目  录

1 VLAN终结

1.1 VLAN终结简介

1.1.1 VLAN终结分类

1.1.2 VLAN终结应用场景

1.2 VLAN终结配置限制和指导

1.3 VLAN终结配置任务简介

1.4 配置Dot1q终结

1.4.1 配置明确的Dot1q终结

1.4.2 配置模糊的Dot1q终结

1.5 配置QinQ终结

1.5.1 配置明确的QinQ终结

1.5.2 配置模糊的QinQ终结

1.6 配置Untagged终结

1.7 配置Default终结

1.8 配置VLAN终结支持广播/组播

1.9 VLAN终结配置举例

1.9.1 明确的Dot1q终结配置举例

1.9.2 模糊的Dot1q终结配置举例

1.9.3 Dot1q终结支持PPPoE Server配置举例

1.9.4 明确的QinQ终结配置举例

1.9.5 模糊的QinQ终结配置举例

1 VLAN终结

设备各款型对于本节所描述的特性支持情况有所不同，详细差异信息如下：

1.1  VLAN终结简介

VLAN终结是指对接收到的报文，按照报文携带的VLAN Tag信息匹配对应的接口后，去除报文VLAN Tag，再将报文进行三层转发或交由其他业务处理。转发出去的报文是否带有VLAN Tag由出接口决定，对从配置了VLAN终结的接口发送的报文，按照该接口上的终结配置，将相应的VLAN Tag添加到报文中后发送该报文。

1.1.1  VLAN终结分类

根据对所终结的报文的不同处理方式，VLAN终结分为以下四种：

·     Dot1q终结：用来终结带有一层及以上VLAN Tag的报文（要求最外层VLAN ID必须匹配配置值），从配置了Dot1q终结的接口发送的报文，都添加一层VLAN Tag。

·     QinQ终结：用来终结带有两层及以上VLAN Tag的报文（要求最外两层VLAN ID必须匹配配置值），从配置了QinQ终结的接口发送的报文，都添加两层VLAN Tag。

·     Untagged终结：用来终结收到的不带VLAN Tag的报文，从配置了Untagged终结的接口发送的报文，都不添加VLAN Tag。

·     Default终结：用来终结同一主接口上其他子接口上无法处理的报文，从配置了Default终结的接口发送的报文，都不添加VLAN Tag。

1.1.2  VLAN终结应用场景

1. 指定VLAN间的互通

划分VLAN后，不同VLAN间的主机不能直接通信，使用三层路由技术可以实现所有VLAN间报文的互通。此时如果要对互通的VLAN范围做限制，即要求只有指定的部分VLAN间可以互通，可以借助VLAN终结功能来实现。目前可以通过子接口或VLAN接口实现指定VLAN间的互通。

如下图所示，Host A属于VLAN 2，Host B属于VLAN 3，将Host A的网关地址指定为1.1.1.1/24，Host B的网关地址指定为1.1.2.1/24，就可以通过在三层以太网子接口GigabitEthernet1/0/1.1和GigabitEthernet1/0/2.1上配置VLAN终结来实现Host A和Host B之间的互通了。

图1-1 VLAN终结用于不同VLAN之间互通

2. 局域网和广域网的互联

局域网内的报文大多数都带有VLAN Tag，但一些广域网协议并不能识别VLAN报文，比如PPP，这种情况下，如果局域网的VLAN报文要转发到广域网，需要在本地记录并去掉报文的VLAN信息后再转发，可以借助VLAN终结功能来实现。目前可以通过子接口或VLAN接口实现局域网和广域网的互联。

如下图所示，用户网络的私网VLAN为Customer VLAN，运营商为用户网络分配的公网VLAN为Service VLAN。当用户网内Customer VLAN的报文进入运营商网络时，报文外面就会被封装上Service VLAN的VLAN Tag。在运营商网基于Service VLAN进行转发。如果报文要发往外部WAN，则需要在出口网关（Device）上对该报文进行VLAN终结处理，去掉两层VLAN Tag，再发送到WAN。

图1-2 VLAN终结用于LAN和WAN的互联

1.2  VLAN终结配置限制和指导

·     如果要在开启了Portal认证功能的接口上更改VLAN终结方式（例如从Dot1q终结更改为QinQ终结），必须先把该接口的在线Portal用户全部下线，否则会导致这些在线Portal用户无法正常下线也无法重新认证上线。有关Portal的介绍，请参见“安全配置指导”中的“Portal”。

·     主接口本身不能对VLAN报文做终结处理，在主接口创建子接口后，由子接口来处理。

·     三层以太网子接口、VLAN接口可以终结匹配最外层VLAN ID的报文或匹配最外两层VLAN ID的报文。其中，VLAN接口只能终结最外层VLAN ID与接口编号相同的VLAN报文，不能通过命令行修改，比如Vlan-interface10只能终结最外层VLAN ID为10的报文。

·     在三层以太网子接口视图下修改已有的VLAN终结配置后，该子接口会down/up一次，设备ARP表中与该子接口相关的动态表项也会被全部删除。

·     配置VLAN终结后，设备对收到的报文按照如下优先级顺序匹配接口：

¡     配置QinQ终结的子接口

¡     配置Dot1q终结或者缺省支持Dot1q终结的子接口

¡     配置Untagged终结的子接口

¡     配置Default终结的子接口

¡     主接口

1.3  VLAN终结配置任务简介

表1-1 VLAN终结配置任务简介

1.4  配置Dot1q终结

根据每个子接口所能终结的VLAN报文中最外层VLAN ID范围的不同，Dot1q终结分为：

·     明确的Dot1q终结：只允许接收最外层VLAN ID为指定值的VLAN报文，其他VLAN报文则不允许通过该子接口。收到报文后，将报文最外层VLAN Tag剥离。发送报文时，给报文添加一层VLAN Tag，VLAN ID为指定值。

·     模糊的Dot1q终结：只允许接收最外层VLAN ID在指定范围内的VLAN报文，不属于该范围的VLAN报文则不允许通过该子接口。收到报文后，将报文最外层VLAN Tag剥离。发送报文时，会给报文添加一层VLAN Tag，VLAN ID字段取值为：对于PPPoE报文，通过查找PPPoE会话表项获取相应的VLAN ID；对于DHCP Relay转发的DHCP Server端报文，通过查找DHCP会话表项获取相应的VLAN ID；对于IPv4报文，通过查找ARP表项获取相应的VLAN ID。

1.4.1  配置明确的Dot1q终结

表1-2 配置明确的Dot1q终结

1.4.2  配置模糊的Dot1q终结

表1-3 配置模糊的Dot1q终结

1.5  配置QinQ终结

根据每个接口所能终结的VLAN报文的最外两层VLAN ID范围的不同，QinQ终结分为：

·     明确的QinQ终结：只允许接收最外两层VLAN ID均为指定值的报文，其他VLAN报文则不允许通过该接口。收到报文后，将报文最外两层VLAN Tag剥离。发送报文时，会给报文添加两层VLAN Tag，两层VLAN ID均为指定值。

·     模糊的QinQ终结：只允许接收最外两层VLAN ID均在指定范围内的报文，不属于该范围的VLAN报文则不允许通过该接口。收到报文后，将报文最外两层VLAN Tag剥离。发送报文时，会给报文添加两层VLAN Tag。添加VLAN Tag后，报文的最外两层VLAN ID取值为：对于PPPoE报文，通过查找PPPoE会话表项获取相应的VLAN ID；对于DHCP Relay转发的DHCP Server端报文，通过查找DHCP中继用户地址表项获取相应的VLAN ID；对于IPv4报文，通过查找ARP表项获取相应的VLAN ID。

1.5.1  配置明确的QinQ终结

表1-4 配置明确的QinQ终结（方式一）

表1-5 配置明确的QinQ终结（方式二）

1.5.2  配置模糊的QinQ终结

配置模糊的QinQ终结时，需要注意：

·     在同一主接口的不同子接口下配置QinQ终结功能时，如果指定的第一层VLAN ID相同，则第二层VLAN ID必须不同；如果指定的第一层VLAN ID不同，则第二层VLAN ID可以相同。

·     不同主接口下的子接口可以终结的VLAN报文可以相同也可以不同。

·     在同一子接口下多次执行vlan-type dot1q vid second-dot1q命令时，如果新配置中的第一层VLAN ID和当前生效配置中的第一层VLAN ID相等，则最终生效的第二层VLAN ID是多次配置的集合；如果新配置中的第一层VLAN ID和当前生效配置中的第一层VLAN ID不相等，则必须先删除旧的配置才能执行新的配置。

表1-6 配置模糊的QinQ终结（方式一）

表1-7 配置模糊的QinQ终结（方式二）

1.6  配置Untagged终结

表1-8 配置Untagged终结

1.7  配置Default终结

表1-9 配置Default终结

1.8  配置VLAN终结支持广播/组播

当接口下配置了模糊的Dot1q终结或者模糊的QinQ终结功能后，不允许发送广播、组播报文。只有配置了VLAN终结支持广播/组播功能，这些接口才能发送广播/组播报文。

表1-10 配置VLAN终结支持广播/组播

1.9  VLAN终结配置举例

1.9.1  明确的Dot1q终结配置举例

1. 组网需求

如下图所示，Host A、Host B和Switch A相连，Host C、Host D和Switch B相连。Host A和Host C属于VLAN 10，Host B和Host D属于VLAN 20。AC子接口GigabitEthernet1/0/1.10、GigabitEthernet1/0/1.20、GigabitEthernet2/0/1.10、GigabitEthernet2/0/1.20的IP地址分别为1.0.0.1/8、2.0.0.1/8、3.0.0.1/8和4.0.0.1/8。要求实现：

·     Host A和Host B之间、Host C和Host D之间能够互相通信，即同一交换机、不同VLAN之间能够互相通信；

·     Host A和Host C之间、Host B和Host D之间能够互相通信，即不同交换机、同一VLAN之间能够互相通信；

·     Host A和Host D之间、Host B和Host C之间能够互相通信，即不同交换机、不同VLAN之间能够互相通信。

2. 组网图

图1-3 明确的Dot1q终结配置组网图

3. 配置步骤

(1)     Host A、Host B、Host C、Host D的配置

将Host A的IP地址指定为1.1.1.1/8，网关地址指定为1.0.0.1/8。

将Host B的IP地址指定为2.2.2.2/8，网关地址指定为2.0.0.1/8。

将Host C的IP地址指定为3.3.3.3/8，网关地址指定为3.0.0.1/8。

将Host D的IP地址指定为4.4.4.4/8，网关地址指定为4.0.0.1/8。

(2)     L2 Switch A、L2 Switch B的配置

下面以L2 Switch A的配置步骤为例，L2 Switch B的配置与L2 Switch A的配置相同，不再赘述。

# 向VLAN 10中加入端口GigabitEthernet1/0/2。

<L2_SwitchA> system-view

[L2_SwitchA] vlan 10

[L2_SwitchA-vlan10] port gigabitethernet 1/0/2

[L2_SwitchA-vlan10] quit

# 向VLAN 20中加入端口GigabitEthernet1/0/3。

[L2_SwitchA] vlan 20

[L2_SwitchA-vlan20] port gigabitethernet 1/0/3

[L2_SwitchA-vlan20] quit

# 配置端口GigabitEthernet1/0/1的链路类型为Trunk类型，并允许VLAN 10和VLAN 20通过。

[L2_SwitchA] interface gigabitethernet 1/0/1

[L2_SwitchA-GigabitEthernet1/0/1] port link-type trunk

[L2_SwitchA-GigabitEthernet1/0/1] port trunk permit vlan 10 20

(3)     AC的配置

# 创建以太网子接口GigabitEthernet1/0/1.10、GigabitEthernet1/0/1.20、GigabitEthernet2/0/1.10和GigabitEthernet2/0/1.20，分别为其配置IP地址，配置GigabitEthernet1/0/1.10和GigabitEthernet2/0/1.10用来终结VLAN 10的报文，配置GigabitEthernet1/0/1.20和GigabitEthernet2/0/1.20用来终结VLAN 20的报文。

<AC> system-view

[AC] interface gigabitethernet 1/0/1.10

[AC-GigabitEthernet1/0/1.10] ip address 1.0.0.1 255.0.0.0

[AC-GigabitEthernet1/0/1.10] vlan-type dot1q vid 10

[AC-GigabitEthernet1/0/1.10] quit

[AC] interface gigabitethernet 1/0/1.20

[AC-GigabitEthernet1/0/1.20] ip address 2.0.0.1 255.0.0.0

[AC-GigabitEthernet1/0/1.20] vlan-type dot1q vid 20

[AC-GigabitEthernet1/0/1.20] quit

[AC] interface gigabitethernet 2/0/1.10

[AC-GigabitEthernet2/0/1.10] ip address 3.0.0.1 255.0.0.0

[AC-GigabitEthernet2/0/1.10] vlan-type dot1q vid 10

[AC-GigabitEthernet2/0/1.10] quit

[AC] interface gigabitethernet 2/0/1.20

[AC-GigabitEthernet2/0/1.20] ip address 4.0.0.1 255.0.0.0

[AC-GigabitEthernet2/0/1.20] vlan-type dot1q vid 20

[AC-GigabitEthernet2/0/1.20] quit

4. 验证配置

配置完成后，Host A、Host B、Host C、Host D可以相互ping通。

1.9.2  模糊的Dot1q终结配置举例

1. 组网需求

如下图所示，Host A、Host B、Host C和Switch A相连，Server group和Switch B相连。Host A、Host B、Host C分别属于VLAN 11、VLAN 12、VLAN 13；这些Host需要与Server group互相通信。

2. 组网图

图1-4 模糊的Dot1q终结配置组网图

3. 配置步骤

(1)     Host A、Host B、Host C的配置

将Host A的IP地址指定为1.1.1.1/24，Host B的IP地址为1.1.1.2/24，Host C的IP地址为1.1.1.3/24，网关地址均指定为1.1.1.11/24。

(2)     L2 Switch A的配置

# 向VLAN 11中加入端口GigabitEthernet1/0/1。

<L2_SwitchA> system-view

[L2_SwitchA] vlan 11

[L2_SwitchA-vlan11] port gigabitethernet 1/0/1

[L2_SwitchA-vlan11] quit

# 向VLAN 12中加入端口GigabitEthernet1/0/2。

[L2_SwitchA] vlan 12

[L2_SwitchA-vlan12] port gigabitethernet 1/0/2

[L2_SwitchA-vlan12] quit

# 向VLAN 13中加入端口GigabitEthernet1/0/3。

[L2_SwitchA] vlan 13

[L2_SwitchA-vlan13] port gigabitethernet 1/0/3

[L2_SwitchA-vlan13] quit

# 配置端口GigabitEthernet1/0/7的链路类型为Trunk类型，并允许VLAN 11～13通过。

[L2_SwitchA] interface gigabitethernet 1/0/7

[L2_SwitchA-GigabitEthernet1/0/7] port link-type trunk

[L2_SwitchA-GigabitEthernet1/0/7] port trunk permit vlan 11 to 13

(3)     AC的配置

# 创建以太网子接口GigabitEthernet1/0/1.10，为其配置IP地址，开启Dot1q终结功能，指定终结最外层VLAN ID在范围11～13内的报文，并允许该子接口发送广播、组播报文。

<AC> system-view

[AC] interface gigabitethernet 1/0/1.10

[AC-GigabitEthernet1/0/1.10] ip address 1.1.1.11 255.255.255.0

[AC-GigabitEthernet1/0/1.10] vlan-type dot1q vid 11 to 13

[AC-GigabitEthernet1/0/1.10] vlan-termination broadcast enable

[AC-GigabitEthernet1/0/1.10] quit

# 配置以太网接口GigabitEthernet1/0/2的IP地址。

[AC] interface gigabitethernet 1/0/2

[AC-GigabitEthernet1/0/2] ip address 1.1.2.11 255.255.255.0

(4)     L2 Switch B的配置

L2 Switch B采用出厂配置即可。

(5)     Server group的配置

将Server group里所有设备的IP地址配置在1.1.2.0/24网段，网关地址指定为1.1.2.11/24即可。

4. 验证配置

配置完成后，Host A、Host B、Host C可以与Server group相互ping通。

1.9.3  Dot1q终结支持PPPoE Server配置举例

1. 组网需求

如下图所示，Host A、Host B、Host C和Switch 相连，分别属于VLAN 11、VLAN 12、VLAN 13，这些Host需要使用拨号方式访问Internet。

2. 组网图

图1-5 Dot1q终结支持PPPoE Server配置组网图

3. 配置步骤

关于VLAN和Dot1q终结的配置步骤请参见“1.9.2  模糊的Dot1q终结配置举例”，另外AC作为网络中的PPPoE server，需要在GigabitEthernet1/0/1.10上进行PPPoE相关参数的配置，详情请参见“二层技术-广域网接入配置指导”中的“PPP”。

1.9.4  明确的QinQ终结配置举例

1. 组网需求

如下图所示，Host A和L2 Switch A相连，属于VLAN 11；Host B和L2 Switch C相连，L2 Switch C只支持一层VLAN标签；L2 Switch B上开启了QinQ功能，它会给收到的内层VLAN ID为11的报文外面添加一层VLAN ID为100的VLAN Tag后再转发出去。现需要实现Host A与Host B之间能够互相通信。

2. 组网图

图1-6 明确的QinQ终结配置组网图

3. 配置步骤

(1)     Host A、Host B的配置

将Host A的IP地址指定为1.1.1.1/24，网关地址指定为1.1.1.11/24；Host B的IP地址为1.1.2.1/24，网关地址指定为1.1.2.11/24。

(2)     L2 Switch A的配置

# 向VLAN 11中加入端口GigabitEthernet1/0/2。

<L2_SwitchA> system-view

[L2_SwitchA] vlan 11

[L2_SwitchA-vlan11] port gigabitethernet 1/0/2

[L2_SwitchA-vlan11] quit

# 配置端口GigabitEthernet1/0/1的链路类型为Trunk类型，并允许VLAN 11通过。

[L2_SwitchA] interface gigabitethernet 1/0/1

[L2_SwitchA-GigabitEthernet1/0/1] port link-type trunk

[L2_SwitchA-GigabitEthernet1/0/1] port trunk permit vlan 11

(3)     L2 Switch B的配置

# 配置端口GigabitEthernet1/0/2的链路类型为Trunk类型，并允许VLAN 11、VLAN 100通过。

<L2_SwitchB> system-view

[L2_SwitchB] interface gigabitethernet 1/0/2

[L2_SwitchB-GigabitEthernet1/0/2] port link-type trunk

[L2_SwitchB-GigabitEthernet1/0/2] port trunk permit vlan 11 100

# 配置端口GigabitEthernet1/0/2的缺省VLAN为VLAN 100。

[L2_SwitchB-GigabitEthernet1/0/2] port trunk pvid vlan 100

# 在端口GigabitEthernet1/0/2上开启QinQ功能。

[L2_SwitchB-GigabitEthernet1/0/2] qinq enable

[L2_SwitchB-GigabitEthernet1/0/2] quit

# 配置端口GigabitEthernet1/0/1的链路类型为Trunk类型，并允许VLAN 100通过。

[L2_SwitchB] interface gigabitethernet 1/0/1

[L2_SwitchB-GigabitEthernet1/0/1] port link-type trunk

[L2_SwitchB-GigabitEthernet1/0/1] port trunk permit vlan 100

(4)     AC的配置

# 创建并进入以太网子接口GigabitEthernet1/0/1.10，为其配置IP地址，开启QinQ终结功能，并指明当前接口可以终结的VLAN报文的最外两层VLAN ID。

<AC> system-view

[AC] interface gigabitethernet 1/0/1.10

[AC-GigabitEthernet1/0/1.10] ip address 1.1.1.11 255.255.255.0

[AC-GigabitEthernet1/0/1.10] vlan-type dot1q vid 100 second-dot1q 11

[AC-GigabitEthernet1/0/1.10] quit

# 配置端口GigabitEthernet1/0/2的IP地址。

[AC] interface gigabitethernet 1/0/2

[AC-GigabitEthernet1/0/2] ip address 1.1.2.11 255.255.255.0

(5)     L2 Switch C的配置

L2 Switch C用出厂配置即可。

4. 验证配置

配置完成后，Host A、Host B可以相互ping通。

1.9.5  模糊的QinQ终结配置举例

1. 组网需求

如下图所示，Host A、Host B、Host C和L2 Switch A相连，分别属于VLAN 11、VLAN 12和VLAN 13；Server群和L2 Switch C相连；L2 Switch B上开启了QinQ功能。Host A、Host B、Host C需要与Server群互相通信。

2. 组网图

图1-7 模糊的QinQ终结配置组网图

3. 配置步骤

(1)     Host A、Host B、Host C的配置

将Host A的IP地址指定为1.1.1.1/24，Host B的IP地址为1.1.1.2/24，Host C的IP地址为1.1.1.3/24，网关地址均指定为1.1.1.11/24。

(2)     L2 Switch A的配置

# 向VLAN 11中加入端口GigabitEthernet1/0/1。

<L2_SwitchA> system-view

[L2_SwitchA] vlan 11

[L2_SwitchA-vlan11] port gigabitethernet 1/0/1

[L2_SwitchA-vlan11] quit

# 向VLAN 12中加入端口GigabitEthernet1/0/2。

[L2_SwitchA] vlan 12

[L2_SwitchA-vlan12] port gigabitethernet 1/0/2

[L2_SwitchA-vlan12] quit

# 向VLAN 13中加入端口GigabitEthernet1/0/3。

[L2_SwitchA] vlan 13

[L2_SwitchA-vlan13] port gigabitethernet 1/0/3

[L2_SwitchA-vlan13] quit

# 配置端口GigabitEthernet1/0/7的链路类型为Trunk类型，并允许VLAN 11～13通过。

[L2_SwitchA] interface gigabitethernet 1/0/7

[L2_SwitchA-GigabitEthernet1/0/7] port link-type trunk

[L2_SwitchA-GigabitEthernet1/0/7] port trunk permit vlan 11 to 13

(3)     L2 Switch B的配置

# 配置端口GigabitEthernet1/0/2的链路类型为Trunk类型，并允许VLAN 11～13、100通过。

<L2_SwitchB> system-view

[L2_SwitchB] interface gigabitethernet 1/0/2

[L2_SwitchB-GigabitEthernet1/0/2] port link-type trunk

[L2_SwitchB-GigabitEthernet1/0/2] port trunk permit vlan 11 to 13 100

# 配置端口GigabitEthernet1/0/2的缺省VLAN为VLAN 100。

[L2_SwitchB-GigabitEthernet1/0/2] port trunk pvid vlan 100

# 在端口GigabitEthernet1/0/2上开启QinQ功能。

[L2_SwitchB-GigabitEthernet1/0/2] qinq enable

[L2_SwitchB-GigabitEthernet1/0/2] quit

# 配置端口GigabitEthernet1/0/1的链路类型为Trunk类型，并允许VLAN 100通过。

[L2_SwitchB] interface gigabitethernet 1/0/1

[L2_SwitchB-GigabitEthernet1/0/1] port link-type trunk

[L2_SwitchB-GigabitEthernet1/0/1] port trunk permit vlan 100

(4)     AC的配置

# 创建以太网子接口GigabitEthernet1/0/1.10，为其配置IP地址，当收到第一层VLAN ID为100，第二层VLAN ID为11、12或13的QinQ报文时，对该报文进行VLAN终结处理。并配置允许该子接口发送广播、组播报文。

<AC> system-view

[AC] interface gigabitethernet 1/0/1.10

[AC-GigabitEthernet1/0/1.10] ip address 1.1.1.11 255.255.255.0

[AC-GigabitEthernet1/0/1.10] vlan-type dot1q vid 100 second-dot1q 11 to 13

[AC-GigabitEthernet1/0/1.10] vlan-termination broadcast enable

[AC-GigabitEthernet1/0/1.10] quit

# 配置端口GigabitEthernet1/0/2的IP地址。

[AC] interface gigabitethernet 1/0/2

[AC-GigabitEthernet1/0/2] ip address 1.1.2.11 255.255.255.0

(5)     L2 Switch C的配置

L2 Switch C采用出厂配置即可。

(6)     Server group的配置

将Server group里所有设备的IP地址配置在1.1.2.0/24网段，网关地址指定为1.1.2.11/24即可。

4. 验证配置

配置完成后，Host A、Host B、Host C可以与Server group相互ping通。