VxLAN 全称是 Visual eXtensible Local Area Network（虚拟扩展本地局域网），VxLAN出来有很多年了（二层VPN），最早是由vmware联合cisco开发的隧道技术，用于服务器虚拟化情况下实现二层的隧道技术，现在VxLAN已经标准化了，主流厂家在数据中心首选的大二层技术。

VPN种类大划分：

二层vpn：封装的对象是数据帧，则称为二层VPN，有Vxlan、TRILL、L2TP、PPTP、VPLS。

三层vpn：封装的对象是数据包，则称为三层VPN，有IPsec、GRE、DSVPN、MPLS-VPN。

ipsec-vpn隧道模式，则3层VPN。

ipsec-vpn传输模式，只封装IP之上的内容。

应用层VPN：SSL VPN。

MPLS-VPN：三层。

VPLS：2层。

VxLAN网络虚拟化技术，由IETF定义的NVO3（Network virtualization over layer 3），采用L2-over-L4（MAC-in-UDP）的报文封装模式，本质就是把二层的报文用三层协议进行封装，可以实现二层网络在三层范围内进行扩展，同事满足数据中心大二层虚拟迁移和多租户的需求。

VxLAN是一种无控制平面（建立隧道两端不需要跑控制层面协议维护隧道，都是人为控制的），利用底层IP网络实现二层通信的隧道技术。

底层的IP网络称为Underlay网络，Vxlan则称为Overlayer网络。

为什么会有VxLAN以及VXLAN解决的问题？

传统网络两台虚拟机同一个网段IP，只能放在同一个网络下，有了Vxlan后，放在不同网络中也能互访，虚拟机热迁移只要地址不变就能互访。本质上来讲Vxlan就是一个隧道技术（二层隧道），业务方面来讲Vxlan就是一个网络虚拟化技术，通过VNI来区分不同的业务并且不同VNI之间做隔离，VLAN的取值1-4094，VNI取值1-16777215完全解决了VLAN不够用问题，公有云就是通过Vxlan实现不同租户之间隔离。

一、Vxlan的基本概念：

1、NVO3&NVE

NVO3：基于三层IP overlay网络构建虚拟网络技术系统成为NOV3。

NVE：执行Vxlan封装和解封装的设备都统称为NVE。

2、VTEP

VTEP：每一个NVE至少有一个VTEP（类似于OSPF的设备必须得有一个Router ID标识），VTEP既用于标识设备，也用于标识一条Vxlan隧道，由2个VTEP地址唯一确定一条Vxlan隧道，所以VTEP的地址要求全网可达。

3、VNI

VNI（Vxlan网络标识符）：类似于Vlan ID，一个VNI代表一个租户，属于不同VNI的虚拟机之间不能直接进行二层通信。

Vxlan数据封装与转发

Vxlan实现PC1和PC2在一个二层内的通信

传统网络两台虚拟机同一个网段IP，只能放在同一个网络下，有了Vxlan后，放在不同网络中也能互访，虚拟机热迁移只要地址不变就能互访。

Vxlan实验：

1、实验准备：

模拟器使用CE系列交换机，支持VxLAN实验。

CE68和CE128都是用这个镜像，但VxLAN只能用CE12800做。

2、网络拓扑：

CE设备独有的“~”，敲完改名后变”*“代表没有生效需要确认，commit确认后更改成功。

[*CE2-GE1/0/1]undo shutdown CE接口默认关闭的

[*CE2-GE1/0/1]undo portswitch 开启三层功能，接口可以配IP

1、配置BD域：

bridge-domain 10

vxlan vni 10

2、创建二层子接口，封装dot1q，关联BD域10

interface GE1/0/1.10 mode l2

encapsulation dot1q vid 10

bridge-domain 10

3、创建Vxlan隧道

interface Nve1

source 2.2.2.2 指定VTEP的地址

vni 10 head-end peer-list 3.3.3.3 针对VNI 10指定对端的VNI地址

CE2收到一个数据帧，会查看数据帧的Tag是否为10，是的话就会形成 smac + vlan + BD域的一个mac表项，然后打上vxlan的封装（会剥离掉vlan-tag），查找对应的BD域中VNI进行转发。

使用dot1q进行封装，转发的时候会剥离掉vlan的tag。

转发前sip 2.2.2.2 dip 3.3.3.3 vxlan vni 10 dmac A2 smac A1 tag 10 sip 192.168.1.1 dip 192.168.1.2

转发后vxlan剥离vlan-tag：sip 2.2.2.2 dip 3.3.3.3 vxlan vni 10 dmac A2 smac A1 sip 192.168.1.1 dip 192.168.1.2

抓包后结果：

会打UDP的封装，可以看到VNI，PC的源目mac。

UDP的4789代表Vxlan。

打UDP的封装是为了实现负载分担，负载分担是基于流的（五元组确定一股流：源目IP、源目端口、协议号），因为数据中心采用双路冗余，充分利用带宽实现负载分担（华为中UDP目的端口号固定4789，源端口号不确定）。

最外层封装VTEP的两个地址：

本质上来讲Vxlan就是一个隧道技术（二层隧道），业务方面来讲Vxlan就是一个网络虚拟化技术，通过VNI来区分不同的业务并且不同VNI之间做隔离，VLAN的取值1-4094，VNI取值1-16777215完全解决了VLAN不够用问题，公有云就是通过Vxlan实现不同租户之间隔离。

在Vxlan中二层通信，PC1访问PC2是如何通过Vxlan网络进行MAC解析的？

发送ARP广播请求MAC，PC1发送的过程是：

smac：PC1

sip：192.168.1.1

dmac：FFFF

dip：192.168.1.2

接入交换收到这个ARP广播帧会打上VLAN-Tag为10的标记发给NVE交换机，Tag=10的帧是关联到BD域10，这个时候会查看与VNI 10关联的隧道列表，会把这个报文进行Vxlan的封装，分别复制发送VNI 10的peerlist列表中3.3.3.3、1.1.1.1、x.x.x.x一份，这个就是Vxlan的头端复制行为。