VNI : VXLAN Network Identifier
Réseau
VNI : VXLAN Network Identifier, identifiant de 24 bits qui distingue les segments de niveau 2 transportés par VXLAN (Virtual Extensible LAN, RFC 7348). « L'identifiant de réseau VXLAN », par analogie avec le numéro de VLAN (Virtual Local Area Network) en plus grand : plus de seize millions de valeurs, de quoi ne plus jamais manquer de place et ne plus jamais savoir ce que contient chacune.
Taille : Le champ de 24 bits offre 16 777 216 valeurs, contre 4 094 VLAN utilisables avec les 12 bits de l'étiquette 802.1Q. Cette marge répond aux centres de données multiclients, où chaque client réclame ses propres segments.
Place dans l'en-tête : La trame Ethernet d'origine est encapsulée dans UDP (User Datagram Protocol, port 4789) ; l'en-tête VXLAN de 8 octets contient des indicateurs, le VNI et des champs réservés. La RFC l'appelle indifféremment VNI ou VXLAN Segment ID.
Correspondance : Chaque extrémité de tunnel, ou VTEP (VXLAN Tunnel End Point), associe un VNI à un VLAN local ou à un pont. Pour savoir quels VTEP participent à quel VNI, on s'appuie sur la multidiffusion ou, de plus en plus, sur BGP (Border Gateway Protocol) avec EVPN (Ethernet VPN, RFC 8365).
Aucune protection : Le VNI sépare, il n'authentifie pas : VXLAN ne chiffre ni ne signe rien. Quiconque peut envoyer de l'UDP vers le port 4789 d'un VTEP peut injecter une trame dans le segment de son choix en écrivant le bon numéro.
Ce qui arrive si on s'en passe
Sans VNI, il ne reste que les 4 094 VLAN de l'étiquette 802.1Q pour séparer les réseaux : dans une infrastructure partagée entre de nombreux clients ou projets, on finit par regrouper plusieurs locataires dans un même segment, et l'isolation repose alors sur des règles de filtrage qu'une seule erreur suffit à défaire. Avec VXLAN, le danger se déplace : le VNI n'étant protégé par rien, un réseau sous-jacent qui laisse entrer le port UDP 4789 depuis l'extérieur permet d'injecter des trames dans n'importe quel segment. Filtrer ce port aux frontières, ou chiffrer le transport sous-jacent, rend à la séparation le sérieux que le numéro seul ne lui donne pas.
Explication de la marmotte
Dans un grand centre de données, des milliers de clients partagent les mêmes câbles et les mêmes machines, mais chacun doit avoir l'impression d'être seul sur son réseau. On colle donc sur chaque message un numéro de réseau, le VNI, et les équipements ne livrent le message qu'aux machines portant le même numéro. Il existe plus de seize millions de numéros possibles, assez pour tout le monde. Ce numéro range les messages, mais ne les protège pas : il faut empêcher les intrus d'en fabriquer de faux.
Où ce terme est utilisé
- Virtualisation réseau, NFV et data planes ouverts (3 occurrences)
- MPLS, GMPLS, SD-WAN et overlays opérateurs (2 occurrences)