スイッチング、ブリッジング、VXLAN

スイッチが A から B へのフレームを初めて受信した際、B の位置は不明ですが、B が正常に受信できる可能性があります。これは、A の入力ポートを学習し、許可された他のポートへ未知の宛先フレームをフロッピング（広範転送）することで実現されます。B が返信すると、逆方向の送信元も学習されます。このプロセスは FDB（転送データベース）の形成を説明しますが、ループがどのように消滅するかまでは説明できません。ループ制御とトンネル拡張には、それぞれ独自のメカニズムが必要です。

3つのフレームで学習と転送を理解する

ポート p1、p2、p3 がすべて VLAN 10 に属し、転送が許可されていると仮定します。A は p1 に、B は p2 に、C は p3 にいます。初期状態の FDB は空です。以下では、ローカル終端と特殊アドレスの処理は省略します。

動的学習には、ポートが学習を許可する状態にあり、対応する入力ルールを通過する必要があります。すべてのフレーム到着が無条件で更新されるわけではありません。FDB のキーには VLAN などのコンテキストも含まれるため、同じ MAC でも異なる VLAN では異なる位置を持つことができます。スイッチングデバイスが維持するのは、各自の観察/制御プレーンから得られた局所情報であり、スイッチ間で自動的に同期されるグローバルハッシュテーブルと解釈してはいけません。

宛先位置が入力ポートと一致する場合、通常のブリッジングではこの転送をフィルタリングします。ヘアピン（Hairpin）機能により、特定のシナリオで同一ポートへの戻り転送を許可できます。この入力フィルタリングは完全なループ防止を意味するものではなく、フレームが他のリンクから戻ってきた場合、再度転送される可能性があります。

フロッピングとエイジングは、1つのパケットのドロップを意味しない

未知ユニキャストは、通常、同一 VLAN 内で、フロッピングが許可され、転送状態にある関連ポートにコピーされます。スイッチの全ポートに無条件で送信されるわけではありません。ブロードキャストも VLAN、分離、制御ポリシーによって制限されます。マルチキャストの場合、IGMP/MLD スヌーピングの MDB メンバーおよびルーターポートに基づいて出口が選択され、リンクローカルマルチキャストには特別なルールがあります。

動的 FDB がエイジアウト（期限切れ）すると、次のフレームは未知ユニキャストとなりフロッピングされる可能性がありますが、これは通常、ターゲットに到達します。⁠必ずしも1つのパケットがドロップされるわけではありません。 未知ユニキャストがポリシーによって禁止されている場合、フロッピングパスが制限されている場合、またはネットワークが混雑している場合にのみ、さらに分析が必要です。ターゲットが受信した後、すぐに学習が回復するかどうかは、学習可能なソースフレームをターゲットが送信しているかどうかにかかっています。

アドレスの移動は、新しい入力からのソーストラフィックによって位置を更新できますが、継続的な往復移動は、重複する MAC アドレスやレイヤー2ループを示している可能性があります。静的、永続、制御プレーン管理、またはハードウェアオフロードのエントリは異なるライフサイクルを持ち、すべてのエントリを固定の 300 秒後に削除されるものとして記述すべきではありません。

スイッチは1つのフレームしか見えないが、どちら半分を学習できるか？

同じ図に「現在の学習テーブル」と「直近の転送結果」を保持します。まず A→B を送信し、次に B→A を送信し、最後に A→B を再送信します。これにより、指向性転送の証拠がどのように生成されるかを確認できます。テーブルクリアは後続の参照に影響しますが、すでに発生した転送を書き換えるものではありません。そのため、クリア後も画面には最後の出口が保持されます。

Linux bridge：ソフトウェアオブジェクトでハードウェア転送を管理

Linux bridge はレイヤー2ブリッジングを提供します。veth、TAP、物理インターフェース、または VXLAN デバイスはすべて関連ポートとして機能できます。ホストがこのレイヤー2ネットワークで IP 通信に参加するには、ブリッジマスターデバイスまたは対応する VLAN インターフェースを通じてレイヤー3機能を設定できます。ポートを bridge に追加しても、IP ルーティングが自動的に有効になるわけではありません。

Linux 7.2 の net/bridge/br_private.h では、FDB は MAC と VLAN ID を含むキーを使用し、宛先ポートおよび更新情報を関連付けます。学習および転送パスは br_input.c、br_forward.c で確認できます。

Linux はまた、switchdev を介して FDB などの情報をハードウェアにプッシュでき、データプレーンはフレームごとに CPU を通過する必要はありません。したがって、「Linux bridge はハードウェアより10倍遅く、10 Gb/s 以下しか使用できない」という主張には一般的な根拠がありません。パフォーマンスはパケットサイズ、CPU/NUMA、ドライバー、ルール、およびオフロード能力に基づいて測定する必要があります。Linux switchdev モデル

実際の状態を確認するには、まず読み取り専用コマンドを使用します。デバイス名は例です。

ip -d link show br0
bridge link show
bridge vlan show
bridge fdb show br br0
bridge mdb show

従来の bridge sysfs の ageing_time は clock_t/USER_HZ で表されるため、echo 60 を直接 60 秒と呼んではいけません。ローカルの br_sysfs_br.c と br_stp.c には明確な変換があり、一般的な USER_HZ=100 の場合、1分は 6000 に相当します。より安全なのは、使用しているツールのドキュメントに従って入力単位を確認することです。Linux bridge インターフェースドキュメント

ブリッジフィルタリングとレイヤー3フィルタリングの期待値を混同しない

br_netfilter を使用すると、一部のブリッジトラフィックが対応するレイヤー3 netfilter パスに入力できます。これは歴史的に iptables ルールに使用されてきましたが、純粋なレイヤー2転送がすべての ip/inet ルールを通過するわけではないことを意味しません。nftables の bridge ファミリーは、ブリッジ層を直接処理でき、br_netfilter を一律にロードする必要はありません。nftables ブリッジフィルタリング

トラブルシューティング時には、パケットがブリッジ上で転送されているのか、ローカルに送信されているのか、ルーティングに入っているのかを把握し、対応するフック、ルールカウント、オフロードパスを決定する必要があります。ヘアピン、ポート分離、VLAN フィルタリングは異なる設定であり、1つのファイアウォールスイッチで全転送ポリシーを代替することはできません。

STP：TTL がないレイヤー2転送を生成木で制約する

通常のイーサネットフレームには、IP の TTL のようなホップごとの減衰フィールドはありません。冗長リンクがループを形成すると、ブロードキャスト/未知ユニキャストのコピーが継続的に循環し、同時にソース MAC がポート間でドリフトする可能性があります。STP は物理的な冗長性を保持しつつ、ポートの役割と状態の選択によってループのない転送トポロジを選択します。これは、特定の重複フレームを識別して自動的にデジュープリケーションするものではありません。

まず、Bridge ID などのルールに基づいてルートを選択し、非ルートブリッジはルートまでのパスコストおよび後続の競合解決フィールドを比較してルートポートを選択します。各セグメントでは、指定ポートが選択されます。図ではすべてのリンクコストが 10 で、B、C のルートまでの直接コストはどちらも 10 です。相手経由の場合は 20 になります。B—C セグメントでは双方のルートコストが同じであり、B の ID が小さいと仮定すると、B が指定役割を獲得し、C 側は代替/転送しないパスになります。

BPDU はプロトコル制御パケットです。従来の STP は対応する 802.3 長さ/LLC エンキャプスレーションを使用し、一般的な DSAP/SSAP は 0x42 です。出現する 0x0026 の長さを EtherType として記述してはいけません。STP 設定 BPDU、トポロジ変更 BPDU、および RSTP BPDU のフォーマット/タイプは完全に同一ではありません。

RSTP は、役割、エッジポート、およびポイントツーポイントリンクでの Proposal/Agreement を介して、安全な転送変換を高速化します。すべての障害が 1〜3 秒以内に保証されるわけではありません。従来の STP の待機タイマーも、トポロジ、設定、障害検出の影響を受けるため、特定のデフォルトシナリオでの収束時間を固定のパフォーマンス指標として扱うことはできません。Cisco：RSTP メカニズム

BPDU フィルタリング、エッジポート設定、保護機能はアクセス側の役割に基づいて設計する必要があります。BPDU を誤って隠蔽すると、実際のループが保持される可能性があります。Linux bridge で STP が有効になっているかどうか、必要な高速/マルチインスタンスプロトコルがユーザー空間デーモンによって実装されているかどうかを確認する必要があります。インターフェース名が bridge であるからといって、ループ防止が有効であると推論してはいけません。

VXLAN：外側の到達可能性を解決し、内側のネイバー関係を確立する

VXLAN は UDP を介して内側のイーサネットフレームを伝送し、VTEP はエンキャプスレーション/デキャプスレーションのエンドポイントです。基本ヘッダーは 8 バイトで、VNI は 24 ビットを使用し、I フラグは VNI が有効であることを示します。標準の UDP 宛先ポートは 4789 ですが、展開時には互換性のある値を明確に設定する必要があります。VNI は約 1677 万の番号空間を提供しますが、ハードウェアが同じ数のアクティブテナントを収容できることを保証するものではありません。

A 側のローカルブリッジはまず、宛先 MAC が VXLAN ポートを通じて送信されるべきであることを決定します。VXLAN 転送情報は遠端 VTEP を特定し、外側 IP ルーティングは物理出口を決定し、最後に外側ネイバー解決によって現在のリンクの次のホップ MAC を取得します。外側の次のホップは中間ルーターである可能性があり、必ずしも遠端 VTEP の物理 MAC である必要はありません。相手側は外側を剥がした後、VNI とローカル転送設定に基づいて内側フレームを処理します。RFC 7348：VXLAN

UDP ソースポートにはフローハッシュ情報が含まれる可能性があり、Underlay ECMP が異なる内側フローを分散するのに役立ちます。これにより NAT トゥルーザーのネゴシエーションが自動的に行われるわけではありません。ファイアウォール、戻りパス、MTU、許可された VTEP にはそれぞれ対応する設定が必要です。VXLAN 自体はテナントコンテンツの暗号化と相手側認証を提供しません。

MTU は外側 IP 長で決済する

内側 VLAN がなく、IPv4 オプションもない例では、内側 L3 は 1500 バイト、内側 Ethernet 14 バイト、VXLAN 8 バイト、UDP 8 バイト、外側 IPv4 20 バイトを加えて、合計 1550 バイトの外側 IP パケット となります。内側 FCS は通常エンキャプスレーションされず、外側 Ethernet は IP MTU の外側にあります。Underlay IP MTU が 1500 のみの場合、同じ仮定では内側 L3 は 1450 バイトを使用できます。外側 IPv6 基本ヘッダーは 40 バイトであるため、1430 バイトとなります。

追加のタグ、拡張ヘッダー、または暗号化トンネルはさらに予算を占有します。物理ポートの MTU を大きく設定するだけでは、すべてのパスと遠端が一致すると推論できません。フラグメンテーション、ドロップ、およびエラーフィードバックは、具体的なプロトコルと実装の制限の影響を受けます。小さな ping は通るが、大きな負荷は通らない場合、内外層の長さとパスの動作をそれぞれ確認する必要があります。

BUM コピーと EVPN：制御プレーンで未知の情報を削減

ブロードキャスト、未知ユニキャスト、マルチキャストは総称して BUM と呼ばれますが、その転送ポリシーは必ずしも完全に同一である必要はありません。VXLAN は対応する Underlay マルチキャストまたはエントリポイントコピーなどのソリューションを使用でき、コピー対象はその VNI の関連遠端メンバーであり、展開されたすべての VTEP ではありません。1つのエントリが3つの遠端にそれぞれ 1 MiB の内側データをコピーする必要がある場合、コピーされた内側データ量のみで 3 MiB となり、外側オーバーヘッドは含まれません。

EVPN は BGP を介して MAC/IP と関連の到達可能性情報を配布し、純粋なデータプレーン学習よりも明確な制御プレーンを提供します。これは Open vSwitch などのスイッチング実装とは異なる概念です。ARP/ND 抑制は、信頼でき有効なバインディングを利用してローカルで一部の解決リクエストに応答しますが、すべてのブロードキャストを排除できるわけではなく、バインディングが期限切れになった後に古い回答を自由に提供することもできません。RFC 8365：EVPN Overlay

MAC の移動、VTEP の障害、コピーメンバーの変化、および基盤ルーティングの収束は依然として処理が必要です。Overlay はレイヤー2の境界をレイヤー3ネットワークを越えて拡張可能ですが、障害影響範囲も拡張する可能性があります。「トンネルがより遠くまで伸びる」ことを「分離がより強力である」と直接見なしてはいけません。

ローカル転送とエンキャプスレーションモデル

以下は、同一 VLAN、すべてのポートが学習/転送を許可、通常のユニキャスト、ヘアピンなしという基本論理のみをシミュレートします。実際の bridge の並行処理、エイジング、または制御パケットはシミュレートしません。

ports = {10: {'p1','p2','p3'}, 20: {'p1','p4'}}
fdb = {}
def forward(vid, ingress, source, dest):
    assert ingress in ports[vid]
    fdb[(vid, source)] = ingress
    out = fdb.get((vid, dest))
    if out is None:
        return ports[vid] - {ingress}
    return {out} if out != ingress else set()
assert forward(10,'p1','A','B') == {'p2','p3'}
assert forward(10,'p2','B','A') == {'p1'}
assert forward(10,'p1','A','B') == {'p2'}
assert forward(20,'p4','B','A') == {'p1'}
assert fdb[(10,'B')] == 'p2' and fdb[(20,'B')] == 'p4'
assert forward(10,'p1','D','A') == set()
vni = 100
header = bytes([0x08,0,0,0]) + vni.to_bytes(3,'big') + bytes(1)
assert len(header) == 8 and header.hex() == '0800000000006400'
assert 20+8+8+14+1500 == 1550
assert 1500-(20+8+8+14) == 1450
assert 1500-(40+8+8+14) == 1430
print('学習/フロッピング/同一ポートフィルタ、VLAN 独立キー、VXLAN エンコーディング、MTU 計算が通過')

ローカルチェックでは、ブリッジの作成、VXLAN トンネルの確立、またはプロダクションネットワークへのレイヤー2フレームの注入は行われません。

継続的な参照

• Ethernet と MAC：フレーム、VLAN、フロー制御、および集約。
• ARP と NDP：ネイバー解決と到達可能性。
• ルーティングと BGP：基盤パスと制御プレーン。