GCP同一子网两台虚拟机能否通过ARP协议绕过默认网关直接通信

你的认知存在偏差。同一VPC子网下的两台虚拟机，无需绕行默认网关即可直接通信，GCP只是没有传统以太网的广播式ARP机制，并非不支持同子网VM直连通信。

• GCP的VPC是纯软件定义的覆盖网络，没有物理交换机的广播域，因此取消了传统的ARP广播请求机制，换成了SDN控制平面的代理ARP应答机制
• 当VM A要和同子网的VM B通信时，VM A的内核还是会正常发送ARP请求，请求VM B的IP对应的MAC地址
• 这个ARP请求不会在子网内广播，而是直接被GCP的宿主机网络代理拦截，代理会直接查询SDN控制平面的全局路由表，拿到VM B对应的MAC地址后直接给VM A返回ARP应答
• 应答返回的MAC地址如果是同可用区的VM，就是VM B本身的虚拟MAC地址，后续流量直接通过SDN的底层路径转发到VM B所在宿主机，全程不需要经过默认网关
• 只有当通信目标IP不在当前子网范围内时，GCP的代理ARP才会返回默认网关的MAC地址，引导流量走网关转发

你可以直接在两台同子网VM上操作验证：

1. 分别在两台VM上执行ip route查看路由表，可以看到同子网的路由规则优先级高于默认网关路由，标记为scope link，表示二层直连
2. 执行tcpdump arp抓ARP包，再ping对端VM，会看到ARP请求只有1次请求1次应答，没有广播泛洪，应答延迟极低，就是SDN代理直接返回的结果
3. 两台VM通信的traceroute结果里，不会出现默认网关的IP，第一跳就是对端VM的IP，说明没有经过网关转发

内容的提问来源于stack exchange，提问作者iplayfpl