- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
07-二层转发配置
本章节下载： 07-二层转发配置 (199.35 KB)
如果设备接收到的报文的目的MAC地址匹配三层接口的MAC地址，则通过设备的三层接口进行三层转发；否则通过设备的二层接口进行二层转发。
二层转发根据报文的目的MAC地址查找MAC地址表，得到报文的出接口，然后将报文发送出去。
普通二层转发是设备默认启用的特性，不需要配置。
在任意视图下执行display命令可以显示二层转发过程中的统计信息，查看转发的结果。
在用户视图下执行reset命令可以清除二层转发的统计信息。
表1-1 普通二层转发显示和维护
|
操作 |
命令 |
|
显示二层转发统计信息 |
display mac-forwarding statistics [ interface interface-type interface-number ] |
|
清除二层转发统计信息 |
reset mac-forwarding statistics |
快速二层转发采用高速缓存来处理报文，采用了基于数据流的技术，可以大大提高转发效率。
快速二层转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中，会根据设备规则，对需要进行三层业务处理的报文，获取其IP地址等信息，生成IP快速转发表。当一条数据流的第一个报文转发后，会在高速缓存中生成相应的转发信息，该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程，减少报文的转发时间，提高报文的转发速率。
快速二层转发是设备默认启用的特性，不需要配置。
在任意视图下执行display命令可以显示快速二层转发表信息。
表1-2 快速二层转发显示和维护
|
操作 |
命令 |
|
显示IP快速转发表信息 |
display mac-forwarding cache ip [ ip-address ] [ slot slot-number ] |
|
显示分片报文快速转发表信息 |
display mac-forwarding cache ip fragment [ ip-address ] [ slot slot-number ] |
|
显示IPv6快速转发表信息 |
display mac-forwarding cache ipv6 [ ipv6-address ] [ slot slot-number ] |
直通转发指的是设备接收到报文的前64个字节后立即转发。该功能可以节省报文在设备中消耗的时间，提高转发性能。
表1-3 配置设备直通转发
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
配置设备直通转发 |
cut-through enable |
缺省情况下，设备直通转发功能处于关闭状态 |
报文在CRC（Cyclic Redundancy Code，循环冗余校验码）接收前已经转发，因此设备也将转发CRC校验错误的报文。
设备各款型对于本节所描述的特性支持情况有所不同，详细差异信息如下：
|
型号 |
特性 |
描述 |
|
F1000-E-G2/F1000-A-G2/F1000-S-G2/F1000-C-G2 |
配置Bridge转发 |
支持 |
|
F100-E-G2/F100-A-G2/F100-M-G2/F100-S-G2/F100-C-G2 |
F100-E-G2/F100-A-G2：支持 F100-M-G2/F100-S-G2/F100-C-G2：不支持 |
|
|
F100-E-EI/F100-A-EI/F100-C-EI |
F100-E-EI/F100-A-EI：支持 F100-C-EI：不支持 |
根据报文的转发特征，Bridge转发有下列几种转发模式：
· 反射模式：报文从同一接口收发。
· 转发模式：报文从一个接口接收，从另一个接口发送。
· 黑洞模式：报文从一个接口接收，处理完后被丢弃。
反射模式Bridge转发、转发模式Bridge转发和黑洞模式Bridge转发又统称为Inline转发。
Inline转发是在数据链路层对流量进行安全监控的一种技术。目前这种技术主要应用在安全产品上，通过QoS策略将经过设备的二层网络流量引流到安全产品上，由安全产品过滤后再进行转发。
· 反射/黑洞模式Bridge转发中，Device B与Device A通过一个物理接口通信，即Device B对报文的收发均为一个接口。反射/黑洞模式Bridge转发一般适用于Device B旁挂的组网部署，Device A可直接接入网络。反射/黑洞模式Bridge转发如下图所示。
图1-1 反射/黑洞模式Bridge转发
· 转发模式Bridge转发中，Device B与Device A通过两个物理接口通信，即Device B通过其中的一个接口收报文，通过另外一个接口发报文。转发模式Bridge转发一般适用于Device B直连的组网部署，Device A通过Device B接入网络。转发模式Bridge转发如下图所示。
图1-2 转发模式Bridge转发
在上面两图中，以VM（Virtual Machine，虚拟机）间的交互为例，Inline转发过程如下：
(2) VM 1与VM 2的内部流量通过Device A进行通信，Device A将收到的报文引流到与之相连的Device B上。
(3) Device B将收到的IP报文交给安全业务进行处理，其他报文直接转发给Device A。
(4) Device B处理通过安全业务过滤的报文，根据报文信息建立对应的转发表项，并将报文转发给Device A。
在安全设备上配置Inline转发时，需要关闭与其连接的交换机上对应互连口的MAC地址学习功能，否则可能造成MAC地址频繁迁移。
表1-4 配置反射/转发/黑洞模式INLINE转发
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建反射模式Bridge转发实例，并进入Bridge视图 |
bridge bridge-index reflect |
三者选其一 缺省情况下，不存在Bridge转发实例 |
|
创建转发模式Bridge转发实例，并进入Bridge视图 |
bridge bridge-index forward |
|
|
创建黑洞模式Bridge转发实例，并进入Bridge视图 |
bridge bridge-index blackhole |
|
|
向Bridge转发实例中添加接口 |
add interface interface-type interface-number |
缺省情况下，Bridge转发实例中未添加任何接口 每个反射/黑洞模式Bridge转发实例只能添加一个接口；每个转发模式Bridge转发实例只能添加两个接口，且这两个接口的类型必须保持一致 |
Device A上VM1与VM2互相交换的报文需要经Device B过滤。Device B上通过一个接口GigabitEthernet1/0/1与Device A相连。在这个方案中采用反射模式Bridge转发技术，如图1-3所示。
图1-3 反射模式Bridge转发组网图
(1) 在Device A上配置QoS策略，将VM1和VM2间的流量引流到Device B。并关闭与Device B互连接口上的MAC地址学习功能。
# 定义IPv4高级ACL 3001，并为其创建如下规则：匹配源IP为1.1.1.2、目的IP为1.1.1.3的数据包。
[DeviceA] acl advanced 3001
[DeviceA-acl-ipv4-adv-3001] rule permit ip source 1.1.1.2 0 destination 1.1.1.3 0
[DeviceA-acl-ipv4-adv-3001] quit
# 定义类classifier1，匹配ACL 3001。
[DeviceA] traffic classifier classifier1
[DeviceA-classifier-classifier1] if-match acl 3001
[DeviceA-classifier-classifier1] quit
# 定义IPv4高级ACL 3002，并为其创建如下规则：匹配源IP为1.1.1.3、目的IP为1.1.1.2的数据包。
[DeviceA] acl advanced 3002
[DeviceA-acl-ipv4-adv-3002] rule permit ip source 1.1.1.3 0 destination 1.1.1.2 0
[DeviceA-acl-ipv4-adv-3002] quit
# 定义类classifier2，匹配ACL 3002。
[DeviceA] traffic classifier classifier2
[DeviceA-classifier-classifier2] if-match acl 3002
[DeviceA-classifier-classifier2] quit
# 定义流行为behavior1，动作为重定向Device B。
[DeviceA] traffic behavior behavior1
[DeviceA-behavior-behavior1] redirect interface gigabitethernet 1/0/3
[DeviceD-behavior-behavior1] quit
# 定义策略policy1，并为类classifier1指定流行为behavior1。
[DeviceA] qos policy policy1
[DeviceA-qospolicy-policy1] classifier classifier1 behavior behavior1
[DeviceA-qospolicy-policy1] quit
# 定义策略policy2，并为类classifier2指定流行为behavior1。
[DeviceA] qos policy policy2
[DeviceA-qospolicy-policy2] classifier classifier2 behavior behavior1
[DeviceA-qospolicy-policy2] quit
# 将策略policy1应用到接口GigabitEthernet1/0/1的入方向上。
[DeviceA] interface gigabitethernet 1/0/1
[DeviceA-GigabitEthernet1/0/1] qos apply policy policy1 inbound
[DeviceA-GigabitEthernet1/0/1] quit
# 将策略policy2应用到接口GigabitEthernet1/0/2的入方向上。
[DeviceA] interface gigabitethernet 1/0/2
[DeviceA-GigabitEthernet1/0/2] qos apply policy policy2 inbound
[DeviceA-GigabitEthernet1/0/2] quit
# 关闭Device A上接口GigabitEthernet1/0/3的MAC地址学习功能。
[DeviceA] interface gigabitethernet 1/0/3
[DeviceA-GigabitEthernet1/0/3] undo mac-address mac-learning enable
(2) 在Device B上配置反射模式Bridge转发。
# 在Device B上创建反射模式的Bridge转发实例，并向该实例添加接口GigabitEthernet1/0/1。
<DeviceB> system-view
[DeviceB] bridge 2 reflect
[DeviceB-bridge2-reflect] add interface gigabitethernet 1/0/1
[DeviceB-bridge2-reflect] quit
# 在Device B上执行display bridge ip命令可以看到反射模式Bridge转发创建的IP快速转发表信息。
[DeviceB] display bridge cache ip
Total number of bridge-forwarding entries: 2
SIP SPort DIP DPort Pro Output_If
1.1.1.3 470 1.1.1.2 0 1 GE1/0/1
1.1.1.2 470 1.1.1.3 2048 1 GE1/0/1
设备各款型对于本节所描述的特性支持情况有所不同，详细差异信息如下：
|
型号 |
特性 |
描述 |
|
F1000-E-G2/F1000-A-G2/F1000-S-G2/F1000-C-G2 |
配置快速Bridge转发 |
支持 |
|
F100-E-G2/F100-A-G2/F100-M-G2/F100-S-G2/F100-C-G2 |
F100-E-G2/F100-A-G2：支持 F100-M-G2/F100-S-G2/F100-C-G2：不支持 |
|
|
F100-E-EI/F100-A-EI/F100-C-EI |
F100-E-EI/F100-A-EI：支持 F100-C-EI：不支持 |
快速Bridge转发采用高速缓存来处理报文，采用了基于数据流的技术，可以大大提高转发效率。
快速Bridge转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中，会根据设备规则，对需要进行三层业务处理的报文，获取其IP地址等信息，生成IP快速转发表。当一条数据流的第一个报文转发后，会在高速缓存中生成相应的转发信息，该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程，减少报文的转发时间，提高报文的转发速率。
快速Bridge转发是设备默认启用的特性，不需要配置。
在任意视图下执行display命令可以显示快速Bridge转发表信息。
表1-5 快速Bridge转发显示和维护
|
操作 |
命令 |
|
显示Bridge转发创建的IP快速转发表信息 |
display bridge cache ip inline [ ip-address ] [ slot slot-number [ cpu cpu-number ] ] |
|
显示Bridge转发创建的分片报文快速转发表信息 |
display bridge cache ip fragment inline [ ip-address ] [ slot slot-number ] |
|
显示Bridge转发创建的IPv6快速转发表信息 |
display bridge cache ipv6 inline [ ipv6-address ] [ slot slot-number ] |
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
