Il fabric SD-Access come rete overlay
In SD-Access il campus è costruito come overlay su un underlay puramente instradato (tipicamente IS-IS con MTU maggiorata per l’incapsulamento). L’underlay ha un solo compito: garantire raggiungibilità IP fra i loopback dei nodi fabric. Tutta la logica di segmentazione, mobilità e policy vive nell’overlay, che poggia su due tecnologie distinte con ruoli complementari: LISP come control plane e VXLAN come data plane. Tenere separati questi due piani è la chiave concettuale dell’intera unità.
LISP: il control plane e la separazione identità/locazione
Il principio fondante di LISP (Locator/ID Separation Protocol) è disaccoppiare chi è un endpoint da dove si trova:
- EID (Endpoint Identifier): l’indirizzo dell’host (IP o MAC del client, stampante, server…). Rappresenta l’identità.
- RLOC (Routing Locator): il loopback del nodo fabric edge dietro cui l’EID è collegato. Rappresenta la locazione nell’underlay.
Il fabric mantiene un database di associazioni EID-to-RLOC. Due funzioni logiche, ospitate dal Control Plane node, lo gestiscono:
| Componente | Ruolo |
|---|---|
| Map Server (MS) | Riceve le registrazioni Map-Register dagli edge (ETR) che dichiarano quali EID servono |
| Map Resolver (MR) | Risponde alle Map-Request degli edge (ITR) che devono raggiungere un EID sconosciuto |
Quando un edge riceve traffico verso un host non in cache, interroga l’MR, ottiene l’RLOC di destinazione e popola il proprio map-cache. Questo modello pull sostituisce il flooding tipico delle reti L2 tradizionali: niente broadcast di ARP propagati a tappeto, riduzione del dominio di guasto e supporto nativo alla host mobility (basta ri-registrare l’EID sul nuovo RLOC). Il control plane LISP viaggia su UDP 4342.
Punto cruciale: in SD-Access LISP fa solo mapping. Non incapsula il traffico dati degli utenti, a differenza del LISP “classico” che avrebbe un proprio data plane su UDP 4341.
VXLAN: il data plane di incapsulamento
Una volta noto l’RLOC di destinazione, l’edge incapsula il frame originale dell’host e lo inoltra nell’underlay. L’incapsulamento è VXLAN (UDP 4789), che imbusta il pacchetto L2/L3 dell’endpoint dentro un tunnel fra loopback. SD-Access non usa VXLAN standard ma la variante VXLAN-GPO (Group Policy Option), che estende l’header per trasportare la policy.
Nell’header VXLAN di SD-Access convivono due informazioni di segmentazione:
- VNI (Virtual Network Identifier): identifica la Virtual Network (VN), mappata 1:1 a un VRF. È la macro-segmentazione — traffico di VN diverse è isolato per costruzione.
- SGT (Scalable Group Tag), 16 bit, trasportato nei campi riservati del VXLAN-GPO: identifica il gruppo dell’endpoint sorgente. È la base della micro-segmentazione applicata via SGACL e policy group-based (tipicamente orchestrate con Cisco ISE).
Trasportare l’SGT dentro il data plane significa che il gruppo viaggia con ogni pacchetto: l’edge di destinazione può applicare la policy senza dover ri-classificare l’host, mantenendo l’enforcement coerente in tutto il fabric.
Come i due piani lavorano insieme
- L’host invia traffico all’edge (ITR).
- L’edge risolve l’EID di destinazione interrogando MR/MS (control plane LISP).
- Ottenuto l’RLOC, l’edge incapsula in VXLAN con il VNI della VN e l’SGT del gruppo (data plane).
- L’underlay instrada il pacchetto verso l’RLOC; l’edge remoto de-incapsula, applica l’SGACL e consegna all’host.
LISP decide dove mandare; VXLAN come trasportarlo. Sono complementari, non alternativi.
Trappole tipiche d’esame
- Scenario: la traccia chiede “quale protocollo incapsula il traffico degli endpoint nel fabric?” → risposta: VXLAN (data plane), non LISP. LISP è solo il piano di controllo per il mapping EID-to-RLOC.
- Scenario: “come si isolano macro-aree (es. IoT vs Corporate) mantenendo policy intra-VN?” → VN/VNI (VRF) per la macro-segmentazione, SGT + SGACL per la micro-segmentazione all’interno della stessa VN.
- Scenario: “dove si registrano le associazioni host→locazione?” → sul Map Server via Map-Register; le risoluzioni le serve il Map Resolver. Non confondere MS/MR con il Border node (che gestisce l’uscita verso reti esterne).
- Scenario: “cosa consente la mobilità dell’host senza rinumerare?” → la separazione EID/RLOC di LISP: l’EID resta invariato, cambia solo l’RLOC registrato.
- Scenario: “l’SGT dove viene trasportato end-to-end nel fabric?” → nell’header VXLAN-GPO, non in un tag CMD Layer-2 hop-by-hop come nel TrustSec classico su link fisici.