2. 网络虚拟化基础：VLAN原理、VXLAN原理、Overlay网络与Underlay网络的区别

网络虚拟化是构建多租户网络拓扑的基石。传统物理网络通过VLAN（虚拟局域网）实现二层隔离，但在大规模云计算与容器化场景下，VLAN在扩展性与租户数量上存在瓶颈。VXLAN（虚拟可扩展局域网）应运而生，通过Overlay技术将二层网络承载在三层Underlay之上，彻底打破传统网络边界。

2.1 VLAN原理与局限性

VLAN（IEEE 802.1Q）通过在标准以太网帧中插入4字节的VLAN Tag（其中12位用于VLAN ID），将物理局域网逻辑划分为多个相互隔离的广播域。同一VLAN内的设备可以二层互通，不同VLAN间的通信必须经过三层路由。

| 目的MAC(6B) | 源MAC(6B) | 802.1Q Tag(4B) | 长度/类型(2B) | 数据(42-1500B) | FCS(4B) |
                └─ TPID(2B:0x8100) | PRI(3bit) | CFI(1bit) | VLAN ID(12bit) ─┘

VLAN的核心局限：

• VLAN ID数量限制：12位VLAN ID仅支持4094个可用VLAN（0和4095保留），在多租户公有云或大型数据中心中严重不足。
• 二层网络范围受限：VLAN依赖生成树协议（STP）防止环路，导致链路利用率低，且二层网络无法跨越三层路由域。
• 网络配置耦合：租户迁移或变更需要同步调整物理交换机端口配置，运维复杂度高。

2.2 VXLAN原理与优势

VXLAN（虚拟可扩展局域网，RFC 7348）是一种MAC-in-UDP的网络虚拟化技术。它将原始二层以太网帧封装在UDP数据包中，通过三层IP网络传输，从而构建一个逻辑上的二层Overlay网络。

VXLAN封装格式：

| 外层MAC头 | 外层IP头 | 外层UDP头(VXLAN端口:4789) | VXLAN头(8B) | 原始二层帧 | FCS |
                                                      └─ VNI(24bit) ─┘

VXLAN关键组件：

• VTEP（VXLAN Tunnel Endpoint）：VXLAN隧道的端点，负责封装和解封装。可以是物理交换机、虚拟交换机（如Open vSwitch）或软件路由器。
• VNI（VXLAN Network Identifier）：24位标识符，用于区分不同的租户或网络段，相当于VLAN ID的扩展。
• Underlay网络：承载VXLAN封装的物理IP网络，通常使用ECMP（等价多路径）提高带宽利用率。

2.3 Overlay网络与Underlay网络的区别

在VXLAN架构中，网络被清晰地划分为两个平面：Underlay网络和Overlay网络。理解两者的区别是进行多租户网络性能分析的前提。

2.4 多租户场景下的关键考量

在构建多租户网络拓扑时，VXLAN Overlay架构相比传统VLAN具有显著优势，但也引入了新的性能瓶颈点：

1. VTEP性能瓶颈：VTEP负责所有租户流量的封装与解封装，CPU或硬件卸载能力不足时，会成为吞吐量瓶颈。建议使用支持VXLAN硬件卸载的智能网卡或交换机。
2. Underlay网络带宽与ECMP：VXLAN流量在Underlay中表现为UDP流，需要Underlay网络具备良好的ECMP哈希算法，避免流量极化导致链路拥塞。
3. 控制平面收敛：大规模多租户场景下，VTEP之间的MAC地址学习（BGP EVPN）或组播泛滥会消耗控制平面资源。推荐使用BGP EVPN作为VXLAN控制平面。
4. 安全隔离：虽然VNI提供了二层隔离，但不同租户的VTEP共享同一Underlay网络。需通过ACL、微分段或加密隧道（如IPsec over VXLAN）增强租户间安全。