VXLAN三层网关-L3 Gateway
VXLAN三层网关提供了VXLAN的三层转发功能，通过将VXLAN关联VSI虚接口（VXLAN虚接口）的方式实现，在VSI虚接口指定IP地址作为VXLAN内所有虚拟机的网关。
VXLAN三层网关的主要功能：
• 实现VXLAN内虚拟机与非VXLAN网络的互访
• 完成跨VXLAN的虚拟机互访
VXLAN三层网关根据其部署方式不同，有集中式和分布式两种。
集中式三层网关
图1 集中式三层网关
集中式网关，即网关都集中在Spine设备。如图10所示，VSI-interface 10和VSI-interface 20都在Spine C设备上。所有跨VXLAN的流量，VXLAN与非VXLAN的互访流量都需要经过Spine。如图1中VM 1访问VM 4时，需要通过Spine设备，并经过两段VXLAN Tunnel，即VXLAN Tunnel 2和VXLAN Tunnel 3。而VM 1访问VM 2，也需要绕行Spine设备，同样需要历经从A到C和从C到A两次VXLAN封装。
集中式网关的优点是流量均会经过Spine设备，能比较容易实现流量控制、自动引流等功能。缺点是Spine设备压力过大，不利于大规模部署。
分布式三层网关
在分布式VXLAN 三层网关方案中，每台VTEP设备都可以作为VXLAN IP网关，对本地站点的流量进行三层转发。分布式三层网关可以很好地解决流量集中而导致Spine设备压力过大的问题，在组网上也可以做到灵活扩展。
图2 分布式三层网关
在分布式网关组网中，Spine设备一般不是VTEP，仅为Underlay网络的一部分，承担普通IP报文的转发功能。
VXLAN的三层网关分布在所有的Leaf设备上。如图2，Leaf A和Leaf B上均有相同的VSI-Interface。VM 1访问VM 4为跨网段通信，VXLAN流量只需要在Leaf A和Leaf B之间直接交互，而不用Spine设备参与。VM 1访问VM 2也是跨网段通信，由于VM 1和VM 2都直连在Leaf A下，VXLAN流量甚至不用出Leaf A就能完成互访。由此，我们能看出，分布式网关的部署方式大大减少了Spine设备的压力。
ARP抑制
ARP流量是数据网络中最常见的BUM报文。为了尽量减少ARP广播对带宽的影响，一般会在VXLAN网络中开启ARP抑制功能。
ARP抑制方法有两种，我们称之为ARP代理和ARP代答。
ARP代理
在ARP代理模式中，VTEP设备会用网关自身的MAC地址进行回应ARP请求。
图3 ARP代理模式
1. VM 1想要和同网段的VM 3进行通信，于是VM 1发起了ARP请求寻找VM 3的MAC。
2. Leaf A开启了ARP代理模式，于是将VSI-Interface 10的MAC回应给VM 1，VM 1上生成了IP 3和MAC G10对应的ARP表项。
3. Leaf A若是没有VM 3的ARP表项，则会在VXLAN中的所有本地和远端端口广播。Leaf A将ARP请求报文的源MAC地址修改成本地地址MAC A，再封装成VXLAN报文发送出去。
4. Leaf B收到Leaf A发来的报文，解封装后，将IP 1与MAC A的对应关系写进表项。发现请求的是本地直连网段的ARP，于是将ARP请求报文中的源MAC地址修改成本地VSI-Interface 10的MAC，发送出去。
5. VM 3收到Leaf B发来的ARP请求报文，将IP 1和MAC G10的对应关系写进自己的ARP表。然后开始回送ARP应答报文，一路回送，最终Leaf A学到了IP 3与MAC B的对应表项。
6. VM 1发送数据报文给VM 3，目的MAC地址为Leaf A上的网关MAC。Leaf A收到报文后，发现目的MAC地址是VSI-interface 10的MAC，于是进行三层查表转发。找到IP 3对应的表项，将目的MAC改为Leaf B的MAC后，再把报文进行VXLAN封装发送给Leaf B。
7. Leaf B解封装VXLAN报文后，发现目的MAC是自己，于是进行三层查表转发。找到IP 3对应的表项，将目的MAC改为VM 3的MAC后，发送给VM 3。VM 3收到VM 1发来的数据报文，回送过程也是如此。
在ARP代理模式下，网关设备在回应ARP时，只会以自己的网关MAC进行回应，这就将所有下挂的服务器MAC进行了屏蔽，实现了ARP抑制的作用。而在数据转发时，由于报文的目的MAC是自己，所以每一跳都会进行三层查表转发。
ARP代答
在ARP代答模式中，VTEP设备会将用请求虚拟机的实际MAC回应ARP请求。
图4 ARP代答模式
ARP代答模式下的首次ARP请求和前文“同VNI单播报文转发流程”章节中的过程相同。在VM 1和VM 3已经在经过flood-learn的过程后，VM 1和VM 3已经可以正常通信，且沿途的设备均已建立正确的表项。
此时，处于同一网段的VM2，同样想要和VM 3通信时，就需要发送ARP请求报文来寻找VM 3的MAC信息。Leaf A已经开启了ARP代答功能，且此时Leaf A上已经有了VM 3的IP和MAC对应表项，那么Leaf A会直接将表项中的MAC 3回应给VM 2，而不需要再经过一次泛洪。这样，ARP代答就可以大大减少ARP泛洪流量。而ARP代答若是配合可以在全网VTEP同步IP和MAC信息的VXLAN控制平面，那么ARP泛洪流量对带宽的影响可以降至最低。