Overlay網(wǎng)絡(luò)是通過網(wǎng)絡(luò)虛擬化技術(shù)，在同一張Underlay網(wǎng)絡(luò)上構(gòu)建出的一張或者多張?zhí)摂M的邏輯網(wǎng)絡(luò)。不同的Overlay網(wǎng)絡(luò)雖然共享Underlay網(wǎng)絡(luò)中的設(shè)備和線路，但是Overlay網(wǎng)絡(luò)中的業(yè)務(wù)與Underlay網(wǎng)絡(luò)中的物理組網(wǎng)和互聯(lián)技術(shù)相互解耦。Overlay網(wǎng)絡(luò)的多實(shí)例化，既可以服務(wù)于同一租戶的不同業(yè)務(wù)(如多個部門)，也可以服務(wù)于不同租戶，是SD-WAN以及數(shù)據(jù)中心等解決方案使用的核心組網(wǎng)技術(shù)。

為什么需要Overlay網(wǎng)絡(luò)?

Overlay網(wǎng)絡(luò)和Underlay網(wǎng)絡(luò)是一組相對概念，Overlay網(wǎng)絡(luò)是建立在Underlay網(wǎng)絡(luò)上的邏輯網(wǎng)絡(luò)。而為什么需要建立Overlay網(wǎng)絡(luò)，就要從底層的Underlay網(wǎng)絡(luò)的概念以及局限講起。

Underlay網(wǎng)絡(luò)

Underlay網(wǎng)絡(luò)正如其名，是Overlay網(wǎng)絡(luò)的底層物理基礎(chǔ)。

如下圖所示，Underlay網(wǎng)絡(luò)可以是由多個類型設(shè)備互聯(lián)而成的物理網(wǎng)絡(luò)，負(fù)責(zé)網(wǎng)絡(luò)之間的數(shù)據(jù)包傳輸。

典型的Underlay網(wǎng)絡(luò)

在Underlay網(wǎng)絡(luò)中，互聯(lián)的設(shè)備可以是各類型交換機(jī)、路由器、負(fù)載均衡設(shè)備、防火墻等，但網(wǎng)絡(luò)的各個設(shè)備之間必須通過路由協(xié)議來確保之間IP的連通性。

Underlay網(wǎng)絡(luò)可以是二層也可以是三層網(wǎng)絡(luò)。其中二層網(wǎng)絡(luò)通常應(yīng)用于以太網(wǎng)，通過VLAN進(jìn)行劃分。三層網(wǎng)絡(luò)的典型應(yīng)用就是互聯(lián)網(wǎng)，其在同一個自治域使用OSPF、IS-IS等協(xié)議進(jìn)行路由控制，在各個自治域之間則采用BGP等協(xié)議進(jìn)行路由傳遞與互聯(lián)。隨著技術(shù)的進(jìn)步，也出現(xiàn)了使用MPLS這種介于二三層的WAN技術(shù)搭建的Underlay網(wǎng)絡(luò)。

然而傳統(tǒng)的網(wǎng)絡(luò)設(shè)備對數(shù)據(jù)包的轉(zhuǎn)發(fā)都基于硬件，其構(gòu)建而成的Underlay網(wǎng)絡(luò)也產(chǎn)生了如下的問題：

• 由于硬件根據(jù)目的IP地址進(jìn)行數(shù)據(jù)包的轉(zhuǎn)發(fā)，所以傳輸?shù)穆窂揭蕾囀謬?yán)重。
• 新增或變更業(yè)務(wù)需要對現(xiàn)有底層網(wǎng)絡(luò)連接進(jìn)行修改，重新配置耗時(shí)嚴(yán)重。
• 互聯(lián)網(wǎng)不能保證私密通信的安全要求。
• 網(wǎng)絡(luò)切片和網(wǎng)絡(luò)分段實(shí)現(xiàn)復(fù)雜，無法做到網(wǎng)絡(luò)資源的按需分配。
• 多路徑轉(zhuǎn)發(fā)繁瑣，無法融合多個底層網(wǎng)絡(luò)來實(shí)現(xiàn)負(fù)載均衡。

Overlay網(wǎng)絡(luò)

為了擺脫Underlay網(wǎng)絡(luò)的種種限制，現(xiàn)在多采用網(wǎng)絡(luò)虛擬化技術(shù)在Underlay網(wǎng)絡(luò)之上創(chuàng)建虛擬的Overlay網(wǎng)絡(luò)。

Overlay網(wǎng)絡(luò)拓?fù)?/p>

在Overlay網(wǎng)絡(luò)中，設(shè)備之間可以通過邏輯鏈路，按照需求完成互聯(lián)形成Overlay拓?fù)洹?/p>

相互連接的Overlay設(shè)備之間建立隧道，數(shù)據(jù)包準(zhǔn)備傳輸出去時(shí)，設(shè)備為數(shù)據(jù)包添加新的IP頭部和隧道頭部，并且被屏蔽掉內(nèi)層的IP頭部，數(shù)據(jù)包根據(jù)新的IP頭部進(jìn)行轉(zhuǎn)發(fā)。當(dāng)數(shù)據(jù)包傳遞到另一個設(shè)備后，外部的IP報(bào)頭和隧道頭將被丟棄，得到原始的數(shù)據(jù)包，在這個過程中Overlay網(wǎng)絡(luò)并不感知Underlay網(wǎng)絡(luò)。

Overlay網(wǎng)絡(luò)有著各種網(wǎng)絡(luò)協(xié)議和標(biāo)準(zhǔn)，包括VXLAN、NVGRE、SST、GRE、NVO3、EVPN等。

隨著SDN技術(shù)的引入，加入了控制器的Overlay網(wǎng)絡(luò)，有著如下的優(yōu)點(diǎn)：

• 流量傳輸不依賴特定線路。Overlay網(wǎng)絡(luò)使用隧道技術(shù)，可以靈活選擇不同的底層鏈路，使用多種方式保證流量的穩(wěn)定傳輸。
• Overlay網(wǎng)絡(luò)可以按照需求建立不同的虛擬拓?fù)浣M網(wǎng)，無需對底層網(wǎng)絡(luò)作出修改。
• 通過加密手段可以解決保護(hù)私密流量在互聯(lián)網(wǎng)上的通信。
• 支持網(wǎng)絡(luò)切片與網(wǎng)絡(luò)分段。將不同的業(yè)務(wù)分割開來，可以實(shí)現(xiàn)網(wǎng)絡(luò)資源的最優(yōu)分配。
• 支持多路徑轉(zhuǎn)發(fā)。在Overlay網(wǎng)絡(luò)中，流量從源傳輸?shù)侥康目赏ㄟ^多條路徑，從而實(shí)現(xiàn)負(fù)載分擔(dān)，最大化利用線路的帶寬。

Overlay網(wǎng)絡(luò)有哪些例子?

Overlay網(wǎng)絡(luò)在SD-WAN、數(shù)據(jù)中心兩大解決方案中被廣泛應(yīng)用，由于其底層Underlay網(wǎng)絡(luò)的架構(gòu)也不盡相同，使得Overlay網(wǎng)絡(luò)的拓?fù)浯嬖诓煌男问健?/p>

數(shù)據(jù)中心的Overlay網(wǎng)絡(luò)

隨著數(shù)據(jù)中心架構(gòu)演進(jìn)，現(xiàn)在數(shù)據(jù)中心多采用Spine-Leaf架構(gòu)構(gòu)建Underlay網(wǎng)絡(luò)，通過VXLAN技術(shù)構(gòu)建互聯(lián)的Overlay網(wǎng)絡(luò)，業(yè)務(wù)報(bào)文運(yùn)行在VXLAN Overlay網(wǎng)絡(luò)上，與物理承載網(wǎng)絡(luò)解耦。

數(shù)據(jù)中心的Overlay網(wǎng)絡(luò)

Leaf與Spine全連接，等價(jià)多路徑提高了網(wǎng)絡(luò)的可用性。

Leaf節(jié)點(diǎn)作為網(wǎng)絡(luò)功能接入節(jié)點(diǎn)，提供Underlay網(wǎng)絡(luò)中各種網(wǎng)絡(luò)設(shè)備接入VXLAN網(wǎng)絡(luò)功能，同時(shí)也作為Overlay網(wǎng)絡(luò)的邊緣設(shè)備承擔(dān)VTEP(VXLAN Tunnel EndPoint)的角色。

Spine節(jié)點(diǎn)即骨干節(jié)點(diǎn)，是數(shù)據(jù)中心網(wǎng)絡(luò)的核心節(jié)點(diǎn)，提供高速IP轉(zhuǎn)發(fā)功能，通過高速接口連接各個功能Leaf節(jié)點(diǎn)。

SD-WAN中的Overlay網(wǎng)絡(luò)

SD-WAN的Underlay網(wǎng)絡(luò)基于廣域網(wǎng)，通過混合鏈路的方式達(dá)成總部站點(diǎn)、分支站點(diǎn)、云網(wǎng)站點(diǎn)之間的互聯(lián)。通過搭建Overlay網(wǎng)絡(luò)的邏輯拓?fù)?，完成不同場景下的互?lián)需求。

圖1-5 SD-WAN的Overlay網(wǎng)絡(luò)(以Hub-Spoke為例)

SD-WAN的網(wǎng)絡(luò)主要由CPE設(shè)備構(gòu)成，其中CPE又分為Edge和GW兩種類型。

• Edge：是SD-WAN站點(diǎn)的出口設(shè)備。
• GW：是聯(lián)接SD-WAN站點(diǎn)和其他網(wǎng)絡(luò)(如傳統(tǒng)VPN)的網(wǎng)關(guān)設(shè)備。

根據(jù)企業(yè)網(wǎng)絡(luò)規(guī)模、中心站點(diǎn)數(shù)量、站點(diǎn)間互訪需求可以搭建出多個不同類型的Overlay網(wǎng)絡(luò)。

• Hub-spoke：適用于企業(yè)擁有1~2個數(shù)據(jù)中心，業(yè)務(wù)主要在總部和數(shù)據(jù)中心，分支通過WAN集中訪問部署在總部或者數(shù)據(jù)中心的業(yè)務(wù)。分支之間無或者有少量的互訪需求，分支之間通過總部或者數(shù)據(jù)中心繞行。
• Full-mesh：適用于站點(diǎn)規(guī)模不多的小企業(yè)，或者在分支之間需要進(jìn)行協(xié)同工作的大企業(yè)中部署。大企業(yè)的協(xié)同業(yè)務(wù)，如VoIP和視頻會議等高價(jià)值的應(yīng)用，對于網(wǎng)絡(luò)丟包、時(shí)延和抖動等網(wǎng)絡(luò)性能具有很高的要求，因此這類業(yè)務(wù)更適用于分支站點(diǎn)之間直接進(jìn)行互訪。
• 分層組網(wǎng)：適應(yīng)于網(wǎng)絡(luò)站點(diǎn)規(guī)模龐大或者站點(diǎn)分散分布在多個國家或地區(qū)的大型跨國企業(yè)和大企業(yè)，網(wǎng)絡(luò)結(jié)構(gòu)清晰，網(wǎng)絡(luò)可擴(kuò)展性好。
• 多Hub組網(wǎng)：適用于有多個數(shù)據(jù)中心，每個數(shù)據(jù)中心均部署業(yè)務(wù)服務(wù)器為分支提供業(yè)務(wù)服務(wù)的企業(yè)。
• POP組網(wǎng)：當(dāng)運(yùn)營商/MSP面向企業(yè)提供SD-WAN網(wǎng)絡(luò)接入服務(wù)時(shí)，企業(yè)一時(shí)間不能將全部站點(diǎn)改造為SD-WAN站點(diǎn)，網(wǎng)絡(luò)中同時(shí)存在傳統(tǒng)分支站點(diǎn)和SD-WAN站點(diǎn)這兩類站點(diǎn)，且這些站點(diǎn)間有流量互通的訴求。一套IWG(Interworking Gateway，互通網(wǎng)關(guān))組網(wǎng)能同時(shí)為多個企業(yè)租戶提供SD-WAN站點(diǎn)和已有的傳統(tǒng)MPLS VPN網(wǎng)絡(luò)的站點(diǎn)連通服務(wù)。

Overlay網(wǎng)絡(luò) VS Underlay網(wǎng)絡(luò)

Overlay網(wǎng)絡(luò)和Underlay網(wǎng)絡(luò)的區(qū)別如下所示：

表1-1 Underlay網(wǎng)絡(luò) VS Overlay網(wǎng)絡(luò)