基于VXLAN 的校园网络优化设计研究

孟祥成

（三江学院 计算机科学与工程学院，江苏 南京）

引言

某高校网络架构建设初期采用传统的三层架构，随着某高校规模的不断扩大、业务的不断更新，由于历史原因，学校没有统一的数据中心，所有服务器资源分布在各个院系，不具备集中放置的条件[1]。各个院系服务器资源利用率不均匀，有的服务器上部署了大量的虚拟机超负荷运行，有的服务器却使用相对较少。为了整合学校资源，把服务器资源充分利用起来，学校采用虚拟化技术割接部分网络设备优化网络架构[2]。本文通过模拟升级后的网络系统[3]，采用VRRP虚拟冗余机制和虚拟可扩展局域网（VXLAN）技术，将二层报文用三层协议进行封装，实现二层网络在三层范围内进行扩展，满足学校服务器资源可靠稳定的大二层虚拟迁移。

1 原网络系统分析

在现有网络结构中，顶层为校园网络边界路由层。核心层负责整个校园网络的高速互联，但缺少冗余备份设备。汇聚层用于转发用户间的“横向”流量，同时转发到核心层的“纵向”流量。多台接入层设备与多个部门专用服务器相连并且接入层存在不同厂商设备。

现有网络环境存在问题：（1）服务器资源分散，不利于统一管理；（2）部分院系的服务器资源缺乏，整体服务器资源利用率低；（3）校园网采用多厂商设备组网，网络改造困难；（4）部门院系迁移，服务器IP 地址、MAC 地址等参数不能保持不变，难以保证部门迁移过程中业务不中断。如果使用现有网络架构，购买新的物理设备分离流量，可能导致VLAN 散乱、网络成环以及系统和管理等一系列问题。

2 系统优化方案

2.1 方案设计

使用5 台CE12800 作为新的核心设备，替换原有的核心层和汇聚层设备，在已有的VRRP 和MSTP 模式的基础上进行优化，增加VXLAN（虚拟可扩展虚拟局域网）技术，通过SDN 控制器部署基于VXLAN 的大二层服务器网络，使虚拟机可以在大二层网络中进行无障碍的动态迁移，从而将分散的在各个院系的服务器资源集中管理，并进行利用。原接入层和边界安全设备配置保持不变，只需要把原有核心层和汇聚层设备割接为CE12800 设备。具体规划如表1 所示，优化后的网络拓扑如图1 所示。

表1 数据规划

通过构建基于VXLAN 的虚拟网络，实现业务网络与物理网络解耦。校园虚拟网络架构分为物理网络（Underlay 网络）和虚拟网络（Overlay 网络）二层架构，这样组网可以实现服务器资源的整合，同时提高资源利用率。VXLAN 技术采用MAC in UDP 的报文封装方式，把二层数据帧报文用三层UDP 协议进行封装，可在三层范围内扩展二层网络[4-5]。

2.2 实验局配置

采用华为eNSP 仿真软件[6]优化后的网络系统结构搭建实验局，在核心层和汇聚层设备配置OSPF 路由协议，保证网络三层互通，在coreCE1 和coreCE2 上配置虚拟路由协议VRRP、VXLAN 三层网关冗余备份，关键知识点配置如下。

（1）配置业务接入点

当业务接入点为二层子接口时，通过在二层子接口上配置dot1q 流封装实现接口接入数据报文，将二层子接口关联广播域BD（Bridge-Domain）后，可实现数据报文通过BD 转发。

[*conCE3]bridge-domain 2 //创建大二层广播域BD，编号为2

[*conCE3]interface g1/0/1.2002 mode l2 //创建二层子接口g1/0/1.2002，并进入子接口视图

[*conCE3 -GE1/0/1.2002]encapsulation dot1q vid 300 //配置流封装类型为dot1q 时

[*conCE3-GE1/0/1.2002]bridge-domain 2 //将二层子接口加入BD

（2）配置BGP EVPN 对等体关系

通过在VXLAN 网关之间配置BGP EVPN 对等体关系可以使不同网关相互发送EVPN 路由。

[*conCE3]vpn-overlay enable //使能EVPN 作VXLAN 控制平面功能

[～conCE3]bgp 1000 //使 能BGP协议并进入BGP 视图

[*conCE3 -bgp]peer 10.0.11.1 as -number 1000 //将对端coreCE1 配置为对等体

[*conCE3 -bgp]peer 10.0.11.1 connect-interface LoopBack 0

[*conCE3 -bgp]l2vpn -family evpn//进入BGP-EVPN 地址族视图

[*conCE3 -bgp -af -evpn]peer 10.0.11.1 enable //使能对等体交换EVPN 路由信息的能力

（3）配置EVPN 实例

EVPN 实例可以用来管理从BGP EVPN 对等体接收来的路由和向BGP EVPN 对等体发布的EVPN路由。

[*conCE3]bridge-domain 2 //进入大二层广播域BD

[*conCE3-bd2]vxlan vni 52 //创建VXLAN 网络标识52 并关联广播域BD

[*conCE3-bd2]evpn

[*conCE3-bd2-evpn]route-distinguisher 12:1 //配置EVPN 实例的RD

[*conCE3-bd2-evpn]vpn-target 2:2 //为EVPN 实例配置VPN-target 扩展团体属性

（4）配置头端复制功能

配置头端复制功能后，系统会通过BGP EVPN 协议构建出其他远端VTEP 列表，当VXLAN 网关需要转发报文时，可以根据此列表将收到的BUM 报文进行复制并发送给属于同一个VNI 的所有VXLAN 网关。

[～conCE3]interface Nve 1 //创建NVE 接口

[～conCE3-Nve1]source 10.0.33.3 //配 置 源 端VTEP 的IP 地址

[～conCE3-Nve1]vni 51 head-end peer-list protocol bgp //使能头端复制功能

[*conCE3-Nve1]vni 52 head-end peer-list protocol bgp //使能头端复制功能

（5）配置VXLAN 三层网关

BD 是VXLAN 网络的实体，通过将VNI（每一个VNI 表示一个租户）以1:1 方式映射到广播域BD，可以通过BD 转发数据报文。基于BD 可创建三层逻辑接口VBDIF 接口，可以实现不同网段的VXLAN 间，及VXLAN 和非VXLAN 之间的三层互通，也可实现二层网络接入三层网络。每个BD 对应一个VBDIF 接口，使用虚拟冗余路由协议VRRP 配置虚拟IP 作为本BD 内租户的网关，对需要进行通信的报文通过BGP 路由的三层转发。在coreCE1 上创建VBDIF 接口，并配置VRRP，用以协商主备网关。

[*coreCE1]interface Vbdif 1 //创建VBDIF 接口，并进入VBDIF 接口视图

[*coreCE1-Vbdif1]ip add 10.0.100.253 24 //配置VBDIF1 接口的IP 地址

[*coreCE1 -Vbdif1]vrrp vrid 1 virtual -ip 10.0.100.254 //创建VRRP 备份组1 并给备份组配置虚拟IP 地址

[*coreCE1 -Vbdif1]vrrp vrid 1 track ip route 10.0.100.254 255.255.255.255 increase 100

3 系统测试

3.1 基本功能测试

在搭建好VXLAN 校园网络架构中，通过配置验证各种信息确认。

（1）通过display vxlan tunnel 命令，查看Tunnel 的配置信息，包括源地址、目的地址和隧道等信息，如图2 所示。

图2 隧道信息配置验证

（2）通过display vxlan tunnel 命令，查看VXLAN 的配置参数以及VNI 状态，如图3 所示。

图3 VNI 信息验证

3.2 性能测试

测试网络丢包率、抖动、延时，以Server2 所在网段到边界网关收到的流量测试为例，使用ping 测试构建虚拟流量，分别以报文长度为64、128、256、512、1 024 字节，每个长度测试10 次，取平均值的方式，测试结果如表2 所示。

表2 丢包率测试结果

3.3 互通性测试

测试Server2 与Server4 之间的连通性，二层报文通过封装为UDP 协议，实现二层报文通过三层路由实现互通，测试结果如图4 所示。

图4 二层报文跨越三层路由连通性测试

3.4 测试结果

本文节选基本配置功能、丢包率、互通性等一部分测试用例进行测试。通过VXLAN 技术配置测试的显示结果，在CE12800 设备上VXLAN 协议的基本配置信息正确，符合预期的测试要求，可以为进一步组网测试做铺垫。丢包率测试得到的是随机性结果，需要进行多次测试计算出平均值，本次实验中测试次数为10 次，测试结果显示得到网络抖动和丢包率结果一致，网络模型比较稳定。通过VXLAN 隧道，Server2 所在院系迁移过程中可保证网络无感知。该院系从Server2 迁移到Server4后，终端租户会发送免费的ARP 报文，所有网关设备上保存的原虚拟机对应的MAC 表和ARP 表都将会被删除，更新为迁移后的虚拟机对应的MAC 地址表和ARP表，延伸并实现了二层网络内部主机间的通信。

4 结论

针对现有的校园网络存在的问题，设计了新的网络架构模型，通过仿真软件模拟测试得出优化后的网络具有以下优势：（1）虚拟机无障碍动态迁移。分散在各个院系的服务器资源集中管理，并充分利用。（2）有效降低成本。网络改造只替换核心层和汇聚层设备为支持VXLAN 功能的设备，其它设备可以再利用，有效降低学校投入成本。（3）方便管理。通过采用MAC in UDP 封装来延伸二层网络，实现了Underlay 网络和Overlay 网络的解耦，无需考虑物理网络IP 地址，大大降低了网络管理难度。（4）提高了网络吞吐量。VXLAN 封装的UDP 源端口信息由内层的信息经过哈希运算得到，物理网络不需要解析内层报文就可进行负载分担，从而提高了网络吞吐量。该方案已在部分高校实施应用，下一步将结合VXLAN 技术特点进一步开展虚拟网络新技术研究。