网络虚拟化改变了什么
以前公司要扩容网络，得先买交换机、路由器，再拉线布网，一套流程走下来，少说也得一两周。现在不一样了，新部门上线，运维在后台点几下，几分钟就搭好一套隔离的网络环境。这种变化背后，就是网络虚拟化技术在起作用。
资源调度更灵活
传统网络设备是硬邦邦的实体，改配置得登录设备命令行一条条敲。网络虚拟化之后，像Open vSwitch这样的虚拟交换机可以直接运行在服务器上，配合控制器统一管理。比如一个数据中心要划分多个业务区，过去得靠VLAN加物理隔离，现在通过SDN控制器下发策略，逻辑上瞬间完成分片。
举个例子，电商大促前需要临时增加测试环境，原来得挪设备、调端口，现在直接克隆一套虚拟网络模板，IP、路由、ACL策略自动套用，省去了大量重复操作。
网络性能的双面性
虚拟化带来了灵活性，但也引入了额外开销。数据包从虚拟机发出，得经过虚拟交换机、宿主机内核、物理网卡，每一层都有处理延迟。特别是在高吞吐场景下，CPU软转发可能成为瓶颈。
为了解决这个问题，不少企业开始采用SR-IOV技术，让虚拟机直通物理网卡，绕过虚拟交换层。配置示例如下：
# 启用SR-IOV，创建4个VF
echo 4 > /sys/class/net/enp3s0f0/device/sriov_numvfs
# 给虚拟机分配VF
virsh attach-interface vm-web --type hostdev --source 0000:03:10.0 --mode subinterface这种方式接近物理网卡性能，适合数据库、存储等对延迟敏感的服务。
运维方式的转变
过去排查网络问题，习惯抓包看物理端口流量。现在链路可能是GRE、VXLAN隧道，流量封装在UDP里，直接抓物理接口看不出真实情况。得借助控制器查看隧道状态，或者在虚拟交换机上做流表镜像。
比如排查某台虚拟机不通外网，不能只查它自己的防火墙，还得看底层虚拟交换机的ACL规则、安全组策略是否放行。问题定位路径变长了，但好处是所有策略可以集中审计，修改记录可追溯。
安全边界的重新定义
传统防火墙守在出口就行，现在东西向流量大量增加，虚拟机之间互访频繁，光靠边界防护不够用了。微隔离成了新方案，通过在每个虚拟机或容器上部署策略，实现细粒度控制。
例如，在Kubernetes集群中，NetworkPolicy可以限制Pod之间的通信：
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: deny-db-from-unauthorized
spec:
podSelector:
matchLabels:
app: mysql
policyTypes:
- Ingress
ingress:
- from:
- podSelector:
matchLabels:
role: frontend这样即使攻击者突破前端服务，也无法随意扫描数据库。
成本结构的变化
硬件采购成本下降了，毕竟一台服务器能跑几十个虚拟网络节点。但软件授权、维护复杂度、人员技能要求上升了。有些企业上了NFV，结果发现虚拟防火墙许可证按吞吐收费，流量一上来费用翻倍，反而比硬件贵。
还有些团队低估了自动化门槛，以为点点界面就能搞定一切，结果遇到故障还是得进命令行一层层查，反倒增加了负担。技术本身没毛病，关键是怎么用。