- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
07-二层转发配置
本章节下载： 07-二层转发配置 (236.11 KB)
目 录
如果设备接收到的报文的目的MAC地址匹配三层接口的MAC地址，则通过设备的三层接口进行三层转发；否则通过设备的二层接口进行二层转发。
二层转发根据报文的目的MAC地址查找MAC地址表，得到报文的出接口，然后将报文发送出去。
普通二层转发是设备默认启用的特性，不需要配置。
在任意视图下执行display命令可以显示二层转发过程中的统计信息，查看转发的结果。
在用户视图下执行reset命令可以清除二层转发的统计信息。
表1-1 普通二层转发显示和维护
|
操作 |
命令 |
|
显示二层转发统计信息 |
display mac-forwarding statistics [ interface interface-type interface-number ] |
|
清除二层转发统计信息 |
reset mac-forwarding statistics |
快速二层转发采用高速缓存来处理报文，并采用基于数据流的技术，可以大大提高转发效率。
快速二层转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中，会根据设备规则，对需要进行三层业务处理的报文，获取其IP地址等信息，生成IP快速转发表。当一条数据流的第一个报文转发后，会在高速缓存中生成相应的转发信息，该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程，减少报文的转发时间，提高报文的转发速率。
快速二层转发是设备默认启用的特性，不需要配置。
报文携带的VLAN ID是设备判断其所属TCP会话的依据之一。在防火墙双机热备的组网环境下，有时需要报文在主备设备间传递后仍可以匹配到同一个会话中，而主备设备上报文入接口所属VLAN可能不同，此时可以关闭对VLAN ID的检查以保证报文在主备设备之间传递之后能够匹配原本到同一会话。
(1) 进入系统视图。
system-view
(2) 关闭快速二层转发时对VLAN ID检查功能。
undo mac fast-forwarding check-vlan-id
缺省情况下，快速二层转发时对VLAN ID字段的检查功能处于开启状态。
在任意视图下执行display命令可以显示快速二层转发表信息。
表2-1 快速二层转发显示和维护
|
操作 |
命令 |
|
显示IP快速转发表信息 |
（独立运行模式） display mac-forwarding cache ip [ ip-address ] [ slot slot-number [ cpu cpu-number ] ] （IRF模式） display mac-forwarding cache ip [ ip-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
|
显示分片报文快速转发表信息 |
（独立运行模式） display mac-forwarding cache ip fragment [ ip-address ] [ slot slot-number [ cpu cpu-number ] ] （IRF模式） display mac-forwarding cache ip fragment [ ip-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
|
显示IPv6快速转发表信息 |
（独立运行模式） display mac-forwarding cache ipv6 [ ipv6-address ] [ slot slot-number [ cpu cpu-number ] ] （IRF模式） display mac-forwarding cache ipv6 [ ipv6-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
Bridge转发是指用户创建Bridge实例后，根据Bridge实例中添加成员类型不同，实现报文基于VLAN或者端口的安全转发功能。
根据报文的转发特征，Bridge转发有下列几种转发模式：
· 反射模式：报文从同一接口收发。
· 透传模式：报文从一个接口接收，从另一个接口发送。
· 黑洞模式：报文从一个接口接收，处理完后被丢弃。
反射模式Bridge转发、透传模式Bridge转发和黑洞模式Bridge转发统称为Inline转发。
Inline转发是在数据链路层对流量进行安全监控的一种技术。目前这种技术主要应用在安全产品上，在设备上配置lnline转发功能，使相关二层网络流量都经过安全业务处理后再进行转发。
反射/黑洞模式Bridge转发中，Device B与Device A通过一个物理接口通信。对于反射模式Bridge转发，Device B通过同一接口完成报文的收发；对于黑洞模式Bridge转发，Device B收到报文后，先处理完安全业务，然后丢弃该报文。反射/黑洞模式Bridge转发一般适用于Device B旁挂的组网部署，Device A可直接接入网络。反射/黑洞模式Bridge转发如图3-1所示。
图3-1 反射/黑洞模式Bridge转发
透传模式Bridge转发中，Device B与Device A通过两个物理接口通信，即Device B通过其中的一个接口收报文，通过另外一个接口发报文。透传模式Bridge转发一般适用于Device B直连的组网部署，Device A通过Device B接入网络。透传模式Bridge转发如图3-2所示。
在图3-1、图3-2中，以VM（Virtual Machine，虚拟机）间的报文交互为例，Inline转发过程如下：
(1) VM 1与VM 2的内部流量通过Device A转发，Device A将收到的报文引流到与之相连的Device B上。
(2) Device B将收到的IP报文交给安全业务进行处理，其他报文直接返回给Device A。
(3) Device B处理通过安全业务过滤的报文，根据报文信息建立对应的转发表项，并将报文返回给Device A。
透传模式Bridge转发实例可以通过命令行手工创建，也可以通过插入硬件Bypass子卡后由设备自动生成。
在安全设备上配置Inline转发时，需要关闭与其连接的交换机上对应互连口的MAC地址学习功能，否则可能造成MAC地址频繁迁移。
向Bridge转发实例中添加接口时需要注意：
· 每个反射/黑洞模式Bridge转发实例只能添加一个接口
· 每个手工创建的透传模式Bridge转发实例只能添加两个接口，且这两个接口的类型必须保持一致
· 对于自动创建的透传模式Bridge转发实例，设备在自动创建Bridge转发实例后，会自动将子卡上的一对接口添加到此Bridge转发实例中，且自动创建的透传模式Bridge转发实例不支持手工添加或删除接口
(1) 进入系统视图。
system-view
(2) （可选）配置Inline转发时忽略报文的隧道封装。
bridge tunnel-encapsulation skip
缺省情况下，Inline转发时未忽略报文的隧道封装。
(3) 手工创建不同模式的转发实例，并进入Bridge视图。
¡ 创建反射模式Bridge转发实例，并进入Bridge视图。
bridge bridge-index reflect
¡ 创建透传模式Bridge转发实例，并进入Bridge视图。
bridge bridge-index forward
¡ 创建黑洞模式Bridge转发实例，并进入Bridge视图。
bridge bridge-index blackhole
缺省情况下，不存在手工创建的Bridge转发实例。
(4) 向Bridge转发实例中添加接口。
add interface interface-type interface-number
缺省情况下，手工创建的Bridge转发实例中未添加任何接口。
在Inline转发模式下，配置Bypass功能，用户流量可以不经过安全业务或者安全设备处理，直接被处理。
内部Bypass功能指户流量经过安全设备Device，但不进行安全业务处理。安全设备会根据配置的Inline转发模式，选择对应的接口将用户流量直接转发或者丢弃。
多次配置bypass enable命令，最后一次执行的配置生效。
(1) 进入系统视图。
system-view
(2) 进入Bridge视图。
¡ 进入反射模式Bridge视图。
bridge bridge-index reflect
¡ 进入自动创建的透传模式Bridge视图。
bridge bridge-index
¡ 进入手工创建的透传模式Bridge视图。
bridge bridge-index forward
¡ 进入黑洞模式Bridge视图。
bridge bridge-index blackhole
(3) 配置内部Bypass功能。
bypass enable
缺省情况下，Bypass功能处于关闭状态。
快速Bridge转发采用高速缓存来处理报文，采用了基于数据流的技术，可以大大提高转发效率。
快速Bridge转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中，会根据设备规则，对需要进行三层业务处理的报文，获取其IP地址等信息，生成IP快速转发表。当一条数据流的第一个报文转发后，会在高速缓存中生成相应的转发信息，该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程，减少报文的转发时间，提高报文的转发速率。
快速Bridge转发是设备默认启用的特性，不需要配置。
报文携带的VLAN ID是设备判断其所属TCP会话的依据之一。在防火墙双机热备的组网环境下，有时需要报文在主备设备间传递后仍可以匹配到同一个会话中，而主备设备上报文入接口所属VLAN可能不同，此时可以关闭对VLAN ID的检查以保证报文在主备设备之间传递之后能够匹配原本到同一会话。
(1) 进入系统视图。
system-view
(2) 关闭快速Bridge转发时对VLAN ID检查功能。
undo bridge fast-forwarding check-vlan-id
缺省情况下，快速二层转发时对VLAN ID字段的检查功能处于开启状态。
在任意视图下执行display命令可以显示快速Bridge转发表信息。
表4-1 快速Bridge转发显示和维护
|
操作 |
命令 |
|
显示Bridge转发创建的IP快速转发表信息 |
（独立运行模式） display bridge cache ip inline [ ip-address ] [ slot slot-number [ cpu cpu-number ] ] （IRF模式） display bridge cache ip inline [ ip-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
|
显示Bridge转发创建的分片报文快速转发表信息 |
（独立运行模式） display bridge cache ip fragment inline [ ip-address ] [ slot slot-number [ cpu cpu-number ] ] （IRF模式） display bridge cache ip fragment inline [ ip-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
|
显示Bridge转发创建的IPv6快速转发表信息 |
（独立运行模式） display bridge cache ipv6 inline [ ipv6-address ] [ slot slot-number [ cpu cpu-number ] ] （IRF模式） display bridge cache ipv6 inline [ ipv6-address ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] |
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
