04-二层技术-以太网交换配置指导

06-VLAN终结配置

1 VLAN终结

设备各款型对于本节所描述的特性支持情况有所不同，详细差异信息如下：

型号	特性	描述
MSR810/810-W/810-W-DB/810-LM/810-W-LM/810-LM-HK/810-W-LM-HK	VLAN终结	不支持
MSR 2630		支持
MSR3600-28/3600-51		支持
MSR 3610/3620/3620-DP/3640/3660		支持
MSR 5620/5660/5680		支持
MSR2600-10-X1		支持

1.1 VLAN终结简介

VLAN终结是指对接收到的报文，按照报文携带的VLAN Tag信息匹配对应的接口后，去除报文VLAN Tag，再将报文进行三层转发或交由其他业务处理。转发出去的报文是否带有VLAN Tag由出接口决定，对从配置了VLAN终结的接口发送的报文，按照该接口上的终结配置，将相应的VLAN Tag添加到报文中后发送该报文。

1.1.1 VLAN终结分类

根据对所终结的报文的不同处理方式，VLAN终结分为以下四种：

· Dot1q终结：用来终结带有一层及以上VLAN Tag的报文（要求最外层VLAN ID必须匹配配置值），从配置了Dot1q终结的接口发送的报文，都添加一层VLAN Tag。

· QinQ终结：用来终结带有两层及以上VLAN Tag的报文（要求最外两层VLAN ID必须匹配配置值），从配置了QinQ终结的接口发送的报文，都添加两层VLAN Tag。

· Untagged终结：用来终结收到的不带VLAN Tag的报文，从配置了Untagged终结的接口发送的报文，都不添加VLAN Tag。

· Default终结：用来终结同一主接口上其他子接口上无法处理的报文，从配置了Default终结的接口发送的报文，都不添加VLAN Tag。

为便于描述，本特性部分内容对带有两层及以上VLAN Tag的报文，将其最外两层VLAN Tag按从外层到内层的方向，分别用第一层VLAN Tag、第二层VLAN Tag表示，对VLAN ID的描述类似。

1.1.2 VLAN终结应用场景

1. 指定VLAN间的互通

划分VLAN后，不同VLAN间的主机不能直接通信，使用三层路由技术可以实现所有VLAN间报文的互通。此时如果要对互通的VLAN范围做限制，即要求只有指定的部分VLAN间可以互通，可以借助VLAN终结功能来实现。目前可以通过VLAN接口/三层以太网子接口/三层聚合子接口实现指定VLAN间的互通。

如下图所示，Host A属于VLAN 2，Host B属于VLAN 3，将Host A的网关地址指定为1.1.1.1/24，Host B的网关地址指定为1.1.2.1/24，就可以通过在三层以太网子接口GigabitEthernet1/0/1.1和GigabitEthernet1/0/2.1上配置VLAN终结来实现Host A和Host B之间的互通了。

图1-1 VLAN终结用于不同VLAN之间互通

2. 局域网和广域网的互联

局域网内的报文大多数都带有VLAN Tag，但一些广域网协议并不能识别VLAN报文，比如ATM、FR和PPP等，这种情况下，如果局域网的VLAN报文要转发到广域网，需要在本地记录并去掉报文的VLAN信息后再转发，可以借助VLAN终结功能来实现。目前可以通过VLAN接口/三层以太网子接口/三层聚合子接口实现局域网和广域网的互联。

如下图所示，用户网络的私网VLAN为Customer VLAN，运营商为用户网络分配的公网VLAN为Service VLAN。当用户网内Customer VLAN的报文进入运营商网络时，报文外面就会被封装上Service VLAN的VLAN Tag。在运营商网基于Service VLAN进行转发。如果报文要发往外部WAN，则需要在出口网关（Device）上对该报文进行VLAN终结处理，去掉两层VLAN Tag，再通过同/异步串口Serial2/1/0发送到WAN。

图1-2 VLAN终结用于LAN和WAN的互联

1.2 VLAN终结配置任务简介

表1-1 VLAN终结配置任务简介

配置任务		说明	详细配置
配置Dot1q终结	配置明确的Dot1q终结	请根据设备的支持情况选择一种方式	1.3.1
配置Dot1q终结	配置模糊的Dot1q终结		1.3.2
配置QinQ终结	配置明确的QinQ终结		1.4.1
配置QinQ终结	配置模糊的QinQ终结		1.4.2
配置Untagged终结			1.5
配置Default终结			1.6
配置VLAN终结支持广播/组播		可选	1.7
配置VLAN Tag的TPID值		可选	1.8

配置VLAN终结时，需要注意：

· 主接口本身不能对VLAN报文做终结处理，在主接口创建子接口后，由子接口来处理。

· VLAN接口、三层以太网子接口、三层聚合子接口、三层虚拟以太网子接口都可以终结匹配最外层VLAN ID的报文或匹配最外两层VLAN ID的报文。其中，VLAN接口只能终结最外层VLAN ID与接口编号相同的VLAN报文，不能通过命令行修改，比如Vlan-interface10只能终结最外层VLAN ID为10的报文。

· 在三层以太网子接口/三层聚合子接口/三层虚拟以太网子接口视图下修改已有的VLAN终结配置后，该子接口会down/up一次，设备ARP表中与该子接口相关的动态表项也会被全部删除。

配置VLAN终结后，对收到的报文按照如下优先级顺序匹配接口：

· 配置QinQ终结的子接口

· 配置带loose属性的QinQ终结的子接口

· 配置Dot1q终结或者缺省支持Dot1q终结的子接口

· 配置带loose属性的Dot1q终结的子接口

· 配置Untagged终结的子接口

· 配置Default终结的子接口

· 主接口

与VLAN接口绑定的主接口在收到VLAN报文后，根据VLAN接口的配置对报文进行处理。

1.3 配置Dot1q终结

根据每个子接口所能终结的VLAN报文中最外层VLAN ID范围的不同，Dot1q终结分为：

· 明确的Dot1q终结：只允许接收最外层VLAN ID为指定值的VLAN报文，其他VLAN报文则不允许通过该子接口。收到报文后，将报文最外层VLAN Tag剥离。发送报文时，给报文添加一层VLAN Tag，VLAN ID为指定值。

· 模糊的Dot1q终结：只允许接收最外层VLAN ID在指定范围内的VLAN报文，不属于该范围的VLAN报文则不允许通过该子接口。收到报文后，将报文最外层VLAN Tag剥离。发送报文时，会给报文添加一层VLAN Tag，VLAN ID字段取值为：对于PPPoE报文，通过查找PPPoE会话表项获取相应的VLAN ID；对于MPLS和其他IPv4报文，通过查找ARP表项获取相应的VLAN ID。

1.3.1 配置明确的Dot1q终结

表1-2 配置明确的Dot1q终结

操作		命令	说明
进入系统视图		system-view	-
进入接口视图	三层以太网子接口视图	interface interface-type interface-number.subnumber	-
	三层聚合子接口视图	interface route-aggregation interface-number.subnumber
	三层虚拟以太网子接口视图	interface virtual-ethernet interface-number.subnumber
	L3VE子接口视图	interface ve-l3vpn interface-number.subnumber
使能当前接口的Dot1q终结功能，并指定当前子接口能够终结的VLAN报文最外层VLAN ID		vlan-type dot1q vid vlan-id [ loose ]	-

1.3.2 配置模糊的Dot1q终结

表1-3 配置模糊的Dot1q终结

操作		命令	说明
进入系统视图		system-view	-
进入接口视图	三层以太网子接口视图	interface interface-type interface-number.subnumber	-
	三层聚合子接口视图	interface route-aggregation interface-number.subnumber
	三层虚拟以太网子接口视图	interface virtual-ethernet interface-number.subnumber
	L3VE子接口视图	interface ve-l3vpn interface-number.subnumber
使能当前接口的Dot1q终结功能，并指定当前子接口能够终结的VLAN报文的最外层VLAN ID范围		vlan-type dot1q vid vlan-id-list [ loose ]	缺省情况下，未使能Dot1q终结功能

1.4 配置QinQ终结

根据每个接口所能终结的VLAN报文的最外两层VLAN ID范围的不同，QinQ终结分为：

· 明确的QinQ终结：只允许接收最外两层VLAN ID均为指定值的报文，其他VLAN报文则不允许通过该接口。收到报文后，将报文最外两层VLAN Tag剥离。发送报文时，会给报文添加两层VLAN Tag，两层VLAN ID均为指定值。

· 模糊的QinQ终结：只允许接收最外两层VLAN ID均在指定范围内的报文，不属于该范围的VLAN报文则不允许通过该接口。收到报文后，将报文最外两层VLAN Tag剥离。发送报文时，会给报文添加两层VLAN Tag。添加VLAN Tag后，报文的最外两层VLAN ID取值为：对于PPPoE报文，通过查找PPPoE会话表项获取相应的VLAN ID；对于MPLS和其他IPv4报文，通过查找ARP表项获取相应的VLAN ID。

1.4.1 配置明确的QinQ终结

表1-4 配置明确的QinQ终结

操作		命令	说明
进入系统视图		system-view	-
进入接口视图	三层以太网子接口视图	interface interface-type interface-number.subnumber	-
	三层聚合子接口视图	interface route-aggregation interface-number.subnumber
	三层虚拟以太网子接口视图	interface virtual-ethernet interface-number.subnumber
	L3VE子接口视图	interface ve-l3vpn interface-number.subnumber
使能当前接口的QinQ终结功能，并指定当前接口可以终结的VLAN报文的最外两层VLAN ID		vlan-type dot1q vid vlan-id second-dot1q vlan-id [ loose ]	-

1.4.2 配置模糊的QinQ终结

配置模糊的QinQ终结时，需要注意：

· 在同一主接口的不同子接口下配置QinQ终结功能时，如果指定的第一层VLAN ID相同，则第二层VLAN ID必须不同；如果指定的第一层VLAN ID不同，则第二层VLAN ID可以相同。

· 不同主接口下的子接口可以终结的VLAN报文可以相同也可以不同。

· 在同一子接口下多次执行vlan-type dot1q vid second-dot1q命令时，如果新配置中的第一层VLAN ID和当前生效配置中的第一层VLAN ID相等，则最终生效的第二层VLAN ID是多次配置的集合。

表1-5 配置模糊的QinQ终结

操作		命令	说明
进入系统视图		system-view	-
进入接口视图	三层以太网子接口视图	interface interface-type interface-number.subnumber	-
	三层聚合子接口视图	interface route-aggregation interface-number.subnumber
	三层虚拟以太网子接口视图	interface virtual-ethernet interface-number.subnumber
	L3VE子接口视图	interface ve-l3vpn interface-number.subnumber
使能当前接口的QinQ终结功能，并指定当前接口可以终结的VLAN报文的最外两层VLAN ID		vlan-type dot1q vid vlan-id-list second-dot1q { vlan-id-list \| any } [ loose ]	缺省情况下，未使能QinQ终结功能

1.5 配置Untagged终结

表1-6 配置Untagged终结

操作		命令	说明
进入系统视图		system-view	-
进入接口视图	三层以太网子接口视图	interface interface-type interface-number.subnumber	-
	三层聚合子接口视图	interface route-aggregation interface-number.subnumber
	三层虚拟以太网子接口视图	interface virtual-ethernet interface-number.subnumber
	L3VE子接口视图	interface ve-l3vpn interface-number.subnumber
使能当前接口的Untagged终结功能，使当前接口可以处理不带VLAN Tag的报文		vlan-type dot1q untagged	缺省情况下，未使能Untagged终结功能

1.6 配置Default终结

表1-7 配置Default终结

操作		命令	说明
进入系统视图		system-view	-
进入接口视图	三层以太网子接口视图	interface interface-type interface-number.subnumber	-
	三层聚合子接口视图	interface route-aggregation interface-number.subnumber
	三层虚拟以太网子接口视图	interface virtual-ethernet interface-number.subnumber
	L3VE子接口视图	interface ve-l3vpn interface-number.subnumber
使能当前接口的Default终结功能，使当前接口可以处理其他子接口都无法处理的报文		vlan-type dot1q default	缺省情况下，未使能Default终结功能

1.7 配置VLAN终结支持广播/组播

当接口下配置了模糊的Dot1q终结或者模糊的QinQ终结功能后，不允许发送广播、组播报文。只有配置了VLAN终结支持广播/组播功能，这些接口才能发送广播/组播报文。

表1-8 配置VLAN终结支持广播/组播

操作		命令	说明
进入系统视图		system-view	-
进入接口视图	三层以太网子接口视图	interface interface-type interface-number.subnumber	-
	三层聚合子接口视图	interface route-aggregation interface-number.subnumber
	三层虚拟以太网子接口视图	interface virtual-ethernet interface-number.subnumber
	L3VE子接口视图	interface ve-l3vpn interface-number.subnumber
	VLAN接口视图	interface vlan-interface interface-number
配置允许当前接口发送广播和组播报文		vlan-termination broadcast enable	缺省情况下，当前接口配置了模糊的Dot1q终结或者模糊的QinQ终结功能后，不允许发送广播、组播报文

1.8 配置VLAN Tag的TPID值

如果要在三层以太网子接口/三层聚合子接口/三层虚拟以太网子接口/L3VPN接入子接口/VLAN接口上使用VLAN终结功能，可以通过以下配置指定接口接收和发送报文的最外层VLAN Tag的TPID值。在配置TPID值后，当接收报文时，只有报文最外层VLAN Tag的TPID值为0x8100或者指定值的报文才会作为VLAN报文来处理；发送报文时，会给报文最外层VLAN Tag的TPID值填入指定值，如果报文带有两层及以上VLAN Tag，则给报文其他层VLAN Tag的TPID值都填入0x8100。

表1-9 配置VLAN Tag的TPID值

操作		命令	说明
进入系统视图		system-view	-
进入接口视图	三层以太网接口视图	interface interface-type interface-number	在三层以太网接口、三层聚合接口、三层虚拟以太网接口或L3VE视图下配置，会对相应接口的所有子接口生效；在VLAN接口视图下配置，会对该VLAN接口生效
	三层聚合接口视图	interface route-aggregation interface-number
	三层虚拟以太网接口视图	interface virtual-ethernet interface-number
	L3VE接口视图	interface ve-l3vpn interface-number.subnumber
	VLAN接口视图	interface vlan-interface interface-number
配置当前接口接收和发送的报文最外层VLAN Tag的TPID值		dot1q ethernet-type hex-value	缺省情况下，当前接口接收和发送的报文最外层VLAN Tag的TPID值均为0x8100

1.9 VLAN终结配置举例

1.9.1 明确的Dot1q终结配置举例

1. 组网需求

如下图所示，Host A、Host B和Switch A相连，Host C、Host D和Switch B相连。Host A和Host C属于VLAN 10，Host B和Host D属于VLAN 20。Device子接口GigabitEthernet1/0/1.10、GigabitEthernet1/0/1.20、GigabitEthernet2/0/1.10、GigabitEthernet2/0/1.20的IP地址分别为1.0.0.1/8、2.0.0.1/8、3.0.0.1/8和4.0.0.1/8。要求实现：

· Host A和Host B之间、Host C和Host D之间能够互相通信，即同一交换机、不同VLAN之间能够互相通信；

· Host A和Host C之间、Host B和Host D之间能够互相通信，即不同交换机、同一VLAN之间能够互相通信；

· Host A和Host D之间、Host B和Host C之间能够互相通信，即不同交换机、不同VLAN之间能够互相通信。

2. 组网图

图1-3 明确的Dot1q终结配置组网图

3. 配置步骤

(1) Host A、Host B、Host C、Host D的配置

将Host A的IP地址指定为1.1.1.1/8，网关地址指定为1.0.0.1/8。

将Host B的IP地址指定为2.2.2.2/8，网关地址指定为2.0.0.1/8。

将Host C的IP地址指定为3.3.3.3/8，网关地址指定为3.0.0.1/8。

将Host D的IP地址指定为4.4.4.4/8，网关地址指定为4.0.0.1/8。

(2) L2 Switch A、L2 Switch B的配置

下面以L2 Switch A的配置步骤为例，L2 Switch B的配置与L2 Switch A的配置相同，不再赘述。

# 向VLAN 10中加入端口GigabitEthernet1/0/2。

<L2_SwitchA> system-view

[L2_SwitchA] vlan 10

[L2_SwitchA-vlan10] port gigabitethernet 1/0/2

[L2_SwitchA-vlan10] quit

# 向VLAN 20中加入端口GigabitEthernet1/0/3。

[L2_SwitchA] vlan 20

[L2_SwitchA-vlan20] port gigabitethernet 1/0/3

[L2_SwitchA-vlan20] quit

# 配置端口GigabitEthernet1/0/1的链路类型为Trunk类型，并允许VLAN 10和VLAN 20通过。

[L2_SwitchA] interface gigabitethernet 1/0/1

[L2_SwitchA-GigabitEthernet1/0/1] port link-type trunk

[L2_SwitchA-GigabitEthernet1/0/1] port trunk permit vlan 10 20

(3) Device的配置

# 创建以太网子接口GigabitEthernet1/0/1.10、GigabitEthernet1/0/1.20、GigabitEthernet2/0/1.10和GigabitEthernet2/0/1.20，分别为其配置IP地址，配置GigabitEthernet1/0/1.10和GigabitEthernet2/0/1.10用来终结VLAN 10的报文，配置GigabitEthernet1/0/1.20和GigabitEthernet2/0/1.20用来终结VLAN 20的报文。

<Device> system-view

[Device] interface gigabitethernet 1/0/1.10

[Device-GigabitEthernet1/0/1.10] ip address 1.0.0.1 255.0.0.0

[Device-GigabitEthernet1/0/1.10] vlan-type dot1q vid 10

[Device-GigabitEthernet1/0/1.10] quit

[Device] interface gigabitethernet 1/0/1.20

[Device-GigabitEthernet1/0/1.20] ip address 2.0.0.1 255.0.0.0

[Device-GigabitEthernet1/0/1.20] vlan-type dot1q vid 20

[Device-GigabitEthernet1/0/1.20] quit

[Device] interface gigabitethernet 2/0/1.10

[Device-GigabitEthernet2/0/1.10] ip address 3.0.0.1 255.0.0.0

[Device-GigabitEthernet2/0/1.10] vlan-type dot1q vid 10

[Device-GigabitEthernet2/0/1.10] quit

[Device] interface gigabitethernet 2/0/1.20

[Device-GigabitEthernet2/0/1.20] ip address 4.0.0.1 255.0.0.0

[Device-GigabitEthernet2/0/1.20] vlan-type dot1q vid 20

[Device-GigabitEthernet2/0/1.20] quit

4. 验证配置

配置完成后，Host A、Host B、Host C、Host D可以相互ping通。

1.9.2 模糊的Dot1q终结配置举例

1. 组网需求

如下图所示，Host A、Host B、Host C和Switch A相连，Server group和Switch B相连。Host A、Host B、Host C分别属于VLAN 11、VLAN 12、VLAN 13；这些Host需要与Server group互相通信。

2. 组网图

图1-4 模糊的Dot1q终结配置组网图

3. 配置步骤

(1) Host A、Host B、Host C的配置

将Host A的IP地址指定为1.1.1.1/24，Host B的IP地址为1.1.1.2/24，Host C的IP地址为1.1.1.3/24，网关地址均指定为1.1.1.11/24。

(2) L2 Switch A的配置

# 向VLAN 11中加入端口GigabitEthernet1/0/1。

<L2_SwitchA> system-view

[L2_SwitchA] vlan 11

[L2_SwitchA-vlan11] port gigabitethernet 1/0/1

[L2_SwitchA-vlan11] quit

# 向VLAN 12中加入端口GigabitEthernet1/0/2。

[L2_SwitchA] vlan 12

[L2_SwitchA-vlan12] port gigabitethernet 1/0/2

[L2_SwitchA-vlan12] quit

# 向VLAN 13中加入端口GigabitEthernet1/0/3。

[L2_SwitchA] vlan 13

[L2_SwitchA-vlan13] port gigabitethernet 1/0/3

[L2_SwitchA-vlan13] quit

# 配置端口GigabitEthernet1/0/7的链路类型为Trunk类型，并允许VLAN 11～13通过。

[L2_SwitchA] interface gigabitethernet 1/0/7

[L2_SwitchA-GigabitEthernet1/0/7] port link-type trunk

[L2_SwitchA-GigabitEthernet1/0/7] port trunk permit vlan 11 to 13

(3) Device的配置

# 创建以太网子接口GigabitEthernet1/0/1.10，为其配置IP地址，使能Dot1q终结功能，并指定可以终结的最外层VLAN ID在范围11～13内的报文。

<Device> system-view

[Device] interface gigabitethernet 1/0/1.10

[Device-GigabitEthernet1/0/1.10] ip address 1.1.1.11 255.255.255.0

[Device-GigabitEthernet1/0/1.10] vlan-type dot1q vid 11 to 13

[Device-GigabitEthernet1/0/1.10] quit

# 配置以太网接口GigabitEthernet1/0/2的 IP地址。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] ip address 1.1.2.11 255.255.255.0

(4) L2 Switch B的配置

L2 Switch B采用出厂配置即可。

(5) Server group的配置

将Server group里所有设备的IP地址配置在1.1.2.0/24网段，网关地址指定为1.1.2.11/24即可。

4. 验证配置

配置完成后， Host A、Host B、Host C可以与Server group相互ping通。

1.9.3 Dot1q终结支持PPPoE Server配置举例

1. 组网需求

如下图所示，Host A、Host B、Host C和Switch 相连，分别属于VLAN 11、VLAN 12、VLAN 13，这些Host需要使用拨号方式访问Internet。

2. 组网图

图1-5 Dot1q终结支持PPPoE Server配置组网图

3. 配置步骤

关于VLAN和Dot1q终结的配置步骤请参见“1.9.2 模糊的Dot1q终结配置举例”，另外Router作为网络中的PPPoE server，需要在GigabitEthernet1/0/1.10上进行PPPoE相关参数的配置，详情请参见“二层技术-广域网接入配置指导”中的“PPPoE”。

1.9.4 明确的QinQ终结配置举例

1. 组网需求

如下图所示，Host A和L2 Switch A相连，属于VLAN 11；Host B和L2 Switch C相连，L2 Switch C只支持一层VLAN标签；L2 Switch B上使能了QinQ功能，它会给收到的内层VLAN ID为11的报文外面添加一层VLAN ID为100的VLAN Tag后再转发出去。现需要实现Host A与Host B之间能够互相通信。