1. 网络虚拟化基础与需求背景
在企业级网络环境中，VLAN（虚拟局域网）技术是实现二层网络隔离的核心手段。传统物理交换机通过划分VLAN来隔离广播域，而随着虚拟化技术的普及，如何在Linux主机上实现类似交换机的VLAN接口配置成为运维人员的必备技能。这里我们重点探讨两种主流方案：基于iproute2工具集的传统配置方式，以及采用Open vSwitch（OVS）的虚拟交换机方案。
物理交换机上的VLAN接口通常有两种工作模式：
- Access模式：接口仅承载单个VLAN流量，常见于终端设备接入
- Trunk模式：接口可承载多个VLAN流量，通过802.1Q标签区分，常用于交换机间互联
在Linux系统中实现这些功能时，iproute工具链提供了基础能力，而OVS则提供了更接近物理交换机的完整功能集。选择哪种方案取决于具体场景：
- 简单隔离需求：iproute足够轻量
- 复杂虚拟网络：OVS提供更丰富的功能
2. 基于iproute2的VLAN配置方案
2.1 环境准备与依赖检查
在开始配置前，请确保系统已安装iproute2工具包。主流Linux发行版通常已预装，可通过以下命令验证：
bash复制ip -V
内核需要支持802.1Q VLAN协议，检查模块是否加载：
bash复制lsmod | grep 8021q
若未加载，需手动加载模块：
bash复制modprobe 8021q
2.2 Access接口配置实战
假设我们要将eth0接口配置为VLAN 100的Access端口，步骤如下：
- 创建VLAN子接口：
bash复制ip link add link eth0 name eth0.100 type vlan id 100
- 激活接口并分配IP地址：
bash复制ip addr add 192.168.100.2/24 dev eth0.100
ip link set eth0.100 up
- 验证配置：
bash复制ip -d link show eth0.100
输出中应包含"vlan protocol 802.1Q id 100"等信息。
注意：Access模式下，物理接口不应配置IP地址，所有流量都应通过VLAN子接口处理。
2.3 Trunk接口配置方法
要将eth1配置为允许VLAN 100和200通过的Trunk端口：
- 创建各VLAN子接口：
bash复制ip link add link eth1 name eth1.100 type vlan id 100
ip link add link eth1 name eth1.200 type vlan id 200
- 为各VLAN配置网络参数：
bash复制ip addr add 192.168.100.1/24 dev eth1.100
ip addr add 192.168.200.1/24 dev eth1.200
ip link set eth1.100 up
ip link set eth1.200 up
- 物理接口本身只需启用（不配置IP）：
bash复制ip link set eth1 up
2.4 持久化配置方案
临时配置重启后会丢失，需通过系统网络配置实现持久化。以Ubuntu 20.04为例：
- 编辑/etc/netplan/01-netcfg.yaml：
yaml复制network:
version: 2
renderer: networkd
vlans:
eth0.100:
id: 100
link: eth0
addresses: [192.168.100.2/24]
- 应用配置：
bash复制netplan apply
3. Open vSwitch高级配置方案
3.1 OVS基础环境搭建
- 安装Open vSwitch：
bash复制# Ubuntu/Debian
apt install openvswitch-switch
# RHEL/CentOS
yum install openvswitch
- 启动服务并创建网桥：
bash复制systemctl start openvswitch-switch
ovs-vsctl add-br br0
3.2 Access端口配置示例
将eth2加入网桥作为VLAN 100的Access端口：
bash复制ovs-vsctl add-port br0 eth2 tag=100
此时eth2将仅传输VLAN 100的流量，相当于物理交换机的Access模式。
3.3 Trunk端口配置详解
配置eth3为允许VLAN 100,200通过的Trunk端口：
bash复制ovs-vsctl add-port br0 eth3 trunk=100,200
如需允许所有VLAN通过（类似物理交换机的native VLAN）：
bash复制ovs-vsctl add-port br0 eth3 trunk=100,200 vlan_mode=native-untagged
3.4 混合模式端口配置
OVS支持更灵活的混合配置，例如：
bash复制ovs-vsctl add-port br0 eth4 tag=100 trunks=200,300
这表示：
- 无标签流量视为VLAN 100
- 带标签200/300的流量正常转发
- 其他VLAN流量丢弃
3.5 OVS持久化与备份
OVS配置默认持久化，但建议定期导出配置备份：
bash复制ovs-vsctl save > ovs_backup.db
恢复配置：
bash复制ovs-vsctl restore < ovs_backup.db
4. 两种方案的对比与选型建议
4.1 功能特性对比
| 特性 | iproute2方案 | OVS方案 |
|---|---|---|
| VLAN支持 | 基础802.1Q | 完整VLAN功能 |
| 流量隔离 | 基于内核 | 基于用户空间 |
| 性能 | 较高 | 略低（需上下文切换） |
| 配置复杂度 | 简单 | 中等 |
| 高级功能 | 有限 | 丰富（QoS、流表等） |
| 适用场景 | 简单隔离需求 | 复杂虚拟网络 |
4.2 性能考量
在以下场景建议选择iproute2：
- 需要最高网络性能
- 仅需基础VLAN隔离
- 系统资源有限
以下场景建议选择OVS：
- 需要精细流量控制
- 配合虚拟化平台使用
- 需要跨主机网络扩展
4.3 典型问题排查指南
问题1：VLAN接口无法通信
- 检查物理接口状态：
ip link show - 验证VLAN ID是否匹配：
ip -d link show - 确认交换机端口模式（Access/Trunk）配置正确
问题2：OVS端口流量异常
- 查看端口状态：
ovs-vsctl list-ports br0 - 检查VLAN配置：
ovs-vsctl get port eth2 tag - 监控流量：
ovs-ofctl dump-flows br0
问题3：网络性能下降
- 检查是否启用了内核加速：
ethtool -k eth0 | grep tx-vlan-offload - 考虑启用GRO/GSO：
ethtool -K eth0 gro on gso on
5. 高级应用场景扩展
5.1 结合KVM虚拟化的网络配置
当使用KVM虚拟化时，OVS可提供更灵活的虚拟网络：
- 创建OVS网桥：
bash复制ovs-vsctl add-br br-vlan
- 添加物理接口为Trunk：
bash复制ovs-vsctl add-port br-vlan eth0 trunk=100,200
- 为虚拟机创建VLAN特定的虚拟接口：
xml复制<interface type='bridge'>
<source bridge='br-vlan'/>
<virtualport type='openvswitch'/>
<vlan>
<tag id='100'/>
</vlan>
</interface>
5.2 使用VLAN实现多租户隔离
在云计算环境中，可通过VLAN实现租户网络隔离：
- 为每个租户分配独立VLAN ID
- 在OVS中配置流表实现隔离：
bash复制ovs-ofctl add-flow br0 "priority=100,dl_vlan=100,actions=output:port1"
ovs-ofctl add-flow br0 "priority=100,dl_vlan=200,actions=output:port2"
5.3 监控与维护技巧
- 实时流量监控：
bash复制ovs-vsctl show
ovs-ofctl dump-flows br0
- 性能调优建议：
- 启用硬件卸载（如果网卡支持）
- 调整OVS线程绑定
- 考虑使用DPDK加速
- 日志分析：
bash复制journalctl -u openvswitch-switch -f