什么是 VXLAN？

VXLAN（虚拟可扩展局域网）是一种网络虚拟化协议，可帮助在云和其他虚拟化服务基础设施（例如数据中心）上扩展网络运营。VXLAN 将第 2 层以太网帧封装在 UDP 数据包中，通过第 3 层隧道传输网络流量。通过使用 VXLAN，联网比传统 VLAN 系统更具可扩展性和抗故障性，从而在大规模虚拟化环境中提供良好性能。

由于 VXLAN 将网络流量封装在 UDP 数据包中，因此可以在任何支持 UDP 的 IP 网络上运行。这样 VXLAN 就能够跨越大型的分布式云网络，无论其物理网络如何布局，也无论底层网络节点之间的地理距离有多远。

克服 VLAN 可扩展性限制

传统 VLAN 具有 12 位 ID，仅限于 4094 个唯一分段，实际上更接近 4000 个，因为硬件供应商通常会保留一些 ID。该分段限制远低于支持现代云和多租户网络环境所需的虚拟网络数量。VXLAN 使用名为 VXLAN 网络标识符（VNI）的 24 位分段标识符，这意味着您可以定义大约 1600 万个逻辑网络分段。

更轻松地在数据中心之间移动工作负载

VXLAN 隧道允许您在物理服务器或整个数据中心之间移动虚拟机，而无需更改其寻址结构。从目标网络设备的角度来看，无论硬件变化或其在底层网络中的位置如何，都不会离开其 LAN。这种移动性使云服务器迁移和备份更易于管理。

简化多租户环境中的网络隔离

现代服务器虚拟化技术已使使用共享物理基础设施成为数据中心的标准模型。但是，为了维护安全性和合规性，您需要确保数据中心基础设施中每个租户的流量保持隔离。VXLAN 技术允许您创建数百万个广播域并进行分段。每个域都与其他域隔离，以帮助防止数据意外路由到错误组织的服务器。

降低虚拟化环境的复杂性

由于 VXLAN 允许数百万个隔离分段，因此租户分离比 VLAN 分段容易得多。使用 VXLAN，租户无需重新配置地址即可移植到其他站点，并且广播可以按每个租户的预期运行。

跨不同的硬件网络传输

由于 VXLAN 将以太网帧封装在 UDP 数据包中，因此无论网络使用哪种底层硬件，它都可以在任何第 3 层 IP 网络上运行。VXLAN 可以与各种现代交换机、路由器和虚拟机监控程序一起使用。这意味着，无论您使用自己的本地基础设施还是连接到云提供商的基础设施（例如 AWS），VXLAN 都允许您运营一致的叠加网络。

为了创建大规模的虚拟化网络，VXLAN 结合了封装、隧道和智能转发。

封装

VXLAN 的工作原理是将以太网帧封装在 UDP 数据包中，这样它就可以遍历 IP 网络。换句话说，它允许通过第 3 层网络上的隧道在虚拟机或其他云资源之间进行 OSI 第 2 层通信。原始以太网帧用 VXLAN 标头包装，该标头包含 VNI（该特定 VXLAN 的唯一标识符），并放置在 UDP 数据包中进行传输。

VXLAN 隧道端点（VTEP）

负责封装和解封网络边缘流量的设备称为 VXLAN 隧道端点（VTEP）。VTEP 可以在硬件中实现，例如在架顶式交换机（TOR）中实现，也可以在软件中实现，例如在虚拟机监控程序上实现。当 VTEP 收到来自本地系统的帧时，会根据 VNI 和 MAC 地址检查目的地，然后封装数据包并将其转发到相应的远程 VTEP。到达后，目的地 VTEP 会去掉标头并将原始帧传送到由其 MAC 地址标识的目标系统。

控制面板和数据面板分离

VXLAN 特意将控制面板和数据面板功能分开，以提高可扩展性。数据面板处理数据的实际封装和转发。控制面板处理隧道和路由。现代 VXLAN 部署通常使用集中式或分布式控制面板，例如带有 MP-BGP 的 EVPN（以太网 VPN），将 MAC 地址映射到 VTEP。这减少了广播流量，而传统 VLAN 正是通过广播流量学习 MAC 地址的，这种方式在现代的大型数据中心中可能效率低下。

组播与单播复制模式

VXLAN 使用组播复制或单播复制来处理 BUM（广播、未知单播和组播）流量。组播模式使用第 3 层 IP 组播网络基础设施来复制 BUM 数据包。从源 VTEP 向网络上的所有其他相关 VTEP 发送一个副本。单播复制要求源 VTEP 创建和发送数据包的多个单独单播副本，每个目标 VTEP 一个。

VXLAN 支持多达 1600 万个逻辑网络的能力，使其成为云架构和现代数据中心中的许多使用案例的理想之选。

面向云提供商的多租户能力

云提供商可以使用 VXLAN 隔离共享物理基础设施上的客户工作负载或租户。每个租户都有自己的 VXLAN 分段和 VNI，使其私有并与所有其他租户的流量分开。

数据中心网络虚拟化技术

传统 VLAN 仅有 4094 个可能的分段，不足以满足现代大型数据中心的需求。凭借其 24 位寻址，VXLAN 允许您为不同的应用程序、团队或服务创建大量隔离的虚拟网络。它们还支持微分段，允许您为不同的工作负载设置细粒度的安全策略。

恢复和工作负载迁移

由于 VXLAN 将网络与物理基础设施分离，因此可以更轻松地在地理分散的数据中心之间迁移虚拟机（VM）和容器。您可以将 VM 移动到可以更有效地运行的区域，而无需更改 IP 地址，也无需中断活动连接或维护活动。

混合云连接和网络扩展

将本地环境连接到云的组织可以在网络边界解包 VXLAN 数据包，然后使用 AWS Direct Connect 和 AWS Transit Gateway 等服务进行传输和路由。在云端，您可以使用其他网络虚拟化和隔离服务，例如 AWS Virtual Private Cloud。

实施 VXLAN 需要周密的规划和准备。以下是您需要考虑的一些最常见的挑战。

封装开销和性能影响

VXLAN 流量会为每个 IPv4 以太网帧增加 50 字节的开销，而 IPv6 则为 70 字节。尽管这可能不会影响某些环境，但在大规模场景下，这会增加带宽消耗，并可能降低高性能工作负载的吞吐量。

VXLAN 封装和解封过程还需要更多的 CPU 或硬件资源。虽然现代硬件 VTEP 可以高效地处理这个问题，但如果优化不当，虚拟机监控程序上基于软件的实现可能会增加延迟。

控制面板的复杂性

VXLAN 是一种叠加协议，这意味着它并不定义在第 3 层网络中如何学习或分发 MAC 到 VTEP 映射。如果没有诸如 EVPN（以太网 VPN）之类的强大控制面板，网络就会依赖于数据面板学习，这可能导致广播、未知单播和组播（BUM）流量的低效泛洪。

运营可视性和故障排除

由于 VXLAN 网络是位于物理底层之上的叠加层，因此识别网络事件源和进行故障排除可能更具挑战性。传统网络工具无法看到封装的 VXLAN 数据包内部，因此很难跨层跟踪问题。您希望维持现代化的集成监控解决方案，以提供对叠加网络和底层网络的可见性。

硬件 VTEP 支持需求

并非所有网络设备都支持 VXLAN 终止（VTEP）。大规模部署 VXLAN 通常需要现代交换机或路由器。较旧或较低端的设备可能缺乏这种支持，从而限制您的部署选项。

VXLAN 是旨在通过第 3 层基础设施扩展第 2 层网络的几种网络叠加技术之一。尽管这些技术都有相似的目的，但其设计和使用案例却有所不同。

VXLAN 与GENEVE

GENEVE（通用网络虚拟化封装）是一种更新、灵活的叠加协议，旨在支持服务链和带内遥测等功能。VXLAN 使用固定长度的标头，而 GENEVE 使用可变长度的可扩展标头。在此标头中，除了路由数据外，还可以携带上下文元数据。由于其现有的广泛硬件和软件支持，VXLAN 在生产环境中依然得到更普遍的采用。

VXLAN 与NVGRE

NVGRE（使用通用路由封装的网络虚拟化）是 Microsoft 提出的 VXLAN 替代方案，使用 GRE（通用路由封装）代替 UDP。两者都使用 24 位标识符，在 NVGRE 中命名为 TNI，而在 VXLAN 中命名为 VNI，TNI 允许进行更大规模的分段。但是，使用 UDP，VXLAN 协议可以更轻松地与大多数现有网络基础设施集成。因此，与 NVGRE 相比，VXLAN 在行业中得到了更广泛的采用，尤其是在以 Microsoft 为中心的云环境之外。

VXLAN 与SD-WAN 叠加

SD-WAN 也使用叠加模型，但用途不同。尽管 VXLAN 是为数据中心网络虚拟化和在数据中心内部或之间扩展第 2 层域而设计的，但 SD-WAN 在 WAN 链路上创建了安全、具有应用感知能力的叠加网络。例如，SD-WAN 的一个常见使用案例是将分支机构连接到总部或云。

这些不是相互排斥的技术。您可以在内部使用 VXLAN 进行服务器虚拟化，并使用 SD-WAN 将远程站点安全地连接到这些资源。您可以通过 SD-WAN 骨干网传输 VXLAN 流量。

AWS 支持拥有现有 VXLAN 架构或将数据中心实施迁移到云端的组织。探索我们的组合网络服务，将 VXLAN 与 AWS 服务连接起来。

AWS Transit Gateway 可充当云路由器，从而帮助您大规模设计和实施网络。AWS Transit Gateway 支持 VXLAN，通过中央枢纽连接 VPC 和本地网络。

Amazon Virtual Private Cloud（VPC）支持流量镜像，允许您捕获来自网络接口的入站和出站流量，使用 VXLAN 将其复制到您的 VPC 目的地，包括 Amazon EC2 实例和网络负载均衡器。

AWS Direct Connect 允许您在 VXLAN 数据中心和 AWS 区域之间创建专用网络连接，提高混合云的性能。

立即创建免费账户，开始在 AWS 上使用 VXLAN 联网功能。