1. 多租户网络基础：多租户概念、网络隔离需求、VXLAN/VLAN 技术原理

1.1 多租户概念与核心特征

多租户（Multi-Tenancy）是云计算中最基础也是最重要的架构模式之一。它允许一个物理或逻辑的共享基础设施同时服务于多个相互隔离的客户（租户），每个租户都认为自己独占了资源。

1.2 网络隔离需求分析

在多租户环境中，网络隔离不仅仅是安全需求，更是运营合规和性能保障的基础。以下从三个维度分析隔离需求：

• 数据平面隔离：确保租户 A 的流量不会意外到达租户 B 的网卡。这要求二层广播域、三层路由表、ARP 表项完全隔离。
• 控制平面隔离：租户不能感知或影响其他租户的路由协议状态、MAC 学习过程。例如，一个租户的 BGP 震荡不应影响其他租户。
• 管理平面隔离：租户的管理员只能查看和配置自己的虚拟网络资源，不能越权访问物理网络设备或其它租户的配置。

1.3 VLAN 技术原理与局限性

VLAN（Virtual Local Area Network）通过在标准以太网帧中插入 4 字节的 802.1Q 标签，将物理局域网划分为多个逻辑广播域。其核心字段为 12-bit 的 VLAN ID，取值范围 1–4094。

VLAN 帧结构（802.1Q）：
+--------+--------+--------+--------+--------+--------+--------+--------+
| 目的MAC | 源MAC  | TPID   | TCI    | 类型   | 数据   | FCS    |
| (6B)   | (6B)   | (2B)   | (2B)   | (2B)   | (46-1500B)| (4B) |
+--------+--------+--------+--------+--------+--------+--------+--------+
                    |--- 0x8100 --|-- PRI(3) CFI(1) VLAN ID(12) --|

VLAN 的局限性在云环境中非常突出：

• 数量上限：4094 个 VLAN ID 在公有云或大型私有云中远远不够。
• 二层网络范围受限：VLAN 依赖 STP 防止环路，STP 收敛慢且浪费大量冗余链路。
• 虚拟机迁移困难：VM 迁移后必须保持同一 VLAN，否则 IP 地址和网关需要重新配置，限制了迁移范围。
• 租户重叠 IP 无法支持：不同租户使用相同 IP 段（如 10.0.0.0/24）时，VLAN 无法区分。

1.4 VXLAN 技术原理与优势

VXLAN（Virtual Extensible LAN）是一种 MAC-in-UDP 的 Overlay 封装技术，它将二层以太网帧封装在 UDP 数据包中，通过三层 IP 网络传输。核心组件包括：

• VTEP（VXLAN Tunnel Endpoint）：封装/解封装的边界设备，可以是物理交换机、虚拟交换机（如 Open vSwitch）或软件路由器。
• VNI（VXLAN Network Identifier）：24-bit 标识符，用于区分不同的租户网络，支持 16,777,216 个隔离网络。
• VXLAN 头部：包含 VNI 和保留位，封装在 UDP 目标端口 4789 之上。

VXLAN 封装结构（外层 IP/UDP）：
+------------------+------------------+------------------+------------------+
| 外层MAC (14B)    | 外层IP (20B)     | UDP (8B)         | VXLAN头部 (8B)   |
+------------------+------------------+------------------+------------------+
| 内层MAC (14B)    | 内层IP (20B)     | 内层数据 (可变)   | FCS (4B)         |
+------------------+------------------+------------------+------------------+
                    |--- VNI (24bit) ---| 保留 (8bit) ---|

VXLAN 相比 VLAN 的核心优势：

1.5 多租户网络隔离技术对比图

下图展示了 VLAN 与 VXLAN 在典型多租户数据中心中的隔离实现方式对比：

1.6 VXLAN 控制平面：从 Flood-and-Learn 到 EVPN

VXLAN 早期依赖数据平面的“Flood-and-Learn”方式学习远端 MAC 地址，这种方式在大型网络中会产生大量泛洪流量。现代数据中心普遍采用 EVPN（Ethernet VPN）作为 VXLAN 的控制平面，通过 MP-BGP 通告 MAC/VNI 路由。

下图展示了 EVPN+VXLAN 的控制平面工作流程：

1.7 多租户网络选型建议

在实际项目中，选择 VLAN 还是 VXLAN 需要根据租户规模和网络需求决定：

• 租户数 < 200，且无重叠 IP 需求：优先使用 VLAN + 传统三层架构，运维简单，延迟最低。
• 租户数 200–2000，需要大二层迁移：采用 VXLAN + 集中式控制平面（如 OpenStack Neutron OVS），配合 DHCP 代理和 ARP 抑制。
• 租户数 > 2000，或需要跨数据中心互联：必须使用 EVPN+VXLAN 方案，通过 BGP 实现控制平面统一，支持多活数据中心和自动故障切换。