Perché virtualizzare device e data path

Nelle reti enterprise moderne la virtualizzazione non riguarda solo i server: interessa gli apparati di rete (control plane e data plane) e i percorsi di trasporto (overlay). L’obiettivo è consolidare hardware, isolare domini di traffico e trasportare reti logiche su un’infrastruttura fisica condivisa. ENCOR chiede di distinguere con precisione i mattoni di questa architettura.

Hypervisor: type 1 vs type 2

L’hypervisor (o Virtual Machine Monitor) astrae CPU, memoria e I/O per far girare più sistemi operativi guest.

Caratteristica Type 1 (bare-metal) Type 2 (hosted)
Posizione Direttamente sull’hardware Sopra un OS host
Esempi tipici VMware ESXi, KVM, Hyper-V VMware Workstation, VirtualBox
Overhead Basso, ottimizzato Maggiore (passa dall’OS host)
Uso Data center, produzione Lab, desktop, sviluppo

Il type 1 è lo standard nei data center: gestisce direttamente lo scheduling delle risorse senza un OS intermedio, garantendo latenza e prestazioni migliori. Il type 2 dipende da un sistema operativo ospitante ed è adatto a scenari di test.

VM vs container

  • Una VM include un OS guest completo (kernel proprio) e viene isolata dall’hypervisor: pesante ma con isolamento forte.
  • Un container condivide il kernel dell’host e impacchetta solo applicazione e dipendenze: molto più leggero e rapido nell’avvio, ma con isolamento a livello di processo.

In una domanda d’esame, “avvio rapido, footprint minimo, molte istanze applicative” punta al container; “OS guest differenti sullo stesso host, isolamento massimo” punta alla VM.

Il ruolo del virtual switch

Le VM su uno stesso host comunicano tramite un virtual switch (vSwitch), che opera in software a livello di hypervisor. Il vSwitch collega le vNIC delle VM tra loro e verso le NIC fisiche (uplink), applica VLAN tagging, policy di sicurezza e QoS. Il traffico tra due VM sullo stesso host non lascia il server fisico: resta interno al vSwitch. Questo spiega perché non lo vedi passare sullo switch fisico a monte.

VRF e VRF-lite: segmentare il control plane

Il VRF (Virtual Routing and Forwarding) crea più tabelle di routing indipendenti sullo stesso device fisico. Ogni VRF ha la propria RIB/FIB, quindi due tenant possono usare spazi di indirizzamento sovrapposti senza conflitti — è la virtualizzazione del control plane di layer 3.

  • Il VRF completo si usa in ambito MPLS L3VPN, con MP-BGP che distribuisce le route VPNv4 tra i PE.
  • Il VRF-lite è VRF senza MPLS: segmentazione multi-tenant “hop-by-hop”, dove ogni interfaccia viene assegnata a un VRF e le sub-interface 802.1Q trasportano i diversi VRF sui link tra device.
ip vrf CLIENTE_A
interface GigabitEthernet0/1.10
 encapsulation dot1Q 10
 ip vrf forwarding CLIENTE_A
 ip address 10.0.0.1 255.255.255.0

Concetto chiave: le route di un VRF non sono visibili a un altro VRF. Per farle comunicare serve route leaking esplicito (import/export di route-target, oppure static route inter-VRF). Non avviene mai in automatico.

Overlay: tunnel GRE e IPsec

Un tunnel trasporta reti logiche sopra una rete IP sottostante (underlay).

  • GRE (Generic Routing Encapsulation) incapsula qualsiasi protocollo L3 (anche multicast e routing dinamico), ma non cifra nulla: il payload viaggia in chiaro. È solo incapsulamento.
  • IPsec fornisce confidenzialità, integrità e autenticazione, ma nella forma tunnel classica trasporta solo unicast IP e non i protocolli di routing/multicast.

La combinazione tipica è GRE over IPsec: GRE porta multicast e OSPF/EIGRP dentro il tunnel, IPsec lo protegge. Questo pattern è alla base di DMVPN.

Trappole tipiche d’esame

  • “GRE cifra il traffico del tunnel” → FALSO. GRE incapsula ma non protegge; per la cifratura serve IPsec (tipicamente GRE over IPsec).
  • “Con VRF-lite le route passano da un VRF all’altro automaticamente” → FALSO. Ogni VRF è isolato: serve route leaking esplicito (route-target import/export o static route inter-VRF).
  • “IPsec tunnel mode trasporta OSPF/EIGRP e multicast” → FALSO. IPsec puro gestisce solo unicast IP; per portare routing dinamico e multicast si usa GRE dentro IPsec.
  • “Il traffico tra due VM sullo stesso host attraversa lo switch fisico” → FALSO. Resta nel vSwitch dell’hypervisor e non raggiunge l’access switch a monte.
  • “Container e VM offrono lo stesso isolamento” → FALSO. Il container condivide il kernel dell’host (isolamento di processo); la VM ha un kernel/OS guest dedicato (isolamento forte).