搞什么……VXLAN都配好了，为什么虚拟机之间还是不通？

原创已于 2025-08-26 15:35:24 修改 · 605 阅读

CC 4.0 BY-SA版权

文章标签：

于 2025-08-26 15:23:27 首次发布

号主：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部

VXLAN 作为数据中心网络的“标配”，解决了传统 VLAN 扩展受限的问题，让二层网络能横跨物理边界。

但在实际部署中，不少人会遇到：VXLAN 配置无误，隧道也建立了，可虚拟机之间依旧 ping 不通。

为什么？

答案是：VXLAN 涉及的要素太多了，哪怕少了一步，就可能让通信中断。

本文带你全面排查原因。

1. VXLAN 基础回顾

在排障之前，先回忆一下 VXLAN 的核心原理：

搞清楚这几个概念，排障时才能有方向。

VXLAN报文格式（以外层IP头为IPv4格式为例）

 VXLAN网络模型示意

VTEP 地址配置错误或未激活，会导致 VXLAN 隧道无法封装报文。
检查点：
- VTEP 接口（Loopback、NVE 等）是否配置正确？
- show nve interface / display vxlan tunnel 查看隧道是否 UP？

建立VXLAN隧道示意图

VXLAN 需要学习虚拟机的 MAC 地址，才能正确转发。
检查点：
- ARP 报文能否封装并传输？
- 是否有 Flood & Learn 或 EVPN 控制平面？
- show vxlan mac 是否能看到远端虚拟机的 MAC？

VXLAN 封装后，每个报文会额外增加 50 字节左右的头部（Outer MAC + Outer IP + UDP + VXLAN Header）。

如果底层链路 MTU 没有调大，就可能出现 报文被丢弃 的情况。
检查点：
- 用 ping -M do -s 1472 <VTEP IP> 测试是否能通过（假设 MTU 1500）。
- 建议将物理网络 MTU 设置为 1550 或 1600，保证 VXLAN 业务不被丢包。

在大规模数据中心里，一般不会只靠 Flood & Learn，而是使用 BGP EVPN 来分发 MAC 和 ARP 信息。

如果 EVPN 会话未建立，VTEP 就学不到远端 MAC。
检查点：
- show bgp l2vpn evpn summary 查看 EVPN 邻居是否正常。
- show bgp l2vpn evpn route 是否有对端的 MAC/IP 路由。
- 确认 Route-Target（RT）配置一致。

VXLAN 跨子网通信时，必须经过三层网关。常见有两种模式：

集中式网关：所有三层转发都交给核心设备完成。
- 缺点：跨租户、大规模环境中，容易形成瓶颈。
分布式网关（Distributed Anycast Gateway）：每个 ToR 都配置一个网关，虚拟机上送报文直接在本地转发。
- 如果网关没配置正确，虚拟机即使在 VXLAN 内，也 ping 不通对端。
检查点：
- 确认三层网关的 IP 是否一致（Anycast 模式）。
- 确认 ARP 能否学习到远端虚拟机网关的 MAC。