastructure. Представьте себе, что у вас не просто офис, а очень большой офис с тысячами пользователей, которые ходят с созвона на созвон, перемещаясь между переговорками. Разумеется, им хочется оставаться на связи в процессе и не думать о ближайших точках доступа к Wi‑Fi. Для сетевого инженера это не выглядит проблемой на небольших масштабах. Но что если скоро ваш офис вырастет и таких точек доступа в сетевой фабрике может стать уже 20 000 и больше? В статье расскажу про опыт использования технологии VxLAN в корпоративных сетях Яндекса. В частности речь пойдёт про построение Wi‑Fi поверх VxLAN‑туннелей, которые таким образом смогли помочь нам с большим доменом и заодно избежать широковещательного шторма.

https://habr.com/ru/companies/yandex_cloud_and_infra/articles/1066494/

#vxlan #clos #wifi #широковещательный_шторм #bgp_evpn #fullmesh_vpn #annet

New post: Two Sites, One Cluster.

Two cheap Hetzner boxes, one in Nuremberg and one in Helsinki, fused into a single Proxmox VE cluster over vSwitch VLANs. VXLAN overlay for the guests, an external QDevice so two nodes can still hold quorum, BGP-driven OPNsense failover, and async ZFS replication.

The corosync link sits at 25ms RTT, five times what Proxmox wants. It works anyway, and the post is honest about exactly why, and when it wouldn't.

https://blog.hofstede.it/hetzner-proxmox-cluster/

#Proxmox #Hetzner #VXLAN #SelfHosting #Homelab #IPv6 #ZFS

New post: Two Sites, One Cluster.

Two cheap Hetzner boxes, one in Nuremberg and one in Helsinki, fused into a single Proxmox VE cluster over vSwitch VLANs. VXLAN overlay for the guests, an external QDevice so two nodes can still hold quorum, BGP-driven OPNsense failover, and async ZFS replication.

The corosync link sits at 25ms RTT, five times what Proxmox wants. It works anyway, and the post is honest about exactly why, and when it wouldn't.

https://blog.hofstede.it/hetzner-proxmox-cluster/

#Proxmox #Hetzner #VXLAN #SelfHosting #Homelab #IPv6 #ZFS

Надуманная проблема распределённой инфраструктуры

Жил-был я. И был у этого "я" небольшой пул виртуальных машин. Но пришло время, и появилось осознание, что у моего облачного провайдера (пусть будет С) не все условия мне нравятся. А, вот, у другого провайдера (путь будет провайдер В) условия для некоторых виртуалок повкуснее. И замыслил я неладное. Я решил разнести инфраструктуру между разными провайдерами. Но эту, так называемую, инфру необходимо скоммутировать между собой. Потому что гонять сервисный трафик через интернеты - дурная затея. И родился у меня план. Даже не так ПЛААААН!!! А следом, и эта статья. Предвосхищая вопросы почему не обычный VPN, отвечу: это во-первых, скучно, во-вторых, не подлежит публикации, в-третьих, в последнее время нестабильное ввиду блокировок. Disclaimer! Цель статьи - рассмотреть вариант осуществить связность конкретных элементов инфраструктуры, используя публичные каналы связи. Статья не ставит целью описать способ обхода блокировок и осуждает (хоть и не искренне) подобные статьи. А ну ка?

https://habr.com/ru/articles/1022486/

#vxlan #macsec

[Перевод] Настройка сети в Kubernetes: основы CNI

Kubernetes-кластер без сети — не кластер, а просто набор несвязанных компонентов. Чтобы «оживить» его, важно понимать, что такое Container Network Interface (CNI) и как он работает. В статье — детальный разбор механизма CNI: что такое CNI-плагин, как он запускается и какие операции выполняет в кластере. В конце работа CNI демонстрируется на примере кастомного плагина. Для желающих глубже погрузиться в тему есть список дополнительных материалов.

https://habr.com/ru/companies/flant/articles/1015810/

#сеть #cni #cniплагин #Container_Network_Interface #ipam #containerd #vxlan #static_routing #iptables

Apparently I'm bored or something? Having to actively fight off the urge to buy a Banana Pi R4 with a tri-band Wifi7 adapter and use it as a 2x10G SFP+ AP with #VxLAN/#EVPN directly to the AP.

The core of my home network is 2x Arista 7050 L3 switches, and I want important infrastructure attached to both of them, ideally via 2x10G (or 40G) fiber. I try to avoid L2 links between infrastructure devices as much as possible and use EVPN to layer my L2 WiFi network, etc over the top of L3. This lets me completely avoid spanning tree and all of the performance/scalability issues that come with it. It works amazingly well. It was a pain to set up, but adding new EVPN devices (Linux, Juniper, or Arista) is fairly trivial, and it simplifies a lot of management issues.

Unfortunately, there really aren't any APs the fit this model today. I *think* Arista's top-tier models come close, but they're in the "don't ask" tier of pricing, with per-year, per-AP support costs that are probably more than I'm willing to pay in total for an AP.

The #BPI_R4 (and especially the new #BPI_R4_Pro) seems to be able to run Linux as a WiFi 7 AP, and it's big enough to run FRR (for OSPF, BGP, and EVPN) and probably be fast enough to make WiFi itself the performance bottleneck, not the CPU or wired network.

Big issues:

- It's a dumb idea. I have working WiFi. Leave it alone.
- The BPI R4 is supposed to work with OpenWRT out of the box, except OpenWRT is sort of the antithesis of what I want in a network device. Too much all-in-one, too much GUI, not enough CLI. Also, it doesn't really support OSPF or BGP, much less EVPN.
- It probably *would* be possible with VyOS, except (a) it likely doesn't have the right driver compiled in (b) their hostapd config generator doesn't seem to support multiple SSIDs or WiFi 7 and (c) I doubt they have a build that will boot on the hardware, so I'd probably end up needing an ARM build system just for this.
- Only 1 of my 4 APs today is really in a place where redundant fiber would be easy. 2 more would be fine, except I don't have 2 free strands to either location, so I'd need to pull another 12-strand MTP trunk to each. The final location would just need to be copper.
- I *really* don't need yet another project.

Apparently I'm bored or something? Having to actively fight off the urge to buy a Banana Pi R4 with a tri-band Wifi7 adapter and use it as a 2x10G SFP+ AP with #VxLAN/#EVPN directly to the AP.

The core of my home network is 2x Arista 7050 L3 switches, and I want important infrastructure attached to both of them, ideally via 2x10G (or 40G) fiber. I try to avoid L2 links between infrastructure devices as much as possible and use EVPN to layer my L2 WiFi network, etc over the top of L3. This lets me completely avoid spanning tree and all of the performance/scalability issues that come with it. It works amazingly well. It was a pain to set up, but adding new EVPN devices (Linux, Juniper, or Arista) is fairly trivial, and it simplifies a lot of management issues.

Unfortunately, there really aren't any APs the fit this model today. I *think* Arista's top-tier models come close, but they're in the "don't ask" tier of pricing, with per-year, per-AP support costs that are probably more than I'm willing to pay in total for an AP.

The #BPI_R4 (and especially the new #BPI_R4_Pro) seems to be able to run Linux as a WiFi 7 AP, and it's big enough to run FRR (for OSPF, BGP, and EVPN) and probably be fast enough to make WiFi itself the performance bottleneck, not the CPU or wired network.

Big issues:

- It's a dumb idea. I have working WiFi. Leave it alone.
- The BPI R4 is supposed to work with OpenWRT out of the box, except OpenWRT is sort of the antithesis of what I want in a network device. Too much all-in-one, too much GUI, not enough CLI. Also, it doesn't really support OSPF or BGP, much less EVPN.
- It probably *would* be possible with VyOS, except (a) it likely doesn't have the right driver compiled in (b) their hostapd config generator doesn't seem to support multiple SSIDs or WiFi 7 and (c) I doubt they have a build that will boot on the hardware, so I'd probably end up needing an ARM build system just for this.
- Only 1 of my 4 APs today is really in a place where redundant fiber would be easy. 2 more would be fine, except I don't have 2 free strands to either location, so I'd need to pull another 12-strand MTP trunk to each. The final location would just need to be copper.
- I *really* don't need yet another project.

Как настроить EVPN/VXLAN на коммутаторе: разбираемся на примере KORNFELD

Привет, Хабр! Меня зовут Алексей Августинович, я принимаю участие в разработке операционной системы для линейки коммутаторов KORNFELD. В этом материале расскажу о возможностях нашей сетевой операционной системы, а именно — о поддержке функциональности L2 VXLAN. Настройка EVPN/VXLAN в сетях дата-центров — задача не из простых. Поэтому в материале я поделюсь шаблонами конфигураций, которые вы можете адаптировать под свои задачи, так как логика настройки и синтаксис у KORNFELD схожи с популярными вендорами.

https://habr.com/ru/companies/yadro/articles/950084/

#evpn #evpnvxlan #vxlan

Как мы отказались от транспондеров: практический переход на 400G ZR+

В самом начале всё выглядело достойно: надёжные Arista DCS-7170-64C-F с 64 портами по 100G, проверенные временем, отвечающие всем актуальным на тот момент требованиям. Мы развернули их по всем дата-центрам и чувствовали себя уверенно. Это выглядело оптимальным решением для текущего объёма задач. Но инфраструктура не стоит на месте, особенно когда бизнес растёт. Количество клиентов росло, вместе с ними — сложность и требования к сети. Понадобилось больше гибкости, изоляции, междатацентровой связности. Мы начали смотреть в сторону VXLAN — и тут выяснилось: профиль Q-in-Q в Arista сильно (реально сильно) ограничивает количество MAC-адресов. Не баг, не фейл — просто особенности архитектуры, которая не была рассчитана на те масштабы, в которые мы стремительно ворвались. Вывод был очевиден: пора готовиться к следующему этапу. VXLAN: модно, стильно, масштабируемо Когда требования ясны, становится проще принимать решения. Мы выбрали Huawei CloudEngine CE9855-32DQ — 1U-коммутаторы с поддержкой 400G. Они обеспечивали всё, что было нужно: производительность, надёжность, поддержку актуальных протоколов, включая поддержку VXLAN без ограничений. Именно на них мы реализовали полноценную VXLAN-инфраструктуру между дата-центрами. Всё поднялось без лишнего шума. Быстро, чисто, масштабируемо. Было приятно видеть, как идея превращается в работающий механизм, да ещё и с запасом на будущее (спойлер: как оказалось не очень-то и далекое). Апгрейд транспорта: от 200G DWDM к 400G ZR+ Параллельно с задачей внедрения VXLAN мы понимали, что физическая транспортная сеть требует апгрейда. До этого мы использовали Huawei транспондеры и мукспондеры на базе 200G и 400G DWDM (что, кстати, видно на первой фотографии).

https://habr.com/ru/articles/949758/

#dwdm #vxlan #qinq #network #network_engineer #huawei #arista_networks #zr_zr+ #power #cooling

Поднимаем BGP в облаке: как мы запустили «матрешку» тоннелей и ушли от L2-ограничений в новой локации Рег.облака

Привет, Хабр! На связи Евгений Мартынов, CIO Рег.облака. Сегодня мы подключили вторую зону доступности облака в Москве на базе дата-центра «Медведково-2» . И вместе с новым запуском провели значительный апгрейд технологический базы: пересобрали сетевую архитектуру, ушли от большого L2, навели порядок в изоляции трафика и перевели API на BGP-анонсы. В статье расскажу про конкретные решения — как и что мы пробовали, какие процессы отложили и к каким выводам пришли.

https://habr.com/ru/companies/runity/articles/947912/

#датацентр #датацентры #облако #сетевая_инфраструктура #api #bgp #тоннели #трафик #vxlan #ovn

It looks like WiFi (802.11) has a MTU 2304 bytes vs 1500 bytes for normal Ethernet.

So does this mean that if I want to forward a bunch of VLANs between 2 hosts over WiFi using VxLAN (bridge the ethernet device on the source host to the VxLAN interface).

Can I get the 1500 byte Ethernet MTU payload transported over WiFi if both hosts are connected to the same AP or using point to point WiFi

#WiFi #Ethernet #vxlan #networking

It looks like WiFi (802.11) has a MTU 2304 bytes vs 1500 bytes for normal Ethernet.

So does this mean that if I want to forward a bunch of VLANs between 2 hosts over WiFi using VxLAN (bridge the ethernet device on the source host to the VxLAN interface).

Can I get the 1500 byte Ethernet MTU payload transported over WiFi if both hosts are connected to the same AP or using point to point WiFi

#WiFi #Ethernet #vxlan #networking

I've made a bit of progress (tripped config export) https://gist.github.com/sjorge/accc0874b636aa20f7d3ae84d184c1e5

However it's not yet working.

My VM with a VNIC with vlan-id 500 is able to reach 10.24.50.1 with icmp.

I was also able to create a VXLAN interface on it, however no traffic seems to end up bridge1. If I use torch I can see the vxlan udp encapsulated traffic hitting the 'vxlans' interface on the bridge (so I know the traffic is reaching the switches IP), I can also see the un-encapsulated traffic with torsh on the vxlan100 interface.

It's just never hitting bridge1 again it seems.

#mikrotik #freebsd #vxlan

I've made a bit of progress (tripped config export) https://gist.github.com/sjorge/accc0874b636aa20f7d3ae84d184c1e5

However it's not yet working.

My VM with a VNIC with vlan-id 500 is able to reach 10.24.50.1 with icmp.

I was also able to create a VXLAN interface on it, however no traffic seems to end up bridge1. If I use torch I can see the vxlan udp encapsulated traffic hitting the 'vxlans' interface on the bridge (so I know the traffic is reaching the switches IP), I can also see the un-encapsulated traffic with torsh on the vxlan100 interface.

It's just never hitting bridge1 again it seems.

#mikrotik #freebsd #vxlan

Any #network engineers out there looking for a job? I'm looking for one or two good engineers to help me build a global network to make our company #selfhosted. Currently have PoPs in 7 countries with plans to expand.

Need to know #bgp, #mpls, #ospf and #vxlan. #linux and #automation skills are useful too.

The position is #fullyremote with occasional travel for hardware installs and maintenance.

Send me your CV or just DM me if you're interested.

#getfedihired #fedihire #fedijobs

Any #network engineers out there looking for a job? I'm looking for one or two good engineers to help me build a global network to make our company #selfhosted. Currently have PoPs in 7 countries with plans to expand.

Need to know #bgp, #mpls, #ospf and #vxlan. #linux and #automation skills are useful too.

The position is #fullyremote with occasional travel for hardware installs and maintenance.

Send me your CV or just DM me if you're interested.

#getfedihired #fedihire #fedijobs

Just spent a whole day setting up a #VXLAN on my #ProxMox cluster, just to figure out that not only would it not save any physical hops between VMs but it would actually add about a 3% overhead.

:pepe_g:

Just spent a whole day setting up a #VXLAN on my #ProxMox cluster, just to figure out that not only would it not save any physical hops between VMs but it would actually add about a 3% overhead.

:pepe_g:

Виртуальные сети в VMmanager: подробно о работе с VxLAN

VMmanager — это платформа для управления виртуальной инфраструктурой, которая позволяет не просто разворачивать отдельные виртуальные серверы, но и создавать целые пулы виртуальных машин и контейнеров с полной изоляцией от физического оборудования. Платформа решает ключевые задачи виртуализации --- быстрое создание, масштабирование и миграция ВМ, создание отказоустойчивой виртуальной инфраструктуры и обеспечение непрерывной работы развернутых сервисов и приложений, предоставление изолированных сред, выдача IaaS и SaaS. Безусловно, сценариев использования VMmanager намного больше , однако сегодня речь пойдет о виртуальных сетях на базе VxLAN — технологии, которая обеспечивает создание виртуальных сред, изолированных друг от друга и физического оборудования. В этой статье мы разберем, какие задачи и сценарии помогает решать VxLAN, как работают виртуальные сети в VMmanager, и подробно расскажем об особенностях настройки.

https://habr.com/ru/companies/ispsystem/articles/906838/

#vxlan #виртуальные_сети #vmmanager #ispsystem

so… 6h of “free time” after 8h shift was spent on #kubeadm deploy + #calico+#vxlan. did it work? yes. would i put it in production? hell no.

less than zero ideas how to handle this fight for iptables between kube-proxy (which should be disabled, but cluster and calico just dead without it) and calico components :/

so… 6h of “free time” after 8h shift was spent on #kubeadm deploy + #calico+#vxlan. did it work? yes. would i put it in production? hell no.

less than zero ideas how to handle this fight for iptables between kube-proxy (which should be disabled, but cluster and calico just dead without it) and calico components :/

Juniper EVPN/VXLAN mesh or ring https://blog.funil.de/3457/sinuspl/english/juniper-networks/juniper-evpn-vxlan-mesh-or-ring/ #evpn #jumboframes #juniper #mesh #ring #vxlan

Quick fixes for Juniper problems https://blog.funil.de/3551/sinuspl/english/juniper-networks/quick-fixes-for-juniper-problems/ #clear #cli #error #evpn #juniper #junos #loop #network #statistics #vxlan

Экстремально отказоустойчивые сети для офиса на базе фабрики BGP EVPN VXLAN: решение, которым гордился бы Скайнет

К миллиону продолжений «Терминатора» есть много вопросиков. Мой личный топ кринж — в «Терминатор. Генезис», когда Скайнет теряет ядро сети (там реально звучит слово «ядро») и все боты вырубаются . Между тем, отказоустойчивые сетевые конфигурации начали строить ещё мы, кожаные мешки, в первой половине 21 века. В кампусных сетях отказоустойчивость ядра мы чаще всего реализуем за счёт объединения коммутаторов ядра в стек. Это защищает ядро от сбоев и выхода из строя оборудования. В ЦОДах же отказоустойчивость сети реализуется на основе MLAG либо же за счёт развертывания сети в виде фабрики BGP EVPN VXLAN — набора из коммутаторов уровня spine и leaf. Такие конфигурации защищены не только от сбоев оборудования, но и от ошибок в коде и конфигурациях ПО. Я уверен, что инфраструктура сети Скайнет реализована как минимум в одной из этих конфигураций, причём с геораспределением. Так что показанное в кино — бред (впрочем, как и многое другое). А вот для обычных кампусных сетей такая архитектура — оверкил, её используют очень редко и в специфических обстоятельствах. Сегодня именно о таких кейсах из своей практики я расскажу в этой статье: как архитектура BGP EVPN VXLAN защищает от ошибок на уровне ПО и позволяет реализовать геораспределённую катастрофоустойчивость, какие с ней связаны подводные камни и в каких случаях компании считают такое решение целесообразным.

https://habr.com/ru/companies/k2tech/articles/874116/

#сетевая_фабрика #отказоустойчивость_сетей #кампусные_сети #mlag #vxlan #сетевая_архитектура

#ifstate 1.13.2 was released:
https://codeberg.org/liske/ifstate/releases/tag/1.13.2

(available in @alpinelinux edge + 3.21 3.20 + 3.19 and in @m4rc3l's Nix flake https://codeberg.org/m4rc3l/ifstate.nix)

This maintenance release includes fixes for configuring FDB entries.

The configuration of VXLAN with non-default UDP ports, unicast and static flooding now works correctly: https://ifstate.net/examples/vxlan.html

#linuxnetworking #ipv6 #vxlan

#ifstate 1.13.2 was released:
https://codeberg.org/liske/ifstate/releases/tag/1.13.2

(available in @alpinelinux edge + 3.21 3.20 + 3.19 and in @m4rc3l's Nix flake https://codeberg.org/m4rc3l/ifstate.nix)

This maintenance release includes fixes for configuring FDB entries.

The configuration of VXLAN with non-default UDP ports, unicast and static flooding now works correctly: https://ifstate.net/examples/vxlan.html

#linuxnetworking #ipv6 #vxlan

Neues aus dem Maschinenraum: wir haben unsere beiden Proxmox-Cluster miteinander vernetzt. Wir verwenden dazu #vxlan. Als Underlay dienen #wireguard Tunnel mit #babel als Routingprotokoll. Ziel ist unsere gesamte Infrastruktur in #stuttgart zu hosten, aber immer noch die Möglichkeit zu haben auf einen anderen Standort auszuweichen. #ffs #hostlocally

Neues aus dem Maschinenraum: wir haben unsere beiden Proxmox-Cluster miteinander vernetzt. Wir verwenden dazu #vxlan. Als Underlay dienen #wireguard Tunnel mit #babel als Routingprotokoll. Ziel ist unsere gesamte Infrastruktur in #stuttgart zu hosten, aber immer noch die Möglichkeit zu haben auf einen anderen Standort auszuweichen. #ffs #hostlocally

用 VXLAN + WireGuard 保護 L2 流量的方法

在「Defend against vampires with 10 gbps network encryption (synacktiv.com)」這邊看到「Defend against vampires with 10 g

https://blog.gslin.org/archives/2024/09/16/11978/%e7%94%a8-vxlan-wireguard-%e4%bf%9d%e8%ad%b7-l2-%e6%b5%81%e9%87%8f%e7%9a%84%e6%96%b9%e6%b3%95/

#Computer #Hardware #Infrastructure #Murmuring #Network #Privacy #Security #Software #VPN #encryption #ipsec #l2 #lan #layer #network #security #traffic #vlan #vpn #vxlan #wireguard

用 VXLAN + WireGuard 保護 L2 流量的方法

在「Defend against vampires with 10 gbps network encryption (synacktiv.com)」這邊看到「Defend against vampires with 10 g

https://blog.gslin.org/archives/2024/09/16/11978/%e7%94%a8-vxlan-wireguard-%e4%bf%9d%e8%ad%b7-l2-%e6%b5%81%e9%87%8f%e7%9a%84%e6%96%b9%e6%b3%95/

#Computer #Hardware #Infrastructure #Murmuring #Network #Privacy #Security #Software #VPN #encryption #ipsec #l2 #lan #layer #network #security #traffic #vlan #vpn #vxlan #wireguard

Here are even more agenda highlights from the upcoming SharkFest'24 EUROPE conference!

- VXLAN, EVPN & other intricacies unpacked (Pierre Besombes)
- Why web pages remain vulnerable to Layer 7 DoS Attacks (Michal Soltysik)
- Wireshark Techniques for Security Analysts (Walter Hofstetter)

More info: https://sharkfest.wireshark.org/sfeu

See you soon in Vienna, Austria!

#Wireshark #VXLAN #EVPN #DoS

Here are even more agenda highlights from the upcoming SharkFest'24 EUROPE conference!

- VXLAN, EVPN & other intricacies unpacked (Pierre Besombes)
- Why web pages remain vulnerable to Layer 7 DoS Attacks (Michal Soltysik)
- Wireshark Techniques for Security Analysts (Walter Hofstetter)

More info: https://sharkfest.wireshark.org/sfeu

See you soon in Vienna, Austria!

#Wireshark #VXLAN #EVPN #DoS

Сетевые плагины (CNI) в Kubernetes

Сеть Kubernetes — это сложная и увлекательная тема, наполненная множеством подвижных частей. Одним из ключевых компонентов, обеспечивающих сетевую связность и взаимодействие различных элементов кластера, является CNI (Container Networking Interface). CNI - это спецификация, разработанная CNCF (Cloud Native Computing Foundation) для стандартизации процесса подключения сетевых интерфейсов к контейнерам. CNI обеспечивает гибкость и адаптивность сетевой инфраструктуры, позволяя интегрировать различные сетевые решения в Kubernetes. Давайте подробнее разберем, что такое Container Network Interface?

https://habr.com/ru/companies/amvera/articles/834482/

#CNI #сетевые_плагины_kubernetes #сеть_kubernetes #Концепции_CNI #Функции_CNI #vxlan #CNI_с_Cilium #cilium #Установка_Cilium #сетевые_политики_Kubernetes

The recording of the July 18th, 2024 #bhyve Production User Call is up:

https://youtu.be/0eX5Id0ya3A

We discussed moving from AWS/GCP to a private cloud, #PiKVM, upcoming AMD IOMMU fixes, virtio-console, virtio-vsock, #NoVNC, libarchive, system-wide management APIs, Netgraph queue length, #VxLAN over WireGuard and IPsec, a new-to-FreeBSD story, and more!

"Don't forget to slam those Like and Subscribe buttons."

#FreeBSD #illumos

The July 16th, 2024 Jail/Zones Production User Call is up:

https://youtu.be/1F836MFrIfY

We did a #9pfs deep dive, discussed example #CVEs, got a #Jailer update and hacked on it, discussed #VxLAN over #WireGuard and #IPsec, and more!

"Don't forget to slam those Like and Subscribe buttons."

#FreeBSD #illumos

🌉 Bridging Networks Across VPS with Wireguard and VXLAN on FreeBSD | @stefano

｢ This article describes an advanced networking setup that allows you to bridge networks between two VPS instances using Wireguard and VXLAN on FreeBSD ｣

https://it-notes.dragas.net/2024/07/15/bridging-networks-across-vps-wireguard-vxlan-freebsd/

#freebsd #vps #wireguard #vxlan #bsd #tutorial

The tunnel between the two main servers at BSD Cafe is now based on Wireguard and VXLan. Everything was already set up, but for convenience, I had been using Zerotier.

#BSDCafeServices #BSDCafeUpdates #Wireguard #VXLan #Networking #Tech #BSDCafe #BSDCafeAnnouncements

#ifstate 1.10.0 has been released:
https://github.com/liske/ifstate/releases/tag/1.10.0

(available in @alpinelinux edge)

This release allows to bind tunnel interfaces to another namespace. This allows to put the underlay and the overlay of a tunnel interface (#vxlan, xfrm, wireguard, ...) into different netns namespaces.

The lo interface is now configured in all netns namespaces implicitly, including it's layer3 addresses.

Bridge fdb entry and sysctl MPLS processing support for links were added.

#linuxnetworking

Extender VLANS con tecnologías de tunelización https://www.eduardocollado.com/2023/10/05/extender-vlans-con-tecnologias-de-tunelizacion/ #Evpn, #Mpls, #Otv, #Qinq, #Vlan, #Vpls, #Vxlan

Has there yet been standardization of terms to replace master/slave in various networking contexts (eg, #VXLAN, #VLAN, link aggregation and bonding, etc), especially in their #Linux implementations? There seems to be a wide mix (eg, link, port, member instead of slave) from some searching, but not a huge amount of consistency. Plenty of things still seem to have not been addressed/renamed. It looks like #IEEE P3400 may be working on this but nothing is public yet? #InclusiveLanguage

Tunneling vxlan(4) over WireGuard wg(4) https://undeadly.org/cgi?action=article;sid=20230214061330 #openbsd #vxlan #wireguard #wg #vpn #tunneling

@runningrobderby
I an still missing the option to run multipoint #vxlan through #wireguard due to the lack of ip multicast.

The SDN / VXLAN Proxmox saga continues...

After posting this I noticed some strange behavior. I was getting ping packets fine and nmap was showing the https service for my new firewall. The problem was when I would navigate to my new firewall's management site it wouldn't work. I would get ssl_error_rx_record_too_long on Firefox and timeouts on Chrome.

I opened up Wireshark and noticed the return traffic for SSL was severely delayed and appeared malformed.

What I missed in my instructions is that VXLAN takes up 50 bytes for encapsulation, so for the endpoints within the internal network I had to set a custom MTU of 1450 so that the VXLAN encapsulation could happen within the 1500 limit of the interface on the Proxmox nodes.

After configuring this on one of the internal machines and it worked to get to the site I thought maybe I had to also configure the 1450 MTU on the firewall's internal interface. I did that and was immediately getting some rapid drop-connect-and-drops repeatedly on my home network so I reverted that change. I really don't know why changing the MTU on the internal interface of the firewall would cause that on my main network but it did, so I reverted it. It seems any device on that internal LAN will need the MTU change other than the firewall, for all the traffic to work properly.

Now it looks like the next thing to do is to start putting various machines behind the new routers to start segmenting my lab network, and get it off of the flat network for increased security and traffic isolation and control.

The Proxmox guide I linked earlier will give more details on the 50 byte allocation for VXLAN.

@zrail @r3pek @junq @train

#homelab #proxmox #networking #sdn #vxlan #ovs #selfhosted #selfhostingmastodon #MTU

Ok quick update: I got Proxmox SDN working with VXLAN and Vnets across the cluster!

To reproduce:

1. Install SDN per instructions (about three easy steps per node). See docs: https://pve.proxmox.com/wiki/Software_Defined_Network
2. Add a Zone at the SDN datacenter level. Specify Zone name and Prox nodes to apply to.
3. Add a Vnet at the SDN datacenter level. Specify zone, Vnet name, and VXLAN ID.
4. Apply SDN configuration, this pushes the Vnet config to each Prox node.
5. Add/replace interface on target VM. In my case for testing I added an interface targeting the new Vnet and specified IPv4 statics on two VMs on separate prox nodes and pinged each other.

@zrail @r3pek @junq

#homelab #proxmox #networking #sdn #vxlan #ovs #selfhosted #selfhosting