Overlay 网络与 VXLAN/Geneve 隧道：封装、VTEP 与控制面

VLAN（802.1Q）：
  802.1Q Tag：12 位 VID → 4094 个广播域
  作用域：受 STP 约束，跨机房需大二层延伸

VXLAN（RFC 7348）：
  外层 UDP + 24 位 VNI → 约 1600 万个虚拟网络
  作用域：Overlay 逻辑网络，与物理拓扑解耦
  承载：任意 IP 可达的 Underlay（ECMP、Spine-Leaf）

Overlay 的三类代价：
  1. 头部开销：每包多 50~60 字节，等效带宽下降约 3%~4%
  2. 排错复杂度：内层问题被外层封装遮蔽，需两层同时看
  3. 卸载依赖：无硬件卸载时，封装/解封装消耗大量 CPU

VXLAN 封装（外层到内层）：
+-------------------------------+
| Outer Ethernet (Underlay)     |
+-------------------------------+
| Outer IP   (src/dst VTEP IP)  |
+-------------------------------+
| Outer UDP  (src 随机, dst 4789)|
+-------------------------------+
| VXLAN Header (8 字节)         |
|   Flags(8) | Reserved(24)     |
|   VNI (24) | Reserved(8)      |
+-------------------------------+
| Inner Ethernet (原帧)         |
|   Dst MAC | Src MAC | ...     |
+-------------------------------+
| Inner IP / Payload            |
+-------------------------------+

VTEP 类型：
  软件 VTEP：Linux vxlan 网卡 / OVS / 容器 CNI
    - 灵活、可编程，性能依赖 CPU 与卸载
  硬件 VTEP：支持 VXLAN 的物理交换机
    - 线速、低时延，配置与自动化强绑定
  混合：主机软件 VTEP + 网关硬件 VTEP

同子网（VM-A → VM-B，同一 VNI）：
  VM-A → VTEP-A 查 FDB（dst MAC → VTEP-B IP）
       → 封装 UDP/IP → Underlay 送达 VTEP-B
       → 解封装 → VM-B

跨子网（VM-A 在 VNI 100 → VM-C 在 VNI 200）：
  VM-A → VTEP-A → 网关（IRB/SVI）三层转发
       → 改查 VNI 200 的 FDB → 封装 → VTEP-C → VM-C

多归属（All-Active）关键点：
  - 两台 ToR 用同一 ESI 标识同一台服务器的接入段
  - 服务器发出的帧，两台 ToR 都可能收到 → 需要 DF 选举
  - DF（指定转发者）负责向 Overlay 转发 BUM 流量，避免重复
  - 链路故障时，本地表项快速切换，无需等待路由收敛

泛洪学习的工作方式：
  1. VM-A 首次访问 VM-B（未知单播）
  2. VTEP-A 在 VNI 内泛洪（组播组或 ingress-replication 列表）
  3. 只有 VM-B 应答，VTEP-A 学习：MAC-B → VTEP-B
  4. 后续流量单播直达

代价：
  - 泛洪放大：租户越多，广播风暴风险越高
  - 学习依赖流量：静默主机无表项，首包必泛洪
  - 组播依赖：Underlay 需支持 PIM 或退化为单播复制

EVPN 收敛后的转发：
  VTEP-A 本地有 MAC-B → VTEP-B 的 EVPN 表项
  首包即单播，无泛洪
  ARP 请求由本地 EVPN 缓存直接应答（ARP 抑制）

Geneve 头部：
+-----------------------------------+
| Ver(2) | Opt Len(6) | OAM | Rsvd  |
| Protocol Type (16, 通常 0x6558)   |
| VNI (24)          | Reserved (8)  |
+-----------------------------------+
| Options (可变长 TLV)              |
|   Class(16) | Type(8) | Rsvd(3)+Len(5)
|   Value ...                       |
+-----------------------------------+
| Inner Frame                       |
+-----------------------------------+

# 建立 VXLAN 设备，VNI=100，本地 VTEP 为 10.0.0.1
ip link add vxlan100 type vxlan \
  id 100 \
  local 10.0.0.1 \
  dstport 4789 \
  nolearning

# 挂到网桥，供容器/虚拟机接入
ip link set vxlan100 master br-overlay
ip link set vxlan100 up
ip link set br-overlay up

# 手工添加 FDB 表项（nolearning 模式下必需）
bridge fdb append 00:00:00:00:00:00 \
  dev vxlan100 dst 10.0.0.2

# 查看 FDB 表项
bridge fdb show dev vxlan100

# 抓取 Underlay 上的 VXLAN 封装流量
tcpdump -i eth0 -n udp port 4789 -c 5

# 典型抓包输出
# 10.0.0.1.52000 > 10.0.0.2.4789: VXLAN, flags [I] (0x08),
#   vni 100, ethertype IPv4

MTU 计算：
  外层以太 14 + 外层 IP 20 + UDP 8 + VXLAN 8 = 50 字节
  内层可用 MTU = Underlay MTU - 50
  1500 - 50 = 1450（VM/容器的 MTU 应设为 1450）

症状：小包正常、大包丢失、SSH 卡在认证后
诊断：ping -M do -s 1472 <peer>   # 1472+28=1500

排错路径复盘：
  1. ping 对端 VTEP IP        → 通，排除 Underlay
  2. bridge fdb show          → 表项齐全，排除控制面
  3. curl 小文件              → 正常
  4. curl 大文件              → 卡住，怀疑 MTU
  5. ping -M do -s 1472 peer  → 失败，确认 MTU 问题
  6. 调整容器 MTU 至 1450     → 恢复