📚 课程目录第2章 Nexus高可用架构解析

2. Nexus高可用架构解析

在灾备与可靠性验证的语境下，Nexus的高可用机制并不是一组可以随意叠加的功能，而是分别工作在二层、三层和Overlay三个不同层面上的“冗余工具”。理解它们各自解决什么问题、在故障时如何收敛，是后续设计验证用例和判断收敛结果的前提。本节按“二层多路径—三层网关冗余—Overlay多活”的顺序梳理，并给出选型判断依据。

一、vPC：把两台Nexus变成一台逻辑交换机

vPC（virtual Port Channel）的核心价值在于：让下游设备（服务器、交换机）用一条跨设备的Port-Channel同时上联两台Nexus，从而在消除二层环路的同时获得链路级和设备级冗余。它由三部分构成：两台Nexus之间的Peer-Link（承载同步与部分数据流量）、Peer-Keepalive（独立三层链路，用于判断对端是否存活）、以及面向下游的vPC成员端口。

vPC正常工作时，只有主设备（Primary）转发广播与未知单播，备设备（Secondary）在收到Peer-Link同步信息后按需转发，避免重复。当Peer-Link故障但Keepalive仍通时，备设备会挂起其vPC成员端口（进入“Primary Detection”后的不一致状态），防止两端同时转发造成MAC漂移；当设备整体故障时，存活设备接管全部流量。这正是灾备验证中必须覆盖的两类场景：Peer-Link单点故障与整机故障，二者的收敛行为和业务影响完全不同。

典型配置骨架如下，注意domain、peer-link与peer-keepalive的对应关系：

feature vpc
vpc domain 10
  peer-keepalive destination 10.0.0.2 source 10.0.0.1 vrf management
  peer-gateway
  ip arp synchronize

interface port-channel10
  switchport mode trunk
  vpc peer-link

interface Ethernet1/1
  channel-group 20 mode active
interface port-channel20
  vpc 20

验证时重点观察：show vpc中Peer-Link状态、vPC角色与一致性参数；show vpc consistency-parameters是否出现Type-1（必须一致，否则vPC无法up）与Type-2（建议一致）差异。Type-1不一致是vPC起不来的最常见原因，例如MTU、STP模式、VLAN允许列表不同。

二、HSRP / VRRP / GLBP：三层网关冗余的三种取舍

当两台Nexus同时作为某个VLAN的网关时，需要第一跳冗余协议让主机始终有一个可用的虚拟网关IP。三者定位不同：

HSRP（Cisco私有）：Active/Standby模型，同一时刻只有一台转发，切换依赖Hello与Hold计时器，默认Hello 3s、Hold 10s，收敛通常在秒级。
VRRP（标准协议）：Master/Backup模型，支持将虚拟IP设为接口真实IP（拥有者优先），跨厂商互通性好，适合多厂商混合组网。
GLBP（Cisco私有）：Active Virtual Gateway + 多个Active Virtual Forwarder，可在多台设备间同时负载分担并互为备份，兼顾冗余与带宽利用。

在vPC环境下，HSRP/VRRP需要与vPC协同：通常让vPC Primary设备成为HSRP Active，并启用peer-gateway与ip arp synchronize，使备设备也能转发目的MAC为对端网关的流量，避免流量绕行Peer-Link。若忽略这一点，故障切换时会出现短暂的ARP学习延迟与次优路径。

三、VXLAN EVPN多活：跨站点的二层延伸与任播网关

VXLAN EVPN把二层广播域封装进UDP隧道，用BGP EVPN作为控制平面分发MAC/IP可达性，从而摆脱传统VLAN与STP的规模限制。在灾备场景中，它带来两个关键能力：跨站点二层延伸（虚拟机在双活数据中心之间保持同一子网）与分布式任播网关（每台Leaf都用相同的网关IP/MAC，主机就近接入，无需绕行）。

多活设计要点包括：站点内使用同一任播网关MAC、通过EVPN Type-2路由同步主机MAC/IP、Type-3路由建立BUM流量隧道、Type-5路由承载外部前缀。跨站点时需控制BUM流量泛洪范围，避免双活站点间形成广播风暴。验证时应关注show nve peers、show bgp l2vpn evpn中Type-2/Type-3条目是否完整，以及故障后MAC/IP路由是否快速撤销与重学。

四、FabricPath：面向大型二层的替代路径

FabricPath是Cisco在Nexus上提供的基于IS-IS的多路径二层技术，用“交换机ID+端口”取代STP的阻塞逻辑，实现所有链路同时转发、无环路、快速收敛。它适合对二层规模与收敛时间要求高、且设备型号统一的场景。但在以VXLAN EVPN为主流的多活架构中，FabricPath更多作为传统数据中心核心的过渡方案，选型时需权衡其厂商绑定与运维复杂度。

五、选型判断：按故障域与业务需求匹配机制

四类机制并非互斥，而是分层配合。判断逻辑可以归纳为：

接入层链路/设备冗余 → vPC；
主机默认网关冗余 → HSRP/VRRP/GLBP（多厂商选VRRP，需负载分担选GLBP）；
跨站点二层延伸与大规模多租户 → VXLAN EVPN多活；
大型纯二层核心、统一Cisco环境 → FabricPath。

下图给出这四类机制在数据中心分层中的位置与协同关系，可作为选型与验证范围划分的参考。

需要强调的是，上述机制在灾备验证中必须组合成完整的故障场景，而不是单独测试。例如：验证vPC Peer-Link断开时，应同时观察HSRP是否发生切换、VXLAN EVPN的Type-2路由是否撤销、以及主机ARP表是否在预期时间内恢复。只有把二层冗余、三层网关与Overlay控制平面放在同一个故障注入中观察，才能判断整个高可用架构是否真正满足业务连续性目标。