目  錄

1 普通二層轉發

1.1 普通二層轉發簡介

1.2 普通二層轉發顯示和維護

2 快速二層轉發

2.1 快速二層轉發簡介

2.2 關閉快速二層轉發時對VLAN ID檢查功能

2.3 快速二層轉發顯示和維護

3 直通轉發

3.1 直通轉發簡介

3.2 直通轉發與硬件適配關係

3.3 直通轉發配置指導

3.4 配置直通轉發

4 Bridge轉發

4.1 Bridge轉發簡介

4.1.1 Bridge轉發模式

4.1.2 跨VLAN模式Bridge轉發

4.1.3 Inline轉發

4.2 配置Bridge轉發

4.2.1 配置跨VLAN模式Bridge轉發

4.2.2 配置Inline轉發

4.2.3 配置Bypass功能

4.3 Bridge轉發顯示和維護

4.4 Bridge轉發典型配置舉例

4.4.1 跨VLAN模式Bridge轉發配置舉例

4.4.2 反射模式Bridge轉發配置舉例

5 快速Bridge轉發

5.1 快速Bridge轉發簡介

5.2 關閉快速Bridge轉發時對VLAN ID檢查功能

5.3 快速Bridge轉發顯示和維護

 

1 普通二層轉發

1.1  普通二層轉發簡介

如果設備接收到的報文的目的MAC地址匹配三層接口的MAC地址，則通過設備的三層接口進行三層轉發；否則通過設備的二層接口進行二層轉發。

二層轉發根據報文的目的MAC地址查找MAC地址表，得到報文的出接口，然後將報文發送出去。

普通二層轉發是設備默認啟用的特性，不需要配置。

1.2  普通二層轉發顯示和維護

在任意視圖下執行display命令可以顯示二層轉發過程中的統計信息，查看轉發的結果。

在用戶視圖下執行reset命令可以清除二層轉發的統計信息。

表1-1 普通二層轉發顯示和維護

操作	命令
顯示二層轉發統計信息	display mac-forwarding statistics [ interface interface-type interface-number ]
清除二層轉發統計信息	reset mac-forwarding statistics

 

2 快速二層轉發

2.1  快速二層轉發簡介

快速二層轉發采用高速緩存來處理報文，並采用基於數據流的技術，可以大大提高轉發效率。

快速二層轉發用源IP地址、源端口號、目的IP地址、目的端口號、協議號、輸入接口、輸出接口和VLAN來標識一條數據流。在二層轉發過程中，會根據設備規則，對需要進行三層業務處理的報文，獲取其IP地址等信息，生成IP快速轉發表。當一條數據流的第一個報文轉發後，會在高速緩存中生成相應的轉發信息，該數據流後續報文的轉發就可以通過直接查找快速轉發表進行轉發。這樣便大大縮減了報文的排隊流程，減少報文的轉發時間，提高報文的轉發速率。

快速二層轉發是設備默認啟用的特性，不需要配置。

2.2  關閉快速二層轉發時對VLAN ID檢查功能

1. 功能簡介

報文攜帶的VLAN ID是設備判斷其所屬TCP會話的依據之一。在防火牆雙機熱備的組網環境下，有時需要報文在主備設備間傳遞後仍可以匹配到同一個會話中，而主備設備上報文入接口所屬VLAN可能不同，此時可以關閉對VLAN ID的檢查以保證報文在主備設備之間傳遞之後能夠匹配到同一會話。

2. 硬件適配關係

本特性的支持情況與設備型號有關，請以設備的實際情況為準。

型號	說明
F5010、F5020、F5020-GM、F5030、F5030-6GW、F5040、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-C、F5000-S、F5000-M、F5000-A	支持
F1000-AI-20、F1000-AI-30、F1000-AI-50、F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90	支持
F1003-L、F1005-L、F1010-L	支持
F1005、F1010	支持
F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1090、F1000-V70、F1000-V90	支持
F1000-AK1010、F1000-AK1020、F1000-AK1030	支持
F1000-AK1110、F1000-AK1120、F1000-AK1130、F1000-AK1140	支持
F1000-AK1212、F1000-AK1222、F1000-AK1232、F1000-AK1312、F1000-AK1322、F1000-AK1332	支持
F1000-AK1414、F1000-AK1424、F1000-AK1434、F1000-AK1514、F1000-AK1524、F1000-AK1534、F1000-AK1614	支持
F1000-AK108、F1000-AK109、F1000-AK110、F1000-AK115、F1000-AK120、F1000-AK125、F1000-AK710	支持
F1000-AK130、F1000-AK135、F1000-AK140、F1000-AK145、F1000-AK150、F1000-AK155、F1000-AK160、F1000-AK165、F1000-AK170、F1000-AK175、F1000-AK180、F1000-AK185、F1000-GM-AK370、F1000-GM-AK380、F1000-AK711	支持
LSU3FWCEA0、LSUM1FWCEAB0、LSX1FWCEA1	支持
LSXM1FWDF1、LSUM1FWDEC0、IM-NGFWX-IV、LSQM1FWDSC0、LSWM1FWD0、LSPM6FWD、LSQM2FWDSC0	支持
vFW1000、vFW2000	不支持

 

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     關閉快速二層轉發時對VLAN ID檢查功能。

undo mac fast-forwarding check-vlan-id

缺省情況下，快速二層轉發時對VLAN ID字段的檢查功能處於開啟狀態。

2.3  快速二層轉發顯示和維護

在任意視圖下執行display命令可以顯示快速二層轉發表信息。

表2-1 快速二層轉發顯示和維護

操作	命令
顯示IP快速轉發表信息	display mac-forwarding cache ip [ ip-address ] [ slot slot-number ]
顯示分片報文快速轉發表信息	display mac-forwarding cache ip fragment [ ip-address ] [ slot slot-number ]
顯示IPv6快速轉發表信息	display mac-forwarding cache ipv6 [ ipv6-address ] [ slot slot-number ]

 

3 直通轉發

3.1  直通轉發簡介

直通轉發是指設備接收到報文的前64個字節後立即轉發。該功能可以節省報文在設備中消耗的時間，提高轉發性能。

3.2  直通轉發與硬件適配關係

本特性的支持情況與設備型號有關，請以設備的實際情況為準。

型號	說明
F5010、F5020、F5020-GM、F5030、F5030-6GW、F5040、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-C、F5000-S、F5000-M、F5000-A	·     F5010、F5020、F5020-GM、F5040、F5000-C、F5000-S：不支持 ·     F5030、F5030-6GW、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-M、F5000-A：支持
F1000-AI-20、F1000-AI-30、F1000-AI-50、F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90	·     F1000-AI-20、F1000-AI-30、F1000-AI-50：不支持 ·     F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90：支持
F1003-L、F1005-L、F1010-L	支持
F1005、F1010	支持
F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1090、F1000-V70、F1000-V90	·     F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1000-V70：不支持 ·     F1090、F1000-V90：支持
F1000-AK1010、F1000-AK1020、F1000-AK1030	支持
F1000-AK1110、F1000-AK1120、F1000-AK1130、F1000-AK1140	支持
F1000-AK1212、F1000-AK1222、F1000-AK1232、F1000-AK1312、F1000-AK1322、F1000-AK1332	不支持
F1000-AK1414、F1000-AK1424、F1000-AK1434、F1000-AK1514、F1000-AK1524、F1000-AK1534、F1000-AK1614	支持
F1000-AK108、F1000-AK109、F1000-AK110、F1000-AK115、F1000-AK120、F1000-AK125、F1000-AK710	支持
F1000-AK130、F1000-AK135、F1000-AK140、F1000-AK145、F1000-AK150、F1000-AK155、F1000-AK160、F1000-AK165、F1000-AK170、F1000-AK175、F1000-AK180、F1000-AK185、F1000-GM-AK370、F1000-GM-AK380、F1000-AK711	不支持
LSU3FWCEA0、LSUM1FWCEAB0、LSX1FWCEA1	不支持
LSXM1FWDF1、LSUM1FWDEC0、IM-NGFWX-IV、LSQM1FWDSC0、LSWM1FWD0、LSPM6FWD、LSQM2FWDSC0	不支持
vFW1000、vFW2000	不支持

 

3.3  直通轉發配置指導

配置直通轉發時，需要注意的是報文在CRC（Cyclic Redundancy Code，循環冗餘校驗碼）接收前已經轉發，因此設備也將轉發CRC校驗錯誤的報文。

3.4  配置直通轉發

(1)     進入係統視圖。

system-view

(2)     開啟設備直通轉發。

cut-through enable

缺省情況下，設備直通轉發功能處於關閉狀態。

4 Bridge轉發

4.1  Bridge轉發簡介

Bridge轉發是指用戶創建Bridge實例後，根據Bridge實例中添加成員類型不同，實現報文基於VLAN或者端口的安全轉發功能。

4.1.1  Bridge轉發模式

根據報文的轉發特征，Bridge轉發有下列幾種轉發模式：

·     跨VLAN模式：在不同VLAN間進行報文轉發。

·     反射模式：報文從同一接口收發。

·     透傳模式：報文從一個接口接收，從另一個接口發送。

·     黑洞模式：報文從一個接口接收，處理完後被丟棄。

4.1.2  跨VLAN模式Bridge轉發

跨VLAN模式Bridge轉發是在數據鏈路層完成不同VLAN間通信的一種技術。如圖4-1所示，目前這種技術主要應用在防火牆產品上。防火牆和交換機配合使用、經過交換機的二層網絡流量由防火牆過濾後再進行轉發的場景。

圖4-1 Bridge轉發工作機製

‌

如圖4-1，交換機上配置的防火牆的Bridge轉發實例（可以看作是實現一類Bridge轉發模式的二層橋）為Bridge 1，Bridge 1中添加VLAN 10和VLAN 20。以ARP（Address Resolution Protocol，地址解析協議）實現為例，Bridge轉發過程如下：

(1)     VLAN 10的Host A想要訪問VLAN 20的Host B，Host A發送一個ARP請求報文。

a.     交換機收到請求報文的處理過程：

¡     交換機從接口Port A收到目的MAC未知的報文，交換機學習到該報文的源MAC地址0033-0033-0033，並記錄該MAC地址所對應的VLAN 10和接口Port A。

¡     交換機將該報文在VLAN 10內進行廣播，同時該報文會通過交換機側內聯口Port C（即用於連接交換機與防火牆的接口）發送給防火牆。

b.     防火牆收到請求報文的處理過程：

¡     防火牆收到該報文，將報文源MAC地址學習到用戶配置的Bridge轉發實例Bridge 1內，並且學習到該MAC地址對應的VLAN 10及防火牆側內聯口Port D。

¡     同時根據Bridge 1內用戶配置的VLAN列表，將該報文在Bridge 1內配置的除報文所在VLAN 10以外的所有VLAN內進行發送，即在VLAN 20內發送該報文。在VLAN 20內發送的報文的VLAN ID將被替換為VLAN 20，生成新的報文，然後發送到VLAN 20。

¡     防火牆通過防火牆側內聯口Port D將新報文發送給交換機。

c.     交換機收到新報文的處理過程：

¡     交換機從交換機側內聯口Port C收到新的報文，學習該報文的源MAC地址並記錄該MAC地址所對應的VLAN 20和交換機側內聯口Port C。

¡     同時交換機將報文在VLAN 20內廣播。

(2)     VLAN 20的Host B收到新報文後，發現是要訪問自己的報文，發送ARP應答報文。

a.     交換機收到應答報文的處理過程：

¡     交換機從接口Port B收到目的MAC地址0033-0033-0033的報文，交換機學習到該報文的源MAC地址0000-0000-0002並記錄該MAC地址所對應的VLAN 20和接口Port B。

¡     交換機收到目的MAC地址為0033-0033-0033的已知報文，根據目的MAC地址和VLAN找到MAC地址表項，該表項的出接口為交換機側內聯口Port C，則將該報文發送給防火牆。

b.     防火牆收到應答報文的處理過程：

¡     防火牆收到回複報文，將該報文源MAC地址學習到用戶配置的Bridge轉發實例Bridge 1內，並且學習到該MAC地址對應的VLAN 20及防火牆側內聯口Port D。

¡     防火牆根據VLAN 20找到對應的Bridge 1下學習到的MAC地址表項，將報文的VLAN ID修改為MAC地址表項對應VLAN ID，並從防火牆側內聯口Port D將該報文發送給交換機。

c.     交換機收到新的應答報文的處理過程：

¡     交換機收到該報文後，根據目的MAC地址和VLAN找到MAC地址表項，確認出接口為Port A，將該報文發送出去。

4.1.3  Inline轉發

反射模式Bridge轉發、透傳模式Bridge轉發和黑洞模式Bridge轉發統稱為Inline轉發。

Inline轉發是在數據鏈路層對流量進行安全監控的一種技術，目前這種技術主要應用在安全產品上，在設備上配置lnline轉發功能，使相關二層網絡流量都經過安全業務處理後再進行轉發。

1. 反射/黑洞模式Bridge轉發組網部署

反射/黑洞模式Bridge轉發中，Device B與Device A通過一個物理接口通信。對於反射模式Bridge轉發，Device B通過同一接口完成報文的收發；對於黑洞模式Bridge轉發，Device B收到報文後，先處理完安全業務，然後丟棄該報文。反射/黑洞模式Bridge轉發一般適用於Device B旁掛的組網部署，Device A可直接接入網絡。反射/黑洞模式Bridge轉發如圖4-2所示。

圖4-2 反射/黑洞模式Bridge轉發

‌

2. 透傳模式Bridge轉發組網部署

透傳模式Bridge轉發中，Device B與Device A通過兩個物理接口通信，即Device B通過其中的一個接口收報文，通過另外一個接口發報文。透傳模式Bridge轉發一般適用於Device B直連的組網部署，Device A通過Device B接入網絡。透傳模式Bridge轉發如圖4-3所示。

圖4-3 透傳模式Bridge轉發

‌

3. Inline轉發報文處理流程

在圖4-2、圖4-3中，以VM（Virtual Machine，虛擬機）間的報文交互為例，Inline轉發過程如下：

(1)     VM 1與VM 2的內部流量通過Device A轉發，Device A將收到的報文引流到與之相連的Device B上。

(2)     Device B將收到的IP報文交給安全業務進行處理，其他報文直接返回給Device A。

(3)     Device B處理通過安全業務過濾的報文，根據報文信息建立對應的轉發表項，並將報文返回給Device A。

4.2  配置Bridge轉發

4.2.1  配置跨VLAN模式Bridge轉發

1. 硬件適配關係

本特性的支持情況與設備型號有關，請以設備的實際情況為準。

型號	說明
F5010、F5020、F5020-GM、F5030、F5030-6GW、F5040、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-C、F5000-S、F5000-M、F5000-A	支持
F1000-AI-20、F1000-AI-30、F1000-AI-50、F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90	支持
F1003-L、F1005-L、F1010-L	支持
F1005、F1010	支持
F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1090、F1000-V70、F1000-V90	支持
F1000-AK1010、F1000-AK1020、F1000-AK1030	支持
F1000-AK1110、F1000-AK1120、F1000-AK1130、F1000-AK1140	支持
F1000-AK1212、F1000-AK1222、F1000-AK1232、F1000-AK1312、F1000-AK1322、F1000-AK1332	支持
F1000-AK1414、F1000-AK1424、F1000-AK1434、F1000-AK1514、F1000-AK1524、F1000-AK1534、F1000-AK1614	支持
F1000-AK108、F1000-AK109、F1000-AK110、F1000-AK115、F1000-AK120、F1000-AK125、F1000-AK710	支持
F1000-AK130、F1000-AK135、F1000-AK140、F1000-AK145、F1000-AK150、F1000-AK155、F1000-AK160、F1000-AK165、F1000-AK170、F1000-AK175、F1000-AK180、F1000-AK185、F1000-GM-AK370、F1000-GM-AK380、F1000-AK711	支持
LSU3FWCEA0、LSUM1FWCEAB0、LSX1FWCEA1	支持
LSXM1FWDF1、LSUM1FWDEC0、IM-NGFWX-IV、LSQM1FWDSC0、LSWM1FWD0、LSPM6FWD、LSQM2FWDSC0	支持
vFW1000、vFW2000	不支持

 

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     （可選）設置Bridge轉發的MAC地址的老化時間。

bridge mac-address timer aging seconds

缺省情況下，Bridge轉發的MAC的老化時間為300秒。

(3)     創建跨VLAN模式Bridge轉發實例，並進入Bridge視圖。

bridge bridge-index inter-vlan

(4)     向Bridge轉發實例中添加VLAN列表。

add vlan vlan-id-list

(5)     （可選）配置Bridge實例下的MAC地址最大學習數。

mac-address max-mac-count count

缺省情況下，Bridge實例下的MAC地址最大學習數為4096。

4.2.2  配置Inline轉發

1. 配置限製和指導

透傳模式Bridge轉發實例可以通過命令行手工創建，也可以通過插入硬件Bypass子卡後由設備自動生成。插入硬件Bypass子卡前，需保證設備上不存在跨VLAN模式Bridge轉發實例，否則將導致自動創建透傳模式Bridge轉發實例失敗。

在安全設備上配置Inline轉發時，需要關閉與其連接的交換機上對應互連口的MAC地址學習功能，否則可能造成MAC地址頻繁遷移。

向Bridge轉發實例中添加接口時需要注意：

·     每個反射/黑洞模式Bridge轉發實例隻能添加一個接口

·     每個手工創建的透傳模式Bridge轉發實例隻能添加兩個接口，且這兩個接口的類型必須保持一致

·     對於自動創建的透傳模式Bridge轉發實例，設備在自動創建Bridge轉發實例後，會自動將子卡上的一對接口添加到此Bridge轉發實例中，且自動創建的透傳模式Bridge轉發實例不支持手工添加或刪除接口

·     將三層以太網接口加入Bridge轉發實例後，該接口將隻能用於二層轉發，不能進行三層轉發。因此，請不要在Bridge轉發實例的三層以太網接口上配置IP地址等三層業務相關的功能，即使配置了也不生效。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     （可選）配置Inline轉發時忽略報文的隧道封裝。

bridge tunnel-encapsulation skip

缺省情況下，Inline轉發時未忽略報文的隧道封裝。

(3)     手工創建不同模式的轉發實例，並進入Bridge視圖。

¡     創建反射模式Bridge轉發實例，並進入Bridge視圖。

bridge bridge-index reflect

¡     創建透傳模式Bridge轉發實例，並進入Bridge視圖。

bridge bridge-index forward

¡     創建黑洞模式Bridge轉發實例，並進入Bridge視圖。

bridge bridge-index blackhole

(4)     向Bridge轉發實例中添加接口。

add interface interface-type interface-number

缺省情況下，手工創建的Bridge轉發實例中未添加任何接口。

4.2.3  配置Bypass功能

1. 功能簡介

在Inline轉發模式下，配置Bypass功能，用戶流量可以不經過安全業務或者安全設備處理，直接被處理。

Bypass功能分為以下幾種模式：

·     內部Bypass功能：用戶流量經過安全設備Device，但不進行安全業務處理。安全設備會根據配置的Inline轉發模式，選擇對應的接口將用戶流量直接轉發或者丟棄。

·     外部Bypass功能：用戶流量不經過安全設備Device，直接通過PFC（Power Free Connector，無源連接設備）設備轉發。

如圖4-4所示，鏈路正常情況下，未配置Bypass功能時，用戶流量轉發路徑如下。

圖4-4 正常情況下流量轉發

 

如圖4-5所示，當安全設備Device和PFC之間鏈路故障時，用戶可以在安全設備上開啟外部Bypass功能，使流量直接通過PFC設備轉發，保證流量不間斷。

圖4-5 故障情況下流量轉發

 

開啟外部Bypass功能時，根據配置的不同有如下區分：

·     靜態外部Bypass功能：用戶流量直接通過PFC轉發，不經過安全設備處理。

·     動態外部Bypass功能：在安全設備上將與PFC相連的兩個接口加入Bridge轉發實例。安全設備通過檢查這兩個接口的狀態，決定自動啟用外部Bypass功能。當透傳模式Bridge實例中的某一接口狀態變為DOWN時，用戶流量不經過安全設備，直接通過PFC轉發。同時，安全設備會周期性檢查透傳模式Bridge實例中接口狀態，如果檢查到實例中兩個接口都處於UP狀態，則自動關閉外部Bypass功能，恢複由安全設備處理用戶流量。

2. 配置限製和指導

多次配置bypass enable命令和bypass enable external命令，最後一次執行的配置生效。

多台設備組成IRF時不支持外部Bypass功能。

配置外部Bypass功能時，需要注意：

·     本功能隻能在管理Context上進行配置。對於以共享方式分配的二層以太網接口，在管理Context內配置外部bypass功能時：

¡     如果外部Bypass功能生效，用戶流量通過PFC轉發，用戶Context中該二層以太網接口上存在影響流量轉發的配置，則該配置不生效，流量仍會通過PFC轉發。

¡     如果外部Bypass功能不生效，用戶流量不通過PFC轉發，用戶Context中該二層以太網接口上存在影響流量轉發的配置，則該配置生效，流量按照配置的轉發規則轉發。

·     本功能僅支持在手工創建的透傳模式Bridge轉發實例中配置，對於插入硬件Bypass子卡後設備自動創建的透傳模式Bridge轉發實例，僅支持內部Bypass功能。

·     本功能僅支持在一個手工創建的透傳模式Bridge視圖下配置。加入透傳模式Bridge實例的兩個接口，必須在同一slot上。

·     本功能與接口聯動組不能同時使用。有關接口聯動組的詳細介紹，請參見“可靠性配置指導”中的“接口聯動組”。

3. 配置內部Bypass功能

(1)     進入係統視圖。

system-view

(2)     進入Bridge視圖。

¡     進入反射模式Bridge視圖。

bridge bridge-index reflect

¡     進入自動創建的透傳模式Bridge視圖。

bridge bridge-index

¡     進入手工創建的透傳模式Bridge視圖。

bridge bridge-index forward

¡     進入黑洞模式Bridge視圖。

bridge bridge-index blackhole

(3)     配置內部Bypass功能。

bypass enable

缺省情況下，Bypass功能處於關閉狀態。

4. 配置外部Bypass功能

(1)     進入係統視圖。

system-view

(2)     進入手工創建的透傳模式Bridge視圖。

bridge bridge-index forward

(3)     配置外部Bypass功能。

bypass enable external [ auto [ check-interval interval ] ]

缺省情況下，Bypass功能處於關閉狀態。

本命令的支持情況與設備的型號有關，具體請參見命令參考。

4.3  Bridge轉發顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示Bridge學習的MAC地址信息。

 

表4-1 Bridge轉發顯示和維護

操作	命令
顯示Bridge轉發學習的MAC地址信息	display bridge mac-address [ bridge-index [ vlan vlan-id ] ] [ count ] [ slot slot-number ]
顯示Bypass功能狀態‌	display bridge bridge-id bypass status

 

4.4  Bridge轉發典型配置舉例

4.4.1  跨VLAN模式Bridge轉發配置舉例

1. 組網需求

由交換機GigabitEthernet1/0/1、GigabitEthernet1/0/2互相交換的不同VLAN的報文需要經過防火牆過濾，采用交換機和防火牆組合的方案較為經濟、靈活。在這個方案中采用跨VLAN模式Bridge二層轉發技術，如圖4-6所示。

2. 組網圖

圖4-6 跨VLAN模式Bridge轉發組網圖

‌

3. 配置步驟

# 配置防火牆。

<Sysname> system-view

[Sysname] bridge 2 inter-vlan

[Sysname-bridge2-inter-vlan] add vlan 10 20

[Sysname-bridge2-inter-vlan] quit

# 配置交換機。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] port access vlan 10

[Sysname] interface gigabitethernet 1/0/2

[Sysname-GigabitEthernet1/0/2] port access vlan 20

[Sysname-GigabitEthernet1/0/2] quit

4. 驗證配置

# 在防火牆上執行display bridge mac-address命令可以看到Bridge轉發學習到的MAC地址表項。

[Sysname] display bridge mac-address 2

MAC Address      BRIDGE ID  State        VLAN ID  Port            Aging

0033-0033-0033   2          Learned      10       GE1/0/1         Y

0000-0000-0002   2          Learned      20       GE1/0/2         Y

4.4.2  反射模式Bridge轉發配置舉例

1. 組網需求

Device A上由VM1與VM2互相交換的報文需要經Device B過濾。Device B上通過一個接口GigabitEthernet1/0/1與Device A相連。在這個方案中采用反射模式Bridge轉發技術，如圖4-7所示。

2. 組網圖

圖4-7 反射模式Bridge轉發組網圖

‌

3. 配置步驟

(1)     在Device A上配置QoS策略，將VM1和VM2間的流量引流到Device B。並關閉與Device B互連接口上的MAC地址學習功能。

# 定義IPv4高級ACL 3001，並為其創建如下規則：匹配源IP為1.1.1.2、目的IP為1.1.1.3的數據包。

[DeviceA] acl advanced 3001

[DeviceA-acl-ipv4-adv-3001] rule permit ip source 1.1.1.2 0 destination 1.1.1.3 0

[DeviceA-acl-ipv4-adv-3001] quit

# 定義類classifier1，匹配ACL 3001。

[DeviceA] traffic classifier classifier1

[DeviceA-classifier-classifier1] if-match acl 3001

[DeviceA-classifier-classifier1] quit

# 定義IPv4高級ACL 3002，並為其創建如下規則：匹配源IP為1.1.1.3、目的IP為1.1.1.2的數據包。

[DeviceA] acl advanced 3002

[DeviceA-acl-ipv4-adv-3002] rule permit ip source 1.1.1.3 0 destination 1.1.1.2 0

[DeviceA-acl-ipv4-adv-3002] quit

# 定義類classifier2，匹配ACL 3002。

[DeviceA] traffic classifier classifier2

[DeviceA-classifier-classifier2] if-match acl 3002

[DeviceA-classifier-classifier2] quit

# 定義流行為behavior1，動作為重定向Device B。

[DeviceA] traffic behavior behavior1

[DeviceA-behavior-behavior1] redirect interface gigabitethernet 1/0/3

[DeviceD-behavior-behavior1] quit

# 定義策略policy1，並為類classifier1指定流行為behavior1。

[DeviceA] qos policy policy1

[DeviceA-qospolicy-policy1] classifier classifier1 behavior behavior1

[DeviceA-qospolicy-policy1] quit

# 定義策略policy2，並為類classifier2指定流行為behavior1。

[DeviceA] qos policy policy2

[DeviceA-qospolicy-policy2] classifier classifier2 behavior behavior1

[DeviceA-qospolicy-policy2] quit

# 將策略policy1應用到接口GigabitEthernet1/0/1的入方向上。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] qos apply policy policy1 inbound

[DeviceA-GigabitEthernet1/0/1] quit

# 將策略policy2應用到接口GigabitEthernet1/0/2的入方向上。

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] qos apply policy policy2 inbound

[DeviceA-GigabitEthernet1/0/2] quit

# 關閉Device A上接口GigabitEthernet1/0/3的MAC地址學習功能。

[DeviceA] interface gigabitethernet 1/0/3

[DeviceA-GigabitEthernet1/0/3] undo mac-address mac-learning enable

(2)     在Device B上配置反射模式Bridge轉發。

# 在Device B上創建反射模式的Bridge轉發實例，並向該實例添加接口GigabitEthernet1/0/1。

<DeviceB> system-view

[DeviceB] bridge 2 reflect

[DeviceB-bridge2-reflect] add interface gigabitethernet 1/0/1

[DeviceB-bridge2-reflect] quit

4. 驗證配置

# 在Device B上執行display bridge cache ip inline命令可以看到反射模式Bridge轉發創建的IP快速轉發表信息。

[DeviceB] display bridge cache ip inline

Total number of bridge-forwarding entries: 1

SIP             SPort DIP             DPort Pro Output_If

1.1.1.3         470   1.1.1.2         0     1   GE1/0/1

1.1.1.2         470   1.1.1.3         2048  1   GE1/0/1

5 快速Bridge轉發

5.1  快速Bridge轉發簡介

快速Bridge轉發采用高速緩存來處理報文，采用了基於數據流的技術，可以大大提高轉發效率。

快速Bridge轉發用源IP地址、源端口號、目的IP地址、目的端口號、協議號、輸入接口、輸出接口和VLAN來標識一條數據流。在二層轉發過程中，會根據設備規則，對需要進行三層業務處理的報文，獲取其IP地址等信息，生成IP快速轉發表。當一條數據流的第一個報文轉發後，會在高速緩存中生成相應的轉發信息，該數據流後續報文的轉發就可以通過直接查找快速轉發表進行轉發。這樣便大大縮減了報文的排隊流程，減少報文的轉發時間，提高報文的轉發速率。

快速Bridge轉發是設備默認啟用的特性，不需要配置。

5.2  關閉快速Bridge轉發時對VLAN ID檢查功能

1. 功能簡介

報文攜帶的VLAN ID是設備判斷其所屬TCP會話的依據之一。在防火牆雙機熱備的組網環境下，有時需要報文在主備設備間傳遞後仍可以匹配到同一個會話中，而主備設備上報文入接口所屬VLAN可能不同，此時可以關閉對VLAN ID的檢查以保證報文在主備設備之間傳遞之後能夠匹配到同一會話。

2. 硬件適配關係

本特性的支持情況與設備型號有關，請以設備的實際情況為準。

型號	說明
F5010、F5020、F5020-GM、F5030、F5030-6GW、F5040、F5060、F5080、F5000-AI-20、F5000-AI-40、F5000-V30、F5000-C、F5000-S、F5000-M、F5000-A	支持
F1000-AI-20、F1000-AI-30、F1000-AI-50、F1000-AI-60、F1000-AI-70、F1000-AI-80、F1000-AI-90	支持
F1003-L、F1005-L、F1010-L	支持
F1005、F1010	支持
F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1090、F1000-V70、F1000-V90	支持
F1000-AK1010、F1000-AK1020、F1000-AK1030	支持
F1000-AK1110、F1000-AK1120、F1000-AK1130、F1000-AK1140	支持
F1000-AK1212、F1000-AK1222、F1000-AK1232、F1000-AK1312、F1000-AK1322、F1000-AK1332	支持
F1000-AK1414、F1000-AK1424、F1000-AK1434、F1000-AK1514、F1000-AK1524、F1000-AK1534、F1000-AK1614	支持
F1000-AK108、F1000-AK109、F1000-AK110、F1000-AK115、F1000-AK120、F1000-AK125、F1000-AK710	支持
F1000-AK130、F1000-AK135、F1000-AK140、F1000-AK145、F1000-AK150、F1000-AK155、F1000-AK160、F1000-AK165、F1000-AK170、F1000-AK175、F1000-AK180、F1000-AK185、F1000-GM-AK370、F1000-GM-AK380、F1000-AK711	支持
LSU3FWCEA0、LSUM1FWCEAB0、LSX1FWCEA1	支持
LSXM1FWDF1、LSUM1FWDEC0、IM-NGFWX-IV、LSQM1FWDSC0、LSWM1FWD0、LSPM6FWD、LSQM2FWDSC0	支持
vFW1000、vFW2000	不支持

 

3. 配置限製和指導

僅Inline轉發會對VLAN ID進行檢查，設備使用跨VLAN模式Bridge進行轉發時無需配置本功能，因為跨VLAN模式Bridge轉發不對VLAN ID進行檢查，本功能對跨VLAN模式Bridge轉發不生效。在防火牆雙機熱備的組網環境下，無論是否配置本功能，使用跨VLAN模式Bridge進行快速轉發時，報文在主備設備間傳遞後仍可以匹配到同一個會話中。

4. 配置步驟

(1)     進入係統視圖。

system-view

(2)     關閉快速Bridge轉發時對VLAN ID檢查功能。

undo bridge fast-forwarding check-vlan-id

缺省情況下，快速二層轉發時對VLAN ID字段的檢查功能處於開啟狀態。

5.3  快速Bridge轉發顯示和維護

在任意視圖下執行display命令可以顯示快速Bridge轉發表信息。

 

表5-1 快速Bridge轉發顯示和維護

操作	命令
顯示Bridge轉發創建的IP快速轉發表信息	display bridge cache ip { inline | inter-vlan } [ ip-address ] [ slot slot-number ]
顯示Bridge轉發創建的分片報文快速轉發表信息	display bridge cache ip fragment { inline | inter-vlan } [ ip-address ] [ slot slot-number ]
顯示Bridge轉發創建的IPv6快速轉發表信息	display bridge cache ipv6 { inline | inter-vlan } [ ipv6-address ] [ slot slot-number ]