• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

11-二层技术-以太网交换配置指导

目录

07-二层转发配置

本章节下载 07-二层转发配置  (268.64 KB)

07-二层转发配置


1 普通二层转发

1.1  普通二层转发简介

如果设备接收到的报文的目的MAC地址匹配三层接口的MAC地址,则通过设备的三层接口进行三层转发;否则通过设备的二层接口进行二层转发。

二层转发根据报文的目的MAC地址查找MAC地址表,得到报文的出接口,然后将报文发送出去。

普通二层转发是设备默认启用的特性,不需要配置。

1.2  普通二层转发显示和维护

在任意视图下执行display命令可以显示二层转发过程中的统计信息,查看转发的结果。

在用户视图下执行reset命令可以清除二层转发的统计信息。

表1-1 普通二层转发显示和维护

操作

命令

显示二层转发统计信息

display mac-forwarding statistics [ interface interface-type interface-number ]

清除二层转发统计信息

reset mac-forwarding statistics

 


2 快速二层转发

2.1  快速二层转发简介

快速二层转发采用高速缓存来处理报文,并采用基于数据流的技术,可以大大提高转发效率。

快速二层转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中,会根据设备规则,对需要进行三层业务处理的报文,获取其IP地址等信息,生成IP快速转发表。当一条数据流的第一个报文转发后,会在高速缓存中生成相应的转发信息,该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程,减少报文的转发时间,提高报文的转发速率。

快速二层转发是设备默认启用的特性,不需要配置。

2.2  关闭快速二层转发时对VLAN ID检查功能

1. 功能简介

配置本功能后,设备在判断报文所属的TCP会话时会忽略对VLAN ID的检查。

 

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     关闭快速二层转发时对VLAN ID检查功能。

undo mac fast-forwarding check-vlan-id

缺省情况下,快速二层转发时对VLAN ID字段的检查功能处于开启状态。

2.3  快速二层转发显示和维护

在任意视图下执行display命令可以显示快速二层转发表信息。

表2-1 快速二层转发显示和维护

操作

命令

显示IP快速转发表信息

display mac-forwarding cache ip [ ip-address ] [ chassis chassis-number slot slot-number ]

显示分片报文快速转发表信息

display mac-forwarding cache ip fragment [ ip-address ] [ chassis chassis-number slot slot-number ]

显示IPv6快速转发表信息

display mac-forwarding cache ipv6 [ ipv6-address ] [ chassis chassis-number slot slot-number ]

 


3 直通转发

3.1  直通转发简介

直通转发是指设备接收到报文的前64个字节后立即转发。该功能可以节省报文在设备中消耗的时间,提高转发性能。

3.2  直通转发配置指导

配置直通转发时,需要注意的是报文在CRC(Cyclic Redundancy Code,循环冗余校验码)接收前已经转发,因此设备也将转发CRC校验错误的报文。

3.3  配置直通转发

(1)     进入系统视图。

system-view

(2)     开启设备直通转发。

cut-through enable

缺省情况下,设备直通转发功能处于关闭状态。


4 Bridge转发

4.1  Bridge转发简介

Bridge转发是指用户创建Bridge实例后,根据Bridge实例中添加成员类型不同,实现报文基于VLAN或者端口的安全转发功能。

4.1.1  Bridge转发模式

根据报文的转发特征,Bridge转发有下列几种转发模式:

·     跨VLAN模式:在不同VLAN间进行报文转发。

·     反射模式:报文从同一接口收发。

·     透传模式:报文从一个接口接收,从另一个接口发送。

·     黑洞模式:报文从一个接口接收,处理完后被丢弃。

4.1.2  跨VLAN模式Bridge转发

跨VLAN模式Bridge转发是在数据链路层完成不同VLAN间通信的一种技术。如图4-1所示,目前这种技术主要应用在防火墙产品上。防火墙和交换机配合使用、经过交换机的二层网络流量由防火墙过滤后再进行转发的场景。

图4-1 Bridge转发工作机制

图4-1,交换机上配置的防火墙的Bridge转发实例(可以看作是实现一类Bridge转发模式的二层桥)为Bridge 1,Bridge 1中添加VLAN 10和VLAN 20。以ARP(Address Resolution Protocol,地址解析协议)实现为例,Bridge转发过程如下:

(1)     VLAN 10的Host A想要访问VLAN 20的Host B,Host A发送一个ARP请求报文。

a.     交换机收到请求报文的处理过程:

¡     交换机从接口Port A收到目的MAC未知的报文,交换机学习到该报文的源MAC地址0033-0033-0033,并记录该MAC地址所对应的VLAN 10和接口Port A。

¡     交换机将该报文在VLAN 10内进行广播,同时该报文会通过交换机侧内联口Port C(即用于连接交换机与防火墙的接口)发送给防火墙。

b.     防火墙收到请求报文的处理过程:

¡     防火墙收到该报文,将报文源MAC地址学习到用户配置的Bridge转发实例Bridge 1内,并且学习到该MAC地址对应的VLAN 10及防火墙侧内联口Port D。

¡     同时根据Bridge 1内用户配置的VLAN列表,将该报文在Bridge 1内配置的除报文所在VLAN 10以外的所有VLAN内进行发送,即在VLAN 20内发送该报文。在VLAN 20内发送的报文的VLAN ID将被替换为VLAN 20,生成新的报文,然后发送到VLAN 20。

¡     防火墙通过防火墙侧内联口Port D将新报文发送给交换机。

c.     交换机收到新报文的处理过程:

¡     交换机从交换机侧内联口Port C收到新的报文,学习该报文的源MAC地址并记录该MAC地址所对应的VLAN 20和交换机侧内联口Port C。

¡     同时交换机将报文在VLAN 20内广播。

(2)     VLAN 20的Host B收到新报文后,发现是要访问自己的报文,发送ARP应答报文。

a.     交换机收到应答报文的处理过程:

¡     交换机从接口Port B收到目的MAC地址0033-0033-0033的报文,交换机学习到该报文的源MAC地址0000-0000-0002并记录该MAC地址所对应的VLAN 20和接口Port B。

¡     交换机收到目的MAC地址为0033-0033-0033的已知报文,根据目的MAC地址和VLAN找到MAC地址表项,该表项的出接口为交换机侧内联口Port C,则将该报文发送给防火墙。

b.     防火墙收到应答报文的处理过程:

¡     防火墙收到回复报文,将该报文源MAC地址学习到用户配置的Bridge转发实例Bridge 1内,并且学习到该MAC地址对应的VLAN 20及防火墙侧内联口Port D。

¡     防火墙根据VLAN 20找到对应的Bridge 1下学习到的MAC地址表项,将报文的VLAN ID修改为MAC地址表项对应VLAN ID,并从防火墙侧内联口Port D将该报文发送给交换机。

c.     交换机收到新的应答报文的处理过程:

¡     交换机收到该报文后,根据目的MAC地址和VLAN找到MAC地址表项,确认出接口为Port A,将该报文发送出去。

4.1.3  Inline转发

反射模式Bridge转发、透传模式Bridge转发和黑洞模式Bridge转发统称为Inline转发。

Inline转发是在数据链路层对流量进行安全监控的一种技术。目前这种技术主要应用在安全产品上,通过QoS策略将经过设备的二层网络流量引流到安全产品上,由安全产品过滤后再进行转发。

1. 反射/黑洞模式Bridge转发组网部署

反射/黑洞模式Bridge转发中,Device B与Device A通过一个物理接口通信。对于反射模式Bridge转发,Device B通过同一接口完成报文的收发;对于黑洞模式Bridge转发,Device B收到报文后,先处理完安全业务,然后丢弃该报文。反射/黑洞模式Bridge转发一般适用于Device B旁挂的组网部署,Device A可直接接入网络。反射/黑洞模式Bridge转发如图4-2所示。

图4-2 反射/黑洞模式Bridge转发

2. 透传模式Bridge转发组网部署

透传模式Bridge转发中,Device B在两个接口间转发报文,其中一个接口用于收报文,另外一个接口用于发报文。透传模式Bridge转发一般适用于Device B直连的组网部署,Device A通过Device B接入网络。透传模式Bridge转发如图4-3所示。

图4-3 透传模式Bridge转发

3. Inline转发报文处理流程

图4-2图4-3中,以VM(Virtual Machine,虚拟机)间的报文交互为例,Inline转发过程如下:

(1)     VM 1与VM 2的内部流量通过Device A转发,Device A将收到的报文引流到与之相连的Device B上。

(2)     Device B将收到的IP报文交给安全业务进行处理,其他报文直接返回给Device A。

(3)     Device B处理通过安全业务过滤的报文,根据报文信息建立对应的转发表项,并将报文返回给Device A。

4.2  配置Bridge转发

4.2.1  配置跨VLAN模式Bridge转发

(1)     进入系统视图。

system-view

(2)     (可选)设置Bridge转发的MAC地址的老化时间。

bridge mac-address timer aging seconds

缺省情况下,Bridge转发的MAC的老化时间为300秒。

(3)     创建跨VLAN模式Bridge转发实例,并进入Bridge视图。

bridge bridge-index inter-vlan

(4)     向Bridge转发实例中添加VLAN列表。

add vlan vlan-id-list

(5)     (可选)配置Bridge实例下的MAC地址最大学习数。

mac-address max-mac-count count

缺省情况下,Bridge实例下的MAC地址最大学习数为4096。

4.2.2  配置Inline转发

1. 配置限制和指导

透传模式Bridge转发实例可以通过命令行手工创建,也可以通过插入硬件Bypass子卡后由设备自动生成。插入硬件Bypass子卡前,需保证设备上不存在跨VLAN模式Bridge转发实例,否则将导致自动创建透传模式Bridge转发实例失败。

在安全设备上配置Inline转发时,需要关闭与其连接的交换机上对应互连口的MAC地址学习功能,否则可能造成MAC地址频繁迁移。

向Bridge转发实例中添加接口时需要注意:

·     每个反射/黑洞模式Bridge转发实例只能添加一个接口。

·     每个手工创建的透传模式Bridge转发实例只能添加两个接口,且这两个接口的类型必须保持一致。

·     对于自动创建的透传模式Bridge转发实例,设备在自动创建Bridge转发实例后,会自动将子卡上的一对接口添加到此Bridge转发实例中,且自动创建的透传模式Bridge转发实例不支持手工添加或删除接口。

·     将三层以太网接口加入Bridge转发实例后,该接口将只能用于二层转发,不能进行三层转发。因此,请不要在Bridge转发实例的三层以太网接口上配置IP地址等三层业务相关的功能,即使配置了也无法生效。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     (可选)配置Inline转发时忽略报文的隧道封装。

bridge tunnel-encapsulation skip

缺省情况下,Inline转发时未忽略报文的隧道封装。

(3)     手工创建不同模式的转发实例,并进入Bridge视图。

¡     创建反射模式Bridge转发实例,并进入Bridge视图。

bridge bridge-index reflect

¡     创建透传模式Bridge转发实例,并进入Bridge视图。

bridge bridge-index forward

¡     创建黑洞模式Bridge转发实例,并进入Bridge视图。

bridge bridge-index blackhole

(4)     向Bridge转发实例中添加接口。

add interface interface-type interface-number

缺省情况下,手工创建的Bridge转发实例中未添加任何接口。

4.2.3  配置Bypass功能

1. 功能简介

在Inline转发模式下,配置Bypass功能,用户流量可以不经过安全业务或者安全设备处理,直接被处理。

Bypass功能是指用户流量经过安全设备Device,但不进行安全业务处理。安全设备会根据配置的Inline转发模式,选择对应的接口将用户流量直接转发或者丢弃。

2. 配置限制和指导

多次配置bypass enable命令,最后一次执行的配置生效。

3. 配置内部Bypass功能

(1)     进入系统视图。

system-view

(2)     进入Bridge视图。

¡     进入反射模式Bridge视图。

bridge bridge-index reflect

¡     进入自动创建的透传模式Bridge视图。

bridge bridge-index

¡     进入手工创建的透传模式Bridge视图。

bridge bridge-index forward

¡     进入黑洞模式Bridge视图。

bridge bridge-index blackhole

(3)     配置内部Bypass功能。

bypass enable

缺省情况下,Bypass功能处于关闭状态。

4.3  Bridge转发显示和维护

在完成上述配置后,在任意视图下执行display命令可以显示Bridge学习的MAC地址信息。

表4-1 Bridge转发显示和维护

操作

命令

显示Bridge转发学习的MAC地址信息

display bridge mac-address [ bridge-index [ vlan vlan-id ] ] [ count ] [ chassis chassis-number slot slot-number ]

 


5 快速Bridge转发

5.1  快速Bridge转发简介

快速Bridge转发采用高速缓存来处理报文,采用了基于数据流的技术,可以大大提高转发效率。

快速Bridge转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中,会根据设备规则,对需要进行三层业务处理的报文,获取其IP地址等信息,生成IP快速转发表。当一条数据流的第一个报文转发后,会在高速缓存中生成相应的转发信息,该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程,减少报文的转发时间,提高报文的转发速率。

快速Bridge转发是设备默认启用的特性,不需要配置。

5.2  关闭快速Bridge转发时对VLAN ID检查功能

1. 功能简介

配置本功能后,设备在判断报文所属的TCP会话时会忽略对VLAN ID的检查。

2. 配置限制和指导

仅Inline转发会对VLAN ID进行检查,设备使用跨VLAN模式Bridge进行转发时无需配置本功能,因为跨VLAN模式Bridge转发不对VLAN ID进行检查,本功能对跨VLAN模式Bridge转发不生效。在防火墙双机热备的组网环境下,无论是否配置本功能,使用跨VLAN模式Bridge进行快速转发时,报文在主备设备间传递后仍可以匹配到同一个会话中。

 

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     关闭快速Bridge转发时对VLAN ID检查功能。

undo bridge fast-forwarding check-vlan-id

缺省情况下,快速二层转发时对VLAN ID字段的检查功能处于开启状态。

5.3  快速Bridge转发显示和维护

在任意视图下执行display命令可以显示快速Bridge转发表信息。

表5-1 快速Bridge转发显示和维护

操作

命令

显示Bridge转发创建的IP快速转发表信息

display bridge cache ip { inline | inter-vlan } [ ip-address ] [ chassis chassis-number slot slot-number ]

显示Bridge转发创建的分片报文快速转发表信息

display bridge cache ip fragment { inline | inter-vlan } [ ip-address ] [ chassis chassis-number slot slot-number ]

显示Bridge转发创建的IPv6快速转发表信息

display bridge cache ipv6 { inline | inter-vlan } [ ipv6-address ] [ chassis chassis-number slot slot-number ]

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们