VLAN 与 VXLAN 规划
让二层网络规范、可维护、无环路，且大二层（VXLAN）只在必要时使用并控制风险。本技能覆盖 VLAN 编号、Trunk 安全、STP 域、网关位置，以及 VXLAN/EVPN 的 VNI 映射与 VTEP 规划，附华为/思科命令与 VLAN-VNI 规划器。
一、核心原理：二层分段与三层延伸
VLAN 在同一物理交换机上做逻辑分段（隔离广播域）；VXLAN 则用隧道把二层跨三层延伸（Overlay）。两者解决的是不同问题：
flowchart LR
V[VLAN 分段<br/>同设备内隔离广播域] --> L2[二层域收敛<br/>网关在三层]
VX[VXLAN 隧道<br/>跨三层延伸二层] --> OV[Overlay 网络<br/>EVPN 控制面]
OV --> GW[分布式网关<br/>任意 VTEP 转发]
关键认知：
- VLAN 是隔离手段，VXLAN 是延伸手段——不要为了「大二层」盲目上 VXLAN。
- 网关放三层：VLAN 网关在核心/汇聚（三层交换），VXLAN 用分布式网关（Anycast GW）。
- VNI 是 VXLAN 的「VLAN」：VLAN ID（12 位，0~4095）映射到 VNI（24 位，1~16777215）。
二、参考架构
flowchart TB
subgraph Leaf1
L1[Leaf-1<br/>VTEP 10.10.10.1]
end
subgraph Leaf2
L2[Leaf-2<br/>VTEP 10.10.10.2]
end
subgraph Spine
SP[Spine<br/>EVPN RR]
end
subgraph 服务器
S1[服务器 VLAN10]
S2[服务器 VLAN10]
end
L1 --- SP --- L2
S1 --- L1
S2 --- L2
L1 <--VXLAN VNI 10010--> L2
配套 ASCII 映射示意：
VLAN 10 (服务器A) ──► VNI 10010 ──► VXLAN 隧道 (VTEP 10.10.10.1 ⇄ 10.10.10.2)
VLAN 20 (服务器B) ──► VNI 10020 ──► 同一隧道复用（不同 VNI 区分）
网关：分布式 Anycast GW（MAC 一致，IP 相同），任意 VTEP 都能当网关
三、关键决策表
| 决策项 | 推荐取值 | 依据/常见错误 |
|---|---|---|
| VLAN 编号范围 | 2~1001 常规，1006~4094 扩展 | 1 默认、1002~1005 保留 |
| VLAN 分段原则 | 按业务/安全域分段，建台账 | 无台账=编号混乱 |
| Trunk 允许列表 | 精确放通，禁止 allow all |
全通扩大广播域与风险 |
| Native VLAN | 用专用 VLAN（如 999），不与业务混用 | 混用=VLAN 跳跃攻击面 |
| 网关位置 | 核心/汇聚三层，全网统一 | 多层网关混乱 |
| STP 模式 | MSTP（多实例），根桥固定 | 默认 CST 浪费链路 |
| VXLAN 适用 | 确有跨站点二层需求（迁移/双活） | 盲目上 VXLAN 扩大故障域 |
| VNI 映射 | 每 VLAN 一个 VNI，建议 VNI=VLAN+10000 | 映射混乱难排查 |
| VXLAN 控制面 | EVPN（BGP）优先，静态次之 | 静态难维护 |
| VTEP MTU | ≥1550（VXLAN 头 50 字节） | MTU 不足导致分片 |
> VLAN 编号分段示例（可复用到台账）：10~19 服务器区、20~29 办公区、30~39 无线区、40~49 访客/隔离区、50~59 管理区、60~69 DMZ 区、999 专用 Native。分段让「看编号知用途」，是治理编号混乱的第一步。
>
> VXLAN 必要性自检：只有当出现「虚拟机跨机房热迁移」「双活数据中心需同网段」「租户二层隔离且数量超 4094」等真实跨站点二层需求时才上 VXLAN；否则传统 VLAN + 三层网关更简单、故障域更小。
四、分步 SOP
- 梳理二层需求：列出业务/安全域，明确哪些需要隔离、哪些需要延伸。
- VLAN 编号规划：按站点/业务分段编号，建台账。
- 配置 Trunk 与 Native：精确允许列表，Native 用专用 VLAN。
- STP 域设计：MSTP 实例映射，根桥固定，边缘开 PortFast/BPDU guard。
- 确定网关位置：三层网关统一放核心/汇聚。
- 评估 VXLAN 必要性：仅在确有跨站点二层需求时启用。
- VNI 与 VTEP 规划：VLAN→VNI 映射、VTEP 地址、分布式网关。
- 防泄漏与收敛：二层延伸与三层边界清晰，故障域可控。
五、真实配置示例
华为 VRP VLAN + Trunk + MSTP
vlan batch 10 20 30 999
vlan 10
name servers
vlan 999
name native-dedicated
interface 10GE1/0/1
port link-type trunk
port trunk allow-pass vlan 10 20 30
port trunk pvid vlan 999
stp mode mstp
stp instance 1 root primary
华为 CloudEngine VXLAN + EVPN
# VTEP 源接口
interface Nve1
source 10.10.10.1
vni 10010 head-end peer-list protocol bgp
# EVPN 实例
evpn vpn-instance EVPN1
route-distinguisher 10.10.10.1:1
vpn-target 100:1 export-extcommunity
vpn-target 100:1 import-extcommunity
思科 NX-OS VXLAN + EVPN
feature nv overlay
feature vn-segment-vlan-based
feature bgp
vlan 10
vn-segment 10010
interface nve1
no shutdown
source-interface loopback0
member vni 10010
ingress-replication protocol bgp
Linux VXLAN（快速验证）
# 创建 VXLAN 接口，VNI 10010，指定对端 VTEP
ip link add vxlan10 type vxlan id 10010 remote 10.10.10.2 dstport 4789 dev eth0
ip link set vxlan10 up
六、验证方法
| 检查项 | 达标阈值 | 命令 |
|---|---|---|
| VLAN 创建 | 业务 VLAN 都存在 | show vlan brief / display vlan |
| Trunk 放通 | 允许列表精确 | show interfaces trunk |
| STP 收敛 | 根桥固定、无环路 | show spanning-tree |
| VXLAN 隧道 | VTEP 互通、VNI up | show nve peers / display nve |
| VNI 映射 | VLAN↔VNI 正确 | show vlan 看 vn-segment |
| 大包转发 | 无分片丢包 | ping -M do -s 1472（≥1550 MTU） |
七、常见故障排查表
| 现象 | 根因方向 | 首要动作 |
|---|---|---|
| 跨 VLAN 不通 | 网关缺失/Trunk 未放通 | 查网关与 Trunk 允许列表 |
| Native VLAN 告警 | 与业务 VLAN 混用 | 改专用 Native VLAN |
| STP 环路 | 根桥漂移/实例映射错 | 固定根桥，核对 MSTP 实例 |
| VXLAN 不通 | VTEP 不可达/VNI 映射错 | show nve peers，核对 VNI |
| 大包丢包 | MTU <1550（VXLAN 头 50 字节） | 统一 ≥1550 MTU |
| 二层泄漏 | 故障域扩大 | 收紧二层延伸范围与边界 |
八、输出规范
交付时应产出：VLAN 规划表与台账、Trunk 与 Native 配置规范、STP 域设计、VXLAN 必要性评估、VNI 映射表与 VTEP 规划、故障域收敛方案。
九、边界与风险
- VXLAN 会扩大故障域，必须说明风险与收敛手段（EVPN 控制面、风暴控制）。
- Native VLAN 混用是常见安全隐患，必须核查。
- VLAN 1 与保留段（1002~1005）不可用于业务。
- VNI 与 VLAN 映射因厂商实现而异，需按设备核对。
配套资源
- VLAN/VNI 参数手册：
references/vlan-vni-parameters.md - 厂商配置对照：
references/vendor-vxlan-configs.md - 数据基线：
assets/vlan-vni-matrix.csv - 规划模板：
assets/vxlan-planning-template.txt - 脚本：
scripts/vlan_vni_planner.py（VLAN-VNI 规划器） - 配套检查清单：《VLAN 与 VXLAN 规划清单》
