扁平网络Flat Network1.1 定义与本质扁平网络是一种将虚拟机VM直接接入物理交换机二层域的网络模式。虚拟机与物理宿主机处于同一子网共享同一个广播域通信基于 MAC 地址进行二层转发无需经过三层网关或路由器。1.2 核心特性• 二层直连虚拟机与物理机在同一局域网内数据包通过物理交换机直接转发。• 无封装损耗不依赖 VXLAN、GRE 等 Overlay 隧道技术避免了封装/解封装带来的 CPU 开销和 MTU 损耗。• 云服务支持通常由云平台的分布式 DHCP 服务分配 IP支持安全组、弹性 IP 等高级网络功能。1.3 优缺点分析维度优势劣势/风险性能极低延迟接近物理机裸机性能架构简单无需复杂的路由和隧道配置扩展性受限不适合大规模多租户安全所有设备在同一广播域存在横向攻击风险管理需严格规划 IP防止云平台分配 IP 与物理静态 IP 冲突2. 扁平网络跨网段扩展方案当原有网段如 10.81.213.0/24地址耗尽时主要有两种扩展路径2.1 方案一扩大子网掩码/24 → /23• 操作将掩码从 255.255.255.0 改为 255.255.254.0可用 IP 翻倍。• 要求必须同步修改网关、所有物理机、云平台网络配置及现有虚拟机网络。• 风险广播域扩大可能引发广播风暴若遗漏物理机掩码修改会导致通信故障。2.2 方案二新增独立网段 路由互通推荐• 操作新增网段如 10.81.214.0/24在物理路由器/三层交换机上配置静态路由实现互通。• 优势对现有环境零影响无需重启或修改配置逻辑隔离提升安全性扩展灵活。• 适用场景中大型网络、生产环境、有安全隔离需求的场景。3. 物理机与虚机跨网段互通3.1 必要性在扁平网络架构下即使物理机如 10.81.213.x与虚机如 10.81.214.x处于不同网段也必须打通。原因包括• 底层通信镜像下发、快照、实时迁移Live Migration、存储流量NVMe-oF均依赖物理机与虚机的高速路由。• 管理平面宿主机需管理虚机状态云平台需下发指令。3.2 关键配置要求开启 IP 转发物理机必须配置 net.ipv4.ip_forward1充当三层路由器。配置静态路由在物理机网关及物理机本身上添加指向虚机网段的路由。剥离 NAT 规则禁止云平台自动添加 MASQUERADE/SNAT确保虚机对外通信保留真实源 IP维持扁平网络的透明性。扁平网络 vs VPC 网络底层架构特性扁平网络 (Flat)VPC 网络 (Overlay)通信方式原生以太网帧直接参与物理路由决策隧道封装VXLAN/GRE物理网络仅作透传Bond 配置必须配置 IP作为网关和网桥端口通常不配 IP仅作二层透传通道Trunk All路由决策物理交换机/路由器处理虚拟路由器vRouter在用户态处理隔离性依赖物理 VLAN 或无隔离逻辑隔离支持多租户公有网络接入模式5.1 公有网络直连虚拟机• 原理虚拟机网卡直接挂载物理网桥流量不经过 vRouter。• 优势性能极高无额外转发开销。• 劣势无安全组/NAT 保护直接暴露于物理网络横向攻击风险高。• 适用场景专用防火墙虚拟机、高性能网关、对延迟极度敏感的核心业务。5.2 经过 vRouterEIP/端口转发• 原理流量路径为 虚拟机 ↔ vRouter ↔ 物理网络。• 优势vRouter 提供安全组、NAT、端口过滤节省公网 IP。• 适用场景普通 Web 服务器、数据库、常规业务生产环境最佳实践。虚拟网桥vSwitch技术实现与形态虚拟网桥Virtual Switch是运行在操作系统或 Hypervisor 层的软件交换设备其核心作用是将虚拟机/容器的虚拟网卡vNIC与宿主机的物理网卡pNIC桥接。6.1 Linux Bridge如 docker0, br0• 实现原理Linux 内核原生模块bridge.ko。• 工作机制通过 veth pair虚拟以太网对将容器/VM 的网络命名空间连接到网桥端口。网桥在内核态根据 MAC 地址表进行二层转发。• 特点轻量级无需额外组件但受限于 Linux 内核协议栈的上下文切换开销高并发下性能存在瓶颈。6.2 OVS / DPDKOpen vSwitch• 实现原理支持 OpenFlow 协议的开源虚拟交换机。• 工作机制默认在内核态运行但可结合 DPDK数据平面开发套件在用户态运行。通过大页内存HugePages和 CPU 绑核完全绕过内核协议栈处理数据包。• 特点支持复杂的 SDN 策略VXLAN 封装、QoS、ACL结合 DPDK 后性能极高是现代云平台 VPC 网络的基石。6.3 商业 Hypervisor vSwitch如 VMware VSS/VDS• 实现原理深度集成于商业 Hypervisor如 ESXi底层内核。• 工作机制虚拟机的 vNIC 直接连接到 vSwitchvSwitch 再 Uplink 到外部物理网卡vmnic。• 特点与底层硬件驱动深度绑定支持硬件卸载TSO, LRO, Checksum Offload集中管理能力强性能最优。6.4 容器网络接口CNI 插件• Flannel基于 Overlay 的编排逻辑。创建 flannel.1 (VXLAN) 设备将容器流量封装为 UDP 报文通过物理网络跨主机传输。• Calico纯三层路由架构。不使用虚拟网桥直接利用 Linux 内核路由表Routing Table和 BGP 协议实现跨主机容器的三层路由互通无封装开销性能优于 Flannel。