VxLAN 的英文全称是 Virtual eXtensible Local Area Network，中文通常译为虚拟可扩展局域网。它是 IETF 于 2014 年在 RFC 7348 中正式定义的一种网络虚拟化隧道技术，核心思想是把原本运行在物理二层以太网上的报文，重新封装进 IP 网络之中传输，从而在三层网络之上构建出一张逻辑上的大二层网络。软考网络工程师和网络规划设计师的考纲里，VxLAN 属于数据中心网络与网络虚拟化方向的高频考点，2024 年上半年网络工程师综合知识第 15 题就曾直接考过 VxLAN 与 QinQ 的对比，可见其命题热度正在逐年上升。
要准确理解 VxLAN 的定义，必须先厘清 Overlay 与 Underlay 这两个相伴而生的概念。Underlay 指的是物理的底层网络，也就是由交换机、路由器、光纤和物理链路组成的真实转发平面，它负责承载数据报文在现实世界中的逐跳转发。Overlay 则是指叠加在 Underlay 之上的逻辑网络，它通过隧道封装技术，在底层物理网络上虚拟出一张与物理拓扑无关的逻辑网络。VxLAN 正是一种典型的 Overlay 技术，它把二层以太网帧作为载荷封装起来，借助 Underlay 的三层 IP 网络进行传输，最终在逻辑层面呈现出"多个二层广播域可以跨越任意三层网络"的效果。
VxLAN 的诞生并非为了炫技，而是直指传统二层网络在云计算和大规模数据中心背景下暴露出的三重重困境。第一重困境是 VLAN 数量严重不足。传统 VLAN 的标识字段只有十二位，除去保留值后最多只能划分四千零九十六个隔离网段，这对于动辄需要为数千乃至数万个租户提供隔离的公有云数据中心来说杯水车薪。第二重困境是二层网络规模受限。传统二层网络依靠生成树协议防止环路，而生成树会阻塞冗余链路，既浪费了带宽，又使得二层域的物理边界被死死限制在生成树能够收敛的范围内，虚拟机一旦迁移出这个边界就会出现网络中断。第三重困境是虚拟机迁移带来的 MAC 地址学习风暴。大规模数据中心里虚拟机频繁迁移，交换机需要不断刷新 MAC 地址表，传统二层设备在海量 MAC 面前力不从心。
正是这三重困境，促使网络工程师们寻找一种能够既保留二层网络的灵活性和广播能力，又能够摆脱物理拓扑束缚、并且具备海量隔离能力的技术方案，VxLAN 由此应运而生。它用二十四位的 VNI 标识替代十二位的 VLAN ID，把可用隔离域数量从四千余个一举提升到一千六百万个以上，同时把二层流量封装进 IP 隧道，让二层广播域可以跨越任意三层网络边界，彻底解决了虚拟化场景下的网络扩展难题。
从标准文档的角度看，RFC 7348 对 VxLAN 的定义可以概括为：一种在 IP 网络上对二层以太网帧进行封装与解封装的机制，通过把整个以太网帧作为 UDP 报文的载荷进行传输，实现二层网络的隧道化延伸。定义中的三个关键要素值得逐一拆解。第一是"封装以太网帧"，说明 VxLAN 封装的粒度是整个完整的二层帧，包括源 MAC、目的 MAC、VLAN Tag 等全部字段，而不仅仅是三层报文。第二是"UDP 报文"，说明封装的外壳是用户数据报协议，这使得 VxLAN 报文能够像普通 UDP 流量一样在三层网络中被路由、被负载分担、被穿越防火墙。第三是"隧道化延伸"，说明 VxLAN 的本质是一种隧道技术，它建立的是一条逻辑上的点对点通路，两端之间传输的才是真正需要送达的二层数据。
这一定义直接划定了 VxLAN 的适用范围和边界条件。VxLAN 解决的是"二层流量如何跨越三层网络"的问题，它并不替代路由，也不替代交换，而是在二者之上增加了一层逻辑抽象。理解了这个边界，考生在答题时就不容易被"VxLAN 是一种新的路由协议""VxLAN 替代了 VLAN 的所有功能"之类的干扰项迷惑。VxLAN 依然需要底层的 IP 路由可达，依然需要上层的业务网段划分，它只是把传统二层域的范围从物理交换机扩展到了逻辑隧道。
VxLAN 的底层原理，用一句话概括就是 MAC-in-UDP，即把二层以太网帧整体塞进 UDP 报文里，再借助三层 IP 网络完成传输。这个看似简单的思路，背后却隐藏着一整套严谨的封装格式、隧道端点和转发机制，理解这套机制是掌握 VxLAN 的技术本质的关键，也是软考命题人最喜欢深入挖坑的地方。
VTEP 的英文全称是 VXLAN Tunnel End Point，即 VxLAN 隧道端点，它是整个 VxLAN 架构中最核心的功能实体。VTEP 通常部署在服务器上的虚拟交换机里，也可以部署在物理交换机或专门的网络设备上，它同时承担着封装与解封装的双重职责。当一台虚拟机发出的二层帧需要跨越三层网络到达远端虚拟机时，源端 VTEP 会把这帧完整地封装进 VxLAN 隧道报文并发送出去；当隧道报文到达目的端 VTEP 时，目的端 VTEP 再把外层封装剥除，还原出原始的二层帧，交给本地网络继续转发。
VTEP 的职责可以进一步细分为三个层面。第一个层面是标识职责，每个 VTEP 拥有一个唯一的 IP 地址，这个 IP 地址是隧道通信的寻址基础，远端 VTEP 依靠它来确定报文该发给谁。第二个层面是映射职责，VTEP 维护着 VNI 与本地二层域的映射关系，知道本地某个 VLAN 对应着哪个 VNI，从而决定哪些本地流量需要进入隧道。第三个层面是学习职责，VTEP 需要记录远端虚拟机 MAC 地址与远端 VTEP IP 地址的对应关系，以便把封装后的报文准确地送到正确的隧道对端。这三重职责环环相扣，构成了 VxLAN 数据面转发的逻辑基础。
VNI 的英文全称是 VXLAN Network Identifier，即 VxLAN 网络标识符，它是 VxLAN 中用来区分不同逻辑隔离域的核心字段。VNI 的长度是二十四位，理论上最多可以支持一千六百七十七万多个彼此隔离的逻辑网络，这与传统 VLAN 十二位标识符所能提供的四千零九十六个隔离域相比，是数量级上的根本飞跃。这一区别是软考选择题中的经典考点，2024 年上半年网络工程师第 15 题就利用这个区别设置过干扰项。
VNI 与 VLAN ID 的本质区别不仅体现在位数和数量上，更体现在作用域和语义上。VLAN ID 是物理交换机内部的本地概念，它只在单台交换机或相邻交换机的 Trunk 链路上有意义，无法穿越三层网络边界；而 VNI 是隧道层面的全局概念，它封装在 VxLAN 报文头里，随着隧道报文跨越整个三层网络，在任意两个 VTEP 之间都能被识别。换句话说，VLAN 是二层的隔离手段，其边界受限于二层域；VNI 是三层的隔离手段，其边界由隧道的可达范围决定。理解了这一层，考生就能明白为什么 VxLAN 能够支撑公有云海量租户的隔离需求，而 VLAN 只能支撑园区网规模的隔离需求。
VxLAN 的封装格式是理解其转发机制的钥匙，逐层拆解这套封装结构是软考备考中绕不开的基本功。VxLAN 报文的最外层是标准的以太网帧头，承载的是 Underlay 网络的源 MAC 和目的 MAC，用于在底层物理链路上逐跳转发。以太网帧头之内是 IP 报文头，源 IP 是源端 VTEP 的地址，目的 IP 是目的端 VTEP 的地址，这一层负责隧道报文在三层网络中的路由寻址。IP 报文头之内是 UDP 报文头，VxLAN 规定使用固定的目的端口号四千七百八十九，源端口则由 VTEP 根据内层报文的某些字段计算得出，以便支持等价多路径的负载分担。UDP 报文头之内才是 VxLAN 报文头，它是八字节的固定结构，其中最关键的字段就是二十四位的 VNI，用来标识这条隧道属于哪个逻辑网络。VxLAN 报文头之内，才是真正被封装的原始二层以太网帧，包括源 MAC、目的 MAC、VLAN Tag 以及上层的 IP 载荷。
这套逐层封装的结构，决定了 VxLAN 报文的转发路径。源端 VTEP 收到本地虚拟机发出的二层帧后，先查表确定目的 MAC 对应的远端 VTEP，然后依次添加上 VxLAN 头、UDP 头、外层 IP 头和外层以太网头，把报文投递到 Underlay 网络。Underlay 网络中的路由器只看到外层 IP 头，按照普通 IP 路由规则把报文送到目的端 VTEP，完全感知不到内层二层帧的存在。目的端 VTEP 收到报文后逐层剥除封装，还原出原始二层帧，再根据内层目的 MAC 在本地完成最后的二层交付。整个过程对两台通信的虚拟机而言是完全透明的，它们在逻辑上仿佛处于同一个二层交换机之下，这正是 Overlay 技术"物理分离、逻辑一体"的体现。
VxLAN 在实际工程中的落地并非只有一种形态，围绕控制平面的实现方式、网关的部署位置以及业务场景的差异，VxLAN 可以划分出多种不同的分类维度。厘清这些分类，是软考考生从"知道概念"进阶到"理解应用"的关键一步，也是案例分析和场景判断题的高频命题素材。
按照控制平面的实现方式，VxLAN 可以划分为数据平面学习模式和基于 BGP EVPN 的控制平面模式两大类。数据平面学习模式是最基础的实现方式，它不依赖任何额外的控制协议，VTEP 完全依靠数据流量来学习远端 MAC 地址与远端 VTEP 的映射关系。具体而言，源端 VTEP 对于未知目的 MAC 的报文采用泛洪方式，把报文以组播或头端复制的方式发送给同一 VNI 下的所有 VTEP，目的端 VTEP 在收到报文后回包，源端 VTEP 通过观察回包学习到"目的 MAC 对应哪个远端 VTEP"，从而在后续通信中实现单播精准转发。这种方式实现简单，但泛洪会消耗带宽，且 MAC 学习的收敛速度依赖流量触发，在大规模场景下存在明显的效率瓶颈。
基于 BGP EVPN 的控制平面模式则是现代数据中心的推荐方案。EVPN 全称是 Ethernet VPN，它通过 BGP 协议在 VTEP 之间传递路由信息，把 MAC 地址和 VTEP 的映射关系当作 BGP 路由来通告。这样做
本篇完！