- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
07-二層轉發配置
本章節下載： 07-二層轉發配置 (294.99 KB)
目 錄
如果設備接收到的報文的目的MAC地址匹配三層接口的MAC地址，則通過設備的三層接口進行三層轉發；否則通過設備的二層接口進行二層轉發。
二層轉發根據報文的目的MAC地址查找MAC地址表，得到報文的出接口，然後將報文發送出去。
普通二層轉發是設備默認啟用的特性，不需要配置。
在任意視圖下執行display命令可以顯示二層轉發過程中的統計信息，查看轉發的結果。
在用戶視圖下執行reset命令可以清除二層轉發的統計信息。
表1-1 普通二層轉發顯示和維護
|
操作 |
命令 |
|
顯示二層轉發統計信息 |
display mac-forwarding statistics [ interface interface-type interface-number ] |
|
清除二層轉發統計信息 |
reset mac-forwarding statistics |
快速二層轉發采用高速緩存來處理報文，並采用基於數據流的技術，可以大大提高轉發效率。
快速二層轉發用源IP地址、源端口號、目的IP地址、目的端口號、協議號、輸入接口、輸出接口和VLAN來標識一條數據流。在二層轉發過程中，會根據設備規則，對需要進行三層業務處理的報文，獲取其IP地址等信息，生成IP快速轉發表。當一條數據流的第一個報文轉發後，會在高速緩存中生成相應的轉發信息，該數據流後續報文的轉發就可以通過直接查找快速轉發表進行轉發。這樣便大大縮減了報文的排隊流程，減少報文的轉發時間，提高報文的轉發速率。
快速二層轉發是設備默認啟用的特性，不需要配置。
報文攜帶的VLAN ID是設備判斷其所屬TCP會話的依據之一。在防火牆雙機熱備的組網環境下，有時需要報文在主備設備間傳遞後仍可以匹配到同一個會話中，而主備設備上報文入接口所屬VLAN可能不同，此時可以關閉對VLAN ID的檢查以保證報文在主備設備之間傳遞之後能夠匹配到同一會話。
(1) 進入係統視圖。
system-view
(2) 關閉快速二層轉發時對VLAN ID檢查功能。
undo mac fast-forwarding check-vlan-id
缺省情況下，快速二層轉發時對VLAN ID字段的檢查功能處於開啟狀態。
在任意視圖下執行display命令可以顯示快速二層轉發表信息。
表2-1 快速二層轉發顯示和維護
|
操作 |
命令 |
|
顯示IP快速轉發表信息 |
display mac-forwarding cache ip [ ip-address ] [ slot slot-number ] |
|
顯示分片報文快速轉發表信息 |
display mac-forwarding cache ip fragment [ ip-address ] [ slot slot-number ] |
|
顯示IPv6快速轉發表信息 |
display mac-forwarding cache ipv6 [ ipv6-address ] [ slot slot-number ] |
直通轉發是指設備接收到報文的前64個字節後立即轉發。該功能可以節省報文在設備中消耗的時間，提高轉發性能。
本特性的支持情況與設備型號有關，請以設備的實際情況為準。
|
F1000係列 |
型號 |
說明 |
|
F1000-X-G5係列 |
F1000-A-G5、F1000-S-G5、F1000-E-G5、F1000-H-G5 |
支持 |
|
F1000-C-G5、F1000-C-G5-LI |
不支持 |
|
|
F1000-X-XI係列 |
F1000-D-XI、F1000-E-XI |
不支持 |
|
F100係列 |
型號 |
說明 |
|
F100-X-G5係列 |
F100-A-G5、F100-C-G5、F100-M-G5、F100-S-G5 |
支持 |
|
F100-E-G5 |
不支持 |
|
|
F100-C-A係列 |
F100-C-A2、F100-C-A1 |
不支持 |
|
F100-X-XI係列 |
F100-A-XI |
不支持 |
|
F100-C-XI、F100-S-XI |
支持 |
配置直通轉發時，需要注意的是報文在CRC（Cyclic Redundancy Code，循環冗餘校驗碼）接收前已經轉發，因此設備也將轉發CRC校驗錯誤的報文。
(1) 進入係統視圖。
system-view
(2) 開啟設備直通轉發。
cut-through enable
缺省情況下，設備直通轉發功能處於關閉狀態。
Bridge轉發是指用戶創建Bridge實例後，根據Bridge實例中添加成員類型不同，實現報文基於VLAN或者端口的安全轉發功能。
根據報文的轉發特征，Bridge轉發有下列幾種轉發模式：
· 跨VLAN模式：在不同VLAN間進行報文轉發。
· 反射模式：報文從同一接口收發。
· 透傳模式：報文從一個接口接收，從另一個接口發送。
· 黑洞模式：報文從一個接口接收，處理完後被丟棄。
跨VLAN模式Bridge轉發是在數據鏈路層完成不同VLAN間通信的一種技術。如圖4-1所示，目前這種技術主要應用在防火牆產品上。防火牆和交換機配合使用、經過交換機的二層網絡流量由防火牆過濾後再進行轉發的場景。
圖4-1 Bridge轉發工作機製
如圖4-1，交換機上配置的防火牆的Bridge轉發實例（可以看作是實現一類Bridge轉發模式的二層橋）為Bridge 1，Bridge 1中添加VLAN 10和VLAN 20。以ARP（Address Resolution Protocol，地址解析協議）實現為例，Bridge轉發過程如下：
(1) VLAN 10的Host A想要訪問VLAN 20的Host B，Host A發送一個ARP請求報文。
a. 交換機收到請求報文的處理過程：
¡ 交換機從接口Port A收到目的MAC未知的報文，交換機學習到該報文的源MAC地址0033-0033-0033，並記錄該MAC地址所對應的VLAN 10和接口Port A。
¡ 交換機將該報文在VLAN 10內進行廣播，同時該報文會通過交換機側內聯口Port C（即用於連接交換機與防火牆的接口）發送給防火牆。
b. 防火牆收到請求報文的處理過程：
¡ 防火牆收到該報文，將報文源MAC地址學習到用戶配置的Bridge轉發實例Bridge 1內，並且學習到該MAC地址對應的VLAN 10及防火牆側內聯口Port D。
¡ 同時根據Bridge 1內用戶配置的VLAN列表，將該報文在Bridge 1內配置的除報文所在VLAN 10以外的所有VLAN內進行發送，即在VLAN 20內發送該報文。在VLAN 20內發送的報文的VLAN ID將被替換為VLAN 20，生成新的報文，然後發送到VLAN 20。
¡ 防火牆通過防火牆側內聯口Port D將新報文發送給交換機。
c. 交換機收到新報文的處理過程：
¡ 交換機從交換機側內聯口Port C收到新的報文，學習該報文的源MAC地址並記錄該MAC地址所對應的VLAN 20和交換機側內聯口Port C。
¡ 同時交換機將報文在VLAN 20內廣播。
(2) VLAN 20的Host B收到新報文後，發現是要訪問自己的報文，發送ARP應答報文。
a. 交換機收到應答報文的處理過程：
¡ 交換機從接口Port B收到目的MAC地址0033-0033-0033的報文，交換機學習到該報文的源MAC地址0000-0000-0002並記錄該MAC地址所對應的VLAN 20和接口Port B。
¡ 交換機收到目的MAC地址為0033-0033-0033的已知報文，根據目的MAC地址和VLAN找到MAC地址表項，該表項的出接口為交換機側內聯口Port C，則將該報文發送給防火牆。
b. 防火牆收到應答報文的處理過程：
¡ 防火牆收到回複報文，將該報文源MAC地址學習到用戶配置的Bridge轉發實例Bridge 1內，並且學習到該MAC地址對應的VLAN 20及防火牆側內聯口Port D。
¡ 防火牆根據VLAN 20找到對應的Bridge 1下學習到的MAC地址表項，將報文的VLAN ID修改為MAC地址表項對應VLAN ID，並從防火牆側內聯口Port D將該報文發送給交換機。
c. 交換機收到新的應答報文的處理過程：
¡ 交換機收到該報文後，根據目的MAC地址和VLAN找到MAC地址表項，確認出接口為Port A，將該報文發送出去。
反射模式Bridge轉發、透傳模式Bridge轉發和黑洞模式Bridge轉發統稱為Inline轉發。
Inline轉發是在數據鏈路層對流量進行安全監控的一種技術。目前這種技術主要應用在安全產品上，通過QoS策略將經過設備的二層網絡流量引流到安全產品上，由安全產品過濾後再進行轉發。
反射/黑洞模式Bridge轉發中，Device B與Device A通過一個物理接口通信。對於反射模式Bridge轉發，Device B通過同一接口完成報文的收發；對於黑洞模式Bridge轉發，Device B收到報文後，先處理完安全業務，然後丟棄該報文。反射/黑洞模式Bridge轉發一般適用於Device B旁掛的組網部署，Device A可直接接入網絡。反射/黑洞模式Bridge轉發如圖4-2所示。
圖4-2 反射/黑洞模式Bridge轉發
透傳模式Bridge轉發中，Device B在兩個接口間轉發報文，其中一個接口用於收報文，另外一個接口用於發報文。透傳模式Bridge轉發一般適用於Device B直連的組網部署，Device A通過Device B接入網絡。透傳模式Bridge轉發如圖4-3所示。
在圖4-2、圖4-3中，以VM（Virtual Machine，虛擬機）間的報文交互為例，Inline轉發過程如下：
(1) VM 1與VM 2的內部流量通過Device A轉發，Device A將收到的報文引流到與之相連的Device B上。
(2) Device B將收到的IP報文交給安全業務進行處理，其他報文直接返回給Device A。
(3) Device B處理通過安全業務過濾的報文，根據報文信息建立對應的轉發表項，並將報文返回給Device A。
(1) 進入係統視圖。
system-view
(2) （可選）設置Bridge轉發的MAC地址的老化時間。
bridge mac-address timer aging seconds
缺省情況下，Bridge轉發的MAC的老化時間為300秒。
(3) 創建跨VLAN模式Bridge轉發實例，並進入Bridge視圖。
bridge bridge-index inter-vlan
(4) 向Bridge轉發實例中添加VLAN列表。
add vlan vlan-id-list
(5) （可選）配置Bridge實例下的MAC地址最大學習數。
mac-address max-mac-count count
缺省情況下，Bridge實例下的MAC地址最大學習數為4096。
透傳模式Bridge轉發實例可以通過命令行手工創建，也可以通過插入硬件Bypass子卡後由設備自動生成。插入硬件Bypass子卡前，需保證設備上不存在跨VLAN模式Bridge轉發實例，否則將導致自動創建透傳模式Bridge轉發實例失敗。
在安全設備上配置Inline轉發時，需要關閉與其連接的交換機上對應互連口的MAC地址學習功能，否則可能造成MAC地址頻繁遷移。
向Bridge轉發實例中添加接口時需要注意：
· 每個反射/黑洞模式Bridge轉發實例隻能添加一個接口。
· 每個手工創建的透傳模式Bridge轉發實例隻能添加兩個接口，且這兩個接口的類型必須保持一致。
· 對於自動創建的透傳模式Bridge轉發實例，設備在自動創建Bridge轉發實例後，會自動將子卡上的一對接口添加到此Bridge轉發實例中，且自動創建的透傳模式Bridge轉發實例不支持手工添加或刪除接口。
· 將三層以太網接口加入Bridge轉發實例後，該接口將隻能用於二層轉發，不能進行三層轉發。因此，請不要在Bridge轉發實例的三層以太網接口上配置IP地址等三層業務相關的功能，即使配置了也無法生效。
(1) 進入係統視圖。
system-view
(2) （可選）配置Inline轉發時忽略報文的隧道封裝。
bridge tunnel-encapsulation skip
缺省情況下，Inline轉發時未忽略報文的隧道封裝。
(3) 手工創建不同模式的轉發實例，並進入Bridge視圖。
¡ 創建反射模式Bridge轉發實例，並進入Bridge視圖。
bridge bridge-index reflect
¡ 創建透傳模式Bridge轉發實例，並進入Bridge視圖。
bridge bridge-index forward
¡ 創建黑洞模式Bridge轉發實例，並進入Bridge視圖。
bridge bridge-index blackhole
(4) 向Bridge轉發實例中添加接口。
add interface interface-type interface-number
缺省情況下，手工創建的Bridge轉發實例中未添加任何接口。
在Inline轉發模式下，配置Bypass功能，用戶流量可以不經過安全業務或者安全設備處理，直接被處理。
Bypass功能是指用戶流量經過安全設備Device，但不進行安全業務處理。安全設備會根據配置的Inline轉發模式，選擇對應的接口將用戶流量直接轉發或者丟棄。
多次配置bypass enable命令，最後一次執行的配置生效。
(1) 進入係統視圖。
system-view
(2) 進入Bridge視圖。
¡ 進入反射模式Bridge視圖。
bridge bridge-index reflect
¡ 進入自動創建的透傳模式Bridge視圖。
bridge bridge-index
¡ 進入手工創建的透傳模式Bridge視圖。
bridge bridge-index forward
¡ 進入黑洞模式Bridge視圖。
bridge bridge-index blackhole
(3) 配置內部Bypass功能。
bypass enable
缺省情況下，Bypass功能處於關閉狀態。
在完成上述配置後，在任意視圖下執行display命令可以顯示Bridge學習的MAC地址信息。
表4-1 Bridge轉發顯示和維護
|
操作 |
命令 |
|
顯示Bridge轉發學習的MAC地址信息 |
display bridge mac-address [ bridge-index [ vlan vlan-id ] ] [ count ] [ slot slot-number ] |
快速Bridge轉發采用高速緩存來處理報文，采用了基於數據流的技術，可以大大提高轉發效率。
快速Bridge轉發用源IP地址、源端口號、目的IP地址、目的端口號、協議號、輸入接口、輸出接口和VLAN來標識一條數據流。在二層轉發過程中，會根據設備規則，對需要進行三層業務處理的報文，獲取其IP地址等信息，生成IP快速轉發表。當一條數據流的第一個報文轉發後，會在高速緩存中生成相應的轉發信息，該數據流後續報文的轉發就可以通過直接查找快速轉發表進行轉發。這樣便大大縮減了報文的排隊流程，減少報文的轉發時間，提高報文的轉發速率。
快速Bridge轉發是設備默認啟用的特性，不需要配置。
報文攜帶的VLAN ID是設備判斷其所屬TCP會話的依據之一。在防火牆雙機熱備的組網環境下，有時需要報文在主備設備間傳遞後仍可以匹配到同一個會話中，而主備設備上報文入接口所屬VLAN可能不同，此時可以關閉對VLAN ID的檢查以保證報文在主備設備之間傳遞之後能夠匹配到同一會話。
僅Inline轉發會對VLAN ID進行檢查，設備使用跨VLAN模式Bridge進行轉發時無需配置本功能，因為跨VLAN模式Bridge轉發不對VLAN ID進行檢查，本功能對跨VLAN模式Bridge轉發不生效。在防火牆雙機熱備的組網環境下，無論是否配置本功能，使用跨VLAN模式Bridge進行快速轉發時，報文在主備設備間傳遞後仍可以匹配到同一個會話中。
(1) 進入係統視圖。
system-view
(2) 關閉快速Bridge轉發時對VLAN ID檢查功能。
undo bridge fast-forwarding check-vlan-id
缺省情況下，快速二層轉發時對VLAN ID字段的檢查功能處於開啟狀態。
在任意視圖下執行display命令可以顯示快速Bridge轉發表信息。
表5-1 快速Bridge轉發顯示和維護
|
操作 |
命令 |
|
顯示Bridge轉發創建的IP快速轉發表信息 |
display bridge cache ip { inline | inter-vlan } [ ip-address ] [ slot slot-number ] |
|
顯示Bridge轉發創建的分片報文快速轉發表信息 |
display bridge cache ip fragment { inline | inter-vlan } [ ip-address ] [ slot slot-number ] |
|
顯示Bridge轉發創建的IPv6快速轉發表信息 |
display bridge cache ipv6 { inline | inter-vlan } [ ipv6-address ] [ slot slot-number ] |
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
