VPN e tunnelAvanzato

VXLAN su RouterOS v7: overlay L2 multi-sito

VXLAN incapsula Ethernet su UDP (VNI a 24 bit): ideale per estendere molte VLAN tra più POP con un solo overlay, più scalabile di EoIP. Configurazione VTEP, bridge e cifratura con IPsec.

VXLAN (Virtual eXtensible LAN, RFC 7348) incapsula frame Ethernet dentro UDP. Ogni segmento è identificato da un VNI a 24 bit (oltre 16 milioni di reti, contro le 4094 VLAN classiche). È lo standard moderno per gli overlay L2 multi-sito: rispetto a EoIP è interoperabile e scala meglio quando i POP sono molti.

Quando usarlo in un WISP. Quando devi portare decine di VLAN clienti tra più POP, o quando l'altro capo non è MikroTik (EoIP è proprietario). VXLAN può lavorare con remote VTEP statici (punto-punto/multipunto) e va cifrato con IPsec sull'underlay perché di per sé non cifra nulla.

Interfaccia VXLAN + VTEP remoto + bridge

# Crea l'interfaccia VXLAN (VNI 1000, porta UDP default 8472)
/interface/vxlan/add name=vxlan1000 vni=1000 port=8472 \
  interface=ether1

# VTEP remoto (l'IP underlay dell'altro POP)
/interface/vxlan/vteps/add interface=vxlan1000 remote-ip=10.0.0.2

# Metti la VXLAN in un bridge con le porte/VLAN locali
/interface/bridge/add name=br-overlay
/interface/bridge/port/add bridge=br-overlay interface=vxlan1000
/interface/bridge/port/add bridge=br-overlay interface=ether2

# Firewall: consenti l'UDP VXLAN tra i POP
/ip/firewall/filter/add chain=input protocol=udp dst-port=8472 \
  src-address=10.0.0.2 action=accept comment="VXLAN da POP-B"

VXLAN NON cifra: proteggi l'underlay con IPsec (policy che cifra il traffico UDP/8472 tra gli IP dei VTEP, transport mode) oppure fai girare la VXLAN dentro un tunnel WireGuard/IPsec già cifrato.

MTU: l'header VXLAN aggiunge ~50 byte. Se l'underlay è a 1500, la MTU L2 utile scende a ~1450; per trasportare frame Ethernet pieni a 1500 serve un underlay con MTU maggiore (jumbo). Imposta la mtu della VXLAN e dei membri del bridge in modo coerente per evitare frammentazione e MAC learning instabile.

Per topologie a più POP puoi aggiungere più VTEP remoti sulla stessa interfaccia (uno per sito). Lo stesso VNI deve essere usato su tutti i siti che appartengono allo stesso segmento L2.

vxlanvnivtepoverlaylayer2udpmulti-sitovlanbridgerfc 7348ipsecwispdatacenter

Continua con

Quale VPN scegliere su RouterOS?WireGuard: tunnel site-to-site tra due sede WireGuard: accesso remoto road warrior IPsec IKEv2: tunnel site-to-site sicuro

Configura senza fatica con l'AI

In WispOS l'agente AI genera la configurazione RouterOS dalle tue parole e un tutor ti guida passo passo.

Prova WispOS