현대 데이터센터 네트워크는 클라우드 서비스의 확산과 워크로드의 이동성 증가로 인해 기존의 전통적인 계층적 L2/L3 구조에서 벗어나 보다 유연하고 확장 가능한 아키텍처를 요구하고 있습니다. VXLAN(Virtual Extensible LAN)과 EVPN(Ethernet VPN)의 조합은 이러한 요구사항을 충족하는 표준 기술로 자리 잡았으며, 특히 Cisco Nexus 9000 시리즈는 이를 하드웨어 수준에서 완벽하게 지원하는 핵심 플랫폼입니다. 본 포스팅에서는 VXLAN EVPN 패브릭의 컨트롤 플레인 동작 원리와 Anycast Gateway 설계, 그리고 실무적인 운영 검증 방안을 심도 있게 분석합니다.
SECTION 011. VXLAN EVPN 패브릭 개요 및 Nexus 9000 아키텍처
전통적인 L2 네트워크는 STP(Spanning Tree Protocol)에 의한 대역폭 낭비와 4,096개라는 VLAN ID의 한계, 그리고 복잡한 DCI(Data Center Interconnect) 구성 등의 고질적인 문제를 안고 있었습니다. VXLAN은 L3 언더레이(Underlay) 네트워크 위에서 L2 오버레이(Overlay)를 구현하는 터널링 기술로, 24비트 VNI(VXLAN Network Identifier)를 통해 최대 1,600만 개의 논리적 세그먼트를 제공합니다.
Cisco Nexus 9000 시리즈는 NX-OS 7.0(3)I1(1) 릴리스 이후부터 MP-BGP EVPN을 공식 지원하며, 하드웨어 기반의 VXLAN 캡슐화 및 디캡슐화를 수행합니다 [1]. 특히 Cloud Scale ASIC이 탑재된 모델들은 고성능 VXLAN 라우팅과 브리징을 동시에 처리하며, Leaf-Spine 토폴로지 내에서 지연 시간을 최소화하는 최적의 경로를 제공합니다.
SECTION 022. MP-BGP EVPN Control Plane 심층 분석
VXLAN 초기 모델이 데이터 플레인 기반의 학습(Flood-and-Learn)에 의존했던 것과 달리, 현대적인 패브릭은 MP-BGP EVPN(RFC 7432)을 컨트롤 플레인으로 사용합니다. 이는 BGP를 통해 호스트의 MAC 및 IP 정보를 사전에 배포함으로써 불필요한 플러딩을 억제하고 네트워크의 예측 가능성을 높입니다 [2]. EVPN에서 주로 사용되는 핵심 Route Type은 다음과 같습니다.
- Route Type 2 (MAC/IP Advertisement): 특정 VTEP(VXLAN Tunnel End Point)에 연결된 호스트의 MAC 주소와 IP 주소 정보를 배포합니다. 이를 통해 오버레이 내에서 호스트 도달 가능성을 확인합니다.
- Route Type 3 (Inclusive Multicast Ether-Tag): BUM(Broadcast, Unknown Unicast, Multicast) 트래픽 처리를 위해 멀티캐스트 그룹이나 헤드엔드 복제(Head-end Replication) 목록을 구성하는 데 사용됩니다.
- Route Type 5 (IP Prefix Route): 서브넷 단위의 라우팅 정보를 배포할 때 사용되며, 외부 네트워크와의 연동이나 L3VNI를 통한 테넌트 간 라우팅에 필수적입니다.
SECTION 033. Distributed Anycast Gateway 설계
VXLAN EVPN 환경에서 가장 혁신적인 기능 중 하나는 Distributed Anycast Gateway(DAG)입니다. 이는 패브릭 내의 모든 Leaf 스위치(VTEP)가 동일한 IP와 MAC 주소를 가진 게이트웨이를 동시에 보유하도록 설정하는 방식입니다. 이를 통해 가상 머신(VM)이 다른 Leaf로 이동하더라도 게이트웨이 정보를 변경할 필요 없이 즉시 통신이 가능해집니다.
설계 시 핵심 포인트는 모든 VTEP에서 동일한 가상 MAC 주소를 설정하는 것입니다. NX-OS에서는 fabric forwarding anycast-gateway-mac <mac-address> 명령을 통해 전역적으로 설정하며, 각 VNI에 대응하는 SVI(Switch Virtual Interface)에 anycast-gateway 명령을 활성화해야 합니다 [1].
SECTION 044. L2VNI와 L3VNI의 비교 및 설계 포인트
VXLAN 패브릭 내에서 서비스는 크게 L2 확장과 L3 라우팅으로 구분됩니다. 이를 위해 VNI는 용도에 따라 두 가지 형태로 매핑됩니다.
| 구분 | L2VNI (Layer 2 VNI) | L3VNI (Layer 3 VNI) |
|---|---|---|
| 주요 목적 | 동일 서브넷 내 L2 브리징 확장 | 서로 다른 서브넷 간 L3 라우팅 |
| 매핑 대상 | VLAN ID와 1:1 매핑 | VRF(Virtual Routing and Forwarding)와 매핑 |
| 동작 계층 | Data Link Layer (Layer 2) | Network Layer (Layer 3) |
| 주요 식별자 | Bridge Domain / VLAN | Tenant VRF |
L2VNI는 동일한 네트워크 세그먼트를 물리적 위치와 관계없이 확장하는 데 사용되며, L3VNI는 테넌트(Tenant) 간의 격리된 라우팅 환경을 제공하는 VRF Lite 개념의 오버레이 버전으로 이해할 수 있습니다.
SECTION 055. 단계별 실무 적용 가이드
Nexus 9000 스위치에서 VXLAN EVPN을 구성하는 표준 절차는 다음과 같습니다. 설정 시 파괴적인 영향을 줄 수 있는 명령은 배제하고 핵심 구성 요소를 중심으로 설명합니다.
- 기능 활성화:
feature nv overlay,feature vn-segment-vlan-based,feature ospf(또는 다른 IGP),feature bgp등을 먼저 활성화합니다. - 언더레이 구성: Leaf와 Spine 간의 물리적 인터페이스에 IP를 할당하고 OSPF 또는 IS-IS를 통해 루프백 주소 간의 도달 가능성을 확보합니다.
- BGP EVPN 피어링: Spine을 Route Reflector로 설정하고 Leaf들과
address-family l2vpn evpn피어링을 맺습니다. - VNI 및 VRF 정의: L2VNI와 L3VNI를 생성하고, L3VNI의 경우 해당 VRF 아래에 VNI를 매핑합니다.
- Anycast Gateway 설정: 전역 Anycast MAC을 설정하고, 각 VLAN SVI에
anycast-gateway를 적용합니다. - NVE 인터페이스 구성:
interface nve1을 생성하여 소스 루프백을 지정하고 VNI들을 멤버로 등록합니다.
SECTION 066. 운영 검증 및 상태 분석 방법
구성이 완료된 후에는 다음의 명령어를 통해 패브릭의 정상 동작 여부를 단계별로 확인해야 합니다.
- VTEP 피어 상태 확인:
show nve peers명령을 통해 인접 Leaf 스위치들과의 터널 상태를 확인합니다.LearnType이 'CP'(Control Plane)로 표시되어야 정상입니다. - BGP EVPN 경로 확인:
show bgp l2vpn evpn summary명령으로 BGP 세션 상태를 점검하고,show bgp l2vpn evpn으로 수신된 Route Type 2, 3, 5 경로를 분석합니다. - VNI 매핑 상태 확인:
show nve vni명령을 통해 각 VNI가 Up 상태인지, L2 또는 L3로 정확히 구분되어 작동하는지 확인합니다. - MAC/ARP 테이블 검증:
show l2route evpn mac all및show ip arp vrf <vrf-name>을 통해 원격지의 호스트 정보가 컨트롤 플레인을 통해 정상적으로 학습되었는지 확인합니다.
SECTION 077. 흔한 장애 포인트 및 위험 요소
VXLAN EVPN 운영 시 관리자가 반드시 인지해야 할 제약 사항과 위험 요소가 있습니다.
- VNI 예약 번호 충돌: NX-OS에서
16777215와 같은 특정 번호는 시스템 예약용으로 사용되므로, VNI 할당 시 이를 피해야 합니다 [1]. - vPC Orphan Port 이슈: vPC 환경에서 VXLAN을 운영할 경우, 한쪽 Leaf에만 연결된 단일 연결 호스트(Orphan Port)는 피어 링크 장애 시 트래픽이 단절될 수 있습니다. 이를 방지하기 위해
vpc orphan-ports suspend설정을 신중히 검토해야 합니다. - MTU 사이즈 불일치: VXLAN 캡슐화로 인해 원본 패킷에 50바이트 이상의 헤더가 추가됩니다. 언더레이 네트워크의 모든 인터페이스 MTU를 최소 9216(Jumbo Frame)으로 설정하지 않으면 패킷 드롭이 발생할 수 있습니다.
SECTION 088. 실무 운영 체크리스트
성공적인 VXLAN 패브릭 운영을 위해 다음 항목을 주기적으로 점검하십시오.
- 모든 Leaf/Spine 인터페이스의 MTU가 9216으로 통일되어 있는가?
- Anycast Gateway MAC 주소가 패브릭 전체에서 유일하고 동일하게 설정되었는가?
- BGP EVPN 피어링의
address-family l2vpn evpn이 정상적으로 Established 상태인가? - 각 VRF별로 고유한 RD(Route Distinguisher)와 RT(Route Target)가 할당되었는가?
- vPC Peer-Keepalive 및 Peer-Link의 상태가 안정적인가?
SECTION 099. 마무리
Cisco Nexus 9000 VXLAN EVPN 패브릭은 복잡한 제어 로직을 BGP라는 검증된 프로토콜로 통합함으로써 데이터센터 네트워크의 안정성과 확장성을 획기적으로 개선했습니다. Anycast Gateway를 통한 호스트 이동성 보장과 컨트롤 플레인 기반의 학습 방식은 운영 효율성을 극대화합니다. 본 가이드에서 다룬 설계 원칙과 검증 방법을 토대로 안정적인 차세대 네트워크 인프라를 구축하시기 바랍니다.