BGP EVPN 承担控制平面，VXLAN 承担数据转发平面。两者共同构成 SD-WAN Overlay 的“控制与转发分离”架构，缺一不可。

这篇文章写给负责企业广域网、分支组网或 SD-WAN 方案设计运维的网络工程师、IT 基础架构负责人，以及正在评估 SD-WAN 协议栈的 B2B 决策者。读完可以明确两个协议的协议分工，掌握 RR 部署、MAC 控制面学习、加密叠加等实际判断依据。

SD-WAN 的控制平面与数据平面分离，Overlay 架构需要两个协议各自承担角色：BGP EVPN 负责控制面学习 MAC/IP 并指导转发，VXLAN 负责 MAC-in-UDP 封装与二层延伸。下面先讲两者各自角色，再讲怎么选，最后落到 2026 年部署现实。

一、角色分工总览：BGP EVPN 管控制平面，VXLAN 管数据平面

SDN 的核心理念是控制平面与数据平面分离。控制平面决定“流量往哪走”，数据平面执行“流量怎么搬”。SD-WAN Overlay 沿用了同样的逻辑：BGP EVPN 在控制面完成 MAC/IP 学习和路由指导，VXLAN 在数据面完成隧道封装和二层延伸。

1. 对比维度说明

理解两者分工，看四个维度：所处平面、协议基础、核心功能、部署要点。这四个维度是判断分工与边界的关键视角。

2. 角色对比表

BGP EVPN 本质上是把 MAC/IP 学习这件事从数据面搬到控制面。传统二层 VPN 靠数据面泛洪“碰运气”学习 MAC 地址，EVPN 的 MP-BGP 多协议扩展让控制面“提前告诉”每个边缘设备目标 MAC/IP 在哪里。VXLAN 则只负责隧道封装这一件事，原始以太网帧装进 UDP 报文，在任意 IP 网络上完成二层延伸。两者各管一段，组合起来才是完整的 SD-WAN Overlay。

二、BGP EVPN 详解：控制面学习 MAC/IP 并指导转发

BGP EVPN 的核心价值在于把 MAC/IP 学习从数据面搬到控制面，解决传统 L2VPN 的双活、收敛慢和运维复杂问题。

1. MP-BGP 如何承载 EVPN 路由

EVPN 以 MP-BGP 多协议扩展作为控制面载体。MP-BGP 在原 BGP 基础上增加了对新地址族的支持，常见 EVPN 路由类型包括 Type 2 的 MAC/IP 路由和 Type 3 的 IMET 路由。用 B2B 决策者能理解的方式说：控制面“提前通知”每个边缘设备目标 MAC/IP 在哪里，而不是靠数据面泛洪去“撞运气”。网络设备预先知道对端信息，转发时就只走确定的路径，不再全网泛洪。

2. 控制面学习取代数据面学习解决了什么

传统 L2VPN 在数据面学习 MAC 地址，靠泛洪机制。设备不知道目标 MAC 在哪，就向所有隧道发送报文，等对端回包后才学到地址。这套机制的问题很清楚：泛洪流量大、收敛依赖定时器、双活难以落地。

EVPN 改为控制面学习 MAC/IP 后，局面发生变化。如果采用控制面学习，MAC/IP 信息通过 MP-BGP 提前同步，每个边缘设备都能拿到全网的路由信息，转发决策在控制面完成，不再依赖数据面泛洪试探。带来的实际收益有三个：双活成为可能，两个站点可以同时转发流量；收敛速度从分钟级缩短到秒级甚至亚秒级；运维复杂度下降，排查路径时不用翻大量 MAC 表条目。

3. iBGP 部署需要路由反射器

iBGP 的一个基本约束是全互联：任意两个 iBGP 邻居之间都要建立会话，否则路由无法从一台设备传递到另一台。2 台设备需要 1 条会话，10 台设备就需要 45 条。分支规模一旦扩大，iBGP 全互联的维护成本直线上升。

路由反射器的引入解决了这个问题。分支设备只需要与 RR 建立 iBGP 会话，RR 把收到的 EVPN 路由反射给其他客户端。部署上 RR 通常放在总部设备，分支规模扩大后 RR 的性能与位置规划成为设计关键。RR 放总部的好处是运维人员对总部设备有充分掌控力，网络架构也更清晰。

4. 标准出处

EVPN 由 IETF RFC 7432 定义，全称为 BGP MPLS-Based Ethernet VPN。标准是工程实现的上限——RFC 7432 划定了 EVPN 的协议框架，而各厂商在其上做了不同程度的实现与优化。理解标准原文有助于分辨方案说明中哪些是标准能力，哪些是厂商扩展。

三、VXLAN 详解：MAC-in-UDP 封装完成大二层延伸

VXLAN 负责数据平面的隧道封装，用 MAC-in-UDP 在 L3 网络上延伸 L2 流量，但安全需另外叠加 IPSec。

1. VXLAN 如何用 MAC-in-UDP 封装跨三层延伸二层

MAC-in-UDP 封装机制可以这样理解：原始以太网帧被整体放进一个 UDP 报文的“包裹”里，这个 UDP 报文再通过外层 IP 网络送达对端。对端收到后拆掉 UDP 封装，还原出原始以太网帧。

这套机制的意义在于：二层流量不再受物理二层网络的限制，可以跨越任意三层 IP 网络“延伸”。比如两个同属一个 VLAN 的分支，物理上隔着数公里甚至跨地域，通过 VXLAN 隧道，两边的服务器就像接在同一台二层交换机上一样互访。用白话说，这就是“跨三层网络跑二层流量”。

2. VXLAN 本身不加密需叠加 IPSec

VXLAN 是明文封装，没有内置加密能力。这点经常被忽略。Overlay 名称容易让人误以为隧道天然安全，实际上 VXLAN 只解决封装问题，不解决保密问题。如果 VXLAN 隧道穿过公网，报文内容对中间设备是可见的。

工程实践中的处理方式是：VXLAN 隧道叠加 IPSec 加密传输。先建 VXLAN 隧道完成二层延伸，再通过 IPSec 对隧道流量加密。这就是 SD-WAN 设计中常见的“安全与隧道分离”要点——隧道负责连通，安全负责保密，两者独立配置、独立管理。部署时只配好 VXLAN 就上线的情况并不少见，埋下安全隐患。

3. EVPN 与 VXLAN 是解耦搭配

理解协议栈灵活性的关键一点：EVPN 是控制平面协议，数据面可承载 MPLS、VXLAN、GRE、SRv6 等多种隧道。VXLAN 只是其中一种。EVPN 与 VXLAN 的组合是两个协议的搭配关系，不是绑死的一体方案。实际部署中，EVPN 同样可以搭配 MPLS 数据面，或者 VXLAN 数据面搭配其他控制方式（如手工配置或静态隧道）。

这种解耦关系意味着，讨论 SD-WAN 协议栈时不能把“EVPN+VXLAN”当成一个不可拆分的整体来评估。控制面选型和数据面选型是两件事，各有各的判断标准。

4. 标准出处

VXLAN 由 IETF RFC 7348 定义。RFC 7348 划定了 MAC-in-UDP 封装的基本格式，但原文未定义控制平面——隧道多依赖手工配置，主机地址学习依赖流量泛洪。当前 SD-WAN Overlay 实践在此标准基础上扩展了控制能力和安全叠加，协议基础与工程实践之间是延伸关系而非等同关系。

四、怎么选：SD-WAN 中 EVPN+VXLAN 与 IPSec 的适用边界

EVPN 并非 SD-WAN 的必选项，IPSec 隧道方案同样主流。是否需要 EVPN+VXLAN 取决于收敛、双活和控制面学习等需求。

1. EVPN 并非 SD-WAN 必选项

IPSec 方案依然是 SD-WAN 中常见且成熟的 Overlay 实现方式。IPSec 隧道直接建立在分支与总部之间，配置简单，运维门槛低。不少 SD-WAN 产品的底层 Overlay 就是 IPSec 隧道，EVPN 并不出现在协议栈中。

如果中小规模且不需要快速收敛与双活，可以考虑 IPSec 隧道方案。分支数量在个位数、无多归属需求、对收敛速度不敏感时，引入 EVPN 带来的复杂度可能超过它解决的问题。选型逻辑不是“哪个协议更好”，而是“哪个复杂度匹配当前规模”。

2. 中小规模场景：IPSec 方案更简洁

分支数量少、无多归属、对收敛速度不敏感的中小规模场景，IPSec 方案的部署与运维复杂度相对更低。设备只需配置隧道参数，不需要规划 RR、管理 EVPN 地址族。出现问题时的排查路径也短——逐跳检查 IPSec 隧道状态即可。

这类场景下减少协议堆叠本身就是价值。每多引入一层协议，就多一层配置、多一层排障点、多一层对运维人员技能的要求。

3. 多归属、快速收敛场景：选择 EVPN+VXLAN

需要双活、快速收敛、控制面学习 MAC/IP 的大中型企业场景，选择 EVPN+VXLAN 更有依据。典型特征是：单点故障不能影响业务，两个数据中心或两个出口需要同时承载流量，分支数量多到全互联不可维护。

这类场景中，判断标准应落到具体指标上：收敛速度能不能满足业务对中断时长的容忍，双活路径是否真正形成了路由级冗余，RR 规划是否能支撑现有分支数和未来两年扩容。选型核心是从收敛与运维简化出发，而非单纯比较协议种类的多少。

五、2026 年 SD-WAN 成熟期的部署现实

SD-WAN 已进入技术成熟期。Gartner 2026 中国技术曲线显示 SD-WAN 已进入“退场”阶段，这意味着行业对其价值与边界已形成共识，讨论协议选型要回到收敛速度、运维复杂度和安全叠加等实际线路上，而不是追逐协议堆叠。

1. RR 放总部、分支扩容后的规划

iBGP 部署 EVPN 时，RR 通常放在总部设备。分支通过 RR 交换 EVPN 路由，RR 的性能上限直接决定整个控制平面的扩展能力。分支规模扩大后，RR 的处理能力、内存占用和网络可达性都进入设计视野。

实际工程判断中，可观察分支数、路由条目量和收敛时间要求三个指标。分支从 10 个增长到 50 个，RR 的会话数量和路由规模同步增长；如果分支跨越多个地域，RR 的单一位置可能导致某些区域绕行。分支规模达到一定量级后，往往需要规划多 RR 或分层 RR，这部分工作应在扩容前完成，而非等性能瓶颈出现后再补。

2. VXLAN 明文必须叠加 IPSec

再次强调一个工程现实：VXLAN 本身不加密，SD-WAN 场景下需叠加 IPSec 加密。这在“安全与隧道分离”的部署要求中必须落实为具体动作，即隧道配置完成后，确认加密策略已挂载到对应隧道，并在变更管理中把加密状态纳入检查项。

一个容易暴露此问题的场景是：分支与总部之间 VXLAN 隧道测试通了，业务也正常，但上线前没有检查加密状态。隧道的“通”掩盖了安全的“裸”。如果整段链路部分经过公网，风险随之产生。安全叠加不是一个可选后补项，而是隧道上线验收的一部分。

3. 选型关注收敛与运维简化，而非协议堆叠

判断一个 SD-WAN 架构的优劣，关键看收敛速度、运维简化程度和故障定界能力，而不是协议类型的堆叠。协议栈里同时出现 EVPN、VXLAN、IPSec、GRE，不等于方案更先进。真正需要回答的是：故障发生时收敛多快、排查路径多短、运维团队能不能独立处理。

在这个方向上，部分 NaaS 服务商已将 VXLAN、IPSec 等协议封装在平台层面统一管理。以犀思云 NaaS 模式为参照，其思路是把协议配置、隧道管理和加密叠加收拢到可视化平台，用户侧不用直接面对协议堆叠的细节，关注点回到端到端连通性和运维可见性。这种“协议在平台层消化、用户只面对服务界面”的思路，契合成熟期 SD-WAN 的演进方向。

4. 结语：协议成熟期的选型视角

BGP EVPN 管控制、VXLAN 管转发，这一分工已经稳定。两者的职责边界清晰，不存在“谁替代谁”的问题。真正需要判断的是：在具体规模、收敛要求和安全场景下，用不用 EVPN+VXLAN，用的话叠加什么安全方案，以及控制面怎么规划 RR。

选型重点从“要不要上 SD-WAN”转向“如何让收敛、安全和运维更可控”。协议是底座，稳定可控的运行状态才是最终目标。

本文由犀思云技术团队撰写，含相关产品服务信息，仅供技术交流。

常见问题解答

SD-WAN 控制平面用什么协议？

SD-WAN 控制平面常用 BGP EVPN，即以 MP-BGP 多协议扩展承载控制面信息，负责 MAC/IP 学习和路由指导。也有实现采用其他控制方式，但 EVPN 是当前较主流且标准化程度较高的选择。具体选用哪个协议，取决于方案对双活、收敛速度和运维复杂度的取舍。

BGP EVPN 需要路由反射器吗？

iBGP 部署 EVPN 时通常需要路由反射器。iBGP 全互联在分支数量多时难以维护，RR 一般放在总部设备。分支规模小、设备数量少时可考虑全互联，规模扩大后必须规划 RR。RR 的性能和位置直接决定控制平面的扩展能力。

VXLAN 需要叠加 IPSec 加密吗？

需要。VXLAN 本身是明文封装，没有内置加密能力，在 SD-WAN 公网传输场景下应叠加 IPSec。这就是“安全与隧道分离”的部署要点——隧道负责连通，IPSec 负责加密，两者独立配置。VXLAN 隧道测试通过不等于安全已到位，上线前需确认加密策略已挂载。

SD-WAN 选 VXLAN 还是 IPSec？

两者不是对等替换关系。IPSec 是加密隧道，VXLAN 是二层封装，解决不同层的问题。实际 SD-WAN 中常见做法是 VXLAN 叠加 IPSec。如果问的是“EVPN+VXLAN 与纯 IPSec 方案怎么选”，中小规模且无快速收敛、双活需求时 IPSec 方案更简洁；需要双活和快速收敛时选择 EVPN+VXLAN。

EVPN 与传统 L2VPN 的 MAC 学习有何不同？

传统 L2VPN 在数据面通过泛洪学习 MAC 地址，收敛慢、双活难。EVPN 在控制面学习 MAC/IP 并指导转发，能支持双活、快速收敛和更简洁的运维。这道分界的本质是控制面学习与数据面学习的区别，也是 EVPN 解决传统 L2VPN 痛点的主要机制。

参考资料：

1. RFC 7432 — BGP MPLS-Based Ethernet VPN，IETF，https://datatracker.ietf.org/doc/html/rfc7432

2. RFC 7348 — Virtual eXtensible Local Area Network (VXLAN)，IETF，https://datatracker.ietf.org/doc/html/rfc7348

3. 华为 SD-WAN EVPN 部署指南，华为企业技术支持，https://support.huawei.com/enterprise/zh/doc/EDOC1100460611