- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-VXLAN配置
本章节下载： 01-VXLAN配置 (390.43 KB)
目 录
VXLAN（Virtual eXtensible LAN，可扩展虚拟局域网络）是基于IP网络、采用“MAC in UDP”封装形式的二层VPN技术。VXLAN可以基于已有的服务提供商或企业IP网络，为分散的物理站点提供二层互联，并能够为不同的租户提供业务隔离。VXLAN主要应用于数据中心网络和园区接入网络。
目前，设备只支持基于IPv4网络的VXLAN技术，不支持基于IPv6网络的VXLAN技术。
VXLAN具有如下优点：
· 支持大量的租户：使用24位的标识符，最多可支持2的24次方（16777216）个VXLAN，使支持的租户数目大规模增加，解决了传统二层网络VLAN资源不足的问题。
· 易于维护：基于IP网络组建大二层网络，使得网络部署和维护更加容易，并且可以充分地利用现有的IP网络技术，例如利用等价路由进行负载分担等；只有IP核心网络的边缘设备需要进行VXLAN处理，网络中间设备只需根据IP头转发报文，降低了网络部署的难度和费用。
VXLAN技术将已有的三层物理网络作为Underlay网络，在其上构建出虚拟的二层网络，即Overlay网络。Overlay网络通过封装技术、利用Underlay网络提供的三层转发路径，实现租户二层报文跨越三层网络在不同站点间传递。对于租户来说，Underlay网络是透明的，同一租户的不同站点就像工作在一个局域网中。
图1-1 VXLAN网络模型示意图
如图1-1所示，VXLAN的典型网络模型中包括如下几部分：
· 用户终端（Terminal）：用户终端设备可以是PC机、无线终端设备、服务器上创建的VM（Virtual Machine，虚拟机）等。不同的用户终端可以属于不同的VXLAN。属于相同VXLAN的用户终端处于同一个逻辑二层网络，彼此之间二层互通；属于不同VXLAN的用户终端之间二层隔离。VXLAN通过VXLAN ID来标识，VXLAN ID又称VNI（VXLAN Network Identifier，VXLAN网络标识符），其长度为24比特。
本文档中如无特殊说明，均以VM为例介绍VXLAN工作机制。采用其他类型用户终端时，VXLAN工作机制与VM相同，不再赘述。
· VTEP（VXLAN Tunnel End Point，VXLAN隧道端点）：VXLAN的边缘设备。VXLAN的相关处理都在VTEP上进行，例如识别以太网数据帧所属的VXLAN、基于VXLAN对数据帧进行二层转发、封装/解封装报文等。
· VXLAN隧道：两个VTEP之间的点到点逻辑隧道。VTEP为数据帧封装VXLAN头、UDP头和IP头后，通过VXLAN隧道将封装后的报文转发给远端VTEP，远端VTEP对其进行解封装。
· 核心设备：IP核心网络中的设备（如图1-1中的P设备）。核心设备不参与VXLAN处理，仅需要根据封装后报文的目的IP地址对报文进行三层转发。
· VSI（Virtual Switch Instance，虚拟交换实例）：VTEP上为一个VXLAN提供二层交换服务的虚拟交换实例。VSI可以看作是VTEP上的一台基于VXLAN进行二层转发的虚拟交换机，它具有传统以太网交换机的所有功能，包括源MAC地址学习、MAC地址老化、泛洪等。VSI与VXLAN一一对应。
· AC（Attachment Circuit，接入电路）：VTEP连接本地站点的物理电路或虚拟电路。在VTEP上，与VSI关联的三层接口称为AC。
如图1-2所示，VXLAN报文的封装格式为：在原始二层数据帧外添加8字节VXLAN头、8字节UDP头和20字节IP头。其中，UDP头的目的端口号为VXLAN UDP端口号（缺省为4789）。VXLAN头主要包括两部分：
· 标记位：“I”位为1时，表示VXLAN头中的VXLAN ID有效；为0，表示VXLAN ID无效。其他位保留未用，设置为0。
· VXLAN ID：用来标识一个VXLAN网络，长度为24比特。
图1-2 VXLAN报文封装示意图
VXLAN运行机制可以概括为：
(1) 发现远端VTEP，在VTEP之间建立VXLAN隧道，并将VXLAN隧道与VXLAN关联。
(2) 识别接收到的报文所属的VXLAN，以便将报文的源MAC地址学习到VXLAN对应的VSI，并在该VSI内转发该报文。
(3) 学习虚拟机的MAC地址。
(4) 根据学习到的MAC地址表项转发报文。
为了将VXLAN报文传递到远端VTEP，需要创建VXLAN隧道，并将VXLAN隧道与VXLAN关联。
手工配置Tunnel接口，并指定隧道的源和目的IP地址分别为本端和远端VTEP的IP地址。
手工将VXLAN隧道与VXLAN关联。
VTEP采用如下几种方式在数据帧和VXLAN之间建立关联：
· 将三层接口与VSI关联：从该三层接口接收到的数据帧均属于指定的VSI。VSI内创建的VXLAN即为该数据帧所属的VXLAN。
· 将以太网服务实例与VSI关联：以太网服务实例定义了一系列匹配规则，如匹配指定VLAN的报文、匹配接口接收到的所有报文等。从二层以太网接口上接收到的、与规则匹配的数据帧均属于指定的VSI/VXLAN。
VTEP从三层接口或以太网服务实例接收到数据帧后，根据关联方式判断报文所属的VXLAN。
如图1-3所示，VM 1属于VLAN 2，在VTEP上配置以太网服务实例1匹配VLAN 2的报文，将以太网服务实例1与VSI A绑定，并在VSI A内创建VXLAN 10，则VTEP接收到VM 1发送的数据帧后，可以判定该数据帧属于VXLAN 10。
对于从VXLAN隧道上接收到的VXLAN报文，VTEP根据报文中携带的VXLAN ID判断该报文所属的VXLAN。
MAC地址学习分为本地MAC地址学习和远端MAC地址学习两部分：
· 本地MAC地址学习
是指VTEP对本地站点内虚拟机MAC地址的学习。本地MAC地址的学习方式有如下几种：
¡ 静态配置：手工指定本地MAC地址所属的VSI（VXLAN），及其对应的以太网服务实例（即AC）。
¡ 通过报文中的源MAC地址动态学习：VTEP接收到本地虚拟机发送的数据帧后，判断该数据帧所属的VSI，并将数据帧中的源MAC地址（本地虚拟机的MAC地址）添加到该VSI的MAC地址表中，该MAC地址对应的接口为接收到数据帧的接口。
· 远端MAC地址学习
是指VTEP对远端站点内虚拟机MAC地址的学习。远端MAC地址的学习方式有如下几种：
¡ 静态配置：手工指定远端MAC地址所属的VSI（VXLAN），及其对应的VXLAN隧道接口。
¡ 通过报文中的源MAC地址动态学习：VTEP从VXLAN隧道上接收到远端VTEP发送的VXLAN报文后，根据VXLAN ID判断报文所属的VXLAN，对报文进行解封装，还原二层数据帧，并将数据帧中的源MAC地址（远端虚拟机的MAC地址）添加到所属VXLAN对应VSI的MAC地址表中，该MAC地址对应的接口为VXLAN隧道接口。
¡ 通过OpenFlow下发：OpenFlow控制器以流表的形式向VTEP设备下发远端MAC地址表项。OpenFlow的详细介绍请参见“OpenFlow配置指导”。
通过不同方式学习到的远端MAC地址优先级由高到低依次为：
a. 静态配置、OpenFlow下发的MAC地址优先级相同，且优先级最高。
b. 动态学习的MAC地址优先级最低。
完成本地和远端MAC地址学习后，VTEP在VXLAN内转发单播流量的过程如下所述。
对于站点内流量，VTEP判断出报文所属的VSI后，根据目的MAC地址查找该VSI的MAC地址表，从相应的本地接口转发给目的VM。
如图1-4所示，VM 1（MAC地址为MAC 1）发送以太网帧到VM 4（MAC地址为MAC 4）时，VTEP 1从接口Interface A收到该以太网帧后，判断该数据帧属于VSI A（VXLAN 10），查找VSI A的MAC地址表，得到MAC 4的出接口为Interface B，所在VLAN为VLAN 10，则将以太网帧从接口Interface B的VLAN 10内发送给VM 4。
如图1-5所示，以VM 1（MAC地址为MAC 1）发送以太网帧给VM 7（MAC地址为MAC 7）为例，站点间单播流量的转发过程为：
(1) VM 1发送以太网数据帧给VM 7，数据帧的源MAC地址为MAC 1，目的MAC为MAC 7，VLAN ID为2。
(2) VTEP 1从接口Interface A（所在VLAN为VLAN 2）收到该数据帧后，判断该数据帧属于VSI A（VXLAN 10），查找VSI A的MAC地址表，得到MAC 7的出端口为Tunnel1。
(3) VTEP 1为数据帧封装VXLAN头、UDP头和IP头后，将封装好的报文通过VXLAN隧道Tunnel1、经由P设备发送给VTEP 2。
(4) VTEP 2接收到报文后，根据报文中的VXLAN ID判断该报文属于VXLAN 10，并剥离VXLAN头、UDP头和IP头，还原出原始的数据帧。
(5) VTEP 2查找与VXLAN 10对应的VSI A的MAC地址表，得到MAC 7的出端口为Interface A（所在VLAN为VLAN 20）。
(6) VTEP 2从接口Interface A的VLAN 20内将数据帧发送给VM 7。
VTEP从本地站点接收到泛洪流量（组播、广播和未知单播流量）后，将其转发给除接收接口外的所有本地接口和VXLAN隧道。为了避免环路，VTEP从VXLAN隧道上接收到报文后，不会再将其泛洪到其他的VXLAN隧道，只会转发给所有本地接口。
根据复制方式的不同，流量泛洪方式分为单播路由方式（头端复制）和泛洪代理方式（服务器复制）。
如图1-6所示，VTEP负责复制报文，采用单播方式将复制后的报文通过本地接口发送给本地站点，并通过VXLAN隧道发送给VXLAN内的所有远端VTEP。
数据中心网络中需要通过IP核心网络进行二层互联的站点较多时，采用泛洪代理方式可以在没有组播协议参与的情况下，节省泛洪流量对核心网络带宽资源的占用。
如图1-7所示，在泛洪代理方式下，同一个VXLAN内的所有VTEP都通过手工方式与代理服务器建立隧道。VTEP接收到泛洪流量后，不仅在本地站点内泛洪，还会将其发送到代理服务器，由代理服务器转发到其他远端VTEP。
目前泛洪代理方式主要用于SDN网络，使用虚拟服务器作为泛洪代理服务器。采用泛洪代理方式时，需要在VTEP上进行如下配置：
· 使用vxlan tunnel mac-learning disable命令关闭远端MAC地址自动学习功能，采用SDN控制器下发的MAC地址表项进行流量转发。
· 在网络侧接口上使用undo mac-address static source-check enable命令关闭报文入接口与静态MAC地址表项匹配检查功能。
接入模式分为VLAN接入模式和Ethernet接入模式两种。
在该模式下，从本地站点接收到的和发送给本地站点的以太网帧必须带有VLAN Tag。
· VTEP从本地站点接收到以太网帧后，删除该帧的所有VLAN Tag，再转发该数据帧；
· VTEP发送以太网帧到本地站点时，为其添加本地站点的VLAN Tag。
采用该模式时，VTEP不会传递VLAN Tag信息，不同站点可以独立地规划自己的VLAN，不同站点的不同VLAN之间可以互通。
在该模式下，从本地站点接收到的和发送给本地站点的以太网帧可以携带VLAN Tag，也可以不携带VLAN Tag。
· VTEP从本地站点接收到以太网帧后，保持该帧的VLAN Tag信息不变，转发该数据帧；
· VTEP发送以太网帧到本地站点时，不会为其添加VLAN Tag。
采用该模式时，VTEP会在不同站点间传递VLAN Tag信息，不同站点的VLAN需要统一规划，否则无法互通。
VXLAN可以为分散的物理站点提供二层互联。如果要为VXLAN站点内的虚拟机提供三层业务，则需要在网络中部署VXLAN IP网关，以便站点内的虚拟机通过VXLAN IP网关与外界网络或其他VXLAN网络内的虚拟机进行三层通信。
VXLAN IP网关的详细介绍，请参见“VXLAN配置指导”中的“VXLAN IP网关”。
与VXLAN相关的协议规范有：
· RFC 7348：Virtual eXtensible Local Area Network (VXLAN): A Framework for Overlaying Virtualized Layer 2 Networks over Layer 3 Networks
VXLAN组网中，需要在VTEP上进行如下配置：
(1) 配置VXLAN隧道工作模式
(2) 创建VSI和VXLAN
(4) 建立数据帧与VSI的关联
(5) （可选）管理本地和远端MAC地址
(6) （可选）配置VXLAN报文相关功能
(7) （可选）减少发送到核心网的泛洪流量
(8) 维护VXLAN网络
在VXLAN组网中，IP核心网络中的设备上需要配置路由协议，确保VTEP之间路由可达。
VXLAN隧道支持如下两种工作模式：
· 三层转发模式：VTEP设备通过查找ARP表项（IPv4网络）或ND表项（IPv6网络）对流量进行转发。
· 二层转发模式：VTEP通过查找MAC地址表项对流量进行转发。
当设备作为VTEP时，需要配置VXLAN隧道工作在二层转发模式；当设备作为VXLAN IP网关时，需要配置VXLAN隧道工作在三层转发模式。有关VXLAN IP网关的详细介绍请参见“VXLAN配置指导”中的“VXLAN IP网关”。
如果VXLAN隧道工作在三层转发模式，则设备将VXLAN封装后的报文转发给下一跳时是否携带VLAN tag，由vxlan ip-forwarding命令中的tagged、untagged参数决定，而不是由报文的出接口类型决定。请根据实际情况选择tagged、untagged参数：
· 设备通过Access端口、Trunk或Hybrid端口的PVID连接下一跳时，需要指定untagged参数。
· 设备通过Trunk或Hybrid端口的非PVID连接下一跳时，需要指定tagged参数。
重复执行vxlan ip-forwarding命令切换二层、三层转发模式前，必须先删除设备上的所有VSI、VSI虚接口和VXLAN隧道，否则将配置失败。因此，配置VXLAN前，用户需要先做好VXLAN网络规划，确定设备使用的VXLAN隧道工作模式，完成本配置后，再进行其他配置。
重复执行vxlan ip-forwarding命令修改tagged和untagged参数前，必须先删除设备上所有的VXLAN隧道。
(1) 进入系统视图。
system-view
(2) 配置VXLAN隧道工作模式。
¡ 配置VXLAN隧道工作在二层转发模式。
undo vxlan ip-forwarding
¡ 配置VXLAN隧道工作在三层转发模式。
vxlan ip-forwarding [ tagged | untagged ]
缺省情况下，VXLAN隧道工作在三层转发模式。
(1) 进入系统视图。
system-view
(2) 开启L2VPN功能。
l2vpn enable
缺省情况下，L2VPN功能处于关闭状态。
(3) 创建VSI，并进入VSI视图。
vsi vsi-name
(4) （可选）配置VSI的描述信息。
description text
缺省情况下，未配置VSI的描述信息。
(5) 开启VSI。
undo shutdown
缺省情况下，VSI处于开启状态。
(6) 创建VXLAN，并进入VXLAN视图。
vxlan vxlan-id
在一个VSI下只能创建一个VXLAN。
不同VSI下创建的VXLAN，其VXLAN ID不能相同。
一个VXLAN可以关联多条VXLAN隧道。一条VXLAN隧道可以关联多个VXLAN，这些VXLAN共用该VXLAN隧道，VTEP根据VXLAN报文中的VXLAN ID来识别隧道传递的报文所属的VXLAN。VTEP接收到某个VXLAN的泛洪流量后，如果采用单播路由泛洪方式，则VTEP将在与该VXLAN关联的所有VXLAN隧道上发送该流量，以便将流量转发给所有的远端VTEP；如果采用泛洪代理方式，则VTEP通过与该VXLAN关联、通过flooding-proxy参数开启了泛洪代理功能的VXLAN隧道将泛洪流量发送给泛洪代理服务器。
VTEP必须与相同VXLAN内的其它VTEP建立VXLAN隧道，并将该隧道与VXLAN关联。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 进入VXLAN视图。
vxlan vxlan-id
(4) 配置VXLAN与VXLAN隧道关联。
tunnel { tunnel-number [ backup-tunnel tunnel-number | flooding-proxy ] | all }
缺省情况下，VXLAN未关联VXLAN隧道。
|
参数 |
说明 |
|
backup-tunnel tunnel-number |
本参数指定的隧道作为备用VXLAN隧道，为主用VXLAN隧道提供保护。当主用VXLAN隧道down时，VXLAN将启用备用VXLAN隧道 |
|
flooding-proxy |
如果指定了本参数，则VXLAN内的广播、组播和未知单播流量将通过该隧道发送到泛洪代理服务器，由代理服务器进行复制并转发到其他远端VTEP |
将三层接口与VSI关联后，从该接口接收到的报文，将通过查找关联VSI的MAC地址表进行转发。
本配置与以太网链路聚合功能互斥。三层接口加入聚合组后，不能再将该接口与VSI关联；反之亦然。
(1) 进入系统视图。
system-view
(2) 进入三层接口视图。
interface interface-type interface-number
(3) 将三层接口与VSI关联。
xconnect vsi vsi-name
缺省情况下，三层接口未关联VSI。
本地MAC地址可以静态添加，也可以通过报文中的源MAC地址动态学习。在动态添加、删除本地MAC地址时，可以记录日志信息。
远端MAC地址表项的产生方法包括静态添加、根据接收到的VXLAN报文内封装的源MAC地址自动学习等。
(1) 进入系统视图。
system-view
(2) 添加静态本地MAC地址表项。
mac-address static mac-address interface interface-type interface-number instance-id vsi vsi-name
本命令中指定的以太网服务实例必须与指定的VSI关联，否则配置将失败
(3) 添加静态远端MAC地址表项。
mac-address static mac-address interface tunnel tunnel-number vsi vsi-name
interface tunnel interface-number参数指定的隧道接口必须与vsi vsi-name参数指定的VSI对应的VXLAN关联，否则配置将失败。
system-view
(2) 配置VXLAN报文的目的UDP端口号。
vxlan udp-port port-number
缺省情况下，VXLAN报文的目的UDP端口号为4789。
属于同一个VXLAN的VTEP设备上需要配置相同的UDP端口号。
通过本配置可以实现对接收到的VXLAN报文的UDP校验和、内层封装的以太网数据帧是否携带VLAN Tag进行检查：
· UDP校验和检查：VTEP接收到VXLAN报文后，检查该报文的UDP校验和是否为0。若UDP校验和为0，则接收该报文；若UDP校验和不为0，则检查UDP检验和是否正确，正确则接收该报文；否则，丢弃该报文。
· VLAN Tag检查：VTEP接收到VXLAN报文并对其解封装后，若内层以太网数据帧带有VLAN Tag，则丢弃该VXLAN报文。
远端VTEP上通过xconnect vsi命令的access-mode参数配置接入模式为ethernet时，VXLAN报文可能携带VLAN Tag。这种情况下建议不要在本端VTEP上执行vxlan invalid-vlan-tag discard命令，以免错误地丢弃报文。
(1) 进入系统视图。
system-view
(2) 配置丢弃UDP校验和检查失败的VXLAN报文。
vxlan invalid-udp-checksum discard
缺省情况下，不会检查VXLAN报文的UDP校验和。
(3) 配置丢弃内层数据帧含有VLAN Tag的VXLAN报文。
vxlan invalid-vlan-tag discard
缺省情况下，不会检查VXLAN报文内层封装的以太网数据帧是否携带VLAN Tag。
缺省情况下，VTEP从本地站点内接收到目的MAC地址为广播、未知单播和未知组播的数据帧后，会在该VXLAN内除接收接口外的所有本地接口和VXLAN隧道上泛洪该数据帧，将该数据帧发送给VXLAN内的所有站点；VTEP从VXLAN隧道接收到目的MAC地址为广播、未知单播和未知组播的数据帧后，会在该VXLAN内的所有本地接口上泛洪该数据帧。通过本配置可以手工禁止某类数据帧在VXLAN内泛洪，以减少网络中的泛洪流量。
禁止通过VXLAN隧道向远端站点泛洪后，为了将某些单播或组播MAC地址的数据帧泛洪到远端站点以保证某些业务的流量在站点间互通，可以配置选择性泛洪的MAC地址，当数据帧的目的MAC地址匹配该MAC地址时，该数据帧可以泛洪到远端站点。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 关闭VSI的泛洪功能。
flooding disable { all | { broadcast | unknown-multicast | unknown-unicast } * } [ all-direction | dci ]
缺省情况下，VSI泛洪功能处于开启状态。
数据中心互联场景中，如果只想禁止向数据中心间的VXLAN-DCI隧道泛洪，而数据中心内部的VXLAN隧道可以泛洪，请指定dci参数。
(4) （可选）配置VSI选择性泛洪的MAC地址。
selective-flooding mac-address mac-address
本配置用来开启VSI的报文统计功能，用户可以使用display l2vpn vsi verbose命令查看VSI的报文统计信息，使用reset l2vpn statistics vsi命令清除VSI的报文统计信息。
(1) 进入系统视图。
system-view
(2) 进入VXLAN所在VSI视图。
vsi vsi-name
(3) 开启VSI的报文统计功能。
statistics enable
缺省情况下，VSI的报文统计功能处于关闭状态。
通过本功能配置的流量统计信息收集时间间隔对VSI的报文统计、AC的报文统计和VXLAN隧道的报文统计功能均生效。
(1) 进入系统视图。
system-view
(2) 设置L2VPN统计信息收集的时间间隔。
l2vpn statistics interval interval
缺省情况下，L2VPN统计信息收集的时间间隔为15分钟。
在隧道源节点上检测VXLAN隧道的连通性前，需要在VXLAN隧道的尾节点上执行本配置，否则隧道尾节点无法正常识别检测报文，导致检测失败。
(1) 进入系统视图。
system-view
(2) 开启VXLAN隧道的连通性检测功能。
overlay oam enable
缺省情况下，VXLAN隧道的连通性检测功能处于关闭状态。
可在任意视图下执行以下命令：
· 显示Tunnel接口信息。
display interface [ tunnel [ number ] ] [ brief [ description | down ] ]
本命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“隧道”。
· 显示VXLAN关联的VXLAN隧道信息。
display vxlan tunnel [ vxlan-id vxlan-id ]
本命令的详细介绍，请参见“接口管理命令参考”中的“隧道接口”。
可在任意视图下执行以下命令：
· 显示VSI的信息。
display l2vpn vsi [ name vsi-name ] [ verbose ]
· 显示与VSI关联的三层接口的L2VPN信息。
display l2vpn interface [ vsi vsi-name | interface-type interface-number ] [ verbose ]
可在任意视图下执行以下命令，显示VSI的MAC地址表信息。
display l2vpn mac-address [ vsi vsi-name ] [ dynamic ] [ count | verbose ]
请在用户视图下执行以下命令，清除VSI动态学习的MAC地址表项。
reset l2vpn mac-address [ vsi vsi-name ]
请在用户视图下执行以下命令，清除VSI的报文统计信息。
reset l2vpn statistics vsi [ name vsi-name ]
可在任意视图下执行以下命令，显示L2VPN的AC转发信息。
display l2vpn forwarding ac [ vsi vsi-name ] [ slot slot-number [ cpu cpu-number ] ] [ verbose ]
请在用户视图下执行以下命令，清除AC的报文统计信息。
reset l2vpn statistics ac [ interface interface-type interface-number ]
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
