前言

网络虚拟化相对计算、存储虚拟化来说是比较抽象的，以我们在学校书本上学的那点网络知识来理解网络虚拟化可能是不够的。

在我们的印象中，网络就是由各种网络设备（如交换机、路由器）相连组成的一个网状结构，世界上的任何两个人都可以通过网络建立起连接。

带着这样一种思路去理解网络虚拟化可能会感觉云里雾里——这样一个庞大的网络如何实现虚拟化？

其实，网络虚拟化更多关注的是数据中心网络、主机网络这样比较「细粒度」的网络，所谓细粒度，是相对来说的，是深入到某一台物理主机之上的网络结构来谈的。

如果把传统的网络看作「宏观网络」的话，那网络虚拟化关注的就是「微观网络」。网络虚拟化的目的，是要节省物理主机的网卡设备资源。从资源这个角度去理解，可能会比较好理解一点。

传统网络架构

在传统网络环境中，一台物理主机包含一个或多个网卡（NIC），要实现与其他物理主机之间的通信，需要通过自身的NIC连接到外部的网络设施，如交换机上，如下图所示。

这种架构下，为了对应用进行隔离，往往是将一个应用部署在一台物理设备上，这样会存在两个问题，1）是某些应用大部分情况可能处于空闲状态，2）是当应用增多的时候，只能通过增加物理设备来解决扩展性问题。不管怎么样，这种架构都会对物理资源造成极大的浪费。

虚拟化网络架构

为了解决这个问题，可以借助虚拟化技术对一台物理资源进行抽象，将一张物理网卡虚拟成多张虚拟网卡（vNIC），通过虚拟机来隔离不同的应用。

这样对于上面的问题1），可以利用虚拟化层Hypervisor的调度技术，将资源从空闲的应用上调度到繁忙的应用上，达到资源的合理利用；针对问题2），可以根据物理设备的资源使用情况进行横向扩容，除非设备资源已经用尽，否则没有必要新增设备。这种架构如下所示。

其中虚拟机与虚拟机之间的通信，由虚拟交换机完成，虚拟网卡和虚拟交换机之间的链路也是虚拟的链路，整个主机内部构成了一个虚拟的网络，如果虚拟机之间涉及到三层的网络包转发，则又由另外一个角色——虚拟路由器来完成。

一般，这一整套虚拟网络的模块都可以独立出去，由第三方来完成，如其中比较出名的一个解决方案就是OpenvSwitch（OVS）。

OVS的优势在于它基于SDN的设计原则，方便虚拟机集群的控制与管理，另外就是它分布式的特性，可以「透明」地实现跨主机之间的虚拟机通信，如下是跨主机启用OVS通信的图示。

总结下来，网络虚拟化主要解决的是虚拟机构成的网络通信问题，完成的是各种网络设备的虚拟化，如网卡、交换设备、路由设备等。

Linux下网络设备虚拟化的几种形式

为了完成虚拟机在同主机和跨主机之间的通信，需要借助某种“桥梁”来完成用户态到内核态（Guest到Host）的数据传输，这种桥梁的角色就是由虚拟的网络设备来完成，上面介绍了一个第三方的开源方案——OVS，它其实是一个融合了各种虚拟网络设备的集大成者，是一个产品级的解决方案。

但Linux本身由于虚拟化技术的演进，也集成了一些虚拟网络设备的解决方案，主要有以下几种：

（1）TAP/TUN/VETH

TAP/TUN是Linux内核实现的一对虚拟网络设备，TAP工作在二层，TUN工作在三层。Linux内核通过TAP/TUN设备向绑定该设备的用户空间程序发送数据，反之，用户空间程序也可以像操作物理网络设备那样，向TAP/TUN设备发送数据。

基于TAP驱动，即可实现虚拟机vNIC的功能，虚拟机的每个vNIC都与一个TAP设备相连，vNIC之于TAP就如同NIC之于eth。

当一个TAP设备被创建时，在Linux设备文件目录下会生成一个对应的字符设备文件，用户程序可以像打开一个普通文件一样对这个文件进行读写。

比如，当对这个TAP文件执行write操作时，相当于TAP设备收到了数据，并请求内核接受它，内核收到数据后将根据网络配置进行后续处理，处理过程类似于普通物理网卡从外界收到数据。当用户程序执行read请求时，相当于向内核查询TAP设备是否有数据要发送，有的话则发送，从而完成TAP设备的数据发送。

TUN则属于网络中三层的概念，数据收发过程和TAP是类似的，只不过它要指定一段IPv4地址或IPv6地址，并描述其相关的配置信息，其数据处理过程也是类似于普通物理网卡收到三层IP报文数据。

VETH设备总是成对出现，一端连着内核协议栈，另一端连着另一个设备，一个设备收到内核发送的数据后，会发送到另一个设备上去，这种设备通常用于容器中两个namespace之间的通信。

（2）Bridge

Bridge也是Linux内核实现的一个工作在二层的虚拟网络设备，但不同于TAP/TUN这种单端口的设备，Bridge实现为多端口，本质上是一个虚拟交换机，具备和物理交换机类似的功能。

Bridge可以绑定其他Linux网络设备作为从设备，并将这些从设备虚拟化为端口，当一个从设备被绑定到Bridge上时，就相当于真实网络中的交换机端口上插入了一根连有终端的网线。

如下图所示，Bridge设备br0绑定了实际设备eth0和虚拟设备设备tap0/tap1，当这些从设备接收到数据时，会发送给br0，br0会根据MAC地址与端口的映射关系进行转发。

因为Bridge工作在二层，所以绑定到它上面的从设备eth0、tap0、tap1均不需要设IP，但是需要为br0设置IP，因为对于上层路由器来说，这些设备位于同一个子网，需要一个统一的IP将其加入路由表中。

这里有人可能会有疑问，Bridge不是工作在二层吗，为什么会有IP的说法？其实Bridge虽然工作在二层，但它只是Linux网络设备抽象的一种，能设IP也不足为奇。

对于实际设备eth0来说，本来它是有自己的IP的，但是绑定到br0之后，其IP就生效了，就和br0共享一个IP网段了，在设路由表的时候，就需要将br0设为目标网段的地址。

总结

传统网络架构到虚拟化的网络架构，可以看作是宏观网络到微观网络的过渡

TAP/TUN/VETH、Bridge这些虚拟的网络设备是Linux为了实现网络虚拟化而实现的网络设备模块，很多的云开源项目的网络功能都是基于这些技术做的，比如Neutron、Dockernetwork等。

OVS是一个开源的成熟的产品级分布式虚拟交换机，基于SDN的思想，被大量应用在生产环境中。