- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
05-二层转发配置
本章节下载： 05-二层转发配置 (247.40 KB)
如果设备接收到的报文的目的MAC地址匹配三层接口的MAC地址，则通过设备的三层接口进行三层转发；否则通过设备的二层接口进行二层转发。
二层转发根据报文的目的MAC地址查找MAC地址表，得到报文的出接口，然后将报文发送出去。
普通二层转发是设备默认启用的特性，不需要配置。
在任意视图下执行display命令可以显示二层转发过程中的统计信息，查看转发的结果。
在用户视图下执行reset命令可以清除二层转发的统计信息。
表1-1 普通二层转发显示和维护
|
操作 |
命令 |
|
显示二层转发统计信息 |
display mac-forwarding statistics [ interface interface-type interface-number ] |
|
清除二层转发统计信息 |
reset mac-forwarding statistics |
快速二层转发采用高速缓存来处理报文，采用了基于数据流的技术，可以大大提高转发效率。
快速二层转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中，会根据设备规则，对需要进行三层业务处理的报文，获取其IP地址等信息，生成IP快速转发表。当一条数据流的第一个报文转发后，会在高速缓存中生成相应的转发信息，该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程，减少报文的转发时间，提高报文的转发速率。
快速二层转发是设备默认启用的特性，不需要配置。
在任意视图下执行display命令可以显示快速二层转发表信息。
表1-2 快速二层转发显示和维护
|
操作 |
命令 |
|
显示IP快速转发表信息 |
display mac-forwarding cache ip [ ip-address ] [ slot slot-number ] |
|
显示分片报文快速转发表信息 |
display mac-forwarding cache ip fragment [ ip-address ] [ slot slot-number ] |
|
显示IPv6快速转发表信息 |
display mac-forwarding cache ipv6 [ ipv6-address ] [ slot slot-number ] |
根据报文的转发特征，Bridge转发有下列几种转发模式：
· 跨VLAN模式：在不同VLAN间进行报文转发。
· 反射模式：报文从同一接口收发。
· 转发模式：报文从一个接口接收，从另一个接口发送。
· 黑洞模式：报文从一个接口接收，处理完后被丢弃。
跨VLAN模式Bridge转发是在数据链路层完成不同VLAN间通信的一种技术。目前这种技术主要应用在防火墙产品上。防火墙和交换机配合使用，经过交换机的二层网络流量由防火墙过滤后再进行转发，如图1-1所示。
图1-1 Bridge转发工作机制
如图1-1，交换机上配置的防火墙的Bridge转发实例（可以看做是实现一类Bridge转发模式的二层桥）为Bridge 1，Bridge 1中添加VLAN 10和VLAN 20。以ARP（Address Resolution Protocol，地址解析协议）实现为例，Bridge转发过程如下：
VLAN 10的Host A想要访问VLAN 20的Host B，Host A发送一个ARP请求报文。
(2) 交换机收到请求报文的处理过程：
· 交换机从接口GigabitEthernet1/0/1收到目的MAC未知的报文，交换机学习到该报文的源MAC地址0033-0033-0033，并记录该MAC地址所对应的VLAN 10和接口GigabitEthernet1/0/1。
· 交换机将该报文在VLAN 10内进行广播，同时该报文会通过交换机侧内联口Ten-GigabitEthernet2/0/1（即用于连接交换机与防火墙的接口）发送给防火墙。
(3) 防火墙收到请求报文的处理过程：
· 防火墙收到该报文，将报文源MAC地址学习到用户配置的Bridge转发实例Bridge 1内，并且学习到该MAC地址对应的VLAN 10及防火墙侧内联口Ten-GigabitEthernet2/0/2。
· 同时根据Bridge 1内用户配置的VLAN列表，将该报文在Bridge 1内配置的除报文所在VLAN 10以外的所有VLAN内进行发送，即在VLAN 20内发送该报文。在VLAN 20内发送的报文的VLAN ID将被替换为VLAN 20，生成新的报文，然后发送到VLAN 20。
· 防火墙通过防火墙侧内联口Ten-GigabitEthernet2/0/2将新报文发送给交换机。
(4) 交换机收到新报文的处理过程：
· 交换机从交换机侧内联口Ten-GigabitEthernet2/0/1收到新的报文，学习该报文的源MAC地址并记录该MAC地址所对应的VLAN 20和交换机侧内联口Ten-GigabitEthernet2/0/1。
· 同时交换机将报文在VLAN 20内广播。
VLAN 20的Host B收到新报文后，发现是要访问自己的报文，发送ARP应答报文。
(5) 交换机收到应答报文的处理过程：
· 交换机从接口GigabitEthernet1/0/2收到目的MAC地址0033-0033-0033的报文，交换机学习到该报文的源MAC地址0000-0000-0002并记录该MAC地址所对应的VLAN 20和接口GigabitEthernet1/0/2。
· 交换机收到目的MAC地址为0033-0033-0033的已知报文，根据目的MAC地址和VLAN找到MAC地址表项，该表项的出接口为交换机侧内联口Ten-GigabitEthernet2/0/1，则将该报文发送给防火墙。
(6) 防火墙收到应答报文的处理过程：
· 防火墙收到回复报文，将该报文源MAC地址学习到用户配置的Bridge转发实例Bridge 1内，并且学习到该MAC地址对应的VLAN 20及防火墙侧内联口Ten-GigabitEthernet2/0/2。
· 防火墙根据VLAN 20找到对应的Bridge 1下学习到的MAC地址表项，将报文的VLAN ID修改为MAC地址表项对应VLAN ID，即VLAN 10，并从防火墙侧内联口Ten-GigabitEthernet2/0/2将该报文发送给交换机。
(7) 交换机收到新的应答报文的处理过程：
· 交换机收到该报文后，根据目的MAC地址和VLAN找到MAC地址表项，确认出接口为GigabitEthernet1/0/1，将该报文发送出去。
反射模式Bridge转发、转发模式Bridge转发和黑洞模式Bridge转发又统称为Inline转发。
Inline转发是在数据链路层对流量进行安全监控的一种技术。目前这种技术主要应用在安全产品上，经过设备的二层网络流量会被引流到安全产品上，由安全产品过滤后再进行转发。
· 反射/黑洞模式Bridge转发中，Device B与Device A通过一个物理接口通信。对于反射模式Bridge转发，Device B通过同一接口完成报文的收发；对于黑洞模式Bridge转发，Device B收到报文后，先处理完安全业务，然后丢弃该报文。反射/黑洞模式Bridge转发一般适用于Device B旁挂的组网部署，Device A可直接接入网络。反射/黑洞模式Bridge转发如下图所示。
图1-2 反射/黑洞模式Bridge转发
· 转发模式Bridge转发中，Device B与Device A通过两个物理接口通信，即Device B通过其中的一个接口收报文，通过另外一个接口发报文。转发模式Bridge转发一般适用于Device B直连的组网部署，Device A通过Device B接入网络。转发模式Bridge转发如下图所示。
图1-3 转发模式Bridge转发
在上面两图中，以VM（Virtual Machine，虚拟机）间的交互为例，Inline转发过程如下：
(1) VM 1与VM 2的内部流量通过Device A进行通信，Device A将收到的报文引流到与之相连的Device B上。
(2) Device B将收到的IP报文交给安全业务进行处理，其他报文直接转发给Device A。
(3) Device B处理通过安全业务过滤的报文，根据报文信息建立对应的转发表项，并将报文转发给Device A。
表1-3 Bridge转发配置任务简介
|
配置任务 |
说明 |
详细配置 |
|
配置跨VLAN模式Bridge转发 |
对于跨VLAN模式Bridge转发必选 |
|
|
配置Inline转发 |
对于Inline转发必选 |
|
|
配置Bypass功能 |
可选 |
表1-4 配置Bridge转发
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建跨VLAN模式Bridge转发实例，并进入Bridge视图 |
bridge bridge-index inter-vlan |
缺省情况下，不存在Bridge转发实例 |
|
向Bridge转发实例中添加VLAN列表 |
add vlan vlan-id-list |
缺省情况下，跨VLAN模式Bridge转发实例下不存在VLAN。 |
|
（可选）配置Bridge实例下的MAC最大学习数 |
mac-address max-mac-count count |
缺省情况下，Bridge的MAC地址最大学习数为4096 |
表1-5 配置Inline转发
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建反射模式Bridge转发实例，并进入Bridge视图 |
bridge bridge-index reflect |
三者选其一 缺省情况下，不存在Bridge转发实例 |
|
创建转发模式Bridge转发实例，并进入Bridge视图 |
bridge bridge-index forward |
|
|
创建黑洞模式Bridge转发实例，并进入Bridge视图 |
bridge bridge-index blackhole |
|
|
向Bridge转发实例中添加接口 |
add interface interface-type interface-number |
缺省情况下，Bridge转发实例中未添加任何接口 每个反射/黑洞模式Bridge转发实例只能添加一个接口；每个转发模式Bridge转发实例只能添加两个接口，且这两个接口的类型必须保持一致 |
在Inline转发模式下，配置Bypass功能，用户流量可以不经过安全业务或者安全设备处理，直接被处理。
Bypass功能分为以下几种模式：
· 内部Bypass功能：用户流量经过IPS（Intrusion Prevention System，入侵防御系统）设备，但不进行安全业务处理。IPS设备会根据配置的Inline转发模式，选择对应的接口将用户流量直接转发或者丢弃。
· 外部Bypass功能：用户流量不经过IPS设备，直接通过PFC（Power Free Connector，无源连接设备）设备转发。
如图1-4所示，链路正常情况下，未配置Bypass功能时，用户流量转发路径如下。
如图1-5所示，当IPS和PFC之间链路故障时，用户可以在IPS设备上开启外部Bypass功能，使流量直接通过PFC设备转发，保证流量不间断。
开启外部Bypass功能时，根据配置的不同有如下区分：
· 静态外部Bypass功能：用户流量直接通过PFC转发，不经过IPS设备处理。
· 动态外部Bypass功能：在IPS设备上将与PFC相连的两个接口加入Bridge转发实例。IPS设备通过检查这两个接口的状态，决定自动启用外部Bypass功能。当转发模式Bridge实例中的某一接口状态变为DOWN时，用户流量不经过IPS设备，直接通过PFC转发。同时，IPS设备会周期性检查转发模式Bridge实例中接口状态，如果检查到实例中两个接口都处于UP状态，则自动关闭外部Bypass功能，恢复由IPS设备处理用户流量。
多次配置bypass enable命令和bypass enable external命令，最后一次执行的配置生效。
多台设备组成IRF时不支持外部Bypass功能。
配置外部Bypass功能时，需要注意：
· 本功能只能在管理Context上进行配置。对于以共享方式分配的二层以太网接口，在管理Context内配置外部bypass功能时：
¡ 如果外部Bypass功能生效，用户流量通过PFC转发，用户Context中该二层以太网接口上存在影响流量转发的配置，则该配置不生效，流量仍会通过PFC转发。
¡ 如果外部Bypass功能不生效，用户流量不通过PFC转发，用户Context中该二层以太网接口上存在影响流量转发的配置，则该配置生效，流量按照配置的转发规则转发。
· 本功能仅支持在一个转发模式Bridge视图下配置。加入转发模式Bridge实例的两个接口，必须在同一slot上。
表1-6 配置内部Bypass功能
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入反射模式Bridge视图 |
bridge bridge-index reflect |
三者选其一 |
|
进入转发模式Bridge视图 |
bridge bridge-index forward |
|
|
进入黑洞模式Bridge视图 |
bridge bridge-index blackhole |
|
|
配置内部Bypass功能 |
bypass enable |
缺省情况下，Bypass功能处于关闭状态 |
表1-7 配置外部Bypass功能
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入转发模式Bridge视图 |
bridge bridge-index forward |
- |
|
配置外部Bypass功能 |
bypass enable external [ auto [ check-interval interval ] ] |
缺省情况下，Bypass功能处于关闭状态 |
在完成上述配置后，在任意视图下执行display命令可以显示Bridge学习的MAC地址信息和Bypass功能状态。
表1-8 Bridge转发显示和维护
|
操作 |
命令 |
|
显示Bypass功能状态 |
display bridge bridge-id bypass status |
Device A上由GigabitEthernet1/0/1、GigabitEthernet1/0/2互相交换的报文需要经Device B过滤。Device B上通过一个接口GigabitEthernet1/0/1与Device A相连。在这个方案中采用反射模式Bridge转发技术，如图1-6所示。
图1-6 反射模式Bridge转发组网图
# 在Device B上创建反射模式的Bridge转发实例，并向该实例添加接口GigabitEthernet1/0/1。
<Sysname> system-view
[Sysname] bridge 2 reflect
[Sysname-bridge2-reflect] add interface gigabitethernet 1/0/1
[Sysname-bridge2-reflect] quit
# 在Device B上执行display bridge cache ip命令可以看到反射模式Bridge转发创建的IP快速转发表信息。
[Sysname] display bridge cache ip inline
Total number of bridge-forwarding entries: 2
SIP SPort DIP DPort Pro Output_If
1.1.1.3 470 1.1.1.2 0 1 GE1/0/1
1.1.1.2 470 1.1.1.3 2048 1 GE1/0/1
快速Bridge转发采用高速缓存来处理报文，采用了基于数据流的技术，可以大大提高转发效率。
快速Bridge转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中，会根据设备规则，对需要进行三层业务处理的报文，获取其IP地址等信息，生成IP快速转发表。当一条数据流的第一个报文转发后，会在高速缓存中生成相应的转发信息，该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程，减少报文的转发时间，提高报文的转发速率。
快速Bridge转发是设备默认启用的特性，不需要配置。
在任意视图下执行display命令可以显示快速Bridge转发表信息。
表1-9 快速Bridge转发显示和维护
|
操作 |
命令 |
|
显示Bridge转发创建的IP快速转发表信息 |
display bridge cache ip { inline | inter-vlan } [ ip-address ] [ slot slot-number ] |
|
显示Bridge转发创建的分片报文快速转发表信息 |
display bridge cache ip fragment { inline | inter-vlan } [ ip-address ] [ slot slot-number ] |
|
显示Bridge转发创建的IPv6快速转发表信息 |
display bridge cache ipv6 { inline | inter-vlan } [ ipv6-address ] [ slot slot-number ] |
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
