目  录

1 VXLAN简介

1.1 VXLAN网络模型

1.2 VXLAN报文封装格式

1.3 VXLAN运行机制

1.3.1 建立VXLAN隧道并将其与VXLAN关联

1.3.2 识别报文所属的VXLAN

1.3.3 学习MAC地址

1.3.4 转发单播流量

1.3.5 转发泛洪流量

1.4 协议规范

2 配置VXLAN

2.1 VXLAN配置任务简介

2.2 创建VSI和VXLAN

2.3 创建VXLAN隧道

2.4 关联VXLAN与VXLAN隧道

2.5 配置三层接口与VSI关联

2.6 管理本地和远端MAC地址

2.6.1 配置增删本地MAC地址时记录日志

2.6.2 添加静态远端MAC地址

2.6.3 关闭远端MAC地址自动学习功能

2.7 配置VSI泛洪抑制

2.8 配置VXLAN报文的目的UDP端口号

2.9 配置VXLAN报文检查功能

2.10 开启VXLAN软件快速转发功能

2.11 VXLAN显示和维护

3 VXLAN IP网关

3.1 VXLAN IP网关简介

3.1.1 独立的VXLAN IP网关

3.1.2 集中式VXLAN IP网关

3.1.3 集中式VXLAN IP网关保护组

3.1.4 分布式VXLAN IP网关

3.2 VXLAN IP网关配置限制和指导

3.3 VXLAN IP网关配置准备

3.4 配置集中式VXLAN IP网关

3.5 配置集中式VXLAN IP网关保护组

3.5.1 VXLAN IP网关上的配置

3.5.2 接入层VTEP上的配置

3.6 配置分布式VXLAN IP网关

3.7 配置VSI虚接口

3.8 VXLAN IP网关显示和维护

1 VXLAN简介

VXLAN（Virtual eXtensible LAN，可扩展虚拟局域网络）是基于IP网络、采用“MAC in UDP”封装形式的二层VPN技术。VXLAN可以基于已有的服务提供商或企业IP网络，为分散的物理站点提供二层互联，并能够为不同的租户提供业务隔离。VXLAN主要应用于数据中心网络。

VXLAN具有如下特点：

·            支持大量的租户：使用24位的标识符，最多可支持2的24次方（16777216）个VXLAN，使支持的租户数目大规模增加，解决了传统二层网络VLAN资源不足的问题。

·            易于维护：基于IP网络组建大二层网络，使得网络部署和维护更加容易，并且可以充分地利用现有的IP网络技术，例如利用等价路由进行负载分担等；只有IP核心网络的边缘设备需要进行VXLAN处理，网络中间设备只需根据IP头转发报文，降低了网络部署的难度和费用。

目前，设备只支持基于IPv4网络的VXLAN技术，不支持基于IPv6网络的VXLAN技术。

1.1  VXLAN网络模型

VXLAN技术将已有的三层物理网络作为Underlay网络，在其上构建出虚拟的二层网络，即Overlay网络。Overlay网络通过封装技术、利用Underlay网络提供的三层转发路径，实现租户二层报文跨越三层网络在不同站点间传递。对于租户来说，Underlay网络是透明的，同一租户的不同站点就像工作在一个局域网中。

图1-1 VXLAN网络模型示意图

如图1-1所示，VXLAN的典型网络模型中包括如下几部分：

·            VM（Virtual Machine，虚拟机）：在一台服务器上可以创建多台虚拟机，不同的虚拟机可以属于不同的VXLAN。属于相同VXLAN的虚拟机处于同一个逻辑二层网络，彼此之间二层互通；属于不同VXLAN的虚拟机之间二层隔离。VXLAN通过VXLAN ID来标识，VXLAN ID又称VNI（VXLAN Network Identifier，VXLAN网络标识符），其长度为24比特。

·            VTEP（VXLAN Tunnel End Point，VXLAN隧道端点）：VXLAN的边缘设备。VXLAN的相关处理都在VTEP上进行，例如识别以太网数据帧所属的VXLAN、基于VXLAN对数据帧进行二层转发、封装/解封装报文等。VTEP可以是一台独立的物理设备，也可以是虚拟机所在的服务器。

·            VXLAN隧道：两个VTEP之间的点到点逻辑隧道。VTEP为数据帧封装VXLAN头、UDP头和IP头后，通过VXLAN隧道将封装后的报文转发给远端VTEP，远端VTEP对其进行解封装。

·            核心设备：IP核心网络中的设备（如图1-1中的P设备）。核心设备不参与VXLAN处理，仅需要根据封装后报文的目的IP地址对报文进行三层转发。

·            VSI（Virtual Switch Instance，虚拟交换实例）：VTEP上为一个VXLAN提供二层交换服务的虚拟交换实例。VSI可以看做是VTEP上的一台基于VXLAN进行二层转发的虚拟交换机，它具有传统以太网交换机的所有功能，包括源MAC地址学习、MAC地址老化、泛洪等。VSI与VXLAN一一对应。

1.2  VXLAN报文封装格式

图1-2 VXLAN报文封装示意图

如图1-2所示，VXLAN报文的封装格式为：在原始二层数据帧外添加8字节VXLAN头、8字节UDP头和20字节IP头。其中，UDP头的目的端口号为VXLAN UDP端口号（缺省为4789）。VXLAN头主要包括两部分：

·            标记位：“I”位为1时，表示VXLAN头中的VXLAN ID有效；为0，表示VXLAN ID无效。其他位保留未用，设置为0。

·            VXLAN ID：用来标识一个VXLAN网络，长度为24比特。

1.3  VXLAN运行机制

VXLAN运行机制可以概括为：

(1)       发现远端VTEP，在VTEP之间建立VXLAN隧道，并将VXLAN隧道与VXLAN关联。

(2)       识别接收到的报文所属的VXLAN，以便将报文的源MAC地址学习到VXLAN对应的VSI，并在该VSI内转发该报文。

(3)       学习虚拟机的MAC地址。

(4)       根据学习到的MAC地址表项转发报文。

1.3.1  建立VXLAN隧道并将其与VXLAN关联

为了将VXLAN报文传递到远端VTEP，需要创建VXLAN隧道，并将VXLAN隧道与VXLAN关联。

1. 创建VXLAN隧道

VXLAN隧道的建立方式有如下两种：

·            手工方式：手工配置Tunnel接口，并指定隧道的源和目的IP地址分别为本端和远端VTEP的IP地址。

·            自动方式：通过ENDP（Enhanced Neighbor Discovery Protocol，增强的邻居发现协议）发现远端VTEP后，自动在本端和远端VTEP之间建立VXLAN隧道。

目前，设备仅支持手工方式。

2. 关联VXLAN隧道与VXLAN

VXLAN隧道与VXLAN关联的方式有如下两种：

·            手工方式：手工将VXLAN隧道与VXLAN关联。

·            自动方式：VXLAN扩展了IS-IS协议来发布VXLAN ID信息。VTEP在所有VXLAN隧道上通过VXLAN IS-IS将本地存在的VXLAN的ID通告给远端VTEP。远端VTEP将其与本地的VXLAN进行比较，如果存在相同的VXLAN，则将该VXLAN与接收该信息的VXLAN隧道关联。

目前，设备仅支持手工方式。

1.3.2  识别报文所属的VXLAN

1. 本地站点内接收到数据帧的识别

VTEP将连接本地站点的三层接口与VSI关联。VTEP从三层接口接收到数据帧后，查找与其关联的VSI，VSI内创建的VXLAN即为该数据帧所属的VXLAN。

在VXLAN中，与VSI关联的三层接口统称为AC（Attachment Circuit，接入电路）。

如图1-3所示，在VTEP上将Interface A与VSI A绑定，并在VSI A内创建VXLAN 10，则VTEP接收到VM 1发送的数据帧后，可以判定该数据帧属于VXLAN 10。

图1-3 二层数据帧所属VXLAN识别

2. VXLAN隧道上接收报文的识别

对于从VXLAN隧道上接收到的VXLAN报文，VTEP根据报文中携带的VXLAN ID判断该报文所属的VXLAN。

1.3.3  学习MAC地址

MAC地址学习分为本地MAC地址学习和远端MAC地址学习两部分。

1. 本地MAC地址学习

是指VTEP对本地站点内虚拟机MAC地址的学习。VTEP接收到本地虚拟机发送的数据帧后，判断该数据帧所属的VSI，并将数据帧中的源MAC地址（本地虚拟机的MAC地址）添加到该VSI的MAC地址表中，该MAC地址对应的接口为接收到数据帧的接口。

VXLAN不支持静态配置本地MAC地址。

2. 远端MAC地址学习

是指VTEP对远端站点内虚拟机MAC地址的学习。远端MAC地址的学习方式有如下几种：

·            静态配置：手工指定远端MAC地址所属的VSI（VXLAN），及其对应的VXLAN隧道接口。

·            通过报文中的源MAC地址动态学习：VTEP从VXLAN隧道上接收到远端VTEP发送的VXLAN报文后，根据VXLAN ID判断报文所属的VXLAN，对报文进行解封装，还原二层数据帧，并将数据帧中的源MAC地址（远端虚拟机的MAC地址）添加到所属VXLAN对应VSI的MAC地址表中，该MAC地址对应的接口为VXLAN隧道接口。

·            通过IS-IS协议学习：VXLAN扩展了IS-IS协议来发布远端MAC地址信息。在VTEP上运行VXLAN IS-IS协议，通过VXLAN隧道将本地MAC地址及其所属的VXLAN信息通告给远端VTEP。远端VTEP接收到该信息后，将其添加到所属VXLAN对应VSI的MAC地址表中，该MAC地址对应的接口为接收该信息的VXLAN隧道接口。目前，设备暂不支持此方式。

静态配置的远端MAC地址表项优先级高于源MAC地址动态学习和通过IS-IS协议学习的表项。源MAC地址动态学习和通过IS-IS协议学习的表项优先级相同，后生成的表项可以覆盖已经存在的表项。

1.3.4  转发单播流量

完成本地和远端MAC地址学习后，VTEP在VXLAN内转发单播流量的过程如下所述。

1. 站点内流量

对于站点内流量，VTEP判断出报文所属的VSI后，根据目的MAC地址查找该VSI的MAC地址表，从相应的本地接口转发给目的VM。

图1-4 站点内单播流量转发

如图1-4所示，VM 1（MAC地址为MAC 1）发送以太网帧到VM 4（MAC地址为MAC 4）时，VTEP 1从接口GigabitEthernet1/0/1收到该以太网帧后，判断该数据帧属于VSI A（VXLAN 10），查找VSI A的MAC地址表，得到MAC 4的出接口为GigabitEthernet1/0/2，所在VLAN为VLAN 10，则将以太网帧从接口GigabitEthernet1/0/2的VLAN 10内发送给VM 4。

2. 站点间流量

图1-5 站点间单播流量转发

如图1-5所示，以VM 1（MAC地址为MAC 1）发送以太网帧给VM 7（MAC地址为MAC 7）为例，站点间单播流量的转发过程为：

(2)       VM 1发送以太网数据帧给VM 7，数据帧的源MAC地址为MAC 1，目的MAC为MAC 7，VLAN Tag为2。

(3)       VTEP 1从接口GigabitEthernet1/0/1（所在VLAN为VLAN 2）收到该数据帧后，判断该数据帧属于VSI A（VXLAN 10），查找VSI A的MAC地址表，得到MAC 7的出端口为Tunnel1。

(4)       VTEP 1为数据帧封装VXLAN头、UDP头和IP头后，将封装好的报文通过VXLAN隧道Tunnel1、经由P设备发送给VTEP 2。

(5)       VTEP 2接收到报文后，根据报文中的VXLAN ID判断该报文属于VXLAN 10，并剥离VXLAN头、UDP头和IP头，还原出原始的数据帧。

(6)       VTEP 2查找与VXLAN 10对应的VSI A的MAC地址表，得到MAC 7的出端口为GigabitEthernet1/0/1（所在VLAN为VLAN 20）。

(7)       VTEP 2从接口GigabitEthernet1/0/1的VLAN 20内将数据帧发送给VM 7。

1.3.5  转发泛洪流量

泛洪流量包括组播、广播和未知单播流量。根据复制方式的不同，流量泛洪方式分为单播路由方式（头端复制）、组播路由方式（核心复制）和泛洪代理方式（服务器复制）三种。

目前，设备暂不支持组播路由模式。

1. 单播路由方式（头端复制）

在单播路由方式下，VTEP负责复制报文，采用单播方式将复制后的报文通过本地接口发送给本地站点，并通过VXLAN隧道发送给VXLAN内的所有远端VTEP。

图1-6 单播路由方式转发示意图

如图1-6所示，单播路由方式的泛洪流量转发过程为：

(1)       VTEP 1接收到本地虚拟机发送的组播、广播和未知单播数据帧后，判断数据帧所属的VXLAN，通过该VXLAN内除接收接口外的所有本地接口和VXLAN隧道转发该数据帧。通过VXLAN隧道转发数据帧时，需要为其封装VXLAN头、UDP头和IP头，将泛洪流量封装在多个单播报文中，发送到VXLAN内的所有远端VTEP。

(2)       远端VTEP（VTEP 2和VTEP 3）接收到VXLAN报文后，解封装报文，将原始的数据帧在本地站点的指定VXLAN内泛洪。为了避免环路，远端VTEP从VXLAN隧道上接收到报文后，不会再将其泛洪到其他的VXLAN隧道。

2. 组播路由方式（核心复制）

数据中心网络中需要通过IP核心网络进行二层互联的站点较多时，采用组播路由方式可以节省泛洪流量对核心网络带宽资源的占用。

在组播路由方式下，同一个VXLAN内的所有VTEP都加入同一个组播组，利用组播路由协议（如PIM）在IP核心网上为该组播组建立组播转发表项。VTEP接收到泛洪流量后，不仅在本地站点内泛洪，还会为其封装组播目的IP地址，封装后的报文根据已建立的组播转发表项转发到远端VTEP。

图1-7 组播路由方式转发示意图

如图1-7所示，组播路由方式的泛洪流量转发过程为：

(1)       VTEP 1接收到本地虚拟机发送的组播、广播和未知单播数据帧后，判断数据帧所属的VXLAN，不仅通过该VXLAN内除接收接口外的所有本地接口将数据帧转发到本地站点，还会为其封装VXLAN头、UDP头和IP头（目的IP地址为组播地址）通过组播转发表项将其发送到远端VTEP。

(2)       在IP核心网内，P设备根据已经建立的组播转发表项复制并转发该组播报文。

(3)       远端VTEP（VTEP 2和VTEP 3）接收到VXLAN报文后，解封装报文，将原始的数据帧在本地站点的指定VXLAN内泛洪。为了避免环路，远端VTEP从VXLAN隧道上接收到报文后，不会再将其泛洪到其他的VXLAN隧道。

3. 泛洪代理方式（服务器复制）

数据中心网络中需要通过IP核心网络进行二层互联的站点较多时，采用泛洪代理方式可以在没有组播协议参与的情况下，节省泛洪流量对核心网络带宽资源的占用。

在泛洪代理方式下，同一个VXLAN内的所有VTEP都通过手工方式与代理服务器建立隧道。VTEP接收到泛洪流量后，不仅在本地站点内泛洪，还会将其发送到代理服务器，由代理服务器转发到其他远端VTEP。

图1-8 泛洪代理方式转发示意图

如图1-8所示，泛洪代理方式的流量转发过程为：

(1)       VTEP 1接收到本地虚拟机发送的组播、广播和未知单播数据帧后，判断数据帧所属的VXLAN，不仅通过该VXLAN内除接收接口外的所有本地接口将数据帧转发到本地站点，还会为其封装VXLAN头、UDP头和IP头（目的IP地址为泛洪代理服务器地址）通过指定的隧道将其发送到泛洪代理服务器。

(2)       泛洪代理服务器收到报文后，修改报文的IP头，源地址为服务器本身，目的IP地址为其余VTEP地址，通过不同的隧道发送到远端VTEP。

(3)       远端VTEP（VTEP 2和VTEP 3）接收到VXLAN报文后，解封装报文，将原始的数据帧在本地站点的指定VXLAN内泛洪。为了避免环路，远端VTEP从VXLAN隧道上接收到报文后，不会再将其泛洪到其他的VXLAN隧道。

目前泛洪代理方式主要用于SDN网络，使用虚拟服务器作为泛洪代理服务器。采用泛洪代理方式时，需要在VTEP上进行如下配置：

·            使用vxlan tunnel mac-learning disable命令关闭远端MAC地址自动学习功能，采用SDN控制器下发的MAC地址表项进行流量转发。

·            在网络侧接口上使用undo mac-address static source-check enable命令关闭报文入接口与静态MAC地址表项匹配检查功能。当VTEP设备为IRF设备时，成员设备间互连的IRF端口上也需要关闭报文入接口与静态MAC地址表项匹配检查功能。

1.4  协议规范

与VXLAN相关的协议规范有：

·            RFC 7348：Virtual eXtensible Local Area Network (VXLAN): A Framework for Overlaying Virtualized Layer 2 Networks over Layer 3 Networks

2 配置VXLAN

2.1  VXLAN配置任务简介

在VXLAN组网中，IP核心网络中的设备只需要配置路由协议，确保VTEP之间路由可达。VXLAN相关配置都在VTEP上进行。

表2-1 VXLAN配置任务简介

2.2  创建VSI和VXLAN

表2-2 创建VSI和VXLAN

2.3  创建VXLAN隧道

手工创建VXLAN隧道时，隧道的源端地址和目的端地址需要分别手工指定为本地和远端VTEP的接口地址。在同一台设备上，VXLAN隧道模式的不同Tunnel接口建议不要同时配置完全相同的源端地址和目的端地址。

关于隧道的详细介绍及Tunnel接口下的更多配置命令，请参见“三层技术-IP业务配置指导”中的“隧道”。关于interface tunnel、source和destination命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“隧道”。

表2-3 手工创建VXLAN隧道

2.4  关联VXLAN与VXLAN隧道

一个VXLAN可以关联多条VXLAN隧道。一条VXLAN隧道可以关联多个VXLAN，这些VXLAN共用该VXLAN隧道，VTEP根据VXLAN报文中的VXLAN ID来识别隧道传递的报文所属的VXLAN。VTEP接收到某个VXLAN的泛洪流量后，如果采用单播路由泛洪方式，则VTEP将在与该VXLAN关联的所有VXLAN隧道上发送该流量，以便将流量转发给所有的远端VTEP；如果采用泛洪代理方式，则VTEP通过与该VXLAN关联、通过flooding-proxy参数开启了泛洪代理功能的VXLAN隧道将泛洪流量发送给泛洪代理服务器。

表2-4 手工关联VXLAN与VXLAN隧道

2.5  配置三层接口与VSI关联

将三层接口与VSI关联后，从该接口接收到的报文，将通过查找关联VSI的MAC地址表进行转发。

表2-5 配置三层接口与VSI关联

2.6  管理本地和远端MAC地址

本地MAC地址只能动态学习，不能静态配置。在动态添加、删除本地MAC地址时，可以记录日志信息。

远端MAC地址表项可以静态添加，也可以根据接收到的VXLAN报文内封装的源MAC地址自动学习。

2.6.1  配置增删本地MAC地址时记录日志

执行本配置后，VXLAN增加或删除本地MAC地址时，将产生日志信息。生成的日志信息将被发送到设备的信息中心，通过设置信息中心的参数，决定日志信息的输出规则（即是否允许输出以及输出方向）。

表2-6 配置增删本地MAC地址时记录日志

2.6.2  添加静态远端MAC地址

表2-7 添加静态远端MAC地址

2.6.3  关闭远端MAC地址自动学习功能

如果网络中存在攻击，为了避免学习到错误的远端MAC地址，可以手工关闭远端MAC地址自动学习功能，手动添加静态的远端MAC地址。

表2-8 关闭远端MAC地址自动学习功能

2.7  配置VSI泛洪抑制

缺省情况下，VTEP从本地站点内接收到目的MAC地址未知的单播数据帧后，会在该VXLAN内除接收接口外的所有本地接口和VXLAN隧道上泛洪该数据帧，将该数据帧发送给VXLAN内的所有站点。如果用户希望把该类数据帧限制在本地站点内，不通过VXLAN隧道将其转发到远端站点，则可以通过本命令手工禁止VXLAN对应VSI的泛洪功能。

禁止泛洪功能后，为了将某些MAC地址的数据帧泛洪到远端站点以保证某些业务的流量在站点间互通，可以配置选择性泛洪的MAC地址，当数据帧的目的MAC地址匹配该MAC地址时，该数据帧可以泛洪到远端站点。

表2-9 配置VSI泛洪抑制

2.8  配置VXLAN报文的目的UDP端口号

属于同一个VXLAN的VTEP设备上需要配置相同的UDP端口号。

表2-10 配置VXLAN报文的目的UDP端口号

2.9  配置VXLAN报文检查功能

通过本配置可以实现对接收到的VXLAN报文的UDP校验和、内层封装的以太网数据帧是否携带VLAN Tag进行检查：

·            UDP校验和检查：VTEP接收到VXLAN报文后，检查该报文的UDP校验和是否为0。若UDP校验和为0，则接收该报文；若UDP校验和不为0，则检查UDP检验和是否正确，正确则接收该报文；否则，丢弃该报文。

·            VLAN Tag检查：VTEP接收到VXLAN报文并对其解封装后，若内层以太网数据帧带有VLAN Tag，则丢弃该VXLAN报文。

需要注意的是：远端VTEP上通过xconnect vsi命令的access-mode参数配置接入模式为ethernet时，VXLAN报文可能携带VLAN Tag。这种情况下建议不要在本端VTEP上执行vxlan invalid-vlan-tag discard命令，以免错误地丢弃报文。

表2-11 配置VXLAN报文检查功能

2.10  开启VXLAN软件快速转发功能

开启本功能后，数据报文通过VXLAN隧道进行软件转发时，不会进行QoS、安全等业务处理，直接进行转发，以提高处理性能。建议仅在VSI虚接口和VXLAN隧道对应的报文出接口上没有配置QoS、安全等业务，且需要加快VXLAN软件转发速度的场景下，开启本功能。

开启本功能后，如果到达VXLAN隧道目的端地址存在多条等价路由，只会从中选择一条路由转发VXLAN报文，不能在多条路由之间进行负载分担。

表2-12 开启VXLAN软件快速转发功能

2.11  VXLAN显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后VXLAN的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令来清除VXLAN的相关信息。

表2-13 VXLAN显示和维护

3 VXLAN IP网关

3.1  VXLAN IP网关简介

VXLAN可以为分散的物理站点提供二层互联。如果要为VXLAN站点内的虚拟机提供三层业务，则需要在网络中部署VXLAN IP网关，以便站点内的虚拟机通过VXLAN IP网关与外界网络或其他VXLAN网络内的虚拟机进行三层通信。VXLAN IP网关既可以部署在独立的物理设备上，也可以部署在VTEP设备上。VXLAN IP网关部署在VTEP设备上时，又分为集中式VXLAN IP网关和分布式VXLAN IP网关两种方式。

3.1.1  独立的VXLAN IP网关

图3-1 独立的VXLAN IP网关示意图

如图3-1所示，VXLAN IP网关部署在独立的物理设备上时，VXLAN IP网关作为物理站点接入VTEP，VXLAN业务对于网关设备透明。虚拟机通过VXLAN IP网关与三层网络中的节点通信时，虚拟机将三层报文封装成二层数据帧发送给VXLAN IP网关。VTEP对该数据帧进行VXLAN封装，并在IP核心网络上将其转发给远端VTEP（连接VXLAN IP网关的VTEP）。远端VTEP对VXLAN报文进行解封装，并将原始的二层数据帧转发给VXLAN IP网关。VXLAN IP网关去掉链路层封装后，对报文进行三层转发。

3.1.2  集中式VXLAN IP网关

图3-2 集中式VXLAN IP网关示意图

如图3-2所示，集中式VXLAN IP网关进行二层VXLAN业务终结的同时，还对内层封装的IP报文进行三层转发处理。与独立的VXLAN IP网关相比，该方式除了能够节省设备资源外，VXLAN IP网关功能由VXLAN对应的三层虚接口（VSI虚接口）承担，三层业务的部署和控制也更加灵活和方便。

图3-3 集中式VXLAN IP网关的三层通信过程

如图3-3所示，以地址为10.1.1.11的虚拟机为例，虚拟机与外界网络进行三层通信的过程为：

(1)       虚拟机（10.1.1.11）跨网段进行三层通信时，先广播发送ARP请求消息，解析VXLAN IP网关（10.1.1.1）的MAC地址。

(2)       VTEP 1收到ARP请求消息后，添加VXLAN封装并发送给所有的远端VTEP。

(3)       VTEP 3解封装VXLAN报文后，发现ARP请求的目的IP为VXLAN对应的本地网关IP地址，即与VXLAN关联的VSI虚接口的IP地址，则学习10.1.1.11的ARP信息，并向虚拟机回应ARP应答消息。

(4)       VTEP 1收到ARP应答消息后，将该消息转发给虚拟机。

(5)       虚拟机获取到网关的MAC地址后，为三层报文添加网关的MAC地址，通过VXLAN网络将二层数据帧发送给VTEP 3。

(6)       VTEP 3解封装VXLAN报文，并去掉链路层头后，对内层封装的IP报文进行三层转发，将其发送给最终的目的节点。

(7)       目的节点回复的报文到达网关后，网关根据已经学习到的ARP表项，为报文封装链路层头，并通过VXLAN网络将其发送给虚拟机。

属于不同VXLAN网络的虚拟机之间的通信过程与上述过程类似，不同之处在于一个VXLAN网络的集中式网关需要将报文转发给另一个VXLAN网络的集中式网关，再由该集中式网关将报文转发给本VXLAN内对应的虚拟机。

3.1.3  集中式VXLAN IP网关保护组

由单台设备承担站点内大量虚拟机的集中式VXLAN IP网关功能，对设备的处理资源占用较高，并且对于网关的单点故障没有保护措施。通过集中式VXLAN IP网关保护组，可以实现多台设备同时承担网关功能，在提供单点故障保护机制的同时，还可以实现上下行流量的负载分担。

图3-4 集中式VXLAN IP网关保护组示意图

如图3-4所示，两台集中式VXLAN IP网关形成保护组，两台设备上存在相同的VTEP IP，称为保护组的VTEP IP。接入层VTEP与保护组的VTEP IP建立VXLAN隧道，将虚拟机发送至其它网络的报文转发至保护组，保护组中的两台网关设备均可以接收并处理虚拟机发往其它网络的流量。

保护组中的成员VTEP之间、每个成员VTEP与接入层VTEP之间还会采用成员自身的IP地址建立VXLAN隧道，以便进行协议通信和表项同步。

3.1.4  分布式VXLAN IP网关

1. 简介

图3-5 分布式VXLAN IP网关示意图

采用集中式VXLAN IP网关方案时，不同VXLAN之间的流量以及VXLAN访问外界网络的流量全部由集中式VXLAN IP网关处理，网关压力较大，并加剧了网络带宽资源的消耗。如图3-5所示，在分布式VXLAN IP网关方案中，每台VTEP设备都可以作为VXLAN IP网关，对本地站点的流量进行三层转发，很好地缓解了网关的压力。

图3-6 分布式VXLAN IP网关部署示意图

如图3-6所示，在分布式VXLAN IP网关组网中，所有的分布式VXLAN IP网关（GW）上都需要创建VSI虚接口，并在虚接口上配置相同的IP地址，作为VXLAN内虚拟机的网关地址。在分布式VXLAN IP网关上还需要使能本地代理ARP功能（IPv4网络）或本地ND代理功能（IPv6网络）。边界网关（Border）上也需要创建VSI虚接口，并配置IP地址。

采用分布式VXLAN IP网关组网方案时，流量都通过查找ARP表项（IPv4网络）或ND表项（IPv6网络）进行三层转发。ARP表项和ND表项既可以根据ARP协议和ND协议动态学习。下文的通信过程均基于ARP协议和ND协议动态学习表项。

2. 相同VXLAN内不同站点的虚拟机通信过程

如图3-6所示，以VM 1访问VM 4为例，相同VXLAN内不同站点的虚拟机的通信过程为：

(1)       VM 1广播发送ARP请求消息，获取VM 4的MAC地址。

(2)       GW 1收到ARP请求消息后，学习VM 1的ARP信息，并代理应答该ARP请求，即：向VM 1发送ARP应答消息，应答的MAC地址为VSI虚接口10的MAC地址。

(3)       VM 1学习到VM 4的MAC地址为GW 1上VSI虚接口10的MAC地址。

(4)       GW 1将接收到的ARP请求消息中的源MAC地址修改为VSI虚接口10的MAC地址，对该消息进行VXLAN封装后，将其发送给VXLAN内的所有远端VTEP。

(5)       GW 2对VXLAN报文进行解封装后，学习VM 1的ARP信息（IP为10.1.1.11、MAC为GW 1上VSI虚接口10的MAC、出接口为接收该VXLAN报文的Tunnel接口），并将ARP请求消息中的源MAC修改为本地VSI虚接口10的MAC地址，在VXLAN 10的本地站点内进行广播。

(6)       VM 4收到ARP请求后，学习VM 1的ARP信息（IP为10.1.1.11、MAC为GW 2上VSI虚接口10的MAC），并发送ARP应答消息给本地网关GW 2。

(7)       GW 2从VM 4收到ARP应答消息后，学习VM 4的ARP信息，将ARP应答消息中的源MAC修改为本地VSI虚接口10的MAC地址，并根据已经学习到的ARP表项，为ARP应答消息添加VXLAN封装后发送给GW 1。

(8)       GW 1对VXLAN报文进行解封装后，根据收到的ARP应答消息学习VM 4的ARP信息（IP为10.1.1.12、MAC为GW 2上VSI虚接口10的MAC、出接口为接收该VXLAN报文的Tunnel接口）。

(9)       通过上述步骤完成ARP信息的学习后，VM 1发送给VM 4的报文，根据已经学习到的ARP信息进行转发：首先发送给GW 1；GW 1对其进行VXLAN封装后，将其发送给GW 2；GW 2解封装后，将其发送给VM 4。

3. 不同VXLAN间不同站点的虚拟机通信过程

如图3-6所示，以VM 1访问VM 5为例，不同VXLAN的虚拟机的通信过程为：

(1)       VM 1广播发送ARP请求消息，获取网关10.1.1.1的MAC地址。

(2)       GW 1收到ARP请求消息后，学习VM 1的ARP信息，并向VM 1发送ARP应答消息，应答的MAC地址为VSI虚接口10的MAC地址。

(3)       VM 1将访问VM 5的报文发送给GW 1。

(4)       GW 1在所有VXLAN内向本地站点和远端站点广播发送ARP请求，获取VM 5的MAC地址。ARP请求消息中的源IP地址为20.1.1.1、源MAC地址为本地VSI虚接口20的MAC地址。

(5)       GW 2从VXLAN隧道上接收到VXLAN报文，对其进行解封装后，学习GW 1的ARP信息（IP为20.1.1.1、MAC为GW 1上VSI虚接口20的MAC、出接口为接收该VXLAN报文的Tunnel接口），并将ARP请求消息中的源MAC修改为本地VSI虚接口20的MAC地址，在VXLAN 20的本地站点内广播该ARP请求消息。

(6)       VM 5收到ARP请求后，学习GW 2的ARP信息（IP为20.1.1.1、MAC为GW 2上VSI虚接口20的MAC），并发送ARP应答消息给本地网关GW 2。

(7)       GW 2从VM 5收到ARP应答消息后，学习VM 5的ARP信息，将ARP应答消息中的源MAC修改为本地VSI虚接口20的MAC地址，并根据已经学习到的ARP表项，为ARP应答消息添加VXLAN封装后发送给GW 1。

(8)       GW 1对VXLAN报文进行解封装后，根据收到的ARP应答消息学习VM 5的ARP信息（IP为20.1.1.12、MAC为GW 2上VSI虚接口20的MAC、出接口为接收该VXLAN报文的Tunnel接口）。

(9)       通过上述步骤完成ARP信息的学习后，VM 1发送给VM 5的报文，根据已经学习到的ARP信息进行转发：首先发送给GW 1；GW 1对其进行VXLAN封装后，将其发送给GW 2；GW 2解封装后，将其发送给VM 5。

4. 虚拟机与外部网络的三层通信过程

虚拟机要想与外部网络进行三层通信，需要在接入虚拟机的本地分布式VXLAN IP网关上指定流量的下一跳为Border，可以通过如下方式来实现：

·            在本地分布式VXLAN IP网关上配置静态路由，指定路由下一跳为Border上同一个VXLAN对应VSI虚接口的IP地址。

·            在本地分布式VXLAN IP网关上配置策略路由，通过apply default-next-hop命令设置报文的缺省下一跳为Border上同一个VXLAN对应VSI虚接口的IP地址。

如图3-6所示，以VM 1访问外部网络内的主机50.1.1.1为例，虚拟机访问外部网络的三层通信过程为：

(1)       VM 1广播发送ARP请求消息，获取网关10.1.1.1的MAC地址。

(2)       GW 1收到ARP请求消息后，学习VM 1的ARP信息，并向VM 1发送ARP应答消息，应答的MAC地址为VSI虚接口10的MAC地址。

(3)       VM 1将访问外部网络的报文发送给GW 1。

(4)       GW 1接收到报文后，根据策略路由判断报文的下一跳地址为10.1.1.2。GW 1在VXLAN 10内向本地站点和远端站点广播发送ARP请求消息，获取10.1.1.2对应的MAC地址。

(5)       Border对VXLAN报文进行解封装，学习GW 1的ARP信息，并通过VXLAN隧道回复ARP应答消息。

(6)       GW 1对VXLAN报文进行解封装，并获取到10.1.1.2的ARP信息。

(7)       GW 1根据获取到的信息为VM 1发送的报文封装链路层地址（10.1.1.2对应的MAC地址），并通过VXLAN隧道将报文发送给Border。

(8)       Border对接收到的报文进行解封装后，对报文进行三层转发。

3.2  VXLAN IP网关配置限制和指导

建议不要在同一台设备上同时配置集中式VXLAN IP网关和集中式VXLAN IP网关保护组功能。

3.3  VXLAN IP网关配置准备

配置集中式VXLAN IP网关和分布式VXLAN IP网关时，需要完成以下配置任务：

·            创建VSI和VXLAN。

·            配置VXLAN隧道，并将VXLAN与VXLAN隧道关联。

3.4  配置集中式VXLAN IP网关

表3-1 配置集中式VXLAN IP网关

3.5  配置集中式VXLAN IP网关保护组

3.5.1  VXLAN IP网关上的配置

保护组中所有网关上的VXLAN配置需要保证完全一致。

表3-2 配置集中式VXLAN IP网关

3.5.2  接入层VTEP上的配置

执行本配置时，需要完成以下配置任务：

·            创建VSI和VXLAN。

·            配置VXLAN隧道，并将VXLAN与VXLAN隧道关联。

表3-3 配置接入层VTEP识别VXLAN IP网关保护组

3.6  配置分布式VXLAN IP网关

如果虚拟机要想与外部网络进行三层通信，那么需要在接入虚拟机的本地分布式VXLAN IP网关上配置静态路由或策略路由：

·            配置静态路由：指定路由的下一跳为Border上同一个VXLAN对应VSI虚接口的IP地址。

·            配置策略路由：通过apply default-next-hop命令设置报文的缺省下一跳为Border上同一个VXLAN对应VSI虚接口的IP地址。策略路由的配置方法，请参见“三层技术-IP路由配置指导”中的“策略路由”。

表3-4 配置分布式VXLAN IP网关

3.7  配置VSI虚接口

通过本配置，可以根据需要调整VSI虚接口的参数及状态。

表3-5 配置VSI虚接口

3.8  VXLAN IP网关显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后VXLAN IP网关的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令来清除VSI虚接口的统计信息。

表3-6 VXLAN IP网关显示和维护