1. 多租户网络与虚拟化工程导入

在数据中心、园区网和运营商边缘场景中，同一套物理网络往往需要同时承载多个客户、多个部门或多个业务系统。如果每个租户都独占一套交换机、路由器和链路，成本高、扩展慢、运维复杂。多租户网络与虚拟化工程要解决的核心问题就是：如何在一张物理网络上，为多个相互隔离的租户提供彼此独立、可管理、可扩展的虚拟网络。H3C Comware 平台通过 VPN 实例、VXLAN、EVPN、M-LAG、IRF 等技术组合，把这一目标落到可配置、可验证的工程实现上。

一、核心概念：租户、隔离与虚拟化

“租户”是逻辑上的网络使用主体，可以是一个企业客户、一个业务部门，也可以是一类业务流量。多租户网络的第一要求是隔离：不同租户的地址空间可以重叠，例如租户 A 和租户 B 都使用 10.0.0.0/24，但彼此不能互相访问。第二要求是可区分：转发设备必须知道某个报文属于哪个租户，才能查对应的表项。第三要求是可扩展：新增租户不应引起全网大改。

Comware 中实现隔离的基本单位是 VPN 实例（VPN Instance），也称 VRF。每个 VPN 实例拥有独立的路由表、转发表和接口绑定关系。接口加入某个 VPN 实例后，该接口收到的报文只在该实例内查表转发。这样，同一台物理设备上可以存在多张互不干扰的逻辑路由表。例如：

ip vpn-instance Tenant_A
 route-distinguisher 100:1
 vpn-target 100:1 export-extcommunity
 vpn-target 100:1 import-extcommunity
#
interface GigabitEthernet1/0/1
 ip binding vpn-instance Tenant_A
 ip address 10.0.0.1 24

上述配置的含义是：创建租户 A 的 VPN 实例，设置路由区分符和 VPN 目标，并把接口绑定到该实例。此后该接口的 10.0.0.0/24 只属于租户 A，不会与租户 B 的同网段冲突。

二、技术栈：从二层到三层的虚拟化组合

仅有 VPN 实例还不够。当租户需要跨越多台物理设备、甚至跨数据中心时，就需要虚拟化隧道技术。Comware 多租户工程的技术栈可以按“承载—隔离—控制—可靠性”四个层面理解：

• 承载层：VXLAN 把二层报文封装在 UDP 中，通过 VXLAN Tunnel End Point（VTEP）在 IP 网络上建立大二层通道，突破传统 VLAN 4094 的数量限制。
• 隔离层：VLAN 与 VXLAN VNI 映射，不同租户使用不同 VNI；三层则用 VPN 实例隔离路由表。
• 控制层：EVPN 作为 VXLAN 的控制平面，通过 BGP 传递 MAC/IP 可达性信息，替代泛洪学习，提升收敛速度和可扩展性。
• 可靠性层：IRF 把多台设备虚拟成一台，M-LAG 实现跨设备链路聚合，保证租户接入不中断。

这些技术不是孤立使用的。典型组合是：接入层用 VLAN 区分租户，汇聚层用 VXLAN 封装，核心层用 EVPN 建立控制平面，边界用 VPN 实例实现三层互通或隔离。

三、典型应用场景

多租户虚拟化工程在 H3C 项目中有几类高频场景。第一类是数据中心多租户云平台：物理服务器上运行多个虚拟机，分属不同客户，要求二层隔离和三层按需互通。第二类是园区网多业务隔离：办公、监控、访客、生产各用独立 VPN 实例，共享核心交换机和出口链路。第三类是运营商边缘多租户承载：通过 EVPN 和 VXLAN 为不同企业客户提供虚拟专网。第四类是灾备与双活：利用 IRF 和 M-LAG 让租户网络跨设备、跨机房保持高可用。

这些场景的共同点是：物理资源复用、逻辑资源隔离、控制面统一、数据面按租户分流。工程实施时，通常先规划租户编号、VLAN、VNI、VPN 实例和 RD/RT，再配置接入、汇聚、核心和出口，最后验证隔离性和连通性。

四、整体学习路径

本课程后续章节将按“概念—配置—验证—排障”的节奏展开。建议的学习路径是：先理解 VPN 实例和 VXLAN 的基本转发模型，再掌握 EVPN 控制面配置，然后学习 IRF、M-LAG 等可靠性技术，最后通过综合实验完成多租户网络的端到端搭建与故障排查。

下面给出一份可直接参考的租户参数规划示例，用于后续配置和验证时对照：