Dia 22: Redes Overlay — VXLAN, GENEVE e SD-WAN

As redes overlay transformaram a forma como construímos infra-estruturas de rede modernas. Em vez de depender exclusivamente da topologia física (underlay), as overlays criam redes virtuais por cima da infra-estrutura existente, permitindo maior flexibilidade, escalabilidade e isolamento. Neste Dia 22 do curso de redes, exploramos VXLAN, GENEVE e SD-WAN — três tecnologias que definem o estado da arte em redes overlay.

No Dia 4 abordámos VLANs e switching L2. Hoje damos o salto para redes overlay que estendem esses conceitos para além dos limites físicos, atravessando routers L3 sem restrições. O Dia 29 cobrirá SDN (Software-Defined Networking), que partilha princípios com SD-WAN.

Neste artigo

• 1. Introdução a Redes Overlay
• 2. VXLAN — Virtual eXtensible LAN
• 3. GENEVE — Sucessor do VXLAN
• 4. SD-WAN — Software-Defined WAN
• 5. Configurar VXLAN no Linux
• 6. SD-WAN para PME
• 7. Erros Comuns e Lista de Verificação

1. Introdução a Redes Overlay

Uma rede overlay (sobreposição) é uma rede virtual construída por cima de uma rede física, designada underlay (subcamada). A rede underlay fornece conectividade IP básica entre os nós, enquanto a overlay encapsula pacotes dentro de outros pacotes para criar domínios L2 virtuais que atravessam a infra-estrutura L3.

O conceito é simples: em vez de reconfigurar a rede física cada vez que precisamos de uma nova VLAN ou segmento, criamos um túnel virtual entre dois pontos. O tráfego viaja encapsulado dentro de pacotes IP normais, sendo desencapsulado no destino. Para os dispositivos finais, parece que estão na mesma rede L2.

Overlay vs Underlay

A separação entre underlay e overlay é o princípio fundamental da redes modernas. O underlay garante alcançabilidade IP entre todos os nós, e a overlay constrói serviços virtuais por cima. Se o underlay for instável, a overlay também o será — daí a importância de um underlay robusto.

2. VXLAN — Virtual eXtensible LAN

O VXLAN (Virtual eXtensible LAN), definido na RFC 7348, é o protocolo de encapsulamento overlay mais utilizado em centros de dados modernos. Foi criado pela VMware, Cisco e Arista para resolver as limitações das VLANs tradicionais de 802.1Q.

Como funciona o VXLAN

O VXLAN encapsula tramas Ethernet L2 dentro de pacotes UDP (porto 4789). Cada rede virtual é identificada por um VNI (VXLAN Network Identifier) de 24 bits, permitindo até 16.777.216 segmentos — contra os 4.096 do 802.1Q (12 bits).

Os dispositivos que fazem a encapsulação e desencapsulação são designados VTEPs (VXLAN Tunnel Endpoints). Um VTEP pode ser um switch físico, um switch virtual (ex: Cisco Nexus, Arista) ou um hypervisor (ex: ESXi, KVM). O VTEP recebe a trama L2, encapsula-a em UDP e envia-a pela rede underlay para o VTEP de destino.

VXLAN vs VLAN (802.1Q)

EVPN sobre VXLAN

A combinação EVPN-VXLAN usa MP-BGP para distribuir informação de endereços MAC e IP entre VTEPs, eliminando a necessidade de inundação para descobrir endereços remotos. O EVPN (Ethernet VPN), definido nas RFC 7432 e RFC 8365, é o control-plane padrão para VXLAN em centros de dados empresariais.

3. GENEVE — Sucessor do VXLAN

O GENEVE (Generic Network Virtualization Encapsulation), definido na RFC 8926, é o sucessor desenhado do VXLAN. Enquanto o VXLAN tem um cabeçalho fixo de 8 bytes, o GENEVE introduz um cabeçalho extensível que pode transportar metadados adicionais (TLVs — Type-Length-Value).

Vantagens do GENEVE

O GENEVE foi desenhado para unificar VXLAN, STT (Stateless Transport Tunneling) e NVGRE (Network Virtualization using Generic Routing Encapsulation) num único formato. As suas principais vantagens incluem:

• Cabeçalho extensível: suporta TLVs opcionais para metadados customizados (ex: contexto de segurança, políticas QoS).
• Flexibilidade: pode transportar tanto tramas Ethernet L2 como pacotes IP L3.
• Porto UDP 6081: IANA atribuiu o porto 6081 para GENEVE.
• Compatibilidade: pode coexistir com VXLAN na mesma infra-estrutura.

O Open vSwitch (OVS) suporta GENEVE nativamente, tornando-o a escolha preferida em ambientes OpenStack e NFV (Network Function Virtualization). A extensibilidade do GENEVE permite que controladores SDN injectem metadados que os switches usam para aplicar políticas sem consultar uma base de dados externa.

4. SD-WAN — Software-Defined WAN

O SD-WAN (Software-Defined Wide Area Network) aplica os princípios das redes overlay ao WAN empresarial. Em vez de depender de circuitos MPLS caros e rígidos, o SD-WAN cria túneis sobre ligações Internet (banda larga, 4G/5G) e gere dinamicamente o tráfego com base em políticas sensível à aplicação.

Arquitectura SD-WAN

Um SD-WAN tem três componentes principais:

• Dispositivos periféricos (CPE): dispositivos físicos ou virtuais instalados em cada site. Encapsulam tráfego em túneis seguros (IPsec, frequentemente sobre DTLS/TLS).
• Controlador (management plane): centraliza a configuração de políticas, distribui chaves de encriptação e monitoriza a saúde dos túneis. Pode ser no local ou na nuvem.
• Orquestrador (orchestrator): plataforma de gestão centralizada, normalmente com interface web, que permite configurar todos os sites a partir de um único painel.

Vantagens do SD-WAN

O SD-WAN usa encapsulamento para criar sobreposições entre sites, tipicamente com IPsec para garantir confidencialidade. O controlador distribui políticas que determinam qual o melhor caminho para cada fluxo — por exemplo, tráfego de voz prioritiza o ligação com menor latência, enquanto backups usam o ligação de maior capacidade.

5. Configurar VXLAN no Linux

O kernel Linux suporta VXLAN e GENEVE nativamente através do módulo vxlan e geneve. As ferramentas iproute2 (ip e bridge) permitem criar e gerir túneis overlay sem software adicional.

# Criar interface VXLAN no Linux
ip link add vxlan10 type vxlan id 10 dev eth0 dstport 4789
ip addr add 192.168.10.1/24 dev vxlan10
ip link set up vxlan10
# Adicionar peer VXLAN
bridge fdb append 00:00:00:00:00:00 dev vxlan10 dst 192.168.2.1
# Verificar tabela FDB
bridge fdb show dev vxlan10
# GENEVE
ip link add geneve0 type geneve id 100 remote 192.168.2.1
ip addr add 192.168.20.1/24 dev geneve0
ip link set up geneve0
# Verificar interfaces
ip -d link show vxlan10
ip -d link show geneve0
# SD-WAN — verificar túneis
ip tunnel show
# Verificar MTU (VXLAN adiciona 50 bytes)
ip link show vxlan10 | grep mtu

Explicação dos comandos

O comando ip link add vxlan10 type vxlan id 10 cria uma interface virtual VXLAN com VNI 10, ancorada na interface física eth0. O dstport 4789 define o porto UDP padrão.

O bridge fdb append 00:00:00:00:00:00 dev vxlan10 dst 192.168.2.1 adiciona uma entrada multicast na tabela FDB (Forwarding DataBase) — todos os pacotes com destino desconhecido são enviados para o VTEP remoto em 192.168.2.1. Para ambientes maiores, usa-se BUM traffic (Broadcast, Unknown-unicast, Multicast) via replicação na extremidade ou EVPN.

MTU e fragmentação

A gestão do MTU é crítica em redes overlay. Com um MTU padrão de 1500 bytes no underlay, a carga útil da trama VXLAN reduz-se para 1450 bytes. Existem duas abordagens:

• Aumentar o MTU do underlay para 1550 (ou tramas jumbo 9000) — recomendado em centros de dados.
• Reduzir o MTU da interface VXLAN para 1450 — necessário quando o underlay não suporta tramas jumbo.

A fragmentação causa degradação de desempenho significativa. Para verificar se há fragmentação, usar ping -M do -s 1472 destino — o -M do (Don’t Fragment) reporta erros de frag needed.

6. SD-WAN para PME

Para as PME (Pequenas e Médias Empresas), o SD-WAN oferece uma alternativa acessível ao MPLS tradicional. Em vez de pagar circuitos dedicados caros, as PME podem combinar múltiplas ligações Internet (fibra + 4G/5G) e deixar o SD-WAN gerir automaticamente o encaminhamento por aplicação.

Cenário típico de uma PME

Considere uma empresa com três escritórios (Porto, Lisboa, Faro) e uma aplicação VoIP crítica. Com SD-WAN:

1. Cada site tem dois ligações: fibra (principal) e 4G/5G (reserva).
2. Política de voz: tráfego RTP/UDP 10000-20000 prioriza o ligação com menor latência e jitter.
3. Política de dados: tráfego web usa o ligação de maior capacidade.
4. Comutação: se a fibra cair, o 4G/5G assume em menos de 5 segundos, sem interromper chamadas.
5. Gestão centralizada: o administrador configura tudo a partir de um painel web.

Soluções SD-WAN para PME

As soluções código aberto (OpenWrt + WireGuard, VyOS) são ideais para PME com conhecimentos técnicos que querem controlo total. As comerciais (FortiGate, Meraki) oferecem suporte e simplicidade, ideais para PME sem equipa de redes dedicada. Soluções como Tailscale usam técnicas overlay similares (encapsulamento WireGuard) para criar meshes sem configuração complexa.

7. Erros Comuns e Lista de Verificação

Erros frequentes

Lista de verificação

• ✓ Underlay robusto com redundância e ECMP antes de criar overlays.
• ✓ MTU configurado correctamente (1550+ no underlay ou 1450 no overlay).
• ✓ Portos UDP 4789 (VXLAN) e 6081 (GENEVE) abertos no firewall.
• ✓ Tabela FDB verificada com bridge fdb show.
• ✓ EVPN configurado para ambientes com mais de 2 VTEPs.
• ✓ Health checks do SD-WAN com intervalos de 1-5 segundos.
• ✓ Encriptação IPsec em túneis SD-WAN sobre Internet pública.
• ✓ Monitorização de latência, jitter e perda de pacotes em todas as ligações.
• ✓ Documentação de políticas de encaminhamento por aplicação.
• ✓ Plano de reversão para reverter configurações overlay em caso de problema.

As redes overlay são a base da infra-estrutura de centros de dados modernos e do WAN empresarial. Compreender VXLAN, GENEVE e SD-WAN é essencial para qualquer administrador de redes que pretenda construir infra-estruturas flexíveis, escaláveis e resilientes. No próximo Dia 29, exploraremos SDN (Software-Defined Networking) — a tecnologia que leva a separação entre control-plane e data-plane ao seu extremo lógico.

Artigos Relacionados:

• Dia 4: Ethernet e Switching — VLANs, Trunking 802.1Q e STP
• Dia 16: VLANs — Configuração Prática em Switches
• Dia 29: SDN — Software-Defined Networking (em breve)