EVPN协议概述 - 技术栈

EVPN概念

一、EVPN 到底是什么？

1. 全称与本质

EVPN = Ethernet Virtual Private Network，以太网虚拟专用网络

它本质是一套基于 MP-BGP（多协议边界网关协议）扩展的二层 VPN 控制平面技术标准，核心作用是：在 IP 网络之上，通过 BGP 协议主动发布、同步二层 MAC 地址、三层 IP 路由等可达性信息，实现跨地域、跨设备的二层 / 三层虚拟网络互联。

可以一句话记住它的定位：

EVPN 是 VXLAN 的标准控制平面；VXLAN 是 EVPN 最常用的数据平面封装。 静态 VXLAN 是「只有数据转发、没有控制大脑」的半吊子方案；EVPN 就是给 VXLAN 装上了智能控制大脑。

2. 核心设计思想

EVPN 最核心的突破，是颠覆了传统二层网络「数据平面泛洪学习」的模式：

传统二层 / VXLAN 静态模式：MAC 地址靠广播泛洪被动学习，隧道靠手动配置，没有统一的控制平面；
EVPN 模式：把 MAC 地址、IP 前缀、VNI 映射关系，都当作BGP 路由来主动发布、同步、收敛，用成熟的三层 BGP 协议来管理二层网络。

类比非常形象：

无 EVPN 的静态 VXLAN：像一个没有电话簿的大城市，你要找一个人，只能站在街上大喊名字（泛洪 ARP），等对方回应才能建立联系，效率极低；
有 EVPN 的 VXLAN：城市有了实时更新的中央通讯录（控制平面），所有人的地址信息主动登记、同步，找人事先查通讯录就行，不用再全网大喊。

3. 技术边界澄清

EVPN 不等于 VXLAN，二者是分层解耦的关系：

EVPN = 控制平面：负责发布路由、发现邻居、同步表项，不关心数据怎么封装；
VXLAN = 数据平面：负责报文的隧道封装与转发，不关心表项怎么来的。

EVPN 最初是为运营商 MPLS 网络设计的（RFC 7432），数据平面用 MPLS 封装；后来数据中心云化发展，才把 EVPN 控制平面和 VXLAN 数据平面结合，形成了现在数据中心的标准架构 VXLAN EVPN，也是你现在学习的核心场景。

二、EVPN 的产生背景：完全是被静态 VXLAN 的痛点逼出来的

EVPN 被引入数据中心，根本原因是原生 VXLAN 天生没有控制平面，所有方案靠纯数据平面硬凑，规模上来后完全不可用。

我们顺着技术演进的逻辑，从原始 VXLAN 的缺陷讲起，你就能明白为什么 EVPN 是必然选择。

1. 先天缺陷：原生 VXLAN 标准只定义了数据平面，没有控制平面

2011 年 VXLAN 最初的标准 RFC 7348，只规定了一件事：以太网帧怎么封装成 VXLAN UDP 包、VNI 字段怎么用，完全没提：

VTEP 之间怎么互相发现？
MAC 地址怎么同步？
隧道怎么自动建立？
BUM 流量怎么高效分发？

这些问题全部留给厂商自己实现，于是最早的方案就是你学的静态 VXLAN：手动配置隧道、手动写头端复制列表、MAC 地址靠泛洪学习。小网能用，但一到生产级规模，所有问题全爆发了。

2. 痛点 1：手动配置隧道，运维成本随规模指数级爆炸

静态 VXLAN 里，每个 VNI 的头端复制 peer-list 都要人工逐条配置：

新增 1 台 Leaf，要在所有存量 Leaf 上，给每个相关 VNI 都补加新 VTEP 地址；
新增 1 个 VNI，要在所有相关 Leaf 上，手动配置所有对端 VTEP 地址。

配置量 = Leaf 数量 × VNI 数量，规模稍大就完全不可控： 10 台 Leaf、20 个 VNI，全网要配置上千条 peer-list，漏配、错配是家常便饭，业务单通、泛洪异常的故障频发。 EVPN 的解决方案：通过 Type3（IMET）路由自动发现同 VNI 的 VTEP，自动生成头端复制列表，新增 Leaf、新增 VNI 全网自动同步，零人工配置隧道。

3. 痛点 2：泛洪学习机制，BUM 流量浪费严重，带宽被无效流量占满

静态 VXLAN 没有控制平面，MAC 地址只能靠数据平面泛洪学习：

主机第一次通信、虚拟机迁移后，必须全网泛洪 ARP 和未知单播，才能学到远端 MAC；
再叠加头端复制的带宽放大效应，1 份广播流量复制 N 份，少量 BUM 就能打满骨干链路。

大二层规模越大，无效流量占比越高，正常业务带宽被挤占，这也是老师说 "大二层怕 BUM" 的根本原因。 EVPN 的解决方案：通过 Type2（MAC/IP）路由，主机上线后本地 VTEP 直接把 MAC+IP 地址当作路由发布到全网，所有 VTEP 控制平面主动学习，不需要泛洪；再配合 ARP 代答，能干掉 90% 以上的 ARP 广播，BUM 流量大幅下降。

4. 痛点 3：三层网关只能集中部署，转发效率低，核心成瓶颈

静态 VXLAN 基本只支持二层转发，跨子网只能用集中式三层网关：

哪怕两台虚拟机在同一台 Leaf 上，跨子网流量也要跑到核心网关绕一圈再回来（发卡流量）；
所有三层流量都挤压到核心设备，核心成了性能和可靠性的单点瓶颈，规模越大越卡。

分布式网关是必然趋势，但分布式需要全网同步主机路由，静态 VXLAN 没有这个能力。 EVPN 的解决方案：原生支持三层 VNI + Type5（IP 前缀）路由，全网同步租户主机路由和网段路由，每台 Leaf 都能做本地三层网关，跨子网流量本地直接转发，不用绕行核心，路径最优、时延最低，彻底释放 Spine-Leaf 架构的性能。

控制面协议 vs 数据面协议

控制面 = 网络的大脑，负责算路、建表、同步规则，不碰用户业务数据；

数据面 = 网络的流水线，负责按控制面生成的规则，高速转发真实的用户数据包，不做决策。

平面	对应快递角色	核心工作	特点
控制面	调度中心 + 地址管理系统	1. 统计所有网点、收货地址；2. 规划最优运输路线；3. 更新网点停开、地址变更信息；4. 给每个分拣中心下发分拣规则	只发指令、不碰真实包裹；流量小、动脑决策、对速度要求不高
数据面	快递员 + 分拣中心 + 运输干线	严格按照调度中心给的规则，分拣、运输、投递真实包裹	只执行、不思考路线对错；流量极大、追求极致速度、靠硬件流水线作业

对应到网络里：

控制面算好 "去哪个地址该从哪个口发"，生成路由表、MAC 表、隧道表；
数据面收到数据包，直接查表转发，全程不思考，只执行。

1. VXLAN 本身，只是纯数据面协议

VXLAN 标准 RFC 7348 只定义了一件事：二层帧怎么封装成 VXLAN 隧道报文，也就是只定义了数据面的封装格式。它完全没有规定：

VTEP 怎么互相发现？
MAC 地址怎么同步到远端？
隧道怎么自动建立？
三层路由怎么同步？

这些全是控制面的工作，原生 VXLAN 一概不管，所以才出现了静态 VXLAN这种 "只有数据面、没有控制面" 的方案：

没有控制面协议自动同步，就只能人工手动配置 peer-list、手动建隧道；
没有控制面发布 MAC，就只能靠数据面泛洪广播来被动学习，BUM 流量爆炸。

这就是静态 VXLAN 所有缺点的根源：只有执行的手，没有指挥的脑，所有决策全靠人工 + 泛洪硬凑。

2. EVPN，就是 VXLAN 的标准控制面协议

EVPN 基于 BGP 扩展，专门负责 VXLAN 网络的所有控制面工作：

自动发现同 VNI 的 VTEP 邻居，自动生成头端复制列表，不用手动写 peer-list；
主动发布 MAC 地址、主机 IP 路由，所有 VTEP 控制平面主动学习，不用泛洪；
发布三层 VNI、网段路由，支撑分布式三层网关，不用绕行集中网关；
拓扑变化、虚拟机迁移时，快速更新转发表，毫秒级收敛。

二者配合的完整逻辑链：

EVPN（控制面） ↔ 生成 MAC 表 / 路由表 / 隧道表 ↔ 指导 VXLAN（数据面） ↔ 按表封装转发业务报文

VXLAN 水平分割防环机制

VXLAN 的水平分割，全称是 VTEP 水平分割，是专门针对 BUM 泛洪帧的二层防环规则。核心只有一句话：从 VXLAN 隧道（NVE 接口）收到的 BUM 帧，只能向本地接入侧的 BD 泛洪，绝对不能再通过任何其他 VXLAN 隧道转发给其他 VTEP。

它和「VTEP 全互联隧道（Full Mesh）」是一套组合拳，从根源上杜绝了大二层的泛洪环路，让 VXLAN 不需要 STP 协议也能实现无环、全链路可用的大二层网络。

传统纯二层以太网的底层架构，天生不满足水平分割防环的前提条件。

VXLAN 的水平分割，是绑定了「VTEP 全互联逻辑隧道 + 源端头端复制」这个特定架构的专用防环方案；而传统局域网二层是「逐跳转发、拓扑透明、物理布线」的通用架构，根本没法套用这套逻辑，只能靠 STP 这种适配任意拓扑的通用防环机制。

BGP EVPN概述

BGP知识点

你不用记各种状态机的细节，只要知道：BGP 邻居是手动建的，靠 TCP 传，稳定了之后只传变化的路由，开销很小。

EVPN Type2 路由

先给一句核心定位，先钉在脑子里：

Type2 全称 MAC/IP Advertisement Route（MAC/IP 地址通告路由），是 EVPN 最核心、最基础、使用最多的路由类型。它的本质，就是把「虚拟机的 MAC 地址、IP 地址、所属 VNI、所在 VTEP」这些转发信息，当成 BGP 路由主动发布到全网，彻底替代静态 VXLAN 里「靠广播泛洪被动学 MAC」的低效模式。

一、先回到痛点：为什么一定要有 Type2 路由？

这是设计思想的源头，搞懂了痛点，你自然就能理解它所有设计的合理性。

回顾：静态 VXLAN 的 MAC 是怎么学来的？

静态 VXLAN 没有控制平面，MAC 地址完全靠数据平面泛洪学习：

VM1 要和 VM2 通信，先发 ARP 广播（BUM 帧）；
源 VTEP 头端复制 N 份，全网所有同 VNI 的 Leaf 都收到这个广播帧；
所有 Leaf 从帧里读取源 MAC，被动记下「这个 MAC 属于这个 VTEP」，生成 MAC 表项。

这个模式有三个致命问题，也是大二层规模做不上去的核心原因：

带宽浪费：每新增一台主机，都要全网泛洪一次，主机越多，无效 BUM 流量越多，骨干带宽被垃圾流量占满；
收敛极慢：虚拟机迁移后，旧表项要等老化，新表项要等重新泛洪，业务中断秒级；
未知单播泛滥：MAC 表老化后，第一包必然触发泛洪，无效流量永无止境。

Type2 的设计思想：从「被动泛洪」到「主动通告」

EVPN 的核心突破，就是把三层网络的成熟思路，平移到了二层网络：

三层 IP 网络：靠 OSPF/BGP 主动发布路由，提前建好路由表，数据包来了直接查表转发，不需要泛洪；
二层 VXLAN 网络：靠 EVPN Type2 主动发布 MAC/IP 信息，提前建好 MAC 转发表，帧来了直接查表封装，不需要泛洪。

一句话讲透设计本质：把 MAC 地址、主机 IP 当成「路由」来管理，用 BGP 协议主动登记、同步、收敛，用控制平面的智能，换数据平面的高效。

类比非常好记：

静态 VXLAN 找主机 = 站在大街上喊名字，所有人都能听见，效率极低；
EVPN Type2 找主机 = 有统一的户籍系统，每个人主动登记住址，查系统就能精准找到，效率极高。

二、Type2 路由里到底装了什么？字段逐拆解

一条 Type2 路由，本质就是一张「主机信息登记卡」，里面的字段全部服务于「让远端知道这台主机在哪、属于哪个子网、怎么转发过去」。

初学不用记协议编码，记住每个字段的实际作用即可，核心共 5 个字段：

字段名称	作用	大白话解释
RD（路由区分符）	给路由加全局唯一前缀，解决不同租户 MAC/IP 重复的问题	相当于 "省份证前缀"。不同租户可能用了相同的 MAC、相同的 IP，加上各自的 RD，全网路由就不会冲突。每个 BD/VPN 实例都有独立的 RD。
ESI（以太网段标识）	标记主机所属的多归接入段，用于服务器双归冗余、防环	相当于 "部门编号"。单归场景下值为 0，入门阶段不用深究，它是给高可用多归场景用的。
以太网标签	对应二层 VNI 编号，标记这台主机属于哪个 VXLAN 子网	相当于 "小区编号"。远端收到后，就知道这台主机该放进哪个本地 BD、用哪个 VNI 封装隧道。
MAC 地址	虚拟机的二层物理地址，二层转发的核心索引	相当于 "住户姓名"，是二层 MAC 表的 key。
IP 地址（可选）	虚拟机的三层 IP 地址，三层主机路由的核心索引	相当于 "住户门牌号"，是三层路由表的 key。生产环境一般都带上，同时支撑二三层转发。

一条 Type2 路由翻译成人话就是：

「我是 VTEP 10.0.0.1，我这里有台主机，MAC 是5489-xxxx-xxxx，IP 是192.168.1.10，属于 VNI 5010 子网，RD 是 100:10；全网所有设备，要找这台主机，就把包发给我。」

三、Type2 的两大核心能力：一条路由同时撑住二三层

这是 Type2 最巧妙的设计，也是分布式网关的基础 ------一条路由同时携带 MAC 和 IP，同时支撑二层转发和三层路由，不用分开发布两次。

能力 1：填充二层 MAC 转发表，实现大二层互通

这是最基础的能力，对应二层 VNI。

远端 Leaf 收到 Type2 路由后，提取「MAC 地址 + 对端 VTEP IP + 对应 VNI」，直接写入对应 BD 的 MAC 转发表；
后续收到去往这个 MAC 的二层帧，直接查表封装 VXLAN 隧道发给对端 VTEP，完全不需要泛洪、不存在未知单播。

对应你学过的静态 VXLAN：以前要靠广播才能学到的 MAC 表项，现在控制平面提前就同步好了。

能力 2：填充三层主机路由表，支撑分布式网关

这是 EVPN 的核心进阶能力，对应三层 VNI，也是分布式三层网关的基础。

远端 Leaf 收到带 IP 的 Type2 路由后，提取「IP 前缀 / 32 主机路由 + 对端 VTEP IP + 三层 VNI」，写入对应租户 VPN 实例的路由表；
后续跨子网访问时，直接查到这台主机的精确路由，封装三层 VNI 的隧道发给对端 VTEP，不需要绕行集中网关，本地 Leaf 直接完成三层转发。

补充：什么是 IRB？

你后面会经常听到 IRB（Integrated Routing and Bridge，集成路由桥接），本质就是 Type2 路由同时携带 MAC 和 IP 的模式 ------ 同一条路由，既当二层 MAC 表项用，又当三层主机路由用，二三层一体化，效率极高。

生产环境的 VXLAN EVPN 分布式网关，全部基于 IRB 模式，也就是 Type2 MAC+IP 路由。

IRB

一、IRB 全称与直白定义

IRB = Integrated Routing and Bridging，集成路由桥接

翻译人话：把二层桥接（BD / 广播域）和三层路由网关（VBDIF）整合在一起的一体化转发机制。

最直观一句话

传统设备：二层转发、三层转发是两套完全割裂的独立模块；

IRB：让同一个 BD 二层广播域，直接绑定三层逻辑接口 VBDIF，一套转发体系同时支持同网段二层互通 + 跨网段三层路由。

二、先铺垫：没有 IRB 的传统网络是什么样

传统园区交换机（非 VXLAN，MSTP+VLANIF）

传统逻辑完全等价 IRB，但名字不叫 IRB，底层思想一模一样：

Access/Trunk 口划入 VLAN 10（二层桥接域）；
创建 VLANIF 10，配置网关 IP 192.168.1.1；
同 VLAN10 终端互访：二层 MAC 转发；
VLAN10 访问 VLAN20：流量上送到 VLANIF 做三层路由。

这里的 VLAN + VLANIF 就是传统硬件上的 IRB 原型：二层桥域绑定三层接口，桥接 + 路由一体化。

静态 VXLAN 为什么没有 IRB？

静态 VXLAN 只有二层 BD + 二层 VNI，没有绑定三层 VBDIF、没有三层 VNI：

Leaf 只有纯二层转发能力，不能本地做三层路由；
所有跨网段流量必须送到集中网关统一路由；
不存在 "本地 BD 直接三层转发" 的一体化能力，也就是无 IRB 能力。

三、为什么必须发明 IRB？核心痛点（没有 IRB 完全做不了分布式网关）

痛点 1：分布式三层网关的硬性需求

EVPN 目标：每台 Leaf 本地就能完成跨网段三层转发，不用绕行核心。如果没有 IRB： BD 只是一个纯二层隔离容器，无法挂载三层接口，BD 内的报文无法上送到三层路由模块；虚拟机跨网段访问时，本地 Leaf 没有三层入口，只能全部封装二层隧道扔给集中网关，回到静态 VXLAN 的老路。

IRB 解决方案：给每个 BD 配套 VBDIF 三层接口，BD 和 VBDIF 一一绑定，二层流量可以无缝上送三层做路由，本地 Leaf 自带完整网关能力。

痛点 2：EVPN Type2 路由需要二三层信息一体化同步

Type2 路由同时携带 MAC（二层信息）+ IP（三层主机路由）。

MAC 用于填充 BD 二层 MAC 表（桥接转发）
IP 用于填充 VPN 实例三层主机路由表（路由转发）

如果没有 IRB 一体化架构：二层 BD、三层 VPN 是两套完全分离、互不关联的隔离表，无法做到一条路由同时更新两张表；只能分开发布二层 MAC、三层 IP 两条独立路由，协议开销翻倍、逻辑复杂、收敛变慢。

IRB 设计：BD、VBDIF、二层 VNI、三层 VNI、VPN 实例强绑定，天然打通二三层表项，一条 Type2 路由同步两张表，极简高效。

痛点 3：多租户 Anycast 网关需求

分布式网关所有 Leaf 的 VBDIF 配置相同网关 IP（Anycast）。 IRB 统一绑定租户 VPN 实例，全网同网段共用网关 IP，虚拟机迁移后网关不用修改，业务无感知。无 IRB 则无法实现跨设备统一网关，只能单台设备单独网关，虚拟机迁移必须改网关，无法上云。

痛点 4：区分二层 VNI、三层 VNI，租户二三层流量隔离

IRB 绑定两套 VNI：

二层 VNI：同网段二层互通使用；
三层 VNI：跨网段三层路由封装隧道使用。如果没有 IRB，二三层共用一个 VNI，二层广播、三层路由流量混杂，无法隔离，极易产生大量 BUM 泛洪。

四、IRB 完整工作原理（分层拆解）

核心绑定关系（IRB 的骨架）

BD（二层广播域） ↔ VBDIF（三层逻辑接口） ↔ VPN 实例（租户三层路由表）

BD：处理本 VLAN/VNI 内二层桥接、MAC 学习；
VBDIF：BD 的三层出入口，配置网段网关 IP；
VPN 实例：隔离不同租户的三层路由，附带 RT/RT 控制路由收发；
配套双 VNI：BD 绑定二层 VNI，VPN 绑定三层 VNI。

流程 1：同网段二层转发（仅桥接，不触发 IRB 路由）

VM1 192.168.1.10 → VM2 192.168.1.20，同 BD、同网段

流量进入 BD，查 MAC 表发现目标远端；
封装二层 VNI隧道转发；
全程只走二层桥接，不经过 VBDIF 三层模块。

流程 2：跨网段三层转发（IRB 核心，桥接转路由）

VM1 192.168.1.10 → VM3 192.168.2.20，不同 BD、不同网段

VM1 发送报文，目的 MAC 填写本地 VBDIF 的 MAC；
报文送入 BD 后，IRB 识别目标是三层网关，把二层帧上送到 VBDIF 三层接口；
进入租户 VPN 实例，查 Type2 同步过来的 / 32 主机三层路由；
匹配远端 VTEP 后，封装三层 VNI隧道点对点转发；
对端解封装，送入对应 BD 二层转发给目标 VM。

流程 3：同 Leaf 跨网段（IRB 最优路径，不走隧道）

VM1、VM3 在同一台 Leaf，分属两个 BD

报文上送 VBDIF 三层；
VPN 本地路由直接转发到对端 BD；
全程不封装 VXLAN 隧道，不占用骨干带宽，无发卡流量。

IRB 和 Type2 路由联动原理（最关键）

虚拟机本地上线，Leaf 同时学习 MAC+IP，生成携带 IP 的 Type2 路由：

二层层面：MAC 写入 BD 桥接表（IRB 的桥模块）；
三层层面：/32 主机 IP 写入 VPN 路由表（IRB 的路由模块）；全网所有 Leaf 同步两套表项，本地即可完成二三层转发，不需要绕行集中网关。

VM 迁移不会改变 IP 和网段，只是换接入 Leaf；IRB+Anycast 网关保证虚拟机网关地址全网统一不用改；EVPN Type2 路由全网同步主机位置，自动切换转发路径，实现无感迁移；传统网络每台三层设备网关不同，机器换交换机必须改网关，且没有快速路由同步机制，完全无法支撑云平台弹性迁移。

EVPN Type2 三类路由（MAC-only、ARP 路由、IRB 路由）

Type2 标准名称：MAC/IP Advertisement Route，整条路由的 NLRI 固定字段结构统一：

复制代码

RouteType + RD + ESI + ETag + MAC长度 + MAC地址 + IP长度 + IP地址 + Label1(二层VNI) + Label2(三层VNI)

区分三类路由只看两个字段：IP 地址是否存在、Label2（三层 VNI）是否存在

MAC 类型路由（MAC-only）：无 IP 字段、无 Label2 → 仅二层转发用
ARP 类型路由（MAC+IP、无三层 VNI）：有 IP 字段、只有 Label1 二层 VNI → 仅同步 ARP 映射，只能二层互通、不支持分布式三层网关
IRP/IRB 类型路由（MAC+IP、双 VNI 标签）：有 IP、Label1 二层 VNI、Label2 三层 VNI → IRB 分布式网关专用，同时支撑二层 + 跨网段三层转发

IRP 就是 IRB 路由，行业叫法简写 IRP 路由。

主机MAC地址通告

现在只讲type2的两元的路由

underlay、overlay、数据面、控制面

划分「控制面 / 数据面」是按设备功能分 （控制面算路由、数据面转发包）；划分「Underlay/Overlay」是按网络层级分（底层承载网、上层虚拟业务网）。这是两套独立分类维度，不能绑定、不能划等号！

两个独立维度分开记，永不混淆

维度 1：层级划分（底层 / 上层）

Underlay：底层真实物理 IP 网络（整套独立完整网络，有自己的控制面 + 数据面）
Overlay：叠加在底层之上的虚拟 VXLAN 网络（也是一套完整独立网络，自有控制面 + 数据面）

维度 2：功能划分（任何网络都必有这两部分）

控制面：设备之间交换路由、MAC、拓扑信息，生成转发表（大脑，不转发业务包）
数据面：根据控制面生成的表项，转发真实用户数据包（干活的，只转发不学习路由）

用传统三层路由器举例，帮你理解 "一套网络自带控制 + 数据面"

一台普通路由器，它本身就是一套独立三层网络的节点：

控制面：跑 OSPF，和邻居交换网段，生成 IP 路由表
数据面：收到 IP 包，查路由表转发出去

同理： Underlay 是一整个由 Spine+Leaf 组成的三层 IP 网络，它当然也有自己的控制面、数据面； Overlay 是一整套虚拟隧道网络，同样独立拥有控制面、数据面。

拆开两套网络，分别讲清楚各自的控制面、数据面

一、Underlay（底层物理三层 IP 网，作用：让所有 Leaf 的 Loopback 互通）

Underlay 控制面（大脑）协议：OSPF/IS-IS 工作：交换机互相同步交换机互联网段、Loopback 地址，生成底层 IP 路由表。只关心：交换机本身的 IP，完全不认识虚拟机、VNI、租户。
Underlay 数据面（转发流量）转发对象：封装好 VXLAN 的外层 IP 数据包工作：只读取报文最外层的 IP 头部，根据底层路由表转发；全程不会拆开 VXLAN、看不到里面虚拟机的 MAC/IP。

大白话总结 Underlay

底层高速路网；OSPF 是导航系统（控制面）；路上跑的货车就是 VXLAN 大包（数据面）。

二、Overlay（上层虚拟 VXLAN 业务网，作用：虚拟机跨 Leaf 互通、多租户隔离）

Overlay 控制面（大脑）协议：BGP EVPN 工作：交换机互相同步 Type1/2/3/5 路由，同步虚拟机 MAC、主机 IP、VNI、VTEP 位置，生成 BD MAC 表、租户 VPN 三层路由表。只关心：虚拟机、租户、VNI，不管底层交换机物理 IP 怎么走。
Overlay 数据面（转发流量）转发对象：虚拟机原始二层帧，做 VXLAN 封装 / 解封装工作：给虚拟机帧加 VXLAN 头部（带二层 / 三层 VNI），或者解封装；根据 EVPN 下发的 MAC / 主机路由表决定隧道封装。

大白话总结 Overlay

快递公司包裹系统；EVPN 是总部信息登记系统（控制面）；VXLAN 打包拆包裹是实际搬运（数据面）。

结合传统园区网对比，加深理解

传统园区网（无 VXLAN，只有单层网络）整个网络只有一层，所以只有一套控制面 + 一套数据面：

控制面：STP+OSPF，同步 VLAN、网段
数据面：PC 原始以太网帧直接转发

数据中心 VXLAN 网络是双层叠加网络，等于两套传统网络叠在一起跑，因此各自独立拥有控制面、数据面：底层一套三层 IP 网络（Underlay）承载上层虚拟网络；上层一套虚拟 VXLAN 网络（Overlay）承载虚拟机业务。

完整报文流程，直观看到两层各司其职

VM1 (Leaf1) 同网段访问 VM2 (Leaf2)

Overlay 控制面提前同步：EVPN 发布 Type2 路由，Leaf2 提前学习 VM1 MAC 与 VTEP 地址；
Overlay 数据面动作：Leaf1 给虚拟机帧封装 VXLAN 头部（二层 VNI），外层 IP 填 Leaf2 的 Loopback；
Underlay 控制面提前算好路由：去 Leaf2 Loopback 走 Spine；
Underlay 数据面转发：整个 VXLAN 大包作为普通 IP 包，经 Spine 转发至 Leaf2（只解析外层 IP）；
Leaf2 Overlay 数据面解 VXLAN，剥离隧道头，根据 VNI 送入对应 BD 转发虚拟机流量。