该示例中客户端通过Range首部，告訴服务器我只要资源第4000字节以后的内容这里我们不知道文档总的打下，所以可以通过不指定结尾字节数告知服务器返回从4000到结尾的部汾。如果你知道具体需要的范围也可以指定具体的区间。

服务器上的文档并不是一层不变的如果我们服务器上的文档发生了变化。客戶端缓存了变化之前的文档内容这个时候客户端发起请求的时候。如果把整个文档全部返回给客户端那是很浪费资源的，特别是有时候改动很小的时候这个时候如果我们可以只返回有改动（差异）的部分，客户端拿到这部分内容之后将本地缓存更新后展示给用户即鈳。这样既节约资源也能提高传输的速度。这种情况就可以利用差异编码实现差异编码的过程如下图所示：

上面的每个操作类型具体介绍，这裏就不详述了有兴趣的朋友可以自己搜索下相关的资料。

VXLAN可以为分散的物理站点提供二层互联如果要为VXLAN站点内的虚拟机提供三层业务，则需要在网络中部署VXLAN IP网关以便站点内的虚拟机通过VXLAN IP网关与外界网络或其他VXLAN网络内的虚拟機进行三层通信。VXLAN IP网关既可以部署在独立的物理设备上也可以部署在VTEP设备上。VXLAN IP网关部署在VTEP设备上时又分为集中式VXLAN IP网关和分布式VXLAN IP网关两種方式。

如所示VXLAN IP网关部署在独立的物理设备上时，VXLAN IP网关作为物理站点接入VTEPVXLAN业务对于网关设备透明。虚拟机通过VXLAN IP网关与三层网络中的节點通信时虚拟机将三层报文传输封装成二层数据帧发送给VXLAN IP网关。VTEP对该数据帧进行VXLAN封装并在IP核心网络上将其转发给远端VTEP（连接VXLAN IP网关的VTEP）。远端VTEP对VXLAN报文传输进行解封装并将原始的二层数据帧转发给VXLAN IP网关。VXLAN IP网关去掉链路层封装后对报文传输进行三层转发。

如所示集中式VXLAN IP網关进行二层VXLAN业务终结的同时，还对内层封装的IP报文传输进行三层转发处理与独立的VXLAN IP网关相比，该方式除了能够节省设备资源外VXLAN IP网关功能由VXLAN对应的三层虚接口（VSI虚接口）承担，三层业务的部署和控制也更加灵活和方便

如所示，以地址为10.1.1.11的虚拟机为例虚拟机与外界网絡进行三层通信的过程为：

(7)     目的节点回复的报文传输到达网关后，网关根据已经学习到的ARP表项为报文传输封装链路层头，并通过VXLAN网络将其发送给虚拟机

属于不同VXLAN网络的虚拟机之间的通信过程与上述过程类似，不同之处在于一个VXLAN网络的集中式网关需要将报文传输转发给另┅个VXLAN网络的集中式网关再由该集中式网关将报文传输转发给本VXLAN内对应的虚拟机。

由单台设备承担站点内大量虚拟机的集中式VXLAN IP网关功能對设备的处理资源占用较高，并且对于网关的单点故障没有保护措施通过集中式VXLAN IP网关保护组，可以实现多台设备同时承担网关功能在提供单点故障保护机制的同时，还可以实现上下行流量的负载分担

如所示，两台集中式VXLAN IP网关形成保护组两台设备上存在相同的VTEP IP，称为保护组的VTEP IP接入层VTEP与保护组的VTEP IP建立VXLAN隧道，将虚拟机发送至其它网络的报文传输转发至保护组保护组中的两台网关设备均可以接收并处理虛拟机发往其它网络的流量。

保护组中的成员VTEP之间、每个成员VTEP与接入层VTEP之间还会采用成员自身的IP地址建立VXLAN隧道以便进行协议通信和表项哃步。

采用集中式VXLAN IP网关方案时不同VXLAN之间的流量以及VXLAN访问外界网络的流量全部由集中式VXLAN IP网关处理，网关压力较大并加剧了网络带宽资源嘚消耗。如所示在分布式VXLAN IP网关方案中，每台VTEP设备都可以作为VXLAN IP网关对本地站点的流量进行三层转发，很好地缓解了网关的压力

如所示，在分布式VXLAN IP网关组网中所有的分布式VXLAN IP网关（GW）上都需要创建VSI虚接口，并在虚接口上配置相同的IP地址作为VXLAN内虚拟机的网关地址。在分布式VXLAN IP网关上还需要使能本地代理ARP功能（IPv4网络）或本地ND代理功能（IPv6网络）边界网关（Border）上也需要创建VSI虚接口，并配置IP地址

采用分布式VXLAN IP网关組网方案时，流量都通过查找ARP表项（IPv4网络）或ND表项（IPv6网络）进行三层转发

2. 相同VXLAN内不同站点的虚拟机通信过程

如所示，以VM 1访问VM 4为例相同VXLAN內不同站点的虚拟机的通信过程为：

3. 不同VXLAN间不同站点的虚拟机通信过程

如所示，以VM 1访问VM 5为例不同VXLAN的虚拟机的通信过程为：

20的本地站点内廣播该ARP请求消息。

4. 虚拟机与外部网络的三层通信过程

虚拟机要想与外部网络进行三层通信需要在接入虚拟机的本地分布式VXLAN IP网关上指定流量的下一跳为Border，可以通过如下方式来实现：

如所示以VM 1访问外部网络内的主机50.1.1.1为例，虚拟机访问外部网络的三层通信过程为：

配置集中式VXLAN IP網关和分布式VXLAN IP网关时需要完成以下配置任务：

group命令将端口加入该业务环回组。设备作为网关时无法对VXLAN解封装后的报文传输进行三层转發，需要将报文传输发送给业务环回组由业务环回组将报文传输回送给转发模块后，再进行三层转发关于业务环回组的创建和配置，請参见“二层技术-以太网交换配置指导”中的“业务环回组”

保护组中所有网关仩的VXLAN配置需要保证完全一致

执行本配置时，需偠完成以下配置任务：

分布式VXLAN IP网关设备上不支持开启ARP泛洪抑制功能。有关ARP泛洪抑制功能的详细介绍请参见“ ”

如果虚拟机要想与外部网络进行三层通信，那么需要在接入虚拟机的本地分布式VXLAN IP网关上配置静态路由或策略路由：

通过本配置可以根据需要调整VSI虚接口的参数及状态。

在完成上述配置后在任意视图下执行display命令可以显示配置后VXLAN IP网关的运行情况，通过查看显礻信息验证配置的效果

在用户视图下，用户可以执行reset命令来清除VSI虚接口的统计信息

Router A、Router C为与服务器连接的VTEP设备，Router B為与广域网连接的集中式VXLAN IP网关设备Router E为广域网内的三层设备。虚拟机VM 1、VM 2同属于VXLAN 10通过VXLAN实现不同站点间的二层互联，并通过VXLAN IP网关与广域网三層互联

# 在VM 1和VM 2上指定网关地址为10.1.1.1，具体配置过程略

# 请按照配置各接口的IP地址和子网掩码，并在IP核心网络内配置OSPF协议具体配置过程略。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 查看Router B上的VSI虚接ロ信息可以看到VSI虚接口处于up状态。

# 查看Router B上VSI的ARP表项信息可以看到已学习到了虚拟机的ARP信息。

# 查看Router B上FIB表项信息可以看到已学习到了虚拟機的转发表项信息。

网关连接IPv4网络配置举例

网关连接IPv4网络配置组网图

# 请按照配置各接口的IP地址和子网掩码并在IP核心网络内配置OSPF协议，具體配置过程略

# 配置接口Loopback0的IP地址，作为隧道的源端地址

# 创建VSI虚接口VSI-interface1，并为其配置IP地址该IP地址作为VXLAN 10内虚拟机的网关地址，指定该VSI虚接口為分布式本地网关接口并使能本地代理ARP功能。

# 创建VSI虚接口VSI-interface2并为其配置IP地址，该IP地址作为VXLAN 20内虚拟机的网关地址指定该VSI虚接口为分布式夲地网关接口，并使能本地代理ARP功能

# 配置策略路由，指定IPv4报文传输如果未找到匹配的路由表项则设置报文传输的下一跳为Router B上接口VSI-interface1的IP地址10.1.1.2。

# 配置策略路由指定IPv4报文传输如果未找到匹配的路由表项，则设置报文传输的下一跳为Router B上接口VSI-interface2的IP地址10.1.2.2

# 配置接口Loopback0的IP地址，作为隧道的源端地址

# 配置接口Loopback0的IP地址，作为隧道的源端地址

# 创建VSI虚接口VSI-interface1，并为其配置IP地址该IP地址作为VXLAN 10内虚拟机的网关地址，指定该VSI虚接口为分咘式本地网关接口并使能本地代理ARP功能。

# 配置策略路由指定IPv4报文传输如果未找到匹配的路由表项，则设置报文传输的下一跳为Router B上接口VSI-interface1嘚IP地址20.1.1.2

# 查看Router A上的VSI虚接口信息，可以看到VSI虚接口处于up状态

# 查看Router A上VSI的ARP表项信息，可以看到已学习到了虚拟机的ARP信息

# 查看Router B上的VSI虚接口信息，可以看到VSI虚接口处于up状态

# 查看Router B上VSI的ARP表项信息，可以看到已学习到了虚拟机的ARP信息

# 查看Router B上FIB表项信息，可以看到已学习到了虚拟机的转發表项信息

网关连接IPv6网络配置举例

Router A、Router C为分布式VXLAN IP网关设备，Router B为与广域网连接的边界网关设备Router E为广域网内的三层设备。虚拟机VM 1属于VXLAN 10VM 2属于VXLAN 20。通过分布式VXLAN IP网关实现不同VXLAN网络的三层互联并通过边界网关实现与广域网的三层互联。

网关连接IPv6网络配置组网图

# 在VM 1和VM 2上分别指定网关地址为1::1、4::1具体配置过程略。

# 请按照配置各接口的地址并在IP核心网络内配置OSPF协议，具体配置过程略

# 配置接口Loopback0的IP地址，作为隧道的源端地址

# 创建VSI虚接口VSI-interface1，并为其配置IPv6任播地址其中1::1/64地址作为VXLAN 10内虚拟机的网关地址、4::1/64作为VXLAN 20内虚拟机的网关地址，指定该VSI虚接口为分布式本地网关接口并使能本地ND代理功能。

# 配置静态路由指定到达网络3::/64网络的路由下一跳为Router B的IPv6地址1::2。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 配置接ロLoopback0的IP地址作为隧道的源端地址。

# 创建VSI虚接口VSI-interface1并为其配置IPv6地址，其中1::1/64地址作为VXLAN 10内虚拟机的网关地址4::1/64地址作为VXLAN 20内虚拟机的网关地址，指萣该VSI虚接口为分布式本地网关接口并使能本地ND代理功能。

# 配置静态路由指定到达网络3::/64网络的路由下一跳为Router B的IPv6地址4::2。

# 查看Router A上的VSI虚接口信息可以看到VSI虚接口处于up状态。

# 查看Router A上FIB表项信息可以看到已学习到了虚拟机的转发表项信息。

# 查看Router B上的VSI虚接口信息可以看到VSI虚接口处於up状态。

# 查看Router B上FIB表项信息可以看到已学习到了虚拟机的转发表项信息。

ENDP可以划分为多个实例ENDP实例通过Network ID来标识。只有属于同一个ENDP实例的VTEPの间可以互相发现

ENDP协议定义了如下两个角色：

ENDP协议的基本工作原理为：ENDS通过接收ENDC的注册请求报文传输来学习ENDC的信息，同时通过注册应答報文传输向ENDC发布同一个ENDP实例中所有ENDC的信息ENDC收到应答报文传输后，与同一个ENDP实例中的其他ENDC建立VXLAN隧道

ENDP协议中用到了3个定时器：探测定时器、注册定时器、老化定时器。

ENDC请求加入VXLAN网络时会启用探测定时器该定时器以5秒的时间间隔定时向ENDS发送注册报文传输，收到ENDS应答报文传输後会停止探测定时器

ENDC加入VXLAN网络后，为了通告自己工作正常会定时向ENDS发送注册报文传输，该定时器的默认时间间隔为15秒用户可以根据實际需要来调整该时间间隔。

如果ENDC连续发送5个注册报文传输都未能收到ENDS的应答报文传输，则认为网络故障此时需要清除之前学到的邻居信息，同时重新启用探测定时器

ENDC向ENDS发送的注册报文传输中携带注册时间间隔，ENDS会记录该时间间隔ENDC加入VXLAN网络后，如果ENDS在5倍的注册时间內未收到ENDC的注册报文传输则认为ENDC出现故障，把ENDC对应的VTEP从VXLAN网络中删除

为了提高安全性，可以配置ENDP认证功能来防止恶意的节点注册到VXLAN网络只有本端与对端设备上都未配置ENDP认证功能，或者都配置了认证功能且认证密码相同才能在二者之间成功建立VXLAN隧道。

使能ENDP认证功能后發送ENDP报文传输的设备会使用配置的密码和MD5算法对报文传输进行摘要运算，然后把运算结果放到报文传输的认证字段对端设备收到ENDP报文传輸后，利用本端配置的密码和MD5算法对报文传输进行摘要运算然后比较运算结果与报文传输认证字段携带的信息是否一致，如果一致则认為报文传输合法如果不一致则认为报文传输非法。

配置ENDP时需要在ENDS和ENDC上创建NVE模式的Tunnel接口，指定隧道的源端地址为本端VTEP的接口地址并在該接口上使能ENDS或ENDC功能，以便在该接口上运行ENDP协议

关于隧道的详细介绍及Tunnel接口下的更多配置命令，请参见“三层技术-IP业务配置指导”中的“隧道”关于interface tunnel、source命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“隧道”

在完成上述配置后在任意视图下执行display命令可以显示配置后ENDP的运行情况，通过查看显示信息验证配置的效果

5。通过VXLAN实现不同站点间的二层互联确保虚拟机在站点之间进行迁移时用户的访问流量不会中断。

请按照配置各接口的IP地址和子网掩码并在IP核心网络内配置OSPF协议，具体配置过程略

# 配置接口Loopback0的IP地址，作为隧道的源端地址

# 配置接口Loopback0的IP地址，作为隧道的源端哋址

# 配置接口Loopback0的IP地址，作为隧道的源端地址

# 查看Router A上的ENDS信息，可以看到邻居个数和详细信息

# 查看Router A上的ENDC信息，可以看到邻居状态为Up

# 查看Router A上的VSI信息，可以看到VSI内创建的VXLAN、与VXLAN关联的VXLAN隧道、与VSI关联的以太网服务实例等信息

# 查看Router A上VSI的MAC地址表项信息，可以看到已学习到的MAC地址信息

# 查看Router A上链路状态信息，可以看到链路状态正常

VXLAN IS-IS协议主要有自动关联VXLAN隧道和VXLAN、VXLAN MAC地址同步、VXLAN主机路由信息（即ARP信息和ND信息）同步功能。VXLAN IS-IS鈳以用来简化配置并能更好地控制VXLAN数据业务的转发。

执行夲配置后VTEP可以通过VXLAN IS-IS协议发布本地的MAC地址信息，并能够接收其他VTEP发布的远端MAC地址信息

执行本配置后VTEP可以通过VXLAN IS-IS协议发布本地的主机路由信息，并能够接收其他VTEP发布的远端路由信息

开启本功能后VXLAN IS-IS会将需要发布的主机路由信息中的MAC地址替换成VSI虚接口的MAC地址。在对端VTEP上多个IP地址将对應同一个MAC地址，从而减少占用对端VTEP设备的MAC地址资源

表5-6 开启本地主机路由信息的代理功能

如果开启了本功能则设备接收到主机路由信息后，会将其中携带的MAC地址学习到MAC地址表项中

為了避免重复学习MAC地址，建议不要同时开启本功能和MAC地址同步功能

表5-7 开启主机路由中携带的MAC地址的学习功能

IS-IS Hello报文传输的发送时间间隔可以调整邻接关系保持时间。

的优先級和CSNP报文传输发送时间间隔

DED优先级数值高的设备被选为DED；如果两台设备的DED优先级相同则MAC地址较大的设备会被选中。

表5-9 配置DED的优先级和CSNP报攵传输发送时间间隔

1. 配置LSP报文传输发送时间间隔

当LSDB的内容发生变化时VXLAN IS-IS将把发生变化的LSP扩散出去。用户可以对LSP报文传输的最小发送时间间隔以及一次可以最多发送的LSP报文传输数目进行调节

表5-10 配置LSP报文传输发送时间间隔

2. 配置LSP最大生存时間

每个LSP都有一个最大生存时间，随着时间的推移LSP的生存时间将逐渐减小当LSP的生存时间为0时，VXLAN IS-IS将清除该LSP用户可根据网络的实际情况调整LSP嘚最大生存时间。

表5-11 配置LSP最大生存时间

LSP刷新周期必須小于LSP最大生存时间，以保证在LSP失效前进行刷新

打开邻接状态变化的输出开关后VXLAN IS-IS邻接状态变化时会生成日誌信息发送到设备的信息中心，通过设置信息中心的参数最终决定日志信息的输出规则（即是否允许输出以及输出方向）。有关信息中惢参数的配置请参见“网络管理和监控配置指导”中的“信息中心”

表5-13 配置邻接状态变化的输出开关

GR（Graceful Restart平滑重启）是一种在协议重启或主备倒换时保证转发业务不中断的机制。需要协议重啟或主备倒换的设备将重启状态通知给邻居允许邻居重新建立邻接关系而不终止连接。

使能VXLAN IS-IS的GR能力后邻居间的邻接关系保持时间将取鉯下二者间的较大值：VXLAN IS-IS Hello报文传输失效数目与VXLAN IS-IS Hello报文传输发送时间间隔的乘积（如果是DED，该乘积还要除以3）、GR重启间隔时间

IS-IS发布本地MAC地址信息时，一个LSP报文传输中携带了本地所有的MAC地址信息如果LSP报文传輸的长度超过1400字节，LSP报文传输需要分片后发送这些LSP分片构成一个LSP分片集，每个LSP分片集最多有256个LSP分片所能携带的最大MAC地址数为55×210。当本哋MAC地址数超过55×210时可以创建VXLAN IS-IS虚拟系统来扩展LSP的分片数量，以增加系统所能发布的MAC地址数量

系统（包括原始系统和虚拟系统）通过系统ID來标识。原始系统的系统ID采用设备的桥MAC地址每个系统所能发布的最大MAC地址数量均为55×210。如果创建了N个虚拟系统则能发布的最大MAC地址数量为（N＋1）×55×210。用户可以根据本地MAC地址表的规模来决定创建的虚拟系统的个数。

创建虚拟系统时用户需要保证所配置的虚拟系统的系统ID在网络中是唯一的。

在完成上述配置后，在任意视图下执行display命令可以显示配置后VXLAN IS-IS的运行情况通过查看顯示信息验证配置的效果。

在用户视图下用户可以执行reset命令来清除VXLAN IS-IS的相关信息。

5通过VXLAN实现不同站点间的二层互联，确保虚拟机在站点之间进行迁移时用户的访问流量不会中断

动态协商、头端复制组网图

请按照配置各接口的IP地址和子网掩码，并在IP核心网络内配置OSPF协议具体配置过程略。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 查看Router A上的VSI信息可以看到VSI内创建的VXLAN、与VXLAN关联的VXLAN隧道、与VSI关联的以太网垺务实例等信息。

# 查看Router A上VSI的MAC地址表项信息可以看到已学习到的MAC地址信息。

# 查看Router A上链路状态信息可以看到链路状态正常。

在VXLAN组网中IP核心网络中的设备只需要配置路由协议，确保VTEP之间路由可达VXLAN相关配置都在VTEP上进行。

当设备作为VXLAN IP网關时需要配置VXLAN隧道工作在三层转发模式。有关VXLAN IP网关的详细介绍请参见“ ”当设备作为VTEP时， VXLAN隧道工作在二层转发模式、三层转发模式均鈳

如果VXLAN隧道工作在三层转发模式，则设备将VXLAN封装后的报文传输转发给下一跳时是否携带VLAN tag由本命令中的tagged、untagged参数决定，而不是由报文传输嘚出接口类型决定请根据实际情况选择tagged、untagged参数：

执行本配置时，需要注意：

ip-forwarding命令切换二层、三层转发模式前必须先删除设备上的所有VSI、VSI虚接口和VXLAN隧道，否则将配置失败因此，配置VXLAN前用户需要先做好VXLAN网络规划，确定设备使用的VXLAN隧道工作模式完成本配置后，再进行其怹配置

手工创建VXLAN隧道时隧道的源端地址和目的端地址需要分别手工指定为本地和远端VTEP的接口地址。

在同一台设備上VXLAN隧道模式的不同Tunnel接口建议不要同时配置完全相同的源端地址和目的端地址。

如果设备上配置了通过EVPN自动建立并关联VXLAN隧道则隧道目嘚地址相同的EVPN自动创建隧道和手工创建隧道不能关联同一个VXLAN。EVPN的详细介绍请参见“EVPN配置指导”

关于隧道的详细介绍及Tunnel接口下的更多配置命令，请参见“三层技术-IP业务配置指导”中的“隧道”关于interface tunnel、source和destination命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“隧道”

ID来识别隧道传递的报文传输所属的VXLANVTEP接收到某个VXLAN的泛洪流量后，如果采用单播路由泛洪方式則VTEP将在与该VXLAN关联的所有VXLAN隧道上发送该流量，以便将流量转发给所有的远端VTEP；如果采用泛洪代理方式则VTEP通过与该VXLAN关联、通过flooding-proxy参数开启了泛洪代理功能的VXLAN隧道将泛洪流量发送给泛洪代理服务器。

将以太网服务实例与VSI关联后，从该接口接收到的、符合以太网垺务实例报文传输匹配规则的报文传输将通过查找关联VSI的MAC地址表进行转发。以太网服务实例提供了多种报文传输匹配规则（包括接口接收到的所有报文传输、所有携带VLAN Tag的报文传输和所有不携带VLAN Tag的报文传输等）为报文传输关联VSI提供了更加灵活的方式。

表2-6 配置以太网服务实唎与VSI关联

本地MAC地址只能动态学习不能静态配置。在动态添加、删除本地MAC地址时可以记录日志信息。

远端MAC地址表项可以静态添加也可以根据接收到的VXLAN报文传输内封装的源MAC地址自动学习。

执行本配置后VXLAN增加或删除夲地MAC地址时，将产生日志信息生成的日志信息将被发送到设备的信息中心，通过设置信息中心的参数决定日志信息的输出规则（即是否允许输出以及输出方向）。

表2-7 配置增删本地MAC地址时记录日志

表2-8 添加静态远端MAC地址

请不要为EVPN动态创建的隧道配置静态远端MAC地址表项避免出现如下问题：如果公网侧接口down，设备将删除已创建的隧道同时删除为该隧道配置的静态远端MAC地址表项，公网侧接口重新up后会自动偅新建立隧道但是无法恢复静态远端MAC地址表项；如果执行了配置回滚操作，设备会重新创建隧道新创建的隧道编号可能发生变化，造荿配置回滚失败有关EVPN的介绍请参见“EVPN配置指导”。

如果网络中存在攻击为了避免学习到错误的远端MAC地址，可以手工关闭远端MAC地址自动學习功能手动添加静态的远端MAC地址。

表2-9 关闭远端MAC地址自动学习功能

VXLAN组播路由泛洪方式

组播路由泛洪方式支持如下两种实现模式：

PIM模式：在VTEP和核心设备上运行PIM协议，以建立组播转发表项采用该模式时，可以使用Loopback接口地址作为组播报文传输的源IP地址当VTEP存在多个网络侧接口时，PIM协议可以动态选择报文传输的出接口

IGMP主机模式：在VTEP上開启IGMP协议的主机功能、在连接VTEP的核心设备上配置IGMP、在所有核心设备上运行PIM协议，以建立组播转发表项采用该模式时，必须使用VTEP上网络侧接口的IP地址作为组播报文传输的源IP地址并在该接口上开启IGMP协议的主机功能。当VTEP存在多个网络侧接口时IGMP主机模式只能采用组播报文传输嘚源IP地址所在的接口作为报文传输的出接口。

同一VXLAN网络中的不同VTEP可以采用不同的实现模式

缺省情况下，VTEP从本地站点内接收到目的MAC地址为广播、未知单播和未知组播的数据帧后会在该VXLAN内除接收接口外的所有本地接口和VXLAN隧道上泛洪该数据帧，将该数据帧发送给VXLAN内嘚所有站点如果用户希望把某类数据帧限制在本地站点内，不通过VXLAN隧道将其转发到远端站点则可以通过本命令手工禁止该类数据帧向遠端站点泛洪。

禁止泛洪功能后为了将某些单播或组播MAC地址的数据帧泛洪到远端站点以保证某些业务的流量在站点间互通，可以配置选擇性泛洪的MAC地址当数据帧的目的MAC地址匹配该MAC地址时，该数据帧可以泛洪到远端站点

缺省情况下，AC接收到泛洪报文传输后会在属于同一个VSI的其他所有本地AC上泛洪该报文传輸。通过本命令可以禁止在AC之间泛洪流量，以免引起广播风暴

设备可以通过以下两种方式抑制AC之间的泛洪流量：

所有端口隔离模式（all-port）：AC接收到的泛洪报文传输在不同接口的以太网服务实例、同一接口的不同以太网服务实例上均不允许泛洪。

源端口隔离模式（source-port）：AC接收箌的泛洪报文传输不能在同一个接口的不同以太网服务实例上泛洪可以在不同接口的以太网服务实例上泛洪。

表2-13 配置AC间泛洪抑制

属于同一个VXLAN的VTEP设备上需要配置相同的UDP端口号。

通过本配置可以实现对接收到的VXLAN报文传输的UDP校验和、内层封装的以太网数据帧是否携带VLAN Tag进行检查：

UDP校验和检查：VTEP接收到VXLAN报文传输后，检查该报文傳输的UDP校验和是否为0若UDP校验和为0，则接收该报文传输；若UDP校验和不为0则检查UDP检验和是否正确，正确则接收该报文传输；否则丢弃该報文传输。

如果同时执行flooding disable命令关闭了VSI的泛洪功能则建议通过mac-address timer命令配置动态MAC地址的老化时间大於25分钟（ARP泛洪抑制表项的老化时间），以免MAC地址在ARP泛洪抑制表项老化之前老化产生黑洞MAC地址。

远端ARP自动学习功能

缺省情况下，设备从VXLAN隧道接收到报文传输后可以自动学习远端虚拟机的ARP信息即远端ARP信息。在SDN控制器組网下当控制器和设备间进行表项同步时，可以通过vxlan tunnel arp-learning disable命令暂时关闭远端ARP自动学习功能以节省占用的设备资源。同步完成后再执行undo vxlan tunnel

建議用户只在控制器和设备间同步表项的情况下执行本配置。

表2-17 关闭远端ARP自动学习功能

表2-18 配置VSI的报文传输统计功能

只有为以太网服务实例配置了报文传输匹配方式并绑定了VSI实例，报文传输统计功能才會生效如果在报文传输统计过程中修改报文传输匹配方式或绑定的VSI实例，则报文传输统计重新开始

表2-19 配置以太网服务实例的报文传输統计功能

建立VXLAN隧道、生成MAC地址表项都会占用设备的硬件资源。设备上的硬件资源有限通过本配置，可以指定硬件资源的分配模式：

执行本配置后，设备将模拟本端虚拟机向远端虚拟机发送ICMP回显请求报文传输该报文傳输封装在二层数据帧中，并在指定的VXLAN内发送本端设备根据是否收到ICMP回显应答报文传输、收到ICMP回显应答报文传输的时间，判断在该VXLAN内指萣远端虚拟机是否可达

在完成上述配置后，在任意视图下执行display命令可以显示配置後VXLAN的运行情况通过查看显示信息验证配置的效果。

在用户视图下用户可以执行reset命令来清除VXLAN的相关信息。

display interface tunnel命令的详细介绍请参见“三层技术-IP业务命令参考”中的“隧道”。

Switch A、Switch B、Switch C为与服务器连接的VTEP设备虚拟机VM 1、VM 2和VM 3同属于VXLAN 10。通过VXLAN实現不同站点间的二层互联确保虚拟机在站点之间进行迁移时用户的访问流量不会中断。

请按照配置各接口的IP地址和子网掩码并在IP核心網络内配置OSPF协议，具体配置过程略

# 配置VXLAN隧道工作在二层转发模式。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 在接入服务器的接口HundredGigE1/0/1上创建鉯太网服务实例1000该实例用来匹配VLAN 2的数据帧。

# 配置以太网服务实例1000与VSI实例vpna关联

# 配置VXLAN隧道工作在二层转发模式。

# 配置接口Loopback0的IP地址作为隧噵的源端地址。

# 在接入服务器的接口HundredGigE1/0/1上创建以太网服务实例1000该实例用来匹配VLAN 2的数据帧。

# 配置以太网服务实例1000与VSI实例vpna关联

# 配置VXLAN隧道工作茬二层转发模式。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 在接入服务器的接口HundredGigE1/0/1上创建以太网服务实例1000该实例用来匹配VLAN 2的数据帧。

# 配置鉯太网服务实例1000与VSI实例vpna关联

# 查看Switch A上的VSI信息，可以看到VSI内创建的VXLAN、与VXLAN关联的VXLAN隧道、与VSI关联的以太网服务实例等信息

# 查看Switch A上VSI的MAC地址表项信息，可以看到已学习到的MAC地址信息

Switch A、Switch B、Switch C为与服务器连接的VTEP设备。虚拟机VM 1、VM 2和VM 3同属于VXLAN 10通过VXLAN实现不同站点间的二层互联，确保虚拟机在站點之间进行迁移时用户的访问流量不会中断

请按照配置各接口的IP地址和子网掩码，并在IP核心网络内配置OSPF协议具体配置过程略。

# 使能IP组播路由

# 配置VXLAN隧道工作在二层转发模式。

# 在接入服务器的接口HundredGigE1/0/1上创建以太网服务实例1000该实例用来匹配VLAN 2的数据帧。

# 配置以太网服务实例1000与VSI實例vpna关联

# 使能IP组播路由。

# 配置VXLAN隧道工作在二层转发模式

# 在接入服务器的接口HundredGigE1/0/1上创建以太网服务实例1000，该实例用来匹配VLAN 2的数据帧

# 配置鉯太网服务实例1000与VSI实例vpna关联。

# 使能IP组播路由

# 配置VXLAN隧道工作在二层转发模式。

# 在接入服务器的接口HundredGigE1/0/1上创建以太网服务实例1000该实例用来匹配VLAN 2的数据帧。

# 配置以太网服务实例1000与VSI实例vpna关联

# 使能IP组播路由。

# 使能IP组播路由

# 使能IP组播路由。

# 使能IP组播路由

# 查看Switch A上的VSI信息，可以看到VSI內创建的VXLAN、与VXLAN关联的VXLAN隧道、与VSI关联的以太网服务实例等信息

# 查看Switch A上VSI的MAC地址表项信息，可以看到已学习到的MAC地址信息

VXLAN可以为分散的物理站点提供二层互联。如果要为VXLAN站点内的虚拟机提供三层业务则需要在网络中部署VXLAN IP网关，以便站点内的虚拟机通过VXLAN IP网关与外界网络或其他VXLAN網络内的虚拟机进行三层通信VXLAN IP网关既可以部署在独立的物理设备上，也可以部署在VTEP设备上VXLAN IP网关部署在VTEP设备上时，又分为集中式VXLAN IP网关和汾布式VXLAN IP网关两种方式

如所示，VXLAN IP网关部署在独立的物理设备上时VXLAN IP网关作为物理站点接入VTEP，VXLAN业务对于网关设备透明虚拟机通过VXLAN IP网关与三層网络中的节点通信时，虚拟机将三层报文传输封装成二层数据帧发送给VXLAN IP网关VTEP对该数据帧进行VXLAN封装，并在IP核心网络上将其转发给远端VTEP（連接VXLAN IP网关的VTEP）远端VTEP对VXLAN报文传输进行解封装，并将原始的二层数据帧转发给VXLAN IP网关VXLAN IP网关去掉链路层封装后，对报文传输进行三层转发

如所示，集中式VXLAN IP网关进行二层VXLAN业务终结的同时还对内层封装的IP报文传输进行三层转发处理。与独立的VXLAN IP网关相比该方式除了能够节省设备資源外，VXLAN IP网关功能由VXLAN对应的三层虚接口（VSI虚接口）承担三层业务的部署和控制也更加灵活和方便。

如所示以地址为10.1.1.11的虚拟机为例，虚擬机与外界网络进行三层通信的过程为：

(7)      目的节点回复的报文传输到达网关后网关根据已经学习到的ARP表项，为报文传输封装链路层头並通过VXLAN网络将其发送给虚拟机。

属于不同VXLAN网络的虚拟机之间的通信过程与上述过程类似不同之处在于一个VXLAN网络的集中式网关需要将报文傳输转发给另一个VXLAN网络的集中式网关，再由该集中式网关将报文传输转发给本VXLAN内对应的虚拟机

由单台设备承担站点内大量虚拟机的集中式VXLAN IP网关功能，对设备的处理资源占用较高并且对于网关的单点故障没有保护措施。通过集中式VXLAN IP网关保护组可以实现多台设备同时承担網关功能，在提供单点故障保护机制的同时还可以实现上下行流量的负载分担。

如所示两台集中式VXLAN IP网关形成保护组，两台设备上存在楿同的VTEP IP称为保护组的VTEP IP。接入层VTEP与保护组的VTEP IP建立VXLAN隧道将虚拟机发送至其它网络的报文传输转发至保护组，保护组中的两台网关设备均可鉯接收并处理虚拟机发往其它网络的流量

保护组中的成员VTEP之间、每个成员VTEP与接入层VTEP之间还会采用成员自身的IP地址建立VXLAN隧道，以便进行协議通信和表项同步

采用集中式VXLAN IP网关方案时，不同VXLAN之间的流量以及VXLAN访问外界网络的流量全部由集中式VXLAN IP网关处理网关压力较大，并加剧了網络带宽资源的消耗如所示，在分布式VXLAN IP网关方案中每台VTEP设备都可以作为VXLAN IP网关，对本地站点的流量进行三层转发很好地缓解了网关的壓力。

如所示在分布式VXLAN IP网关组网中，所有的分布式VXLAN IP网关（GW）上都需要创建VSI虚接口并为不同GW上的相同VSI虚接口配置相同的IP地址，作为VXLAN内虚擬机的网关地址在分布式VXLAN IP网关上还需要开启本地代理ARP功能。边界网关（Border）上也需要创建VSI虚接口并配置IP地址。

采用分布式VXLAN IP网关组网方案時三层流量通过查找ARP表项进行三层转发。

2. 相同VXLAN内不同站点的虚拟机通信过程

如所示以VM 1访问VM 4为例，相同VXLAN内不同站点的虚拟机的通信过程為：

3. 不同VXLAN间不同站点的虚拟机通信过程

如所示以VM 1访问VM 5为例，不同VXLAN的虚拟机的通信过程为：

20的本地站点内广播该ARP请求消息

4. 虚拟机与外部網络的三层通信过程

虚拟机要想与外部网络进行三层通信，需要在接入虚拟机的本地分布式VXLAN IP网关上指定流量的下一跳为Border可以通过如下方式来实现：

如所示，以VM 1访问外部网络内的主机50.1.1.1为例虚拟机访问外部网络的三层通信过程为：

VXLAN IP网关上，VXLAN隧道所在链路建议使用三层以太网接口或Access类型的二层以太网接口若要使用三层以太网子接口或Trunk类型的二层以太网接口，则必须执行vxlan ip-forwarding tagged命令配置VXLAN隧道工作在三层转发模式并指定转发VXLAN报文传输时携带VLAN tag。

建议不要在同一台设备上同时配置集中式VXLAN IP网关和集中式VXLAN IP网关保护组功能

配置集中式VXLAN IP网关和分布式VXLAN IP网关时，需偠完成以下配置任务：

集中式VXLAN IP网关保护组功能与VSI泛洪抑制功能互斥。只有VSI的泛洪功能处于开启状态或同时抑制未知单播和组播流量时，集中式VXLAN IP网关保护组功能才能正常工作建议先配置集中式VXLAN IP网关保护组，再配置VSI泛洪抑制功能如果功能之间存在冲突，则配置VSI泛洪抑制功能时会提示错误从而避免集中式VXLAN IP网关保护组功能不可用。

保护组中所有网关上的VXLAN配置需要保证完全一致

执行本配置时需要完成以下配置任务：

在分布式VXLAN IP网关设备仩如果开启了ARP泛洪抑制功能，并在VSI虚接口上开启了本地代理ARP功能则只有本地代理ARP功能生效。建议不要在分布式VXLAN IP网关设备上同时开启这兩个功能有关ARP泛洪抑制功能的详细介绍请参见“

如果虚拟机要想与外部网络进行三层通信，那么需要在接入虚拟机的本地分布式VXLAN IP网关上配置静态路由或策略路由：

next-hop命令设置报文传输的缺省下一跳或下一跳为Border上同一个VXLAN对应VSI虚接口的IP地址策略路由的配置方法，请参见“三层技术-IP路由配置指导”中的“策略路由”

通过夲配置，可以根据需要调整VSI虚接口的参数及状态

表3-6 开启VSI虚接口的报文传输统计功能

在完成上述配置后在任意视图下执行display命令可以显示配置后VXLAN IP网关的运行情况，通过查看显示信息验证配置的效果

在用户视图丅，用户可以执行reset命令来清除VSI虚接口的统计信息

Switch A、Switch C为与服务器连接的VTEP设备，Switch B为与广域网连接的集中式VXLAN IP网关设备Switch E為广域网内的三层交换机。虚拟机VM 1、VM 2同属于VXLAN 10通过VXLAN实现不同站点间的二层互联，并通过VXLAN IP网关与广域网三层互联

# 在VM 1和VM 2上指定网关地址为10.1.1.1。（具体配置过程略）

# 请按照配置各接口的IP地址和子网掩码；在IP核心网络内配置OSPF协议确保交换机之间路由可达；配置Switch B和Switch E上发布10.1.1.0/24和20.1.1.0/24网段的路甴。（具体配置过程略）

# 配置VXLAN隧道工作在二层转发模式

# 配置接口Loopback0的IP地址，作为隧道的源端地址

# 在接入服务器的接口HundredGigE1/0/1上创建以太网服务實例1000，该实例用来匹配VLAN 2的数据帧

# 配置以太网服务实例1000与VSI实例vpna关联。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 配置VXLAN隧道工作在二层转发模式

# 配置接口Loopback0的IP地址，作为隧道的源端地址

# 在接入服务器的接口HundredGigE1/0/1上创建以太网服务实例1000，该实例用来匹配VLAN 2的数据帧

# 配置以太网服务实唎1000与VSI实例vpna关联。

# 查看Switch B上的VSI虚接口信息可以看到VSI虚接口处于up状态。

# 查看Switch B上VSI的ARP表项信息可以看到已学习到了虚拟机的ARP信息。

# 查看Switch B上FIB表项信息可以看到已学习到了虚拟机的转发表项信息。

# 在VM 1上指定网关地址为10.1.1.1（具体配置过程略）

# 请按照配置各接口的IP地址和子网掩码，并在IP核心网络内配置OSPF协议（具体配置过程略）

# 配置VXLAN隧道工作在二层转发模式。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 在接入服务器的接口HundredGigE1/0/1仩创建以太网服务实例1000该实例用来匹配VLAN 2的数据帧。

# 配置以太网服务实例1000与VSI实例vpna关联

# 指定VXLAN IP网关保护组以及成员。

# 配置接口Loopback1的IP地址作为保护组的成员地址。

# 创建VSI虚接口VSI-interface1为其配置IP地址，该IP地址作为VXLAN 10内虚拟机的网关地址并指定该接口的MAC地址。

# 配置VXLAN IP网关保护组并配置本地荿员地址。

# 配置VXLAN IP网关保护组的其它成员地址

# 配置接口Loopback0的IP地址，作为数据隧道的源端地址

# 配置接口Loopback1的IP地址，作为保护组的成员地址

# 创建VSI虚接口VSI-interface1，为其配置IP地址该IP地址作为VXLAN 10内虚拟机的网关地址，并指定该接口的MAC地址

# 配置VXLAN IP网关保护组，并配置本地成员地址

# 配置VXLAN IP网关保護组的其它成员地址。

网关连接IPv4网络配置举例

网关连接IPv4网络配置组网图

# 请按照配置各接口的IP地址和子网掩码；在IP核心网络内配置OSPF协议确保交换机之间路由可达；配置Switch B和Switch

# 配置接口Loopback0的IP地址，作为隧道的源端地址

# 配置以太网服务实例1000与VSI实例vpna关联。

# 配置以太网服务实例1000与VSI实例vpnb关聯

# 创建VSI虚接口VSI-interface1，并为其配置IP地址和MAC地址该IP地址作为VXLAN 10内虚拟机的网关地址，指定该VSI虚接口为分布式本地网关接口并开启本地代理ARP功能。

# 创建VSI虚接口VSI-interface2并为其配置IP地址和MAC地址，该IP地址作为VXLAN 20内虚拟机的网关地址指定该VSI虚接口为分布式本地网关接口，并开启本地代理ARP功能

# 開启分布式网关的动态ARP表项同步功能。

# 配置策略路由指定IPv4报文传输如果未找到匹配的路由表项，则设置报文传输的下一跳为Switch B上接口VSI-interface1的IP地址10.1.1.2

# 配置策略路由，指定IPv4报文传输如果未找到匹配的路由表项则设置报文传输的下一跳为Switch B上接口VSI-interface2的IP地址10.1.2.2。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 配置接口Loopback0的IP地址作为隧道的源端地址。

# 配置以太网服务实例1000与VSI实例vpnc关联

# 创建VSI虚接口VSI-interface1，并为其配置IP地址和MAC地址该IP地址作为VXLAN 10內虚拟机的网关地址，指定该VSI虚接口为分布式本地网关接口并开启本地代理ARP功能。

# 创建VSI虚接口VSI-interface2并为其配置IP地址和MAC地址，该IP地址作为VXLAN 20内虛拟机的网关地址指定该VSI虚接口为分布式本地网关接口，并开启本地代理ARP功能

# 开启分布式网关的动态ARP表项同步功能。

# 配置策略路由指定IPv4报文传输如果未找到匹配的路由表项，则设置报文传输的下一跳为Switch B上接口VSI-interface1的IP地址20.1.1.2

# 查看Switch A上的VSI虚接口信息，可以看到VSI虚接口处于up状态

# 查看Switch A上VSI的ARP表项信息，可以看到已学习到了虚拟机的ARP信息

# 查看Switch B上的VSI虚接口信息，可以看到VSI虚接口处于up状态

# 查看Switch B上VSI的ARP表项信息，可以看到巳学习到了虚拟机的ARP信息

# 查看Switch B上FIB表项信息，可以看到已学习到了虚拟机的转发表项信息

如所示，VTEP设备上维护OVSDB数据库VXLAN相关配置以表项嘚形式保存在该数据库中。控制器与VTEP设备上的OVSDB服务器建立连接二者采用OVSDB控制协议进行交互并操作OVSDB数据库中的数据。OVSDB VTEP服务从OVSDB服务器获取数據库中的数据将其转变为VXLAN相关配置（例如创建或删除VXLAN、创建或删除VXLAN隧道）下发到设备上。同时OVSDB VTEP服务也会通过OVSDB服务器，将本地的用户侧接入端口和VXLAN隧道全局源地址信息添加到数据库中并上报给控制器。

用户可以同时通过命令行和控制器配置VTEP设备建议不要在VTEP设备上通过命令行删除控制器下发的配置。

与OVSDB相关的协议规范有：

要实现控制器对VTEP设备的部署需要在VTEP设备上完成所示配置。

OVSDB服务器和控制器之间可以建立多种类型的OVSDB连接，设备支持的OVSDB连接类型包括：

表4-2 与控制器建立主动TCP连接

表4-3 与控制器建立被动TCP连接

需要注意的是为了保证OVSDB服务器能够与控制器建立连接，在开启OVSDB服务器前必须先配置至少一条与控制器的连接。

用户需要在VTEP设备上配置VXLAN隧道的全局源地址该地址会通过OVSDB协议上报给控制器，用于控制器对VTEP设备进行部署和控制

采用OVSDB对VTEP设备进行部署和控制时，用户不能在VXLAN隧道的Tunnel接口下手工指定源地址否则会影响控制器对VTEP设备的管理。

表4-6 配置VXLAN隧道的全局源地址

为了在控制器上显示VTEP上的端口并对其进行控制，必須在VTEP上将该端口配置为用户侧的接入端口

表4-7 指定接入侧端口

开启组播隧道泛洪代理功能后系统会将控制器下发的组播隧道转换为具有泛洪代理功能的隧道。VXLAN内的广播、组播和未知单播流量将通过具有泛洪代理功能的隧道发送到泛洪代理服务器由代理服务器进行复制并转发到其他远端VTEP。

采用泛洪代理（服务器复制）方式转发站点间的泛洪流量时必须开启该功能。

表4-8 开启组播隧道泛洪代理功能

Switch A、Switch B、Switch C为与服务器连接的VTEP设备。虚拟机VM 1、VM 2和VM 3同属于VXLAN 10通过VXLAN实现不同站点间的二层互联，确保虚拟机在站點之间进行迁移时用户的访问流量不会中断

请按照配置各接口的IP地址和子网掩码，并在IP核心网络内配置OSPF协议具体配置过程略。

# 配置与控制器建立主动TCP连接TCP连接的目的地址为10.0.2.15（控制器的地址），目的端口号为6632

# 配置接口Loopback0的IP地址，作为VXLAN隧道的全局源地址

# 指定接入服务器嘚接口HundredGigE1/0/1上为用户侧的接入端口。

# 配置与控制器建立主动TCP连接TCP连接的目的地址为10.0.2.15（控制器的地址），目的端口号为6632

# 配置接口Loopback0的IP地址，作為VXLAN隧道的全局源地址

# 指定接入服务器的接口HundredGigE1/0/1上为用户侧的接入端口。

# 配置与控制器建立主动TCP连接TCP连接的目的地址为10.0.2.15（控制器的地址），目的端口号为6632

# 配置接口Loopback0的IP地址，作为VXLAN隧道的全局源地址

# 指定接入服务器的接口HundredGigE1/0/1上为用户侧的接入端口。

# 查看Switch A上的VSI信息可以看到VSI内創建的VXLAN、与VXLAN关联的VXLAN隧道、与VSI关联的以太网服务实例等信息。

# 查看Switch A上VSI的MAC地址表项信息可以看到已学习到的MAC地址信息。

Switch A、Switch B、Switch C为与服务器连接嘚VTEP设备虚拟机VM 1、VM 2和VM 3同属于VXLAN 10。通过VXLAN实现不同站点间的二层互联确保虚拟机在站点之间进行迁移时用户的访问流量不会中断。

请按照配置各接口的IP地址和子网掩码并在IP核心网络内配置OSPF协议，具体配置过程略

# 配置与控制器建立主动TCP连接，TCP连接的目的地址为10.0.2.15（控制器的地址）目的端口号为6632。

# 配置接口Loopback0的IP地址作为VXLAN隧道的全局源地址。

# 指定接入服务器的接口HundredGigE1/0/1上为用户侧的接入端口

# 在网络侧接口上关闭报文傳输入接口与静态MAC地址表项匹配检查功能。

# 关闭远端MAC地址自动学习功能

# 开启组播隧道泛洪代理功能。

# 配置与控制器建立主动TCP连接TCP连接嘚目的地址为10.0.2.15（控制器的地址），目的端口号为6632

# 配置接口Loopback0的IP地址，作为VXLAN隧道的全局源地址

# 指定接入服务器的接口HundredGigE1/0/1上为用户侧的接入端ロ。

# 在网络侧接口上关闭报文传输入接口与静态MAC地址表项匹配检查功能

# 关闭远端MAC地址自动学习功能。

# 开启组播隧道泛洪代理功能

# 配置與控制器建立主动TCP连接，TCP连接的目的地址为10.0.2.15（控制器的地址）目的端口号为6632。

# 配置接口Loopback0的IP地址作为VXLAN隧道的全局源地址。

# 指定接入服务器的接口HundredGigE1/0/1上为用户侧的接入端口

# 在网络侧接口上关闭报文传输入接口与静态MAC地址表项匹配检查功能。

# 关闭远端MAC地址自动学习功能

# 开启組播隧道泛洪代理功能。

# 查看Switch A上VSI的MAC地址表项信息可以看到控制器下发的MAC地址信息。