- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
02-EVPN VXLAN配置
本章节下载： 02-EVPN VXLAN配置 (544.77 KB)
EVPN路由可以用来在VXLAN网络中搭建VXLAN隧道、同步MAC地址信息等，以实现VXLAN组网，该网络称为EVPN VXLAN。与传统VXLAN网络相比，EVPN VXLAN网络可以实现隧道的自动建立与关联，简化配置。
图1-1 EVPN网络模型示意图
如图1-1所示，EVPN的典型网络模型中包括如下几部分：
· 用户终端（Terminal）：可以是PC机、无线终端设备、服务器上创建的VM（Virtual Machine，虚拟机）等。不同的用户终端可以属于不同的VXLAN。属于相同VXLAN的用户终端处于同一个逻辑二层网络，彼此之间二层互通；属于不同VXLAN的用户终端之间二层隔离。
本文档中如无特殊说明，均以VM为例介绍EVPN工作机制。采用其他类型用户终端时，EVPN工作机制与VM相同，不再赘述。
· VTEP（VXLAN Tunnel End Point，VXLAN隧道端点）：EVPN的边缘设备。EVPN的相关处理都在VTEP上进行。VTEP可以是一台独立的物理设备，也可以是虚拟机所在的服务器。
· VXLAN隧道：两个VTEP之间的点到点逻辑隧道。VTEP为数据帧封装VXLAN头、UDP头和IP头后，通过VXLAN隧道将封装后的报文转发给远端VTEP，远端VTEP对其进行解封装。
· 核心设备：IP核心网络中的设备（如图1-1中的P设备）。核心设备不参与EVPN处理，仅需要根据封装后报文的外层目的IP地址对报文进行三层转发。
· VXLAN网络/EVPN实例：用户网络可能包括分布在不同地理位置的多个站点内的用户终端。在骨干网上可以利用VXLAN隧道将这些站点连接起来，为用户提供一个逻辑的二层VPN。这个二层VPN称为一个VXLAN网络，也称为EVPN实例。VXLAN网络通过VXLAN ID来标识，VXLAN ID又称VNI（VXLAN Network Identifier，VXLAN网络标识符），其长度为24比特。不同VXLAN网络中的用户终端不能二层互通。
· VSI（Virtual Switch Instance，虚拟交换实例）：VTEP上为一个VXLAN提供二层交换服务的虚拟交换实例。VSI可以看作是VTEP上的一台基于VXLAN进行二层转发的虚拟交换机。VSI与VXLAN一一对应。
· ES（Ethernet Segment，以太网段）：用户站点连接到VTEP的链路，通过ESI（Ethernet Segment Identifier，以太网段标识符）唯一标识。
在EVPN的二层转发组网中，VTEP可以通过以下方式自动发现邻居、建立隧道并关联隧道：
· IMET路由方式：VTEP通过IMET路由通告自己的VXLAN信息。这样，每个VTEP设备都能获取到网络中所有的VTEP及其所属VXLAN信息。如果本地VTEP和远端VTEP属于同一个VXLAN，则自动在二者之间建立VXLAN隧道，并将该隧道与该VXLAN关联。
· MAC/IP发布路由方式：VTEP通过MAC/IP发布路由通告本地MAC地址和VXLAN信息。这样，每个VTEP设备都能通过接收到的MAC/IP发布路由获取到网络中的VTEP及其所属VXLAN信息。如果本地VTEP和远端VTEP属于同一个VXLAN，则自动在二者之间建立VXLAN隧道，并将该隧道与该VXLAN关联。
在EVPN的三层转发组网中，VTEP可以通过以下方式自动发现邻居、建立隧道并关联隧道：
· IMET路由方式：VTEP通过IMET路由通告自己的VXLAN信息。这样，每个VTEP设备都能获取到网络中所有的VTEP及其所属VXLAN信息。如果本地VTEP和远端VTEP属于同一个VXLAN，则自动在二者之间建立VXLAN隧道，并将该隧道与该VXLAN关联。
· MAC/IP发布路由和IP前缀路由方式：在EVPN的三层转发组网中，当本地VTEP接收到远端VTEP通告的MAC/IP发布路由或IP前缀路由，且该路由携带的Export target属性与本地某个VPN实例的Import target属性匹配时，本地VTEP会与远端VTEP建立VXLAN隧道，并将该VXLAN隧道与VPN实例对应的L3VNI（Layer 3 VNI，三层VXLAN ID）关联。L3VNI的详细介绍，请参见“1.6 分布式EVPN网关”
EVPN的MAC地址/ARP表项学习、流量转发均基于报文所属的VXLAN进行，因此，VTEP接收到报文需要识别报文所属的VXLAN。
VTEP将连接本地站点的三层接口与VSI关联。VTEP从三层接口接收到数据帧后，查找与其关联的VSI，VSI内创建的VXLAN即为该数据帧所属的VXLAN。
在VXLAN中，与VSI关联的三层接口称为AC（Attachment Circuit，接入电路）。
对于从VXLAN隧道上接收到的VXLAN报文，VTEP根据报文中携带的VXLAN ID判断该报文所属的VXLAN。
VTEP根据学习到的MAC地址表项转发二层单播流量。VTEP上MAC地址学习分为两部分：
· 本地MAC地址学习：学习本地站点内虚拟机的MAC地址。VTEP接收到本地虚拟机发送的数据帧后，判断该数据帧所属的VSI，并将数据帧中的源MAC地址（本地虚拟机的MAC地址）添加到该VSI的MAC地址表中，该MAC地址对应的接口为接收到数据帧的接口。
· 远端MAC地址学习：学习远端站点内虚拟机的MAC地址。VTEP通过MP-BGP协议将本地学习的MAC地址及其所属的VXLAN通告给远端VTEP。远端VTEP接收到该信息后，将其添加到所属VXLAN对应VSI的MAC地址表中，该MAC地址对应的接口为两个VTEP之间的VXLAN隧道接口（Tunnel接口）。
VTEP接收到二层数据帧后，判断其所属的VSI，根据目的MAC地址查找该VSI的MAC地址表，通过表项的出接口转发该数据帧。如图1-2所示，如果出接口为本地接口，则VTEP直接通过该接口转发数据帧；如图1-3所示，如果出接口为Tunnel接口，则VTEP根据Tunnel接口为数据帧添加VXLAN封装后，通过VXLAN隧道将其转发给远端VTEP。
泛洪流量包括组播、广播和未知单播流量，该流量通过单播路由方式（头端复制）转发。VTEP负责复制报文，采用单播方式将复制后的报文通过本地接口发送给本地站点，并通过VXLAN隧道发送给VXLAN内的所有远端VTEP。
如图1-4所示，泛洪流量转发过程为：
(2) VTEP 1接收到本地虚拟机发送的组播、广播和未知单播数据帧后，判断数据帧所属的VXLAN，通过该VXLAN内除接收接口外的所有本地接口和VXLAN隧道转发该数据帧。通过VXLAN隧道转发数据帧时，需要为其封装VXLAN头、UDP头和IP头，以便将泛洪流量封装在多个单播报文中，发送到VXLAN内的所有远端VTEP。
(3) 远端VTEP（VTEP 2和VTEP 3）接收到VXLAN报文后，解封装报文，将原始的数据帧在本地站点的指定VXLAN内泛洪。为了避免环路，远端VTEP从VXLAN隧道上接收到报文后，不会再将其泛洪到其他的VXLAN隧道。
集中式EVPN网关仅支持连接IPv4站点网络。
集中式EVPN网关进行二层VXLAN业务终结的同时，还对内层封装的IP报文进行三层转发处理。
集中式EVPN网关配置简单，但不同VXLAN之间的流量以及VXLAN访问外界网络的流量全部由集中式EVPN网关处理，网关压力较大。
图1-5 集中式EVPN网关的三层通信过程
如图1-5所示，集中式EVPN网关上需要配置VSI虚接口，该接口的IP地址作为VXLAN内虚拟机的网关IP地址。虚拟机访问其他子网的过程为：
(1) 虚拟机获取网关的MAC地址（网关IP对应的MAC地址），并将报文发送给集中式EVPN网关。
(2) VTEP接收到报文后，根据目的MAC地址在VSI的MAC地址表中查找匹配的表项，将报文通过VXLAN隧道发送给集中式EVPN网关。
(3) 网关解除VXLAN封装后，对内层封装的IP报文进行三层转发，将其发送给最终的目的节点。
(4) 目的节点返回的报文到达网关后，网关根据已经学习到的虚拟机ARP表项，将报文转发给虚拟机。
如图1-6所示，在分布式EVPN网关组网中，每台VTEP设备都作为EVPN网关，对本地站点的流量进行三层转发，缓解了网关的压力。
图1-6 分布式EVPN网关示意图
分布式EVPN网关采用对称IRB方式转发流量，即连接报文源和目的节点的网关（入口网关和出口网关）上都需要进行二层和三层转发。对称IRB方式引入了如下概念：
· L3VNI（Layer 3 VNI，三层VXLAN ID）：在网关之间通过VXLAN隧道转发流量时，属于同一路由域、能够进行三层互通的流量通过L3VNI来标识。L3VNI唯一关联一个VPN实例，通过VPN实例确保不同业务之间的隔离。
· 网关的Router MAC地址：每个分布式EVPN网关拥有一个唯一的Router MAC地址，用于在网关之间通过VXLAN隧道转发流量。报文在网关之间转发时，报文的内层MAC地址为出口网关的Router MAC地址。
如图1-7所示，在分布式EVPN网关组网中，所有的分布式EVPN网关（GW）上都存在以下类型的VSI虚接口：
· 作为分布式网关接口的VSI虚接口。该接口需要与VSI、VPN实例关联。不同GW上相同VSI虚接口的IP地址必须相同，该IP地址作为VXLAN内虚拟机的网关地址。
· 承载L3VNI的VSI虚接口。该接口需要与VPN实例关联，并需要指定L3VNI。关联相同VPN实例的VSI虚接口共用该L3VNI。
边界网关（Border）上也需要存在承载L3VNI的VSI虚接口。
图1-7 分布式EVPN网关部署示意图
三层流量通过查找FIB表项进行转发。FIB表项通过路由信息或ARP信息生成。
在EVPN地址族下引入外部路由后，VTEP通过MP-BGP将该路由及其所属的L3VNI发布给远端VTEP，远端VTEP学习该路由，并将其添加到L3VNI对应VPN实例的FIB表项中，表项的出接口为两个VTEP之间的VXLAN隧道接口（Tunnel接口）、下一跳为路由的NEXT_HOP属性携带的地址（即对端VTEP的地址）。
VTEP上ARP信息学习分为两部分：
· 本地学习：学习本地站点内虚拟机的ARP信息。VTEP通过本地虚拟机发送的GARP、RARP和对网关的ARP请求学习本地虚拟机的ARP信息，并添加ARP表项和FIB表项。VTEP判断GARP、RARP、ARP请求所属的VSI，查找与该VSI关联的VSI虚接口。ARP表项和FIB表项的出接口为接收到报文的接口，该表项所属的VPN实例为VSI虚接口关联的VPN实例。
· 远端学习：学习远端站点内虚拟机的ARP信息。VTEP通过MP-BGP协议将本地的ARP信息及其所属的L3VNI通告给远端VTEP。远端VTEP学习该信息，但不会添加ARP表项，而是由路由管理模块添加FIB表项。该FIB表项的出接口为与L3VNI关联的VSI虚接口、下一跳为路由的NEXT_HOP属性携带的地址（即对端VTEP的地址），该表项所属的VPN实例为L3VNI对应的VPN实例。远端VTEP查找下一跳对应的ARP信息，并添加对应的ARP表项。
分布式网关对流量的转发方式分为两种：
· 区分二三层转发方式：对于二层流量，查找MAC地址表进行转发；对于三层流量，查找FIB表进行转发。在该方式下，建议在分布式网关上开启ARP泛洪抑制功能，以减少泛洪流量。
· 全三层转发方式：对于二层和三层流量，均查找FIB表进行转发。在该方式下，需要在分布式网关上开启本地代理ARP功能。
查找MAC地址表转发二层流量的过程，请参见“1.4.2 转发已知单播流量”；相同站点间三层流量的转发过程如图1-8所示；不同站点间三层流量转发过程如图1-9所示。
以IPv4网络为例，查找FIB表转发流量的过程为：
(2) 虚拟机访问相同子网、不同子网内的其他虚拟机时，发送ARP请求获取ARP信息。
(3) GW接收到ARP请求后，判断ARP请求所属VSI，采用与该VSI关联的VSI虚接口MAC地址对其进行应答。
(4) 虚拟机将报文发送给GW。
(5) GW判断报文所属VSI，并查找与该VSI关联的VSI虚接口，在与VSI虚接口关联的VPN实例内查找FIB表项，并根据匹配的FIB表项转发报文：
¡ 如果FIB表项的出接口为本地接口，则GW将目的MAC替换为目的虚拟机的MAC地址、源MAC替换为VSI虚接口的MAC，并通过本地接口转发给目的虚拟机。
¡ 如果FIB表项的出接口为VSI虚接口，则GW将目的MAC替换为目的GW的Router MAC地址、源MAC替换为自己的Router MAC，报文添加VXLAN封装后将其转发给目的GW。其中，为报文封装的VXLAN ID为与VPN实例关联的L3VNI。
(6) 目的GW接收到报文后，根据L3VNI判断报文所属的VPN实例，解除VXLAN封装后，在该VPN实例内查找ARP表项转发该报文。
分布式EVPN网关基于VPN实例转发三层流量，不能转发公网的三层流量。将传统网络升级为EVPN网络时，用户可能希望在保持原有公私网部署不变的前提下，实现公私网流量通过分布式EVPN网关转发，并实现公私网的互通。此时，需要在分布式EVPN网关上配置公网实例。
公网实例可以看作是特殊的VPN实例，分布式EVPN网关对公网实例的处理与VPN实例完全相同：
· 公网实例也包括RD、Route Target属性和L3VNI。
· 如果VSI虚接口没有绑定任何VPN实例，则该VSI虚接口属于公网实例。
合理地规划公网实例、VPN实例的VPN target属性，可以实现公私网的互通。
为了避免广播发送的ARP请求报文占用核心网络带宽，VTEP会根据接收到的ARP请求和ARP应答报文、BGP EVPN路由在本地建立ARP泛洪抑制表项。后续当VTEP收到本站点内虚拟机请求其它虚拟机MAC地址的ARP请求时，优先根据ARP泛洪抑制表项进行代答。如果没有对应的表项，则通过VXLAN隧道将ARP请求泛洪到其他站点。ARP泛洪抑制功能可以大大减少ARP泛洪的次数。
图1-10 ARP泛洪抑制示意图
如图1-10所示，ARP泛洪抑制的处理过程如下：
(1) 虚拟机VM 1发送ARP请求，获取VM 7的MAC地址。
(2) VTEP 1根据接收到的ARP请求，建立VM 1的ARP泛洪抑制表项，在VXLAN内泛洪该ARP请求（图1-10以单播路由泛洪方式为例）。VTEP 1还会通过BGP EVPN将该表项同步给VTEP 2和VTEP 3。
(3) 远端VTEP（VTEP 2和VTEP 3）解封装VXLAN报文，获取原始的ARP请求报文后，在本地站点的指定VXLAN内泛洪该ARP请求。
(4) VM 7接收到ARP请求后，回复ARP应答报文。
(5) VTEP 2接收到ARP应答后，建立VM 7的ARP泛洪抑制表项，通过VXLAN隧道将ARP应答发送给VTEP 1。VTEP 2通过BGP EVPN将该表项同步给VTEP 1和VTEP 3。
(6) VTEP 1解封装VXLAN报文，获取原始的ARP应答，将ARP应答报文发送给VM 1。
(7) 在VTEP 1上建立ARP泛洪抑制表项后，虚拟机VM 4发送ARP请求，获取VM 1的MAC地址。
(8) VTEP 1接收到ARP请求后，建立VM 4的ARP泛洪抑制表项，并查找本地ARP泛洪抑制表项，根据已有的表项回复ARP应答报文，不会对ARP请求进行泛洪。
(9) 虚拟机VM 10发送ARP请求，获取VM 1的MAC地址。
(10) VTEP 3接收到ARP请求后，建立VM 10的ARP泛洪抑制表项，并查找ARP泛洪抑制表项，根据已有的表项（VTEP 1通过BGP EVPN同步）回复ARP应答报文，不会对ARP请求进行泛洪。
MAC地址迁移是指虚拟机或主机从一个ES迁移到另一个ES。原ES连接的VTEP无法感知MAC地址已经迁移到其他ES段。新迁移到的ES所在VTEP需要重新通告该MAC/IP路由。原VTEP在收到此路由后，撤销之前通告的路由。MAC地址每次迁移，迁移序列号依次递增，以便在MAC地址多次迁移时，通过序列号来标识最近一次迁移。
VXLAN隧道既可以通过EVPN自动创建，也可以手工创建。隧道目的地址相同的EVPN自动创建隧道和手工创建隧道不能关联同一个VXLAN。手工创建VXLAN隧道的详细介绍，请参见“VXLAN配置指导”中的“配置VXLAN”。
建议在同一个EVPN网关上为所有的VSI虚接口配置相同的MAC地址，以免流量转发不通。
EVPN配置任务如下：
(1) 配置VSI和VXLAN
(2) 配置EVPN实例
(3) 配置BGP发布EVPN路由
b. （可选）控制BGP EVPN路由的发布
c. （可选）维护BGP会话
(4) 配置AC与VSI关联
(5) 配置EVPN网关
转发三层流量时，请选择以下一项任务进行配置：
(6) （可选）管理远端MAC地址和远端
(7) （可选）配置BGP EVPN路由的引入和发布
¡ 配置将包含ARP/ND信息的MAC/IP发布路由引入BGP单播路由表
(8) （可选）配置泛洪抑制
本配置中各命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(1) 进入系统视图。
system-view
(2) 开启L2VPN功能。
l2vpn enable
缺省情况下，L2VPN功能处于关闭状态。
(3) 创建VSI，并进入VSI视图。
vsi vsi-name
(4) （可选）配置VSI的描述信息。
description text
缺省情况下，未配置VSI的描述信息。
(5) 开启VSI。
undo shutdown
缺省情况下，VSI处于开启状态。
(6) 创建VXLAN，并进入VXLAN视图。
vxlan vxlan-id
在一个VSI下只能创建一个VXLAN。
不同VSI下创建的VXLAN，其VXLAN ID不能相同。
用于二层交换的VXLAN网络无需关联VPN实例。VTEP在发布该VXLAN内路由时，携带VXLAN对应EVPN实例下配置的RD和RT。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 创建EVPN实例，并进入EVPN实例视图。
evpn encapsulation vxlan
(4) 配置EVPN实例的RD。
route-distinguisher { route-distinguisher | auto }
缺省情况下，未指定EVPN实例的RD。
(5) 配置EVPN实例的Route Target属性。
vpn-target { vpn-target&<1-8> | auto } [ both | export-extcommunity | import-extcommunity ]
缺省情况下，未指定EVPN实例的Route Target属性。
建议为EVPN实例配置的Import target不要与VPN实例、公网实例的Export target匹配，反之亦然。VPN实例、公网实例的配置，请参见“2.8.4 配置VSI虚接口关联L3VNI”。
BGP相关命令的详细介绍，请参见“三层技术-IP路由命令参考”中的“BGP”。
(1) 进入系统视图。
system-view
(2) 配置全局Router ID。
router id router-id
缺省情况下，未配置全局Router ID。
(3) 启动BGP实例，并进入BGP实例视图。
bgp as-number [ instance instance-name ]
缺省情况下，系统没有运行BGP。
(4) 将远端VTEP配置为对等体。
peer { group-name | ipv4-address [ mask-length ] } as-number as-number
(5) 创建BGP EVPN地址族，并进入BGP EVPN地址族视图。
address-family l2vpn evpn
(6) 使能本地路由器与指定对等体/对等体组交换BGP EVPN路由的能力。
peer { group-name | ipv4-address [ mask-length ] } enable
缺省情况下，本地路由器不能与对等体/对等体组交换BGP EVPN路由。
(1) 进入系统视图。
system-view
(2) 进入BGP实例视图。
bgp as-number [ instance instance-name ]
(3) 进入BGP EVPN地址族视图。
address-family l2vpn evpn
(4) 配置对于从对等体/对等体组接收的BGP消息，允许本地AS号在该消息的AS_PATH属性中出现，并配置允许出现的次数。
peer { group-name | ipv4-address [ mask-length ] } allow-as-loop [ number ]
缺省情况下，不允许本地AS号在接收消息的AS_PATH属性中出现。
(5) 开启BGP EVPN路由的VPN-Target过滤功能。
policy vpn-target
缺省情况下，BGP EVPN路由的VPN-Target过滤功能处于开启状态。
(6) 配置BGP路由反射。
a. 配置本机作为路由反射器，对等体/对等体组作为路由反射器的客户机。
peer { group-name | ipv4-address [ mask-length ] } reflect-client
缺省情况下，没有配置路由反射器及其客户机。
b. （可选）允许路由反射器在客户机之间反射EVPN路由。
reflect between-clients
缺省情况下，允许路由反射器在客户机之间反射EVPN路由。
c. （可选）配置路由反射器的集群ID。
reflector cluster-id { cluster-id | ipv4-address }
缺省情况下，每个路由反射器都使用自己的Router ID作为集群ID。
d. （可选）配置路由反射器对反射的EVPN路由进行过滤。
rr-filter { ext-comm-list-number | ext-comm-list-name }
缺省情况下，路由反射器不会对反射的EVPN路由进行过滤。
(7) 配置向EBGP对等体/对等体组发布路由时不改变下一跳。
peer { group-name | ipv4-address [ mask-length ] } next-hop-invariable
缺省情况下，向EBGP对等体/对等体组发布路由时会将下一跳改为自己的地址。
(8) 对来自对等体/对等体组的路由或发布给对等体/对等体组的路由应用路由策略。
peer { group-name | ipv4-address [ mask-length ] } route-policy route-policy-name { export | import }
缺省情况下，没有为对等体/对等体组指定路由策略。
(9) 配置向对等体/对等体组发布团体属性。
peer { group-name | ipv4-address [ mask-length ] } advertise-community
缺省情况下，不向对等体/对等体组发布团体属性。
(10) 配置Add-Path功能。
¡ 开启Add-Path功能。
peer { group-name | ipv4-address [ mask-length ] } additional-paths { receive | send } *
缺省情况下，未配置Add-path功能。
¡ 配置向指定对等体/对等体组发送的Add-Path优选路由的最大条数。
peer { group-name | ipv4-address [ mask-length ] } advertise additional-paths best number
缺省情况下，向指定对等体/对等体组发送的Add-Path优选路由的最大条数为1。
¡ 配置Add-Path优选路由的最大条数。
additional-paths select-best best-number
缺省情况下，Add-Path优选路由的最大条数为1。
请在用户视图下执行如下命令，复位或软复位BGP会话。
· 复位EVPN地址族下的BGP会话。
reset bgp [ instance instance-name ] { as-number | ipv4-address [ mask-length ] | all | external | group group-name | internal } l2vpn evpn
· 手工对EVPN地址族下的BGP会话进行软复位。
refresh bgp [ instance instance-name ] { ipv4-address [ mask-length ] | all | external | group group-name | internal } { export | import } l2vpn evpn
将三层接口与VSI关联后，从该接口接收到的报文，将通过查找关联VSI的MAC地址表进行转发。
本配置中各命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
本配置与以太网链路聚合功能互斥。三层接口加入聚合组后，不能再将该接口与VSI关联；反之亦然。
(1) 进入系统视图。
system-view
(2) 进入三层接口视图。
interface interface-type interface-number
(3) 将三层接口与VSI关联。
xconnect vsi vsi-name [ track track-entry-number&<1-3> ]
缺省情况下，三层接口未关联VSI。
在集中式EVPN网关组网中，VTEP上需要开启ARP泛洪抑制功能。EVPN组网中通常关闭远端ARP自动学习功能，网关从VXLAN隧道上接收到请求网关MAC地址的ARP请求后，不会对其进行应答。如果未开启ARP泛洪抑制功能，则可能会导致虚拟机获取不到网关的MAC地址。
(1) 进入系统视图。
system-view
(2) 创建VSI虚接口，并进入VSI虚接口视图。
interface vsi-interface vsi-interface-id
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(3) 配置VSI虚接口的IPv4地址。
ip address ip-address { mask | mask-length } [ sub ]
缺省情况下，未配置VSI虚接口的IPv4地址。
(4) 退回系统视图。
quit
(5) 进入VXLAN所在VSI视图。
vsi vsi-name
(6) 为VSI指定网关接口。
gateway vsi-interface vsi-interface-id
缺省情况下，未指定VSI的网关接口。
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
分布式EVPN网关连接IPv4站点网络时，所有网关上都需要为相同VSI虚接口配置相同的MAC地址。如果网关同时连接IPv4站点网络和IPv6站点网络，则不同分布式EVPN网关上需要为相同VSI虚接口配置不同的链路本地地址。
在分布式EVPN网关设备上，如果开启了ARP泛洪抑制功能，并在VSI虚接口上开启了本地代理ARP功能，则只有本地代理ARP功能生效。建议不要在分布式EVPN网关设备上同时开启这两个功能。
在分布式EVPN网关设备上，如果通过mac-address命令修改了某一关联L3VNI的VSI虚接口的MAC地址，则必须通过该命令将所有与L3VNI关联的VSI虚接口的MAC地址修改为相同的值，否则可能会导致报文转发失败。
如果虚拟机要想与外部网络进行三层通信，那么除了分布式EVPN网关的配置外，还需要在接入虚拟机的本地分布式EVPN网关上配置静态路由或策略路由：
· 配置静态路由：指定路由的下一跳为Border上同一个VXLAN对应VSI虚接口的IP地址。
· 配置策略路由：通过apply default-next-hop命令或apply next-hop命令设置报文的缺省下一跳或下一跳为Border上同一个VXLAN对应VSI虚接口的IP地址。策略路由的配置方法，请参见“三层技术-IP路由配置指导”中的“策略路由”。
为了节省分布式VXLAN IP网关设备上的三层接口资源，在网关设备上多个VXLAN可以共用一个VSI虚接口，为VSI虚接口配置一个主IPv4地址和多个从IPv4地址、或多个IPv6地址，分别作为不同VXLAN内虚拟机的网关地址。
多个VXLAN共用一个VSI虚接口时，网关设备无法判断从VSI虚接口接收到的报文属于哪个VXLAN。为了解决该问题，需要在VSI视图下通过gateway subnet命令指定VSI所属的子网网段，通过子网网段判断报文所属的VSI，并在该VSI内转发报文，从而限制广播报文范围，有效地节省带宽资源。
(1) 进入系统视图。
system-view
(2) 创建VSI虚接口，并进入VSI虚接口视图。
interface vsi-interface vsi-interface-id
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(3) 配置VSI虚接口的IP地址。
（IPv4网络）
ip address ip-address { mask | mask-length } [ sub ]
（IPv6网络）
IPv6地址的配置方法，请参见“三层技术-IP业务配置指导”中的“IPv6基础”。
缺省情况下，未配置VSI虚接口的IP地址。
(4) 配置VSI虚接口的MAC地址。
mac-address mac-address
缺省情况下，VSI虚接口的MAC地址为设备的桥MAC地址。
不同分布式EVPN网关设备上，为同一个VXLAN的VSI虚接口配置的MAC地址必须相同。否则，虚拟机发生迁移后，虚拟机上网关IP地址对应的MAC地址为远端网关的MAC地址，可能导致流量转发错误。
(5) 配置VSI虚接口为分布式网关接口。
distributed-gateway local
缺省情况下，VSI虚接口不是分布式本地网关接口。
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(6) （可选）开启本地代理ARP功能。
local-proxy-arp enable [ ip-range startIP to endIP ]
缺省情况下，本地代理ARP功能处于关闭状态。
本命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“代理ARP”。
(7) 退回系统视图。
quit
(8) 进入VXLAN所在VSI视图。
vsi vsi-name
(9) 为VSI指定网关接口。
gateway vsi-interface vsi-interface-id
缺省情况下，未指定VSI的网关接口。
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(10) 配置当前VSI所属的子网网段。
gateway subnet { ipv4-address wildcard-mask | ipv6-address prefix-length }
缺省情况下，未指定VSI所属的子网网段。
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
L3VNI不能与mapping vni命令配置的映射远端VXLAN ID相同。映射远端VXLAN ID的详细介绍，请参见“EVPN配置指导”中的“EVPN数据中心互联”。
(1) 进入系统视图。
system-view
(2) 配置VPN实例。
a. 创建VPN实例，并进入VPN实例视图。
ip vpn-instance vpn-instance-name
b. 配置VPN实例的RD。
route-distinguisher route-distinguisher
缺省情况下，未配置VPN实例的RD。
c. 配置VPN实例的RT。
vpn-target vpn-target&<1-8> [ both | export-extcommunity | import-extcommunity ]
缺省情况下，未配置VPN实例的Route Target。
d. （可选）对VPN实例应用出方向路由策略。
export route-policy route-policy
缺省情况下，不对发布的路由进行过滤。
e. （可选）对VPN实例应用入方向路由策略。
import route-policy route-policy
缺省情况下，VPN实例未应用入方向路由策略。如果接收到的路由携带的Route Target属性中存在与本地配置的Import Target相同的值，则接收该路由。
(3) 配置VPN实例下的EVPN。
a. 进入VPN实例EVPN视图。
address-family evpn
b. 在VPN实例下配置EVPN的Route Target。
vpn-target vpn-target&<1-8> [ both | export-extcommunity | import-extcommunity ]
缺省情况下，VPN实例下的EVPN未配置Route Target。
建议为EVPN实例配置的Import target不要与VPN实例的Export target匹配，反之亦然。
c. （可选）在VPN实例下配置EVPN的出方向路由策略。
export route-policy route-policy
缺省情况下，不对发布的路由进行过滤。
d. （可选）在VPN实例下配置EVPN的入方向路由策略。
import route-policy route-policy
缺省情况下，在VPN实例下未配置EVPN的入方向路由策略，即如果接收到的路由携带的Route Target属性中存在与本地配置的Import Target相同的值，则接收该路由。
(4) 依次执行以下命令退回系统视图。
a. quit
b. quit
(5) 进入VSI虚接口视图。
interface vsi-interface vsi-interface-id
(6) 配置接口与指定的VPN实例关联。
ip binding vpn-instance vpn-instance-name
缺省情况下，接口未关联VPN实例，接口属于公网。
(7) 配置VPN实例的L3VNI。
l3-vni vxlan-id
缺省情况下，未配置VPN实例的L3VNI。
一个VPN实例只能关联一个L3VNI。若为VPN实例配置了多个L3VNI，则该VPN实例与数值最小的L3VNI关联。通过display evpn routing-table命令可以查看与VPN实例关联的L3VNI。
(1) 进入系统视图。
system-view
(2) 创建公网实例，并进入公网实例视图。
ip public-instance
(3) 配置公网实例的RD。
route-distinguisher route-distinguisher
缺省情况下，未配置公网实例的RD。
(4) 配置公网实例的L3VNI。
l3-vni vxlan-id
缺省情况下，未配置公网实例的L3VNI。
一个公网实例只能关联一个L3VNI。不能通过重复执行本命令修改公网实例的L3VNI。如需修改，请先删除已有的L3VNI后再配置。
(5) 进入公网实例IPv4地址族视图、IPv6 VPN视图或EVPN视图。
¡ 进入公网实例IPv4地址族视图。
address-family ipv4
¡ 进入公网实例IPv6地址族视图。
address-family ipv6
¡ 进入公网实例EVPN视图。
address-family evpn
(6) 在公网实例下配置IPv4 VPN、IPv6 VPN或EVPN的Route Target。
vpn-target vpn-target&<1-8> [ both | export-extcommunity | import-extcommunity ]
缺省情况下，公网实例下的IPv4 VPN、IPv6 VPN、EVPN未配置Route Target。
建议为EVPN实例配置的Import target不要与公网实例的Export target匹配，反之亦然。
(7) 依次执行以下命令退回系统视图。
a. quit
b. quit
(8) 进入VSI虚接口视图。
interface vsi-interface vsi-interface-id
(9) 在属于公网实例的VSI虚接口上配置L3VNI。
l3-vni vxlan-id
缺省情况下，在属于公网实例的VSI虚接口上未配置L3VNI。
在所有属于公网实例的VSI虚接口中，必须至少有一个接口上配置的L3VNI与公网实例视图下指定的L3VNI相同。
在BGP-VPN IPv4单播地址族视图/BGP-VPN IPv6单播地址族视图下引入IGP路由后，如果该VPN实例关联了L3VNI，则引入的路由将作为EVPN的IP前缀路由发布给远端VTEP。
在BGP IPv4单播地址族视图/BGP IPv6单播地址族视图下引入IGP路由后，如果公网实例关联了L3VNI，则引入的路由将作为EVPN的IP前缀路由发布给远端VTEP。
远端VTEP接收到EVPN的IP前缀路由后，将路由中的Route Target属性与本地VPN实例/公网实例下为IPv4 VPN/IPv6 VPN配置的Import Target进行比较。若匹配则接收该路由，并将该路由添加到VPN实例或公网的路由表中。
只有分布式EVPN网关组网支持本配置。
本配置中各命令的详细介绍，请参见“三层技术-IP路由命令参考”中的“BGP”。
(1) 进入系统视图。
system-view
(2) 进入BGP实例视图。
bgp as-number [ instance instance-name ]
(3) 进入BGP地址族视图。
¡ 进入BGP IPv4单播地址族视图。
address-family ipv4 [ unicast ]
¡ 依次执行以下命令，进入BGP-VPN IPv4单播地址族视图。
ip vpn-instance vpn-instance-name
address-family ipv4 [ unicast ]
¡ 进入BGP IPv6单播地址族视图。
address-family ipv6 [ unicast ]
¡ 依次执行以下命令，进入BGP-VPN IPv6单播地址族视图。
ip vpn-instance vpn-instance-name
address-family ipv6 [ unicast ]
(4) 将IGP路由协议的路由信息引入到BGP路由表中。
import-route protocol [ { process-id | all-processes } [ allow-direct | med med-value | route-policy route-policy-name ] * ]
缺省情况下，BGP不会引入IGP路由协议的路由信息。
(5) （可选）允许将缺省路由引入到BGP路由表中。
default-route imported
缺省情况下，BGP不允许将缺省路由引入到BGP路由表中。
(6) （可选）配置VPN引入等价路由功能。
a. 退回BGP实例视图。
quit
b. 进入BGP EVPN地址族视图。
address-family l2vpn evpn
c. 开启VPN引入等价路由功能。
vpn-route cross multipath
缺省情况下，VPN引入等价路由功能处于关闭状态，对于前缀和RD均相同的多条路由，只会将最优路由引入到BGP EVPN路由表中。
开启本功能后，BGP将前缀和RD均相同的多条路由全部引入到BGP EVPN路由表中。
缺省情况下，设备从VXLAN隧道接收到报文后可以自动学习远端虚拟机的MAC地址和ARP信息。在EVPN组网中，为了避免自动学习的远端MAC地址/ARP信息与通过BGP通告的MAC地址/ARP信息冲突，需要关闭远端MAC地址和远端ARP自动学习功能。
本配置中各命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(1) 进入系统视图。
system-view
(2) 关闭远端MAC地址自动学习功能。
vxlan tunnel mac-learning disable
缺省情况下，远端MAC地址自动学习功能处于开启状态。
(3) 关闭远端ARP自动学习功能。
vxlan tunnel arp-learning disable
缺省情况下，远端ARP自动学习功能处于开启状态。
VTEP可能会同时向远端VTEP通告MAC地址信息和ARP信息。其中，ARP信息中已经包含MAC地址信息。为了避免重复，可以执行本配置来禁止本端VTEP向远端VTEP通告MAC地址信息。执行本配置后，本端VTEP还会撤销已经发布的MAC地址信息。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 进入EVPN实例视图。
evpn encapsulation vxlan
(4) 配置禁止通告MAC地址信息，并撤销已经通告的MAC地址信息。
mac-advertising disable
缺省情况下，允许通告MAC地址信息。
VTEP可能会同时接收到远端VTEP通告的MAC地址信息和ARP信息。其中，ARP信息中包含MAC地址信息。为了避免重复，可以在VTEP上执行本配置来禁止EVPN从ARP信息中学习MAC地址表项，EVPN仅通过MAC地址信息学习远端MAC地址表项。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 进入EVPN实例视图。
evpn encapsulation vxlan
(4) 配置禁止EVPN从ARP信息中学习MAC地址表项。
arp mac-learning disable
缺省情况下，EVPN可以从ARP信息中学习MAC地址表项。
在BGP IPv4或BGP IPv6单播地址族下配置BGP EVPN路由引入BGP单播路由表后，设备会将从对等体/对等体组收到的包含ARP/ND信息的MAC/IP发布路由添加到BGP IPv4或BGP IPv6单播路由表，并发布到本地站点。
在BGP-VPN IPv4或BGP-VPN IPv6单播地址族下配置BGP EVPN路由引入BGP单播路由表后，设备会将从对等体/对等体组收到的包含ARP/ND信息的MAC/IP发布路由添加到VPN实例对应的BGP IPv4或BGP IPv6单播路由表，如果执行了advertise l2vpn evpn命令配置允许向本地站点发布BGP EVPN路由，则该路由会发布到本地站点，否则，该路由不会发布到本地站点。
(1) 进入系统视图。
system-view
(2) 进入BGP实例视图。
bgp as-number [ instance instance-name ]
(3) 进入BGP IPv4或BGP IPv6单播地址族视图。
address-family { ipv4 | ipv6 }
(4) 配置将包含ARP/ND信息的MAC/IP发布路由引入BGP IPv4或BGP IPv6单播路由表。
import evpn mac-ip
缺省情况下，禁止将包含ARP/ND信息的MAC/IP发布路由引入BGP IPv4或BGP IPv6单播路由表。
(1) 进入系统视图。
system-view
(2) 进入BGP实例视图。
bgp as-number [ instance instance-name ]
(3) 进入BGP-VPN实例视图。
ip vpn-instance vpn-instance-name
(4) 进入BGP-VPN IPv4或BGP-VPN IPv6单播地址族视图。
address-family { ipv4 | ipv6 }
(5) 配置将包含ARP/ND信息的MAC/IP发布路由引入BGP-VPN IPv4或BGP-VPN IPv6单播路由表。
import evpn mac-ip
缺省情况下，禁止将包含ARP/ND信息的MAC/IP发布路由引入BGP-VPN IPv4或BGP-VPN IPv6单播路由表。
配置允许对外发布 BGP EVPN路由后，设备接收到BGP EVPN路由，并将其添加到某个VPN实例路由表后，会将该路由（私网路由）发布到本地站点。
(1) 进入系统视图。
system-view
(2) 进入BGP实例视图。
bgp as-number [ instance instance-name ]
(3) 进入BGP-VPN实例视图。
ip vpn-instance vpn-instance-name
(4) 进入BGP-VPN IPv4单播地址族视图。
address-family ipv4 [ unicast ]
(5) 配置允许向本地站点发布BGP EVPN路由。
advertise l2vpn evpn
缺省情况下，允许向本地站点发布BGP EVPN路由。
(1) 进入系统视图。
system-view
(2) 进入BGP实例视图。
bgp as-number [ instance instance-name ]
(3) 进入BGP-VPN实例视图。
ip vpn-instance vpn-instance-name
(4) 进入BGP-VPN IPv6单播地址族视图。
address-family ipv6 [ unicast ]
(5) 配置允许向本地站点发布BGP EVPN路由。
advertise l2vpn evpn
缺省情况下，允许向本地站点发布BGP EVPN路由。
缺省情况下，VTEP从本地站点内接收到目的MAC地址为广播、未知单播和未知组播的数据帧后，会在该VXLAN内除接收接口外的所有本地接口和VXLAN隧道上泛洪该数据帧，将该数据帧发送给VXLAN内的所有站点；VTEP从VXLAN隧道接收到目的MAC地址为广播、未知单播和未知组播的数据帧后，会在该VXLAN内的所有本地接口上泛洪该数据帧。通过本配置可以手工禁止某类数据帧在VXLAN内泛洪，以减少网络中的泛洪流量。
禁止通过VXLAN隧道向远端站点泛洪后，为了将某些单播或组播MAC地址的数据帧泛洪到远端站点以保证某些业务的流量在站点间互通，可以配置选择性泛洪的MAC地址，当数据帧的目的MAC地址匹配该MAC地址时，该数据帧可以泛洪到远端站点。
本配置中各命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 关闭VSI的泛洪功能。
flooding disable { all | { broadcast | unknown-multicast | unknown-unicast } * }
缺省情况下，VSI泛洪功能处于开启状态。
(4) （可选）配置VSI选择性泛洪的MAC地址。
selective-flooding mac-address mac-address
开启ARP泛洪抑制时，如果同时执行flooding disable命令关闭了VSI的泛洪功能，则建议通过mac-address timer命令配置动态MAC地址的老化时间大于25分钟（ARP泛洪抑制表项的老化时间），以免MAC地址在ARP泛洪抑制表项老化之前老化，产生黑洞MAC地址。
如果配置了vxlan tunnel arp-learning disable命令，则设备从VXLAN隧道上接收到ARP请求报文后，不会采用匹配的ARP泛洪抑制表项对其进行应答。
ARP泛洪抑制表项可以通过reset arp suppression vsi命令清除，不能通过reset arp命令清除。reset arp suppression vsi命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”；reset arp命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“ARP”。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 开启ARP泛洪抑制功能。
arp suppression enable
缺省情况下，ARP泛洪抑制功能处于关闭状态。
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
可在任意视图下执行以下命令：
· 显示BGP EVPN对等体组的信息。
display bgp [ instance instance-name ] group l2vpn evpn [ group-name group-name ]
本命令的详细介绍请参见“三层技术-IP路由命令参考”中的“BGP基础命令”。
· 显示BGP EVPN对等体或对等体组的状态和统计信息。
display bgp [ instance instance-name ] peer l2vpn evpn [ ipv4-address mask-length | { ipv4-address | group-name group-name } log-info | [ ipv4-address ] verbose ]
本命令的详细介绍请参见“三层技术-IP路由命令参考”中的“BGP基础命令”。
· 显示BGP EVPN地址族的打包组相关信息。
display bgp [ instance instance-name ] update-group l2vpn evpn [ ipv4-address ]
本命令的详细介绍请参见“三层技术-IP路由命令参考”中的“BGP基础命令”。
· 显示EVPN通过BGP自动发现的邻居信息。
display evpn auto-discovery { imet [ peer ip-address] [ vsi vsi-name ] | macip-prefix [ nexthop next-hop ] [ count ] }
· 显示EVPN的路由表信息。
display evpn routing-table [ ipv6 ] { public-instance | vpn-instance vpn-instance-name } [ count ]
· 显示BGP EVPN路由信息。
display bgp [ instance instance-name ] l2vpn evpn [ peer ipv4-address { advertised-routes | received-routes } [ statistics ] | [ route-distinguisher route-distinguisher | route-type { auto-discovery | es | igmp-js | igmp-ls | imet | ip-prefix | mac-ip | smet } ] * [ { evpn-route route-length | evpn-prefix } [ advertise-info ] | ipv4-address | ipv6-address | mac-address ] | statistics ]
可在任意视图下执行以下命令：
· 显示EVPN的MAC地址信息。
display evpn route mac [ local | remote ] [ vsi vsi-name ] [ count ]
· 显示EVPN的ARP信息。
display evpn route arp [ local | remote ] [ public-instance | vpn-instance vpn-instance-name ] [ count ]
· 显示EVPN的ARP泛洪抑制信息。
display evpn route arp suppression [ local | remote ] [ vsi vsi-name ] [ count ]
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
