VXLAN技术：二层和三层VXLAN有啥区别？高级网络工程师必看！

你好，这里是网络技术联盟站，我是瑞哥。

虚拟局域网（VLAN）是网络虚拟化的传统方法，通过将物理网络划分为多个逻辑子网，实现网络隔离和管理。然而，VLAN在以下几个方面存在明显的局限性：

1. 扩展性受限：VLAN使用12位标识符（VLAN ID），最多支持4096个VLAN。这在大规模数据中心和多租户环境中显得捉襟见肘，难以满足不断增长的网络需求。

2. 跨物理网络的复杂性：VLAN主要设计用于单一广播域内，跨物理网络的连接需要复杂的配置和额外的协议支持，如VTP（VLAN Trunking Protocol）或MSTP（Multiple Spanning Tree Protocol）。

3. 网络隔离和安全性：在多租户环境中，VLAN的隔离性依赖于VLAN ID的管理和配置，容易出现配置错误，导致不同租户之间的流量泄露或安全漏洞。

4. 灵活性不足：VLAN的静态配置方式限制了网络的动态调整和快速响应能力，难以适应快速变化的业务需求和网络拓扑。

为了解决传统VLAN在扩展性、灵活性和跨物理网络连接方面的不足，虚拟可扩展局域网（Virtual Extensible LAN，简称VXLAN）应运而生。

VXLAN是一种网络虚拟化技术，旨在通过封装技术在现有的三层网络基础设施上创建虚拟二层网络，从而实现大规模、灵活且高效的网络架构。

VXLAN基础

虚拟可扩展局域网（Virtual Extensible LAN，简称VXLAN）是一种网络虚拟化技术，旨在解决传统VLAN（虚拟局域网）在大规模数据中心和多租户环境中的扩展性和灵活性限制。VXLAN通过在现有的三层网络基础设施上创建一个虚拟的二层网络，实现跨物理网络边界的虚拟机（VM）互联。

VXLAN的核心思想是利用封装技术，将原本在二层网络中传输的以太网帧封装在三层UDP（用户数据报协议）数据包中，从而使得虚拟机能够跨越不同的物理服务器、交换机甚至数据中心进行通信。这种封装机制不仅提高了网络的可扩展性，还增强了多租户环境下的网络隔离和安全性。

VXLAN的工作原理

VXLAN的核心机制是通过封装和解封装技术，将二层以太网帧封装在三层UDP数据包中进行传输。具体过程如下：

1. 封装（Encapsulation）：

   • 源端：当虚拟机（VM1）发送一个以太网帧时，该帧首先被传输到VXLAN隧道端点（VXLAN Tunnel Endpoint，简称VTEP）。
   • VTEP处理：VTEP将原始的二层以太网帧封装在一个VXLAN头部中。VXLAN头部包含24位的VXLAN网络标识符（VXLAN Network Identifier，简称VNI），用于标识不同的VXLAN网络。
   • UDP封装：VXLAN头部再封装在一个UDP数据包中，UDP源端口通常为4789（VXLAN的默认端口）。
   • 三层传输：封装后的UDP数据包通过现有的三层网络基础设施（如IP网络）进行传输。

2. 解封装（Decapsulation）：

   • 目的端：当封装后的UDP数据包到达目的VTEP时，VTEP对数据包进行解封装，提取出原始的二层以太网帧。
   • 传输到目标VM：解封装后的以太网帧被传输到目标虚拟机（VM2），实现跨物理网络的通信。

VXLAN头部结构

VXLAN头部位于原始以太网帧和UDP头部之间，其结构如下：

• Flags：通常设置为0x08，表示VXLAN封装。
• VNI：用于标识不同的VXLAN网络，实现多租户环境下的网络隔离。

VXLAN隧道端点（VTEP）

VTEP是VXLAN架构中的关键组件，负责VXLAN封装和解封装操作。VTEP可以部署在物理交换机、虚拟交换机或专用网络设备上。每个VTEP具有一个或多个三层接口（如Loopback接口）用于与物理网络通信，同时连接到虚拟交换机或虚拟机进行二层网络流量的处理。

VTEP的主要功能包括：

1. 封装与解封装：将二层以太网帧封装在VXLAN头部中进行三层传输，并在接收端解封装还原原始以太网帧。
2. 网络标识符管理：根据VNI对不同的VXLAN网络进行标识和隔离。
3. 路由与转发：在三层VXLAN（L3 VXLAN）中，VTEP还负责基于路由协议的跨子网或跨数据中心通信。

VXLAN控制平面

VXLAN控制平面负责管理和分发VTEP之间的网络信息，确保虚拟网络的连通性和一致性。常见的VXLAN控制平面协议包括：

1. 基于IGMP（Internet Group Management Protocol）的多播模式：

   • 使用IP多播来分发VXLAN流量，适用于简单的网络环境。
   • 配置相对简单，但在大规模部署中可能面临多播组管理的复杂性。

2. EVPN（Ethernet VPN）：

   • EVPN是一种基于BGP（Border Gateway Protocol）的控制平面协议，提供更高效和灵活的VXLAN流量管理。
   • 支持多租户环境下的MAC地址学习和路径选择，适用于大规模和复杂的网络架构。

VXLAN的核心优势

1. 高扩展性：VXLAN使用24位的网络标识符（VXLAN Network Identifier，简称VNI），最多支持16,777,216个VXLAN网络，极大地提升了网络的可扩展性，满足大规模数据中心和多租户环境的需求。

2. 跨物理网络的灵活连接：通过在现有的三层网络基础设施上进行封装，VXLAN能够轻松跨越物理网络边界，实现虚拟机在不同物理服务器、交换机或数据中心之间的无缝连接。

3. 增强的网络隔离和安全性：VXLAN基于VNI进行网络隔离，提供了更细粒度的隔离机制，减少了不同租户或业务单元之间的流量干扰和安全风险。

4. 支持多租户环境：VXLAN的设计考虑到了多租户环境的需求，通过灵活的网络划分和隔离机制，能够为不同租户提供独立且安全的虚拟网络。

5. 与现有网络架构的兼容性：VXLAN能够在现有的三层网络基础设施上运行，无需对物理网络进行大规模的改造，降低了部署成本和复杂性。

VXLAN技术主要分为二层VXLAN（Layer 2 VXLAN，简称L2 VXLAN）和三层VXLAN（Layer 3 VXLAN，简称L3 VXLAN）。这两种类型的VXLAN在功能、架构和应用场景上存在显著差异，各自适用于不同的网络需求和环境。

二层VXLAN（L2 VXLAN）

二层虚拟可扩展局域网（Layer 2 Virtual Extensible LAN，简称L2 VXLAN）是一种网络虚拟化技术，旨在通过在现有三层网络基础设施上创建虚拟二层网络，实现虚拟机（VM）之间的二层通信。L2 VXLAN允许多个虚拟网络（即多个广播域）在同一个物理网络基础设施上共存，提供类似于传统局域网（LAN）的功能，但具备更高的可扩展性和灵活性。

二层VXLAN的核心功能

1. 虚拟网络隔离：通过VXLAN Network Identifier（VNI），实现不同虚拟网络之间的隔离，确保流量不会在不同租户或业务单元之间泄露。
2. 跨物理网络的二层连接：允许虚拟机跨越不同的物理服务器和交换机进行二层通信，无需依赖传统的VLAN。
3. 支持多租户环境：每个租户可以拥有独立的虚拟网络，确保不同租户之间的流量隔离和安全性。
4. 扩展性强：相比传统VLAN，L2 VXLAN使用24位VNI，支持多达16,777,216个虚拟网络，极大地提升了网络的可扩展性。
5. 简化网络管理：通过集中化的控制平面（如EVPN），简化大规模虚拟网络的管理和配置。

二层VXLAN的架构设计

L2 VXLAN的架构主要由以下几个关键组件组成：

1. VXLAN隧道端点（VTEP）：负责VXLAN封装和解封装操作，连接虚拟网络与物理网络。VTEP可以部署在物理交换机、虚拟交换机或专用网络设备上。
2. 物理三层网络：承载封装后的VXLAN数据包，利用现有的IP网络基础设施进行传输。
3. VXLAN网络标识符（VNI）：用于区分不同的虚拟网络，实现网络隔离。
4. 控制平面协议（如EVPN）：管理和分发VTEP之间的网络信息，确保虚拟网络的连通性和一致性。

以下是一个典型的L2 VXLAN架构图：

在上述架构中，VTEP1和VTEP2通过物理三层网络进行连接，虚拟机VM1和VM2通过L2 VXLAN实现二层通信，位于相同的VLAN（VLAN 10）和相同的VNI（5000）下。

二层VXLAN的配置示例

以下是基于Cisco Nexus交换机的L2 VXLAN配置示例，展示如何创建VNI、配置VTEP接口、映射VLAN与VNI以及将物理接口加入VLAN。

假设我们有两个数据中心，分别部署了VTEP1和VTEP2。我们希望在两个数据中心之间创建一个L2 VXLAN，允许位于不同数据中心的虚拟机VM1和VM2在同一虚拟网络（VNI 5000）下进行二层通信。

配置步骤

1. 配置VNI（VXLAN Network Identifier）

首先，需要在每个VTEP上配置VNI，以标识不同的VXLAN网络。

nve1
  member vni 5000
    ingress-replication protocol bgp

2. 配置VTEP接口

配置VTEP接口，包括源接口（通常是Loopback接口）和VNI的关联。

interface nve1
  no shutdown
  source-interface loopback0
  member vni 5000
    ingress-replication protocol bgp

3. 配置VLAN与VNI的映射

将物理VLAN与对应的VNI进行映射，确保流量正确地封装和解封装。

vlan 10
  name VM-Network
  vn-segment 5000

4. 配置物理接口加入VLAN

将物理接口配置为Trunk模式，并允许对应的VLAN通过。

interface Ethernet1/1
  description Trunk to Spine
  switchport mode trunk
  switchport trunk allowed vlan 10

5. 配置BGP路由协议

配置BGP以支持Ingress Replication，用于VTEP之间的流量复制。

router bgp 65000
  address-family l2vpn evpn
    neighbor 10.0.0.2 remote-as 65000
    neighbor 10.0.0.2 activate

6. 配置Loopback接口

配置Loopback接口作为VTEP的源接口，确保VTEP具有稳定的三层IP地址。

interface Loopback0
  ip address 192.168.0.1/32

7. 完整配置示例

以下是完整的配置示例，整合了上述步骤：

! 配置Loopback接口
interface Loopback0
  ip address 192.168.0.1/32

! 配置NVE接口
interface nve1
  no shutdown
  source-interface loopback0
  member vni 5000
    ingress-replication protocol bgp

! 配置VLAN与VNI映射
vlan 10
  name VM-Network
  vn-segment 5000

! 配置物理接口
interface Ethernet1/1
  description Trunk to Spine
  switchport mode trunk
  switchport trunk allowed vlan 10

! 配置BGP路由协议
router bgp 65000
  address-family l2vpn evpn
    neighbor 10.0.0.2 remote-as 65000
    neighbor 10.0.0.2 activate

优点与缺点

优点

1. 高扩展性：L2 VXLAN通过使用24位的VNI，支持多达16,777,216个虚拟网络，远超传统VLAN的4096个限制，适用于大规模数据中心和多租户环境。
2. 灵活的网络隔离：通过VNI实现细粒度的网络隔离，确保不同虚拟网络之间的流量不会互相干扰，提高了网络的安全性。
3. 跨物理网络的二层连接：允许虚拟机跨越不同的物理服务器和交换机进行二层通信，无需依赖传统的VLAN协议，简化了跨物理网络的连接配置。
4. 支持多租户环境：每个租户可以拥有独立的虚拟网络，确保不同租户之间的流量隔离和安全性，适用于云服务提供商和大型企业。
5. 简化网络管理：集中化的控制平面（如EVPN）简化了大规模虚拟网络的管理和配置，减少了人为错误的风险。

缺点

1. 配置复杂度较高：相比传统VLAN，L2 VXLAN的配置涉及VNI分配、VTEP配置和控制平面协议（如EVPN）的部署，管理和维护的复杂度较高。
2. 依赖控制平面协议：L2 VXLAN通常依赖于EVPN等控制平面协议来管理VTEP之间的网络信息，增加了网络架构的复杂性。
3. 广播风暴风险：由于L2 VXLAN支持二层广播流量，如果没有有效的广播流量控制机制，可能会引发广播风暴，影响网络性能和稳定性。
4. 网络可见性与故障排查困难：VXLAN引入了额外的封装层，增加了网络可见性和故障排查的难度，需要借助专用的网络监控和分析工具。
5. 硬件要求：为了实现高性能的封装和解封装，通常需要支持VXLAN的高性能网络设备，增加了硬件成本。

三层VXLAN（L3 VXLAN）

三层虚拟可扩展局域网（Layer 3 Virtual Extensible LAN，简称L3 VXLAN）是一种高级网络虚拟化技术，旨在通过在现有三层网络基础设施上创建虚拟三层网络，实现跨不同子网、数据中心或地理位置的虚拟机（VM）之间的通信。与二层VXLAN（L2 VXLAN）不同，L3 VXLAN不仅支持二层通信，还引入了三层路由机制，使得虚拟机能够跨越不同的广播域进行高效通信。

三层VXLAN的核心功能

1. 跨子网通信：L3 VXLAN允许不同子网中的虚拟机通过路由实现通信，适用于需要跨子网或跨地理位置的复杂网络环境。
2. 高可扩展性：通过引入三层路由机制，L3 VXLAN能够支持大规模、多租户的网络架构，满足企业和服务提供商的需求。
3. 地理冗余与灾备：L3 VXLAN支持跨数据中心和跨区域的虚拟网络连接，增强了网络的高可用性和灾难恢复能力。
4. 增强的网络隔离与安全性：通过路由和VNI的结合，L3 VXLAN提供了更细粒度的网络隔离和安全策略，实现多租户环境下的流量隔离。
5. 灵活的流量工程：引入路由协议和策略，使得网络管理员能够更灵活地管理和优化网络流量，提高网络性能和效率。

三层VXLAN的架构设计

L3 VXLAN的架构设计相较于L2 VXLAN更为复杂，主要包括以下关键组件：

1. VXLAN隧道端点（VTEP）：在L3 VXLAN中，VTEP不仅负责VXLAN的封装和解封装，还具备路由功能，能够处理跨子网的流量转发和路由决策。
2. 物理三层网络：承载封装后的VXLAN数据包，通过现有的IP网络基础设施进行传输，支持高效的路由转发。
3. VXLAN网络标识符（VNI）：用于区分不同的虚拟网络，实现网络隔离和多租户支持。
4. 控制平面协议（如EVPN）：管理和分发VTEP之间的路由信息，确保跨子网和跨数据中心的连通性和一致性。
5. 路由协议（如BGP、OSPF）：在VTEP之间传播路由信息，实现不同VNI之间的流量转发和路由决策。

以下是一个典型的L3 VXLAN架构图：

在上述架构中，VTEP1和VTEP2通过物理三层网络和路由器进行连接，虚拟机VM1和VM2分别位于不同的子网（Subnet A和Subnet B）下，通过L3 VXLAN实现跨子网的通信。

三层VXLAN的配置示例

以下是基于Cisco Nexus交换机的L3 VXLAN配置示例，展示如何创建VNI、配置VTEP接口、映射VLAN与VNI、配置路由协议以及实现跨子网通信。

假设我们有两个数据中心，分别部署了VTEP1和VTEP2。我们希望在两个数据中心之间创建一个L3 VXLAN，允许位于不同子网（Subnet A和Subnet B）的虚拟机VM1和VM2进行通信。

配置步骤

1. 配置VNI（VXLAN Network Identifier）

首先，需要在每个VTEP上配置VNI，以标识不同的VXLAN网络。

nve1
  member vni 6000
    ingress-replication protocol bgp

2. 配置VTEP接口

配置VTEP接口，包括源接口（通常是Loopback接口）和VNI的关联。

interface nve1
  no shutdown
  source-interface loopback0
  member vni 6000
    ingress-replication protocol bgp

3. 配置VLAN与VNI映射

将物理VLAN与对应的VNI进行映射，确保流量正确地封装和解封装。

vlan 20
  name DMZ-Network
  vn-segment 6000

4. 配置物理接口加入VLAN

将物理接口配置为Trunk模式，并允许对应的VLAN通过。

interface Ethernet1/2
  description Trunk to Spine
  switchport mode trunk
  switchport trunk allowed vlan 20

5. 配置路由协议（例如BGP）

配置BGP以支持Ingress Replication，用于VTEP之间的流量复制和路由信息交换。

router bgp 65000
  address-family l2vpn evpn
    neighbor 10.0.0.2 remote-as 65000
    neighbor 10.0.0.2 activate

6. 配置Loopback接口

配置Loopback接口作为VTEP的源接口，确保VTEP具有稳定的三层IP地址。

interface Loopback0
  ip address 192.168.0.1/32

7. 配置SVI（Switched Virtual Interface）以实现路由

配置SVI接口，为每个子网分配IP地址，实现不同子网之间的路由功能。

interface Vlan20
  description DMZ Network SVI
  ip address 192.168.20.1/24
  vxlan encapsulation vxlan6000

8. 配置静态路由或动态路由协议

根据网络需求，配置静态路由或动态路由协议（如OSPF、BGP）以实现不同VNI之间的通信。

router ospf 1
  network 192.168.0.0 0.0.0.255 area 0
  network 192.168.20.0 0.0.0.255 area 0

9. 完整配置示例

以下是完整的配置示例，整合了上述步骤：

! 配置Loopback接口
interface Loopback0
  ip address 192.168.0.1/32

! 配置NVE接口
interface nve1
  no shutdown
  source-interface loopback0
  member vni 6000
    ingress-replication protocol bgp

! 配置VLAN与VNI映射
vlan 20
  name DMZ-Network
  vn-segment 6000

! 配置物理接口
interface Ethernet1/2
  description Trunk to Spine
  switchport mode trunk
  switchport trunk allowed vlan 20

! 配置SVI接口
interface Vlan20
  description DMZ Network SVI
  ip address 192.168.20.1/24
  vxlan encapsulation vxlan6000

! 配置BGP路由协议
router bgp 65000
  address-family l2vpn evpn
    neighbor 10.0.0.2 remote-as 65000
    neighbor 10.0.0.2 activate

! 配置OSPF路由协议
router ospf 1
  network 192.168.0.0 0.0.0.255 area 0
  network 192.168.20.0 0.0.0.255 area 0

优点与缺点

优点

1. 高度可扩展：L3 VXLAN通过引入三层路由机制，支持跨子网、跨数据中心的虚拟网络连接，适用于大规模、多租户的网络架构。
2. 地理冗余与灾备：支持跨不同地理位置的数据中心连接，增强了网络的高可用性和灾难恢复能力。
3. 网络隔离与安全性增强：通过VNI和路由策略，实现更细粒度的网络隔离和安全控制，提升多租户环境下的安全性。
4. 灵活的流量工程：引入路由协议和策略，使得网络管理员能够更灵活地管理和优化网络流量，提高网络性能和效率。
5. 支持多租户和混合云环境：L3 VXLAN能够满足多租户和混合云环境下的复杂网络需求，实现不同租户和云环境之间的灵活连接和隔离。

缺点

1. 配置复杂度较高：相比L2 VXLAN，L3 VXLAN的配置涉及路由协议的部署和管理，增加了网络配置和维护的复杂性。
2. 依赖控制平面协议：L3 VXLAN通常依赖于EVPN等高级控制平面协议，增加了网络架构的复杂性和管理难度。
3. 潜在的延迟与性能开销：跨路由器传输可能引入额外的延迟，且封装和解封装过程可能带来性能开销，特别是在高流量环境下。
4. 硬件要求更高：为了实现高效的路由和VXLAN处理，通常需要更高性能的网络设备，增加了硬件成本。
5. 网络可见性与故障排查困难：L3 VXLAN引入了额外的封装层和路由机制，增加了网络可见性和故障排查的难度，需要借助专用的网络监控和分析工具。

二层与三层VXLAN对比

功能对比

性能对比

部署复杂度对比

适用场景对比

💡写在最后

二层VXLAN和三层VXLAN各自拥有独特的功能和优势，适用于不同的网络需求和环境。网络管理员在设计和部署VXLAN网络时，应根据具体的业务需求、网络规模和环境特点，选择最合适的VXLAN类型：

• 选择L2 VXLAN：当需求集中在单一数据中心内部的大规模虚拟机二层通信时，L2 VXLAN提供了高效、低延迟的解决方案，简化了网络管理和配置。

• 选择L3 VXLAN：当需要跨数据中心、跨子网或跨地理位置连接虚拟机时，L3 VXLAN通过引入三层路由机制，提供了高度可扩展和灵活的网络连接能力，适用于复杂和多变的网络环境。

本文完！