初识vxlan

云计算发展的时代下，就不得不提到数据中心常用的大二层技术-vxlan。了解vxlan之前先了解下什么是overlay网络和underlay网络。

Underlay网络正如其名，是Overlay网络的底层物理基础。Underlay网络可以是二层也可以是三层网络。其中二层网络通常应用于以太网，通过VLAN进行划分。三层网络的典型应用就是互联网，其在同一个自治域使用OSPF、IS-IS等协议进行路由控制，在各个自治域之间则采用BGP等协议进行路由传递与互联。而Overlay网络是将已有的物理网络（Underlay网络）作为基础，在其上建立叠加的逻辑网络，实现网络资源的虚拟化。

为什么需要Overlay网络呢，作为云计算核心技术之一的“服务器虚拟化”已经被数据中心普遍应用。随着企业业务的发展，虚拟机数量的快速增长和虚拟机迁移已成为一个常态性业务。由此也给传统网络带来了以下一些问题：

（1）虚拟机规模受网络规格限制。在传统二层网络环境下，数据报文是通过查询MAC地址表进行二层转发，而网络设备MAC地址表的容量限制了虚拟机的数量。

（2）网络隔离能力限制。当前主流的网络隔离技术是VLAN，由于IEEE 802.1Q中定义的VLAN ID只有12比特，仅能表示4096个VLAN，无法满足大二层网络中标识大量租户或租户群的需求。

（3）虚拟机迁移范围受网络架构限制。为了保证虚拟机迁移过程中业务不中断，则需要保证虚拟机的IP地址、MAC地址等参数保持不变，这就要求业务网络是一个大二层网络。而传统的网络技术并不能满足大二层。

针对上述问题，为了满足云计算虚拟化的网络能力需求，逐步演化出了Overlay网络技术。下面看下overlay网络技术是怎么解决上诉问题的

针对虚拟机规模受网络规格限制：虚拟机发出的数据包封装在IP数据包中，对网络只表现为封装后的网络参数。因此，极大降低了大二层网络对MAC地址规格的需求。

针对网络隔离能力限制：Overlay技术扩展了隔离标识的位数（24比特），极大扩展了隔离数量。

针对虚拟机迁移范围受网络架构限制：Overlay将以太报文封装在IP报文之上，通过路由在网络中传输。通过路由网络，虚拟机迁移不受网络架构限制。而且路由网络具备良好的扩展能力、故障自愈能力、负载均衡能力。

Overlay技术有多种，例如VXLAN、NVGRE、STT等，其中VXLAN是目前获得最广泛支持的Overlay技术。

VXLAN（Virtual eXtensible Local Area Network，虚拟扩展局域网），是由IETF定义的NVO3（Network Virtualization over Layer 3）标准技术之一，采用MAC-in-UDP的报文封装模式，如图7-2所示，原始报文在VXLAN接入点（被称为VTEP）加上VXLAN帧头后再被封装在UDP报头中，并使用承载网络的IP/MAC地址作为外层头进行封装，承载网络只需要按照普通的二三层转发流程进行转发即可。

 

下面介绍几个概念：

（1）VTEP（VXLAN Tunnel Endpoints，VXLAN隧道端点）：VXLAN网络的边缘设备，是VXLAN隧道的起点和终点，进行VXLAN报文的封装、解封装等处理。VTEP既可以部署在网络设备上（网络接入交换机），也可以部署在vSwitch上（服务器上的虚拟交换机）。

（2） VNI（VXLAN Network Identifier，VXLAN 网络标识符：VNI是一种类似于VLAN ID的网络标识，用来标识VXLAN二层网络。一个VNI代表一个VXLAN段，不同VXLAN段的虚拟机不能直接二层相互通信。

（3）VXLAN隧道：两个VTEP之间建立的逻辑隧道，用于传输VXLAN报文。业务报文在进入VXLAN隧道式进行VXLAN、UDP、IP头封装，然后通过三层转发透明地将报文转发给远端VTEP，远端VTEP对报文进行解封装处理。

（4）BD（Bridge Domain）：BD是VXLAN网络中转发数据报文的二层广播域，在VXLAN网络中，将VNI以1:1方式映射到广播域BD，BD成为VXLAN网络转发数据报文的实体。

（5）VBDIF接口（Virtual Bridge Domain Interface）：基于BD创建的三层逻辑接口。通过VBDIF接口配置IP地址可实现不同网段的VXLAN间，及VXLAN和非VXLAN的通信，也可实现二层网络接入三层网络。

（6）vxlan网关：二层网关用于解决同一VXLAN虚拟网络的子网通信；三层网关用于VXLAN虚拟网络的跨子网通信以及外部网络的访问。

为了实现VXLAN虚拟网络的跨子网通信以及外部网络的访问，需要部署vxlan网关，而vxlan的网关部署方式有两种，分为集中式网关和分布式网关。

集中式网关是指将三层网关集中部署在一台设备上，如下图所示，所有跨子网的流量都经过三层网关进行转发，实现流量的集中管理。

部署集中式网关的优点和缺点如下：

• 优点：对跨子网流量进行集中管理，网关的部署和管理比较简单。
• 缺点：
  • 转发路径不是最优：同一二层网关下跨子网的数据中心三层流量都需要经过集中三层网关转发。
  • ARP表项规格瓶颈：由于采用集中三层网关，通过三层网关转发的终端租户的ARP表项都需要在三层网关上生成，而三层网关上的ARP表项规格有限，这不利于数据中心网络的扩展。

分布式网关是指在典型的“Spine-Leaf”组网结构下，将Leaf节点作为VXLAN隧道端点VTEP，每个Leaf节点都可作为VXLAN三层网关，Spine节点不感知VXLAN隧道，只作为VXLAN报文的转发节点。如下图所示，Server1和Server2不在同一个网段，但是都连接到一个Leaf节点。Server1和Server2通信时，流量只需要在Leaf1节点进行转发，不再需要经过Spine节点。

Spine节点：关注于高速IP转发，强调的是设备的高速转发能力。

Leaf节点：

• 作为VXLAN网络中的二层网关设备，与物理服务器或VM对接，用于解决终端租户接入VXLAN虚拟网络的问题。
• 作为VXLAN网络中的三层网关设备，进行VXLAN报文封装/解封装，实现跨子网的终端租户通信，以及外部网络的访问。

• 分布式网关的特点

  VXLAN分布式网关具有如下特点：
  • 同一个Leaf节点既可以做VXLAN二层网关，也可以做VXLAN三层网关，部署灵活。
  • Leaf节点只需要学习自身连接服务器的ARP表项，而不必像集中三层网关一样，需要学习所有服务器的ARP表项，解决了集中式三层网关带来的ARP表项瓶颈问题，网络规模扩展能力强。

Virtual routing forwarding，虚拟路由转发表，简称VPN。他能在两个site之间建立两个不用的路由表，相互隔离，把每台交换机逻辑上分成多台虚拟交换机，即多VPN路由转发实力。一般用于区分不同业务流量，不同的业务走不同的路由表，从而互相独立，达到控制设备全局路由流量走向的目的。