1. 课程导入与数据中心网络演进
在传统数据中心里，网络设计长期遵循“核心—汇聚—接入”三层架构。它的逻辑非常清晰：接入层负责把服务器接入网络，汇聚层负责策略与网关，核心层负责高速转发。但随着虚拟化、容器化和分布式存储的普及，这套架构开始暴露出结构性的瓶颈。理解这些瓶颈，是理解 VXLAN EVPN 为什么出现的起点。
传统三层架构的四个硬伤
第一是二层域过大。在三层架构中，VLAN 通常要跨接入和汇聚延伸，形成一个大二层域。二层域越大，广播、未知单播和组播（BUM 流量）的泛洪范围就越大，生成树协议（STP）需要阻塞冗余链路，导致一半带宽闲置。第二是网关位置固定。网关一般部署在汇聚层，同一 VLAN 的流量必须回到汇聚层才能转发，形成“绕行”路径，东西向流量效率低。第三是扩展性受限。VLAN 只有 4094 个，租户或业务段一多就不够用；MAC 地址表规模也受硬件限制。第四是多租户隔离困难。不同租户共用同一套物理网络，地址空间和策略容易冲突，隔离依赖 VLAN 和 ACL，运维复杂。
这些问题的本质是：传统架构把“网络位置”和“业务身份”绑死了。服务器在哪个机架、接在哪个交换机，决定了它的 VLAN、网关和策略。一旦虚拟机迁移，网络配置就得跟着改。
VXLAN EVPN 的驱动力
VXLAN（Virtual Extensible LAN）用 MAC-in-UDP 封装，把二层帧装进 IP 包，在 IP 网络上传输。它用 24 位 VNI 替代 12 位 VLAN ID，理论上支持约 1600 万个网段，彻底解决了 VLAN 数量瓶颈。同时，VXLAN 把二层域从“物理位置”中解耦出来：只要 IP 可达，虚拟机就能在同一逻辑二层网络里通信，不再受机架和交换机限制。
但 VXLAN 只解决了“怎么封装”，没解决“怎么知道对端在哪里”。早期 VXLAN 依赖泛洪和学习来发现远端 MAC，控制面效率低。EVPN（Ethernet VPN）作为 BGP 的地址族扩展，提供了统一控制面：通过 MP-BGP 传递 MAC/IP 可达性信息，VTEP 之间不再泛洪，而是像路由协议一样交换“谁在哪里”的信息。控制面与数据面分离，带来了快速收敛、多路径负载和更清晰的故障定位。
所以，VXLAN 负责数据面封装，EVPN 负责控制面通告，两者结合形成 VXLAN EVPN。它让数据中心网络从“位置驱动”转向“身份驱动”，这是本课程要建立的核心认知。
Nexus 产品线定位
Cisco Nexus 系列是数据中心网络的主力平台。理解产品线定位，有助于在实验和工程中选择正确的设备角色。Nexus 9000 系列是当前主流，其中 9300 系列为固定式交换机，常用于 Leaf 角色；9500 系列为模块化机箱，常用于 Spine 或大型 Leaf。Nexus 3000 系列偏向低延迟、高密度接入。Nexus 7000 系列属于较早期的模块化平台，部分型号仍支持 VXLAN EVPN，但新部署通常优先选择 9000 系列。
在软件层面，NX-OS 是统一操作系统。VXLAN EVPN 功能依赖 NX-OS 的 BGP EVPN 地址族、VXLAN 隧道接口（nve）和分布式网关（anycast gateway）等特性。实验环境中，我们通常用 Nexus 9000v 虚拟交换机模拟 Leaf 和 Spine，配合 Linux 主机或容器模拟服务器。这样可以在单台物理服务器上构建完整的 VXLAN EVPN 拓扑，降低学习门槛。
整体课程地图与实验环境
本课程共 30 章，按“认知—原理—配置—验证—排障”的路径推进。前几章建立架构认知和术语体系，中间章节深入 VXLAN 封装、EVPN 路由类型、分布式网关和外部互联，后续章节覆盖多租户、自动化、故障排查和性能优化。每章都会围绕一个可验证的目标展开，避免只讲概念不落地。
实验环境建议采用如下最小拓扑：两台 Spine（Nexus 9000v）、两台 Leaf（Nexus 9000v）、两台 Linux 主机。Spine 之间不直接互联，Leaf 分别上联两台 Spine，形成 CLOS 结构。Leaf 上配置 NVE 接口和 BGP EVPN，Spine 作为 BGP 路由反射器。主机侧用 Linux bridge 或 veth 模拟 VLAN 接入。示例参数如下：
Spine-1: 10.0.0.1/32, AS 65000
Spine-2: 10.0.0.2/32, AS 65000
Leaf-1: 10.0.0.11/32, AS 65001, VTEP 10.0.0.11
Leaf-2: 10.0.0.12/32, AS 65002, VTEP 10.0.0.12
VNI 10010 对应 VLAN 10，子网 192.168.10.0/24
分布式网关 192.168.10.1（Leaf-1 和 Leaf-2 共用）验证时，先在 Leaf 上执行 show nve peers 确认 VTEP 邻居建立，再用 show bgp l2vpn evpn 查看 EVPN 路由是否学到远端 MAC/IP。最后从主机 A ping 主机 B，观察是否走 Leaf-1 到 Leaf-2 的 VXLAN 隧道，而不是绕行 Spine。如果 ping 通且 show nve peers 显示对端 UP，说明基本转发面已通。