04-三层技术-IP业务配置指导

11-隧道配置

1 隧道

1.1 隧道简介

隧道技术是一种封装技术，即一种网络协议将其他网络协议的数据报文封装在自己的报文中，然后在网络中传输。封装后的数据报文在网络中传输的路径，称为隧道。隧道是一条虚拟的点对点连接，隧道的两端需要对数据报文进行封装及解封装。隧道技术就是指包括数据封装、传输和解封装在内的全过程。

目前支持的隧道技术包括：

· GRE（Generic Routing Encapsulation，通用路由封装）隧道，GRE的相关介绍和配置请参见“三层技术-IP业务配置指导”中的“GRE”。

· MPLS TE（Multiprotocol Label Switching Traffic Engineering，多协议标记交换流量工程）隧道，MPLS TE的相关介绍和配置请参见“MPLS配置指导”中的“MPLS TE”。

· VXLAN（Virtual eXtensible LAN，可扩展虚拟局域网络）隧道，VXLAN的相关介绍和配置请参见“VXLAN配置指导”中的“VXLAN”。

· IPv6 over IPv4隧道和IPv4 over IPv4隧道。

1.2 配置Tunnel接口

隧道两端的设备上，需要创建虚拟的三层接口，即Tunnel接口，以便隧道两端的设备利用Tunnel接口发送报文、识别并处理来自隧道的报文。

配置Tunnel接口时，需要注意：

· 封装后的报文不能根据目的地址和路由表进行第二次三层转发，需要将封装后的报文发送给业务环回组，由业务环回组将报文回送给转发模块后，再进行三层转发。因此，在这些交换机产品上，需要创建tunnel类型的业务环回组，以实现隧道报文的接收和发送。关于业务环回组的创建和配置，请参见“二层技术-以太网交换配置指导”中的“业务环回组”。

· 在分布式设备上，主备倒换或备板拔出时，建立在主控板或备板上的隧道接口不会被删除，若再配置相同的隧道接口，系统会提示隧道接口已经存在。如果需要删除隧道接口，请使用undo interface tunnel命令。

表1-1 配置Tunnel接口

操作	命令	说明
进入系统视图	system-view	-
创建Tunnel接口，指定隧道模式，并进入Tunnel接口视图	interface tunnel number [ mode { gre \| ipv4-ipv4 \| ipv6-ipv4 \| mpls-te \| vxlan } ]	缺省情况下，不存在Tunnel接口创建Tunnel接口时，必须指定隧道的模式；进入已经创建的Tunnel接口视图时，可以不指定隧道模式在隧道的两端应配置相同的隧道模式，否则可能造成报文传输失败
设置隧道的源端地址或源接口	source { ipv4-address \| ipv6-address \| interface-type interface-number }	缺省情况下，未设置隧道的源端地址和源接口如果设置的是隧道的源端地址，则该地址将作为封装后隧道报文的源IP地址；如果设置的是隧道的源接口，则该接口的主IP地址将作为封装后隧道报文的源IP地址
设置隧道的目的端地址	destination { ipv4-address \| ipv6-address}	缺省情况下，未设置隧道的目的端地址隧道的目的端地址是对端接收报文的接口的地址，该地址将作为封装后隧道报文的目的地址
（可选）配置接口描述信息	description text	缺省情况下，接口描述信息为“该接口的接口名 Interface”
（可选）配置在指定slot上处理当前接口的流量（独立运行模式）	service slot slot-number	缺省情况下，未指定处理当前接口流量的slot，业务处理在接收报文的slot上进行
（可选）配置在指定slot上处理当前接口的流量（IRF模式）	service chassis chassis-number slot slot-number	缺省情况下，未指定处理当前接口流量的slot，业务处理在接收报文的slot上进行
配置Tunnel接口的MTU值	mtu size	缺省情况下，隧道接口的状态始终为Down时，隧道的MTU值为64000；隧道接口的状态当前为Up时，隧道的MTU值为根据隧道目的地址查找路由而得到的出接口的MTU值减隧道封装报文头长度
配置Tunnel接口的期望带宽	bandwidth bandwidth-value	缺省情况下，接口的期望带宽＝接口的最大速率÷1000（kbit/s）接口的期望带宽会影响链路开销值。具体介绍请参见“三层技术-IP路由配置指导”中的“OSPF”、“OSPFv3”和“IS-IS”
设置封装后隧道报文的ToS	tunnel tos tos-value	缺省情况下，封装后隧道报文的ToS值与封装前原始IP报文的ToS值相同
设置封装后隧道报文的TTL值	tunnel ttl ttl-value	缺省情况下，封装后隧道报文的TTL值为255
配置隧道目的端地址所属的VPN实例	tunnel vpn-instance vpn-instance-name	缺省情况下，隧道目的端地址属于公网，设备查找公网路由表转发隧道封装后的报文在隧道的源接口上通过ip binding vpn-instance命令可以指定隧道源端地址所属的VPN实例。隧道的源端地址和目的端地址必须属于相同的VPN实例，否则隧道接口链路状态无法UP ip binding vpn-instance命令的详细介绍，请参见“MPLS命令参考”中的“MPLS L3VPN”
（可选）恢复当前接口的缺省配置	default	-
（可选）关闭Tunnel接口	shutdown	缺省情况下，Tunnel接口处于关闭状态

1.3 隧道显示和维护

在任意视图下执行display命令可以显示隧道配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除Tunnel接口的统计信息。

表1-2 隧道显示和维护

操作	命令
显示Tunnel接口的相关信息	display interface [ tunnel [ number ] ] [ brief [ description \| down ] ]
显示Tunnel接口的IPv6相关信息	display ipv6 interface [ tunnel [ number ] ] [ brief ]
清除Tunnel接口的统计信息	reset counters interface [ tunnel [ number ] ]

1.4 常见错误配置举例

1. 故障现象

在Tunnel接口上配置了相关的参数后（例如隧道的源端地址、目的端地址和隧道模式），Tunnel接口仍未处于up状态。

2. 故障分析

Tunnel接口未处于up状态的原因可能是隧道起点的物理接口没有处于up状态，或隧道的目的端地址不可达。

3. 处理过程

(1) 使用display interface和display ipv6 interface命令查看隧道起点的物理接口状态为up还是down。如果物理接口状态是down的，请检查网络连接。

(2) 使用display ipv6 routing-table和display ip routing-table命令查看是否目的端地址通过路由可达。如果路由表中没有保证隧道通讯的路由表项，请配置相关路由

2 IPv6 over IPv4隧道

2.1 IPv6 over IPv4 隧道简介

如图2-1所示，IPv6 over IPv4隧道是在IPv6数据报文前封装上IPv4的报文头，通过隧道使IPv6报文穿越IPv4网络，实现隔离的IPv6网络互通。IPv6 over IPv4隧道两端的设备必须支持IPv4/IPv6双协议栈，即同时支持IPv4协议和IPv6协议。

图2-1 IPv6 over IPv4隧道原理图

IPv6 over IPv4隧道对报文的处理过程如下：

(1) IPv6网络中的主机发送IPv6报文，该报文到达隧道的源端设备Device A。

(2) Device A根据路由表判定该报文要通过隧道进行转发后，在IPv6报文前封装上IPv4的报文头，通过隧道的实际物理接口将报文转发出去。IPv4报文头中的源IP地址为隧道的源端地址，目的IP地址为隧道的目的端地址。

(3) 封装报文通过隧道到达隧道目的端设备（或称隧道终点）Device B，Device B判断该封装报文的目的地是本设备后，将对报文进行解封装。

(4) Device B根据解封装后的IPv6报文的目的地址处理该IPv6报文。如果目的地就是本设备，则将IPv6报文转给上层协议处理；否则，查找路由表转发该IPv6报文。

2.2 配置IPv6 over IPv4隧道

2.2.1 配置步骤

配置IPv6 over IPv4隧道时，需要注意：

· 在本端设备上为隧道指定的目的端地址，应该与在对端设备上为隧道指定的源端地址相同；在本端设备上为隧道指定的源端地址，应该与在对端设备上为隧道指定的目的端地址相同。

· 在同一台设备上，隧道模式相同的Tunnel接口建议不要同时配置完全相同的源端地址和目的端地址。

· 如果封装前IPv6报文的目的IPv6地址与Tunnel接口的IPv6地址不在同一个网段，则必须配置通过Tunnel接口到达目的IPv6地址的转发路由，以便需要进行封装的报文能正常转发。用户可以配置静态路由，指定到达目的IPv6地址的路由出接口为本端Tunnel接口或下一跳为对端Tunnel接口地址。用户也可以配置IPv6 BGP动态路由，在Tunnel接口使能IPv6 BGP动态路由协议。在隧道的两端都要进行此项配置，配置的详细情况请参见“三层技术-IP路由配置指导”中的“IPv6静态路由”或“BGP”。

表2-1 配置IPv6 over IPv4隧道

操作	命令	说明
进入系统视图	system-view	-
进入模式为IPv6 over IPv4隧道的Tunnel接口视图	interface tunnel number [ mode ipv6-ipv4 ]	-
设置Tunnel接口的IPv6地址	详细配置方法，请参见“三层技术-IP业务配置指导”中的“IPv6基础”	缺省情况下，Tunnel接口上不存在IPv6地址
设置隧道的源端地址或源接口	source { ipv4-address \| interface-type interface-number }	缺省情况下，未设置隧道的源端地址和源接口如果设置的是隧道的源端地址，则该地址将作为封装后隧道报文的源IP地址；如果设置的是隧道的源接口，则该接口的主IP地址将作为封装后隧道报文的源IP地址
设置隧道的目的端地址	destination ipv4-address	缺省情况下，未设置隧道的目的端地址隧道的目的端地址是对端接收报文的接口的地址，该地址将作为封装后隧道报文的目的地址
（可选）设置封装后隧道报文的DF（Don’t Fragment，不分片）标志	tunnel dfbit enable	缺省情况下，未设置隧道报文的不分片标志，即转发隧道报文时允许分片
退回系统视图	quit	-
（可选）配置丢弃含有IPv4兼容IPv6地址的IPv6报文	tunnel discard ipv4-compatible-packet	缺省情况下，不会丢弃含有IPv4兼容IPv6地址的IPv6报文

2.2.2 配置举例

1. 组网需求

如图2-2所示，两个IPv6网络分别通过Switch A和Switch B与IPv4网络连接，要求在Switch A和Switch B之间建立IPv6 over IPv4隧道，使两个IPv6网络可以互通。

2. 组网图

图2-2 IPv6 over IPv4隧道组网图

‌

3. 配置步骤

在开始下面的配置之前，请确保Switch A和Switch B上已经创建相应的VLAN接口，且两者之间IPv4报文路由可达。

(1) 配置Switch A

# 配置接口HundredGigE1/0/2（隧道的实际物理接口）加入VLAN100。

<SwitchA> system-view

[SwitchA] vlan 100

[SwitchA-vlan100] port hundredgige 1/0/2

[SwitchA-vlan100] quit

# 配置接口Vlan-interface100的IP地址。

[SwitchA] interface vlan-interface 100

[SwitchA-Vlan-interface100] ip address 192.168.100.1 255.255.255.0

[SwitchA-Vlan-interface100] quit

# 配置接口HundredGigE1/0/1加入VLAN101。

[SwitchA] vlan 101

[SwitchA-vlan101] port hundredgige 1/0/1

[SwitchA-vlan101] quit

# 配置接口Vlan-interface101的IPv6地址。

[SwitchA] interface vlan-interface 101

[SwitchA-Vlan-interface101] ipv6 address 3002::1 64

[SwitchA-Vlan-interface101] quit

# 创建业务环回组1，并配置服务类型为tunnel。

[SwitchA] service-loopback group 1 type tunnel

# 将接口HundredGigE1/0/3加入业务环回组1。

[SwitchA] interface hundredgige 1/0/3

[SwitchA-HundredGigE1/0/3] port service-loopback group 1

[SwitchA-HundredGigE1/0/3] quit

# 创建模式为IPv6 over IPv4隧道的接口Tunnel0。

[SwitchA] interface tunnel 0 mode ipv6-ipv4

# 配置Tunnel0接口的IPv6地址。

[SwitchA-Tunnel0] ipv6 address 3001::1/64

# 配置Tunnel0接口的源接口为Vlan-interface100。

[SwitchA-Tunnel0] source vlan-interface 100

# 配置Tunnel0接口的目的端地址（Switch B的Vlan-interface100的IP地址）。

[SwitchA-Tunnel0] destination 192.168.50.1

[SwitchA-Tunnel0] quit

# 配置从Switch A经过Tunnel0接口到IPv6 network 2的静态路由。

[SwitchA] ipv6 route-static 3003:: 64 tunnel 0

(2) 配置Switch B

# 配置接口HundredGigE1/0/2（隧道的实际物理接口）加入VLAN100。

<SwitchB> system-view

[SwitchB] vlan 100

[SwitchB-vlan100] port hundredgige 1/0/2

[SwitchB-vlan100] quit

# 配置接口Vlan-interface100的IP地址。

[SwitchB] interface vlan-interface 100

[SwitchB-Vlan-interface100] ip address 192.168.50.1 255.255.255.0

[SwitchB-Vlan-interface100] quit

# 配置接口HundredGigE1/0/1加入VLAN101。

[SwitchB] vlan 101

[SwitchB-vlan101] port hundredgige 1/0/1

[SwitchB-vlan101] quit

# 配置接口Vlan-interface101的IPv6地址。

[SwitchB] interface vlan-interface 101

[SwitchB-Vlan-interface101] ipv6 address 3003::1 64

[SwitchB-Vlan-interface101] quit

# 创建业务环回组1，并配置服务类型为tunnel。

[SwitchB] service-loopback group 1 type tunnel

# 将接口HundredGigE1/0/3加入业务环回组1。

[SwitchB] interface hundredgige 1/0/3

[SwitchB-HundredGigE1/0/3] port service-loopback group 1

[SwitchB-HundredGigE1/0/3] quit

# 创建模式为IPv6 over IPv4隧道的接口Tunnel0。

[SwitchB] interface tunnel 0 mode ipv6-ipv4

# 配置Tunnel0接口的IPv6地址。

[SwitchB-Tunnel0] ipv6 address 3001::2/64

# 配置Tunnel0接口的源接口为Vlan-interface100。

[SwitchB-Tunnel0] source vlan-interface 100

# 配置Tunnel0接口的目的端地址（Switch A的Vlan-interface100的IP地址）。

[SwitchB-Tunnel0] destination 192.168.100.1

[SwitchB-Tunnel0] quit

# 配置从Switch B经过Tunnel0接口到IPv6 network 1的静态路由。

[SwitchB] ipv6 route-static 3002:: 64 tunnel 0

4. 验证配置

# 完成上述配置后，在Switch A和Switch B上分别执行display ipv6 interface命令，可以看出Tunnel0接口处于up状态。（具体显示信息略）

# 从Switch A和Switch B上可以Ping通对端的Vlan-int101接口的IPv6地址。下面仅以Switch A为例。

[SwitchA] ping ipv6 3003::1

Ping6(56 data bytes) 3001::1 --> 3003::1, press CTRL_C to break

56 bytes from 3003::1, icmp_seq=0 hlim=64 time=45.000 ms

56 bytes from 3003::1, icmp_seq=1 hlim=64 time=10.000 ms

56 bytes from 3003::1, icmp_seq=2 hlim=64 time=4.000 ms

56 bytes from 3003::1, icmp_seq=3 hlim=64 time=10.000 ms

56 bytes from 3003::1, icmp_seq=4 hlim=64 time=11.000 ms

--- Ping6 statistics for 3003::1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 4.000/16.000/45.000/14.711 ms

3 IPv4 over IPv4隧道

3.1 IPv4 over IPv4 隧道简介

IPv4 over IPv4隧道（RFC 1853）是对IPv4报文进行封装，使得一个IPv4网络的报文能够在另一个IPv4网络中传输。例如，运行IPv4协议的两个子网位于不同的区域，并且这两个子网都使用私网地址时，可以通过建立IPv4 over IPv4隧道，实现两个子网的互联。

图3-1 IPv4 over IPv4隧道原理图

报文在隧道中传输经过封装与解封装两个过程，以图3-1为例说明这两个过程：

· 封装过程

Device A连接IPv4主机所在子网的接口收到IPv4报文后，首先交由IPv4协议栈处理。IPv4协议栈根据IPv4报文头中的目的地址判断该报文需要通过隧道进行转发，则将此报文发给Tunnel接口。

Tunnel接口收到此报文后，在IPv4报文外再封装一个IPv4报文头，封装的报文头中源IPv4地址为隧道的源端地址，目的IPv4地址为隧道的目的端地址。封装完成后将报文重新交给IPv4协议栈处理，IPv4协议栈根据添加的IPv4报文头查找路由表，转发报文。

· 解封装过程

解封装过程和封装过程相反。Device B从接口收到IPv4报文后，将其送到IPv4协议栈处理。IPv4协议栈检查接收到的IPv4报文头中的协议号。如果协议号为4（表示封装的报文为IPv4报文），则将此IPv4报文发送到隧道模块进行解封装处理。解封装之后的IPv4报文将重新被送到IPv4协议栈进行二次路由处理。

3.2 配置IPv4 over IPv4隧道

配置IPv4 over IPv4隧道时，需要注意：

· 在同一台设备上，隧道模式相同的Tunnel接口建议不要同时配置完全相同的源端地址和目的端地址。

· 本端隧道接口的IPv4地址与隧道的目的端地址不能在同一个网段内。

· 如果封装前IPv4报文的目的IPv4地址与Tunnel接口的IPv4地址不在同一个网段，则必须配置通过Tunnel接口到达目的IPv4地址的转发路由，以便需要进行封装的报文能正常转发。用户可以配置静态路由，指定到达目的IPv4地址的路由出接口为本端Tunnel接口或下一跳为对端Tunnel接口地址。用户也可以配置BGP动态路由，在Tunnel接口使能BGP动态路由协议。在隧道的两端都要进行此项配置，配置的详细情况请参见“三层技术-IP路由配置指导”中的“静态路由”或“BGP”。

· 配置经过隧道接口的路由时，路由的目的地址不能与该隧道的目的端地址在同一个网段内。

表3-1 配置IPv4 over IPv4隧道

操作		命令	说明
进入系统视图		system-view	-
进入模式为IPv4 over IPv4隧道的Tunnel接口视图		interface tunnel number [ mode ipv4-ipv4 ]	-
设置Tunnel接口的IPv4地址		ip address ip-address { mask \| mask-length } [ sub ]	缺省情况下，Tunnel接口上不存在IPv4地址
设置隧道的源端地址或源接口		source { ipv4-address \| interface-type interface-number }	缺省情况下，未设置隧道的源端地址和源接口如果设置的是隧道的源端地址，则该地址将作为封装后隧道报文的源IP地址；如果设置的是隧道的源接口，则该接口的主IP地址将作为封装后隧道报文的源IP地址
设置隧道的目的端地址		destination ipv4-address	缺省情况下，未设置隧道的目的端地址隧道的目的端地址是对端接收报文的接口的地址，该地址将作为封装后隧道报文的目的地址
（可选）设置封装后隧道报文的DF（Don’t Fragment，不分片）标志	tunnel dfbit enable			缺省情况下，未设置隧道报文的不分片标志，即转发隧道报文时允许分片