02-二层转发配置
本章节下载: 02-二层转发配置 (397.49 KB)
目 录
如果设备接收到的报文的目的MAC地址匹配三层接口的MAC地址,则通过设备的三层接口进行三层转发;否则通过设备的二层接口进行二层转发。
二层转发根据报文的目的MAC地址查找MAC地址表,得到报文的出接口,然后将报文发送出去。
普通二层转发是设备默认启用的特性,不需要配置。
在任意视图下执行display命令可以显示二层转发过程中的统计信息,查看转发的结果。
在用户视图下执行reset命令可以清除二层转发的统计信息。
表1-1 普通二层转发显示和维护
操作 |
命令 |
显示二层转发统计信息 |
display mac-forwarding statistics [ interface interface-type interface-number ] |
清除二层转发统计信息 |
reset mac-forwarding statistics |
快速二层转发采用高速缓存来处理报文,并采用基于数据流的技术,可以大大提高转发效率。
快速二层转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中,会根据设备规则,对需要进行三层业务处理的报文,获取其IP地址等信息,生成IP快速转发表。当一条数据流的第一个报文转发后,会在高速缓存中生成相应的转发信息,该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程,减少报文的转发时间,提高报文的转发速率。
快速二层转发是设备默认启用的特性,不需要配置。
报文携带的VLAN ID是设备判断其所属TCP会话的依据之一。在防火墙双机热备的组网环境下,有时需要报文在主备设备间传递后仍可以匹配到同一个会话中,而主备设备上报文入接口所属VLAN可能不同,此时可以关闭对VLAN ID的检查以保证报文在主备设备之间传递之后能够匹配到同一会话。
本特性的支持情况与设备型号有关,请以设备的实际情况为准。
型号 |
说明 |
F5010、F5020、F5020-GM、F5030、F5030-6GW、F5040、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-C、F5000-S、F5000-M、F5000-A |
支持 |
F1000-AI-20、F1000-AI-30、F1000-AI-50、F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90 |
支持 |
F1003-L、F1005-L、F1010-L |
支持 |
F1005、F1010 |
支持 |
F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1090、F1000-V70、F1000-V90 |
支持 |
F1000-AK1010、F1000-AK1020、F1000-AK1030 |
支持 |
F1000-AK1110、F1000-AK1120、F1000-AK1130、F1000-AK1140 |
支持 |
F1000-AK1212、F1000-AK1222、F1000-AK1232、F1000-AK1312、F1000-AK1322、F1000-AK1332 |
支持 |
F1000-AK1414、F1000-AK1424、F1000-AK1434、F1000-AK1514、F1000-AK1524、F1000-AK1534、F1000-AK1614 |
支持 |
F1000-AK108、F1000-AK109、F1000-AK110、F1000-AK115、F1000-AK120、F1000-AK125、F1000-AK710 |
支持 |
F1000-AK130、F1000-AK135、F1000-AK140、F1000-AK145、F1000-AK150、F1000-AK155、F1000-AK160、F1000-AK165、F1000-AK170、F1000-AK175、F1000-AK180、F1000-AK185、F1000-GM-AK370、F1000-GM-AK380、F1000-AK711 |
支持 |
LSU3FWCEA0、LSUM1FWCEAB0、LSX1FWCEA1 |
支持 |
LSXM1FWDF1、LSUM1FWDEC0、IM-NGFWX-IV、LSQM1FWDSC0、LSWM1FWD0、LSPM6FWD、LSQM2FWDSC0 |
支持 |
vFW1000、vFW2000 |
不支持 |
(1) 进入系统视图。
system-view
(2) 关闭快速二层转发时对VLAN ID检查功能。
undo mac fast-forwarding check-vlan-id
缺省情况下,快速二层转发时对VLAN ID字段的检查功能处于开启状态。
在任意视图下执行display命令可以显示快速二层转发表信息。
表2-1 快速二层转发显示和维护
操作 |
命令 |
显示IP快速转发表信息 |
display mac-forwarding cache ip [ ip-address ] [ slot slot-number ] |
显示分片报文快速转发表信息 |
display mac-forwarding cache ip fragment [ ip-address ] [ slot slot-number ] |
显示IPv6快速转发表信息 |
display mac-forwarding cache ipv6 [ ipv6-address ] [ slot slot-number ] |
直通转发是指设备接收到报文的前64个字节后立即转发。该功能可以节省报文在设备中消耗的时间,提高转发性能。
本特性的支持情况与设备型号有关,请以设备的实际情况为准。
型号 |
说明 |
F5010、F5020、F5020-GM、F5030、F5030-6GW、F5040、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-C、F5000-S、F5000-M、F5000-A |
· F5010、F5020、F5020-GM、F5040、F5000-C、F5000-S:不支持 · F5030、F5030-6GW、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-M、F5000-A:支持 |
F1000-AI-20、F1000-AI-30、F1000-AI-50、F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90 |
· F1000-AI-20、F1000-AI-30、F1000-AI-50:不支持 · F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90:支持 |
F1003-L、F1005-L、F1010-L |
支持 |
F1005、F1010 |
支持 |
F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1090、F1000-V70、F1000-V90 |
· F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1000-V70:不支持 · F1090、F1000-V90:支持 |
F1000-AK1010、F1000-AK1020、F1000-AK1030 |
支持 |
F1000-AK1110、F1000-AK1120、F1000-AK1130、F1000-AK1140 |
支持 |
F1000-AK1212、F1000-AK1222、F1000-AK1232、F1000-AK1312、F1000-AK1322、F1000-AK1332 |
不支持 |
F1000-AK1414、F1000-AK1424、F1000-AK1434、F1000-AK1514、F1000-AK1524、F1000-AK1534、F1000-AK1614 |
支持 |
F1000-AK108、F1000-AK109、F1000-AK110、F1000-AK115、F1000-AK120、F1000-AK125、F1000-AK710 |
支持 |
F1000-AK130、F1000-AK135、F1000-AK140、F1000-AK145、F1000-AK150、F1000-AK155、F1000-AK160、F1000-AK165、F1000-AK170、F1000-AK175、F1000-AK180、F1000-AK185、F1000-GM-AK370、F1000-GM-AK380、F1000-AK711 |
不支持 |
LSU3FWCEA0、LSUM1FWCEAB0、LSX1FWCEA1 |
不支持 |
LSXM1FWDF1、LSUM1FWDEC0、IM-NGFWX-IV、LSQM1FWDSC0、LSWM1FWD0、LSPM6FWD、LSQM2FWDSC0 |
不支持 |
vFW1000、vFW2000 |
不支持 |
配置直通转发时,需要注意的是报文在CRC(Cyclic Redundancy Code,循环冗余校验码)接收前已经转发,因此设备也将转发CRC校验错误的报文。
(1) 进入系统视图。
system-view
(2) 开启设备直通转发。
cut-through enable
缺省情况下,设备直通转发功能处于关闭状态。
Bridge转发是指用户创建Bridge实例后,根据Bridge实例中添加成员类型不同,实现报文基于VLAN或者端口的安全转发功能。
根据报文的转发特征,Bridge转发有下列几种转发模式:
· 跨VLAN模式:在不同VLAN间进行报文转发。
· 反射模式:报文从同一接口收发。
· 透传模式:报文从一个接口接收,从另一个接口发送。
· 黑洞模式:报文从一个接口接收,处理完后被丢弃。
跨VLAN模式Bridge转发是在数据链路层完成不同VLAN间通信的一种技术。如图4-1所示,目前这种技术主要应用在防火墙产品上。防火墙和交换机配合使用、经过交换机的二层网络流量由防火墙过滤后再进行转发的场景。
图4-1 Bridge转发工作机制
如图4-1,交换机上配置的防火墙的Bridge转发实例(可以看作是实现一类Bridge转发模式的二层桥)为Bridge 1,Bridge 1中添加VLAN 10和VLAN 20。以ARP(Address Resolution Protocol,地址解析协议)实现为例,Bridge转发过程如下:
(1) VLAN 10的Host A想要访问VLAN 20的Host B,Host A发送一个ARP请求报文。
a. 交换机收到请求报文的处理过程:
¡ 交换机从接口Port A收到目的MAC未知的报文,交换机学习到该报文的源MAC地址0033-0033-0033,并记录该MAC地址所对应的VLAN 10和接口Port A。
¡ 交换机将该报文在VLAN 10内进行广播,同时该报文会通过交换机侧内联口Port C(即用于连接交换机与防火墙的接口)发送给防火墙。
b. 防火墙收到请求报文的处理过程:
¡ 防火墙收到该报文,将报文源MAC地址学习到用户配置的Bridge转发实例Bridge 1内,并且学习到该MAC地址对应的VLAN 10及防火墙侧内联口Port D。
¡ 同时根据Bridge 1内用户配置的VLAN列表,将该报文在Bridge 1内配置的除报文所在VLAN 10以外的所有VLAN内进行发送,即在VLAN 20内发送该报文。在VLAN 20内发送的报文的VLAN ID将被替换为VLAN 20,生成新的报文,然后发送到VLAN 20。
¡ 防火墙通过防火墙侧内联口Port D将新报文发送给交换机。
c. 交换机收到新报文的处理过程:
¡ 交换机从交换机侧内联口Port C收到新的报文,学习该报文的源MAC地址并记录该MAC地址所对应的VLAN 20和交换机侧内联口Port C。
¡ 同时交换机将报文在VLAN 20内广播。
(2) VLAN 20的Host B收到新报文后,发现是要访问自己的报文,发送ARP应答报文。
a. 交换机收到应答报文的处理过程:
¡ 交换机从接口Port B收到目的MAC地址0033-0033-0033的报文,交换机学习到该报文的源MAC地址0000-0000-0002并记录该MAC地址所对应的VLAN 20和接口Port B。
¡ 交换机收到目的MAC地址为0033-0033-0033的已知报文,根据目的MAC地址和VLAN找到MAC地址表项,该表项的出接口为交换机侧内联口Port C,则将该报文发送给防火墙。
b. 防火墙收到应答报文的处理过程:
¡ 防火墙收到回复报文,将该报文源MAC地址学习到用户配置的Bridge转发实例Bridge 1内,并且学习到该MAC地址对应的VLAN 20及防火墙侧内联口Port D。
¡ 防火墙根据VLAN 20找到对应的Bridge 1下学习到的MAC地址表项,将报文的VLAN ID修改为MAC地址表项对应VLAN ID,并从防火墙侧内联口Port D将该报文发送给交换机。
c. 交换机收到新的应答报文的处理过程:
¡ 交换机收到该报文后,根据目的MAC地址和VLAN找到MAC地址表项,确认出接口为Port A,将该报文发送出去。
反射模式Bridge转发、透传模式Bridge转发和黑洞模式Bridge转发统称为Inline转发。
Inline转发是在数据链路层对流量进行安全监控的一种技术,目前这种技术主要应用在安全产品上,在设备上配置lnline转发功能,使相关二层网络流量都经过安全业务处理后再进行转发。
反射/黑洞模式Bridge转发中,Device B与Device A通过一个物理接口通信。对于反射模式Bridge转发,Device B通过同一接口完成报文的收发;对于黑洞模式Bridge转发,Device B收到报文后,先处理完安全业务,然后丢弃该报文。反射/黑洞模式Bridge转发一般适用于Device B旁挂的组网部署,Device A可直接接入网络。反射/黑洞模式Bridge转发如图4-2所示。
图4-2 反射/黑洞模式Bridge转发
透传模式Bridge转发中,Device B与Device A通过两个物理接口通信,即Device B通过其中的一个接口收报文,通过另外一个接口发报文。透传模式Bridge转发一般适用于Device B直连的组网部署,Device A通过Device B接入网络。透传模式Bridge转发如图4-3所示。
在图4-2、图4-3中,以VM(Virtual Machine,虚拟机)间的报文交互为例,Inline转发过程如下:
(1) VM 1与VM 2的内部流量通过Device A转发,Device A将收到的报文引流到与之相连的Device B上。
(2) Device B将收到的IP报文交给安全业务进行处理,其他报文直接返回给Device A。
(3) Device B处理通过安全业务过滤的报文,根据报文信息建立对应的转发表项,并将报文返回给Device A。
本特性的支持情况与设备型号有关,请以设备的实际情况为准。
型号 |
说明 |
F5010、F5020、F5020-GM、F5030、F5030-6GW、F5040、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-C、F5000-S、F5000-M、F5000-A |
支持 |
F1000-AI-20、F1000-AI-30、F1000-AI-50、F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90 |
支持 |
F1003-L、F1005-L、F1010-L |
支持 |
F1005、F1010 |
支持 |
F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1090、F1000-V70、F1000-V90 |
支持 |
F1000-AK1010、F1000-AK1020、F1000-AK1030 |
支持 |
F1000-AK1110、F1000-AK1120、F1000-AK1130、F1000-AK1140 |
支持 |
F1000-AK1212、F1000-AK1222、F1000-AK1232、F1000-AK1312、F1000-AK1322、F1000-AK1332 |
支持 |
F1000-AK1414、F1000-AK1424、F1000-AK1434、F1000-AK1514、F1000-AK1524、F1000-AK1534、F1000-AK1614 |
支持 |
F1000-AK108、F1000-AK109、F1000-AK110、F1000-AK115、F1000-AK120、F1000-AK125、F1000-AK710 |
支持 |
F1000-AK130、F1000-AK135、F1000-AK140、F1000-AK145、F1000-AK150、F1000-AK155、F1000-AK160、F1000-AK165、F1000-AK170、F1000-AK175、F1000-AK180、F1000-AK185、F1000-GM-AK370、F1000-GM-AK380、F1000-AK711 |
支持 |
LSU3FWCEA0、LSUM1FWCEAB0、LSX1FWCEA1 |
支持 |
LSXM1FWDF1、LSUM1FWDEC0、IM-NGFWX-IV、LSQM1FWDSC0、LSWM1FWD0、LSPM6FWD、LSQM2FWDSC0 |
支持 |
vFW1000、vFW2000 |
不支持 |
(1) 进入系统视图。
system-view
(2) (可选)设置Bridge转发的MAC地址的老化时间。
bridge mac-address timer aging seconds
缺省情况下,Bridge转发的MAC的老化时间为300秒。
(3) 创建跨VLAN模式Bridge转发实例,并进入Bridge视图。
bridge bridge-index inter-vlan
(4) 向Bridge转发实例中添加VLAN列表。
add vlan vlan-id-list
(5) (可选)配置Bridge实例下的MAC地址最大学习数。
mac-address max-mac-count count
缺省情况下,Bridge实例下的MAC地址最大学习数为4096。
透传模式Bridge转发实例可以通过命令行手工创建,也可以通过插入硬件Bypass子卡后由设备自动生成。插入硬件Bypass子卡前,需保证设备上不存在跨VLAN模式Bridge转发实例,否则将导致自动创建透传模式Bridge转发实例失败。
在安全设备上配置Inline转发时,需要关闭与其连接的交换机上对应互连口的MAC地址学习功能,否则可能造成MAC地址频繁迁移。
向Bridge转发实例中添加接口时需要注意:
· 每个反射/黑洞模式Bridge转发实例只能添加一个接口
· 每个手工创建的透传模式Bridge转发实例只能添加两个接口,且这两个接口的类型必须保持一致
· 对于自动创建的透传模式Bridge转发实例,设备在自动创建Bridge转发实例后,会自动将子卡上的一对接口添加到此Bridge转发实例中,且自动创建的透传模式Bridge转发实例不支持手工添加或删除接口
· 将三层以太网接口加入Bridge转发实例后,该接口将只能用于二层转发,不能进行三层转发。因此,请不要在Bridge转发实例的三层以太网接口上配置IP地址等三层业务相关的功能,即使配置了也不生效。
(1) 进入系统视图。
system-view
(2) (可选)配置Inline转发时忽略报文的隧道封装。
bridge tunnel-encapsulation skip
缺省情况下,Inline转发时未忽略报文的隧道封装。
(3) 手工创建不同模式的转发实例,并进入Bridge视图。
¡ 创建反射模式Bridge转发实例,并进入Bridge视图。
bridge bridge-index reflect
¡ 创建透传模式Bridge转发实例,并进入Bridge视图。
bridge bridge-index forward
¡ 创建黑洞模式Bridge转发实例,并进入Bridge视图。
bridge bridge-index blackhole
(4) 向Bridge转发实例中添加接口。
add interface interface-type interface-number
缺省情况下,手工创建的Bridge转发实例中未添加任何接口。
在Inline转发模式下,配置Bypass功能,用户流量可以不经过安全业务或者安全设备处理,直接被处理。
Bypass功能分为以下几种模式:
· 内部Bypass功能:用户流量经过安全设备Device,但不进行安全业务处理。安全设备会根据配置的Inline转发模式,选择对应的接口将用户流量直接转发或者丢弃。
· 外部Bypass功能:用户流量不经过安全设备Device,直接通过PFC(Power Free Connector,无源连接设备)设备转发。
如图4-4所示,链路正常情况下,未配置Bypass功能时,用户流量转发路径如下。
如图4-5所示,当安全设备Device和PFC之间链路故障时,用户可以在安全设备上开启外部Bypass功能,使流量直接通过PFC设备转发,保证流量不间断。
开启外部Bypass功能时,根据配置的不同有如下区分:
· 静态外部Bypass功能:用户流量直接通过PFC转发,不经过安全设备处理。
· 动态外部Bypass功能:在安全设备上将与PFC相连的两个接口加入Bridge转发实例。安全设备通过检查这两个接口的状态,决定自动启用外部Bypass功能。当透传模式Bridge实例中的某一接口状态变为DOWN时,用户流量不经过安全设备,直接通过PFC转发。同时,安全设备会周期性检查透传模式Bridge实例中接口状态,如果检查到实例中两个接口都处于UP状态,则自动关闭外部Bypass功能,恢复由安全设备处理用户流量。
多次配置bypass enable命令和bypass enable external命令,最后一次执行的配置生效。
多台设备组成IRF时不支持外部Bypass功能。
配置外部Bypass功能时,需要注意:
· 本功能只能在管理Context上进行配置。对于以共享方式分配的二层以太网接口,在管理Context内配置外部bypass功能时:
¡ 如果外部Bypass功能生效,用户流量通过PFC转发,用户Context中该二层以太网接口上存在影响流量转发的配置,则该配置不生效,流量仍会通过PFC转发。
¡ 如果外部Bypass功能不生效,用户流量不通过PFC转发,用户Context中该二层以太网接口上存在影响流量转发的配置,则该配置生效,流量按照配置的转发规则转发。
· 本功能仅支持在手工创建的透传模式Bridge转发实例中配置,对于插入硬件Bypass子卡后设备自动创建的透传模式Bridge转发实例,仅支持内部Bypass功能。
· 本功能仅支持在一个手工创建的透传模式Bridge视图下配置。加入透传模式Bridge实例的两个接口,必须在同一slot上。
· 本功能与接口联动组不能同时使用。有关接口联动组的详细介绍,请参见“可靠性配置指导”中的“接口联动组”。
(1) 进入系统视图。
system-view
(2) 进入Bridge视图。
¡ 进入反射模式Bridge视图。
bridge bridge-index reflect
¡ 进入自动创建的透传模式Bridge视图。
bridge bridge-index
¡ 进入手工创建的透传模式Bridge视图。
bridge bridge-index forward
¡ 进入黑洞模式Bridge视图。
bridge bridge-index blackhole
(3) 配置内部Bypass功能。
bypass enable
缺省情况下,Bypass功能处于关闭状态。
(1) 进入系统视图。
system-view
(2) 进入手工创建的透传模式Bridge视图。
bridge bridge-index forward
(3) 配置外部Bypass功能。
bypass enable external [ auto [ check-interval interval ] ]
缺省情况下,Bypass功能处于关闭状态。
本命令的支持情况与设备的型号有关,具体请参见命令参考。
在完成上述配置后,在任意视图下执行display命令可以显示Bridge学习的MAC地址信息。
display bridge mac-address、display bridge bypass status的支持情况与设备型号有关,具体请参见命令参考。
表4-1 Bridge转发显示和维护
操作 |
命令 |
显示Bridge转发学习的MAC地址信息 |
display bridge mac-address [ bridge-index [ vlan vlan-id ] ] [ count ] [ slot slot-number ] |
显示Bypass功能状态 |
display bridge bridge-id bypass status |
由交换机GigabitEthernet1/0/1、GigabitEthernet1/0/2互相交换的不同VLAN的报文需要经过防火墙过滤,采用交换机和防火墙组合的方案较为经济、灵活。在这个方案中采用跨VLAN模式Bridge二层转发技术,如图4-6所示。
图4-6 跨VLAN模式Bridge转发组网图
# 配置防火墙。
<Sysname> system-view
[Sysname] bridge 2 inter-vlan
[Sysname-bridge2-inter-vlan] add vlan 10 20
[Sysname-bridge2-inter-vlan] quit
# 配置交换机。
<Sysname> system-view
[Sysname] interface gigabitethernet 1/0/1
[Sysname-GigabitEthernet1/0/1] port access vlan 10
[Sysname] interface gigabitethernet 1/0/2
[Sysname-GigabitEthernet1/0/2] port access vlan 20
[Sysname-GigabitEthernet1/0/2] quit
# 在防火墙上执行display bridge mac-address命令可以看到Bridge转发学习到的MAC地址表项。
[Sysname] display bridge mac-address 2
MAC Address BRIDGE ID State VLAN ID Port Aging
0033-0033-0033 2 Learned 10 GE1/0/1 Y
0000-0000-0002 2 Learned 20 GE1/0/2 Y
Device A上由VM1与VM2互相交换的报文需要经Device B过滤。Device B上通过一个接口GigabitEthernet1/0/1与Device A相连。在这个方案中采用反射模式Bridge转发技术,如图4-7所示。
图4-7 反射模式Bridge转发组网图
(1) 在Device A上配置QoS策略,将VM1和VM2间的流量引流到Device B。并关闭与Device B互连接口上的MAC地址学习功能。
# 定义IPv4高级ACL 3001,并为其创建如下规则:匹配源IP为1.1.1.2、目的IP为1.1.1.3的数据包。
[DeviceA] acl advanced 3001
[DeviceA-acl-ipv4-adv-3001] rule permit ip source 1.1.1.2 0 destination 1.1.1.3 0
[DeviceA-acl-ipv4-adv-3001] quit
# 定义类classifier1,匹配ACL 3001。
[DeviceA] traffic classifier classifier1
[DeviceA-classifier-classifier1] if-match acl 3001
[DeviceA-classifier-classifier1] quit
# 定义IPv4高级ACL 3002,并为其创建如下规则:匹配源IP为1.1.1.3、目的IP为1.1.1.2的数据包。
[DeviceA] acl advanced 3002
[DeviceA-acl-ipv4-adv-3002] rule permit ip source 1.1.1.3 0 destination 1.1.1.2 0
[DeviceA-acl-ipv4-adv-3002] quit
# 定义类classifier2,匹配ACL 3002。
[DeviceA] traffic classifier classifier2
[DeviceA-classifier-classifier2] if-match acl 3002
[DeviceA-classifier-classifier2] quit
# 定义流行为behavior1,动作为重定向Device B。
[DeviceA] traffic behavior behavior1
[DeviceA-behavior-behavior1] redirect interface gigabitethernet 1/0/3
[DeviceD-behavior-behavior1] quit
# 定义策略policy1,并为类classifier1指定流行为behavior1。
[DeviceA] qos policy policy1
[DeviceA-qospolicy-policy1] classifier classifier1 behavior behavior1
[DeviceA-qospolicy-policy1] quit
# 定义策略policy2,并为类classifier2指定流行为behavior1。
[DeviceA] qos policy policy2
[DeviceA-qospolicy-policy2] classifier classifier2 behavior behavior1
[DeviceA-qospolicy-policy2] quit
# 将策略policy1应用到接口GigabitEthernet1/0/1的入方向上。
[DeviceA] interface gigabitethernet 1/0/1
[DeviceA-GigabitEthernet1/0/1] qos apply policy policy1 inbound
[DeviceA-GigabitEthernet1/0/1] quit
# 将策略policy2应用到接口GigabitEthernet1/0/2的入方向上。
[DeviceA] interface gigabitethernet 1/0/2
[DeviceA-GigabitEthernet1/0/2] qos apply policy policy2 inbound
[DeviceA-GigabitEthernet1/0/2] quit
# 关闭Device A上接口GigabitEthernet1/0/3的MAC地址学习功能。
[DeviceA] interface gigabitethernet 1/0/3
[DeviceA-GigabitEthernet1/0/3] undo mac-address mac-learning enable
(2) 在Device B上配置反射模式Bridge转发。
# 在Device B上创建反射模式的Bridge转发实例,并向该实例添加接口GigabitEthernet1/0/1。
<DeviceB> system-view
[DeviceB] bridge 2 reflect
[DeviceB-bridge2-reflect] add interface gigabitethernet 1/0/1
[DeviceB-bridge2-reflect] quit
# 在Device B上执行display bridge cache ip inline命令可以看到反射模式Bridge转发创建的IP快速转发表信息。
[DeviceB] display bridge cache ip inline
Total number of bridge-forwarding entries: 1
SIP SPort DIP DPort Pro Output_If
1.1.1.3 470 1.1.1.2 0 1 GE1/0/1
1.1.1.2 470 1.1.1.3 2048 1 GE1/0/1
快速Bridge转发采用高速缓存来处理报文,采用了基于数据流的技术,可以大大提高转发效率。
快速Bridge转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中,会根据设备规则,对需要进行三层业务处理的报文,获取其IP地址等信息,生成IP快速转发表。当一条数据流的第一个报文转发后,会在高速缓存中生成相应的转发信息,该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程,减少报文的转发时间,提高报文的转发速率。
快速Bridge转发是设备默认启用的特性,不需要配置。
报文携带的VLAN ID是设备判断其所属TCP会话的依据之一。在防火墙双机热备的组网环境下,有时需要报文在主备设备间传递后仍可以匹配到同一个会话中,而主备设备上报文入接口所属VLAN可能不同,此时可以关闭对VLAN ID的检查以保证报文在主备设备之间传递之后能够匹配到同一会话。
本特性的支持情况与设备型号有关,请以设备的实际情况为准。
型号 |
说明 |
F5010、F5020、F5020-GM、F5030、F5030-6GW、F5040、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-C、F5000-S、F5000-M、F5000-A |
支持 |
F1000-AI-20、F1000-AI-30、F1000-AI-50、F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90 |
支持 |
F1003-L、F1005-L、F1010-L |
支持 |
F1005、F1010 |
支持 |
F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1090、F1000-V70、F1000-V90 |
支持 |
F1000-AK1010、F1000-AK1020、F1000-AK1030 |
支持 |
F1000-AK1110、F1000-AK1120、F1000-AK1130、F1000-AK1140 |
支持 |
F1000-AK1212、F1000-AK1222、F1000-AK1232、F1000-AK1312、F1000-AK1322、F1000-AK1332 |
支持 |
F1000-AK1414、F1000-AK1424、F1000-AK1434、F1000-AK1514、F1000-AK1524、F1000-AK1534、F1000-AK1614 |
支持 |
F1000-AK108、F1000-AK109、F1000-AK110、F1000-AK115、F1000-AK120、F1000-AK125、F1000-AK710 |
支持 |
F1000-AK130、F1000-AK135、F1000-AK140、F1000-AK145、F1000-AK150、F1000-AK155、F1000-AK160、F1000-AK165、F1000-AK170、F1000-AK175、F1000-AK180、F1000-AK185、F1000-GM-AK370、F1000-GM-AK380、F1000-AK711 |
支持 |
LSU3FWCEA0、LSUM1FWCEAB0、LSX1FWCEA1 |
支持 |
LSXM1FWDF1、LSUM1FWDEC0、IM-NGFWX-IV、LSQM1FWDSC0、LSWM1FWD0、LSPM6FWD、LSQM2FWDSC0 |
支持 |
vFW1000、vFW2000 |
不支持 |
仅Inline转发会对VLAN ID进行检查,设备使用跨VLAN模式Bridge进行转发时无需配置本功能,因为跨VLAN模式Bridge转发不对VLAN ID进行检查,本功能对跨VLAN模式Bridge转发不生效。在防火墙双机热备的组网环境下,无论是否配置本功能,使用跨VLAN模式Bridge进行快速转发时,报文在主备设备间传递后仍可以匹配到同一个会话中。
(1) 进入系统视图。
system-view
(2) 关闭快速Bridge转发时对VLAN ID检查功能。
undo bridge fast-forwarding check-vlan-id
缺省情况下,快速二层转发时对VLAN ID字段的检查功能处于开启状态。
在任意视图下执行display命令可以显示快速Bridge转发表信息。
inter-vlan参数的支持情况与设备型号有关,具体请参见命令参考。
表5-1 快速Bridge转发显示和维护
操作 |
命令 |
显示Bridge转发创建的IP快速转发表信息 |
display bridge cache ip { inline | inter-vlan } [ ip-address ] [ slot slot-number ] |
显示Bridge转发创建的分片报文快速转发表信息 |
display bridge cache ip fragment { inline | inter-vlan } [ ip-address ] [ slot slot-number ] |
显示Bridge转发创建的IPv6快速转发表信息 |
display bridge cache ipv6 { inline | inter-vlan } [ ipv6-address ] [ slot slot-number ] |
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!