06-二层转发配置
本章节下载: 06-二层转发配置 (169.26 KB)
如果设备接收到的报文的目的MAC地址匹配三层接口的MAC地址,则通过设备的三层接口进行三层转发;否则通过设备的二层接口进行二层转发。
二层转发根据报文的目的MAC地址查找MAC地址表,得到报文的出接口,然后将报文发送出去。
普通二层转发是设备默认启用的特性,不需要配置。
在任意视图下执行display命令可以显示二层转发过程中的统计信息,查看转发的结果。
在用户视图下执行reset命令可以清除二层转发的统计信息。
表1-1 普通二层转发显示和维护
操作 |
命令 |
显示二层转发统计信息 |
display mac-forwarding statistics [ interface interface-type interface-number ] |
清除二层转发统计信息 |
reset mac-forwarding statistics |
快速二层转发采用高速缓存来处理报文,采用了基于数据流的技术,可以大大提高转发效率。
快速二层转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中,会根据设备规则,对需要进行三层业务处理的报文,获取其IP地址等信息,生成IP快速转发表。当一条数据流的第一个报文转发后,会在高速缓存中生成相应的转发信息,该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程,减少报文的转发时间,提高报文的转发速率。
快速二层转发是设备默认启用的特性,不需要配置。
在任意视图下执行display命令可以显示快速二层转发表信息。
表1-2 快速二层转发显示和维护
操作 |
命令 |
显示IP快速转发表信息(分布式设备-独立运行模式) |
display mac-forwarding cache ip [ ip-address ] [ slot slot-number [ cpu cpu-number ] ] |
显示IP快速转发表信息(分布式设备-IRF模式) |
display mac-forwarding cache ip [ ip-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
显示分片报文快速转发表信息(分布式设备-独立运行模式) |
display mac-forwarding cache ip fragment [ ip-address ] [ slot slot-number [ cpu cpu-number ] ] |
显示分片报文快速转发表信息(分布式设备-IRF模式) |
display mac-forwarding cache ip fragment [ ip-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
显示IPv6快速转发表信息(分布式设备-独立运行模式) |
display mac-forwarding cache ipv6 [ ipv6-address ] [ slot slot-number [ cpu cpu-number ] ] |
显示IPv6快速转发表信息(分布式设备-IRF模式) |
display mac-forwarding cache ipv6 [ ipv6-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
根据报文的转发特征,Bridge转发有下列几种转发模式:
· 反射模式:报文从同一接口收发。
· 转发模式:报文从一个接口接收,从另一个接口发送。
· 黑洞模式:报文从一个接口接收,处理完后被丢弃。
反射模式Bridge转发、转发模式Bridge转发和黑洞模式Bridge转发又统称为Inline转发。
Inline转发是在数据链路层对流量进行安全监控的一种技术。目前这种技术主要应用在安全产品上,经过设备的二层网络流量会被引流到安全产品上,由安全产品过滤后再进行转发。
· 反射/黑洞模式Bridge转发中,Device B与Device A通过一个物理接口通信。对于反射模式Bridge转发,Device B通过同一接口完成报文的收发;对于黑洞模式Bridge转发,Device B收到报文后,先处理完安全业务,然后丢弃该报文。反射/黑洞模式Bridge转发一般适用于Device B旁挂的组网部署,Device A可直接接入网络。反射/黑洞模式Bridge转发如下图所示。
图1-1 反射/黑洞模式Bridge转发
· 转发模式Bridge转发中,Device B与Device A通过两个物理接口通信,即Device B通过其中的一个接口收报文,通过另外一个接口发报文。转发模式Bridge转发一般适用于Device B直连的组网部署,Device A通过Device B接入网络。转发模式Bridge转发如下图所示。
图1-2 转发模式Bridge转发
在上面两图中,以VM(Virtual Machine,虚拟机)间的交互为例,Inline转发过程如下:
(1) VM 1与VM 2的内部流量通过Device A进行通信,Device A将收到的报文引流到与之相连的Device B上。
(2) Device B将收到的IP报文交给安全业务进行处理,其他报文直接转发给Device A。
(3) Device B处理通过安全业务过滤的报文,根据报文信息建立对应的转发表项,并将报文转发给Device A。
表1-3 Bridge转发配置任务简介
配置任务 |
说明 |
详细配置 |
配置Inline转发 |
对于Inline转发必选 |
|
配置内部Bypass功能 |
可选 |
表1-4 配置Inline转发
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
(可选)配置Inline转发时忽略报文的隧道封装 |
bridge tunnel-encapsulation skip |
缺省情况下,Inline转发时未忽略报文的隧道封装 |
|
创建反射模式Bridge转发实例,并进入Bridge视图 |
bridge bridge-index reflect |
三者选其一 缺省情况下,不存在Bridge转发实例 |
|
创建转发模式Bridge转发实例,并进入Bridge视图 |
bridge bridge-index forward |
||
创建黑洞模式Bridge转发实例,并进入Bridge视图 |
bridge bridge-index blackhole |
||
向Bridge转发实例中添加接口 |
add interface interface-type interface-number |
缺省情况下,Bridge转发实例中未添加任何接口 每个反射/黑洞模式Bridge转发实例只能添加一个接口;每个转发模式Bridge转发实例只能添加两个接口,且这两个接口的类型必须保持一致 |
在Inline转发模式下,配置内部Bypass功能,用户流量经过安全设备,但不进行安全业务处理。安全设备会根据配置的Inline转发模式,选择对应的接口将用户流量直接转发或者丢弃。
多次配置bypass enable命令,最后一次执行的配置生效。
表1-5 配置内部Bypass功能
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
进入反射模式Bridge视图 |
bridge bridge-index reflect |
三者选其一 |
进入转发模式Bridge视图 |
bridge bridge-index forward |
|
进入黑洞模式Bridge视图 |
bridge bridge-index blackhole |
|
配置内部Bypass功能 |
bypass enable |
缺省情况下,Bypass功能处于关闭状态 |
快速Bridge转发采用高速缓存来处理报文,采用了基于数据流的技术,可以大大提高转发效率。
快速Bridge转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中,会根据设备规则,对需要进行三层业务处理的报文,获取其IP地址等信息,生成IP快速转发表。当一条数据流的第一个报文转发后,会在高速缓存中生成相应的转发信息,该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程,减少报文的转发时间,提高报文的转发速率。
快速Bridge转发是设备默认启用的特性,不需要配置。
在任意视图下执行display命令可以显示快速Bridge转发表信息。
表1-6 快速Bridge转发显示和维护
操作 |
命令 |
显示Bridge转发创建的IP快速转发表信息(分布式设备-独立运行模式) |
display bridge cache ip inline [ ip-address ] [ slot slot-number [ cpu cpu-number ] ] |
显示Bridge转发创建的IP快速转发表信息(分布式设备-IRF模式) |
display bridge cache ip inline [ ip-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
显示Bridge转发创建的分片报文快速转发表信息(分布式设备-独立运行模式) |
display bridge cache ip fragment inline [ ip-address ] [ slot slot-number [ cpu cpu-number ] ] |
显示Bridge转发创建的分片报文快速转发表信息(分布式设备-IRF模式) |
display bridge cache ip fragment inline [ ip-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
显示Bridge转发创建的IPv6快速转发表信息(分布式设备-独立运行模式) |
display bridge cache ipv6 inline [ ipv6-address ] [ slot slot-number [ cpu cpu-number ] ] |
显示Bridge转发创建的IPv6快速转发表信息(分布式设备-IRF模式) |
display bridge cache ipv6 inline [ ipv6-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!