tcpdump 精准分析vxlan网络

一、相关概念

​ VXLAN（Virtual eXtensible Local Area Network，虚拟扩展局域网），是由IETF定义的NVO3（Network Virtualization over Layer 3）标准技术之一，是对传统VLAN协议的一种扩展。VXLAN的特点是将L2的以太帧封装到UDP报文（即L2 over L4）中，并在L3网络中传输。VXLAN本质上是一种隧道技术，在源网络设备与目的网络设备之间的IP网络上，建立一条逻辑隧道，将用户侧报文经过特定的封装后通过这条隧道转发。从用户的角度来看，接入网络的服务器就像是连接到了一个虚拟的二层交换机的不同端口上，可以方便地通信。

我们知道，在云计算中，大部分overlay网络都是基于vxlan实现的，在一般云网络运维场景下，外层报文的三层头都是物理机（宿主机）的 ip 地址，虚拟机实际通信的源/目的 ip 地址都是被封装到了内层报文中，所以需要弄明白虚机的流量路径，所以抓包分析一下。

二、抓包示例

PS：对于dpdk场景下tcpdump使用不了的话可以尝试比如ovs-tcpdump，用法一样。

2.1 抓包示例1

对于内层是 ICMP 报文的 vxlan 报文可使用如下命令进行过滤抓包：

tcpdump 'udp[39]=1' -nv -i bond1

Vxlan报文格式是在原始报文前封装了Vxlan报文，命令中的“39”是指从OUT UDP header协议报文启始位置0偏移至39字节（偏移量40字节），其中包括：OUT UDP header（8字节）+VXLAN header(8字节）+Inner Ethernet header（14字节）+Inner IP header