- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
01-EVPN配置
本章节下载： 01-EVPN配置 (567.88 KB)
EVPN（Ethernet Virtual Private Network，以太网虚拟专用网络）是一种二层VPN技术，控制平面采用MP-BGP通告EVPN路由信息，数据平面采用VXLAN封装方式转发报文。租户的物理站点分散在不同位置时，EVPN可以基于已有的服务提供商或企业IP网络，为同一租户的相同子网提供二层互联。
EVPN不仅继承了MP-BGP和VXLAN的优势，还提供了新的功能。EVPN具有如下特点：
· 简化配置：通过MP-BGP实现VTEP自动发现、VXLAN隧道自动建立、VXLAN隧道与VXLAN自动关联，无需用户手工配置，降低网络部署难度。
· 分离控制平面与数据平面：控制平面负责发布路由信息，数据平面负责转发报文，分工明确，易于管理。
· 支持对称IRB（Integrated Routing and Bridging，集成的路由和桥接）：MP-BGP同时发布二层MAC地址和三层路由信息，VTEP既可以进行二层转发，也可以进行三层路由。这样，不仅可以保证流量采用最优路径转发，还可以减少广播流量。
图1-1 EVPN网络模型示意图
如图1-1所示，EVPN的典型网络模型中包括如下几部分：
· 用户终端（Terminal）：可以是PC机、无线终端设备、服务器上创建的VM（Virtual Machine，虚拟机）等。不同的用户终端可以属于不同的VXLAN。属于相同VXLAN的用户终端处于同一个逻辑二层网络，彼此之间二层互通；属于不同VXLAN的用户终端之间二层隔离。
本文档中如无特殊说明，均以VM为例介绍EVPN工作机制。采用其他类型用户终端时，EVPN工作机制与VM相同，不再赘述。
· VTEP（VXLAN Tunnel End Point，VXLAN隧道端点）：EVPN的边缘设备。EVPN的相关处理都在VTEP上进行。
· VXLAN隧道：两个VTEP之间的点到点逻辑隧道。VTEP为数据帧封装VXLAN头、UDP头和IP头后，通过VXLAN隧道将封装后的报文转发给远端VTEP，远端VTEP对其进行解封装。
· 核心设备：IP核心网络中的设备（如图1-1中的P设备）。核心设备不参与EVPN处理，仅需要根据封装后报文的外层目的IP地址对报文进行三层转发。
· VXLAN网络/EVPN实例：用户网络可能包括分布在不同地理位置的多个站点内的用户终端。在骨干网上可以利用VXLAN隧道将这些站点连接起来，为用户提供一个逻辑的二层VPN。这个二层VPN称为一个VXLAN网络，也称为EVPN实例。VXLAN网络通过VXLAN ID来标识，VXLAN ID又称VNI（VXLAN Network Identifier，VXLAN网络标识符），其长度为24比特。不同VXLAN网络中的用户终端不能二层互通。
· VSI（Virtual Switch Instance，虚拟交换实例）：VTEP上为一个VXLAN提供二层交换服务的虚拟交换实例。VSI可以看做是VTEP上的一台基于VXLAN进行二层转发的虚拟交换机。VSI与VXLAN一一对应。
· ES（Ethernet Segment，以太网段）：用户站点连接到VTEP的链路，通过ESI（Ethernet Segment Identifier，以太网段标识符）唯一标识。目前，一个用户站点只能通过一条链路连接一台VTEP，该ES的ESI为0。
如图1-2所示，EVPN通常采用Spine（核心）—Leaf（分支）的分层结构。Leaf层的设备作为VTEP对报文进行EVPN相关处理；Spine层为核心设备，根据报文的目的IP地址转发报文。EVPN网络中的设备属于同一个AS（Autonomous System，自治系统）时，为了避免在所有VTEP之间建立IBGP对等体，可以将核心设备配置为RR（Route Reflector，路由反射器）。此时，RR需要发布、接收EVPN路由，但不需要封装、解封装VXLAN报文。
图1-2 EVPN典型组网
为了支持EVPN，MP-BGP在L2VPN地址族下定义了新的子地址族——EVPN地址族，并新增了如下EVPN NLRI（Network Layer Reachability Information，网络层可达性信息），即EVPN路由：
· Ethernet Auto-discovery Route：以太网自动发现路由，用来在站点多归属组网中通告ES信息。
· MAC/IP Advertisement Route：MAC/IP发布路由，用来通告MAC地址和主机路由信息（即ARP信息和ND信息）。
· Inclusive Multicast Ethernet Tag Route：包含性组播以太网标签路由，又称为IMET路由，用来通告VTEP及其所属VXLAN信息，以实现自动发现VTEP、自动建立VXLAN隧道和自动关联VXLAN与VXLAN隧道。
· Ethernet Segment Route：以太网段路由，用来通告ES及其连接的VTEP信息。
EVPN路由中包含RD（Route Distinguisher，路由标识符）字段，用来区分不同VXLAN的EVPN路由，以免EVPN路由冲突。
VTEP在发布EVPN路由时，会携带VPN Target扩展团体属性（也称为Route Target）。VPN target属性定义了本地发送的EVPN路由可以为哪些VTEP所接收，VTEP可以接收哪些远端VTEP发送来的EVPN路由。MP-BGP通过VPN Target属性来控制EVPN路由信息的发布与接收。
VPN target属性分为以下两种，每一种都可以包括多个属性值：
· Export target属性：本地VTEP在通过BGP的Update消息将EVPN路由发送给远端VTEP时，将Update消息中携带的VPN target属性设置为Export target。
· Import target属性：VTEP收到其它VTEP发布的Update消息时，将消息中携带的VPN target属性与本地配置的Import target属性进行比较，只有二者中存在相同的属性值时，才会接收该消息中的EVPN路由。
VTEP通过IMET路由通告自己的VXLAN信息。这样，每个VTEP设备都能获取到网络中所有的VTEP及其所属VXLAN信息。如果本地VTEP和远端VTEP属于同一个VXLAN，则自动在二者之间建立VXLAN隧道，并将该隧道与该VXLAN关联。
EVPN的MAC地址/ARP表项/ND表项学习、流量转发均基于报文所属的VXLAN进行，因此，VTEP接收到报文需要识别报文所属的VXLAN。
VTEP将连接本地站点的以太网服务实例（Service Instance）与VSI关联。VTEP从以太网服务实例接收到数据帧后，查找与其关联的VSI，VSI内创建的VXLAN即为该数据帧所属的VXLAN。
在VXLAN中，与VSI关联的以太网服务实例称为AC（Attachment Circuit，接入电路）。以太网服务实例在二层以太网接口上创建，它定义了一系列匹配规则（匹配接口接收到的所有报文、匹配所有携带VLAN Tag的报文、匹配所有不携带VLAN Tag的报文等），用来灵活地匹配从该二层以太网接口上接收到的数据帧。
如图1-3所示，VM 1属于VLAN 2，在VTEP上配置以太网服务实例1匹配VLAN 2的报文，将以太网服务实例1与VSI A绑定，并在VSI A内创建VXLAN 10，则VTEP接收到VM 1发送的数据帧后，可以判定该数据帧属于VXLAN 10。
对于从VXLAN隧道上接收到的VXLAN报文，VTEP根据报文中携带的VXLAN ID判断该报文所属的VXLAN。
VTEP根据学习到的MAC地址表项转发二层单播流量。VTEP上MAC地址学习分为两部分：
· 本地MAC地址学习：学习本地站点内虚拟机的MAC地址。VTEP接收到本地虚拟机发送的数据帧后，判断该数据帧所属的VSI，并将数据帧中的源MAC地址（本地虚拟机的MAC地址）添加到该VSI的MAC地址表中，该MAC地址对应的接口为接收到数据帧的接口。
· 远端MAC地址学习：学习远端站点内虚拟机的MAC地址。VTEP通过MP-BGP协议将本地学习的MAC地址及其所属的VXLAN通告给远端VTEP。远端VTEP接收到该信息后，将其添加到所属VXLAN对应VSI的MAC地址表中，该MAC地址对应的接口为两个VTEP之间的VXLAN隧道接口（Tunnel接口）。
VTEP接收到二层数据帧后，判断其所属的VSI，根据目的MAC地址查找该VSI的MAC地址表，通过表项的出接口转发该数据帧。如图1-4所示，如果出接口为本地接口，则VTEP直接通过该接口转发数据帧；如图1-5所示，如果出接口为Tunnel接口，则VTEP根据Tunnel接口为数据帧添加VXLAN封装后，通过VXLAN隧道将其转发给远端VTEP。
泛洪流量包括组播、广播和未知单播流量，该流量通过单播路由方式（头端复制）转发。VTEP负责复制报文，采用单播方式将复制后的报文通过本地接口发送给本地站点，并通过VXLAN隧道发送给VXLAN内的所有远端VTEP。
如图1-6所示，泛洪流量转发过程为：
(1) VTEP 1接收到本地虚拟机发送的组播、广播和未知单播数据帧后，判断数据帧所属的VXLAN，通过该VXLAN内除接收接口外的所有本地接口和VXLAN隧道转发该数据帧。通过VXLAN隧道转发数据帧时，需要为其封装VXLAN头、UDP头和IP头，以便将泛洪流量封装在多个单播报文中，发送到VXLAN内的所有远端VTEP。
(2) 远端VTEP（VTEP 2和VTEP 3）接收到VXLAN报文后，解封装报文，将原始的数据帧在本地站点的指定VXLAN内泛洪。为了避免环路，远端VTEP从VXLAN隧道上接收到报文后，不会再将其泛洪到其他的VXLAN隧道。
发布IMET路由和MAC/IP发布路由时，携带EVPN实例视图下配置的RD和Export Target；接收该类路由时，将路由中的Route Target属性与本地EVPN实例视图下配置的Import Target进行比较。
多归属站点组网仅支持IPv4网络作为Underlay网络。
当一个站点通过不同的以太网链路连接到多台VTEP时，这些链路就构成了一个ES（Ethernet Segment，以太网段），并以一个相同的ESI（ES Identifier）标识其属于同一个ES。连接的多台VTEP组成冗余备份组，可以避免VTEP单点故障对网络造成影响，从而提高EVPN网络的可靠性。
图1-7 多归属站点示意图
当一个站点连接到多台VTEP时，为了避免冗余备份组中的VTEP均发送泛洪流量给该站点，需要在冗余备份组中为每个AC选举一个VTEP作为DF（Designated Forwarder，指定转发者），负责将泛洪流量转发给该AC。其他VTEP作为该AC的BDF（Backup DF，备份DF），不会向本地站点转发泛洪流量。多归属成员通过发送以太网段路由，向远端VTEP通告ES及其连接的VTEP信息，远端VTEP根据ES、VTEP信息选举出DF。
图1-8 DF选举方式
目前RFC和草案中规定的DF选举有多种实现方式，下面以当前设备支持的DF选举方式为例介绍。
如图1-8所示，以AC 1的DF为例，DF选举方法为：
(1) 选取AC内允许通过的最小VLAN Tag代表该AC。在本例中，代表AC 1的VLAN Tag为4。
(2) VTEP根据接收到的以太网段路由，对携带相同ESI的路由中的源IP地址按升序排列，编号从0开始。在本例中，源IP 1.1.1.1、2.2.2.2对应的编号依次为0、1。
(3) 根据VLAN Tag除以N的余数M来选举DF，N代表冗余备份组中成员的数量，M对应的编号为该AC的DF。在本例中，4除以2的余数为0，即AC 1的DF为编号为0的VTEP 1。
在多归属站点组网中，VTEP接收到站点发送的组播、广播和未知单播数据帧后，判断数据帧所属的VXLAN，通过该VXLAN内除接收接口外的所有本地接口和VXLAN隧道转发该数据帧。同一冗余备份组中的VTEP接收到该数据帧后会在本地所属的VXLAN内泛洪，这样数据帧会通过AC泛洪到本地站点，造成环路和站点的重复接收。EVPN通过水平分割解决该问题。水平分割的机制为：VTEP接收到同一冗余备份组中成员转发的广播、组播、未知单播数据帧后，不向具有相同ESI标识的ES转发该数据帧。
当前设备支持的冗余备份模式为多活模式。
在该模式下，冗余备份组中的任何一台成员VTEP设备接收到本地站点发送的组播、广播和未知单播数据帧后，判断数据帧所属的VXLAN，通过该VXLAN内除接收接口外的所有本地接口和VXLAN隧道转发该数据帧。通过VXLAN隧道转发数据帧时，需要为其封装VXLAN头、UDP头和IP头，将泛洪流量封装在多个单播报文中，发送到VXLAN内的所有远端VTEP。
冗余备份组中的成员VTEP接收到远端VTEP发送的组播、广播和未知单播数据帧时，只有DF可以将数据帧泛洪到本地站点，BDF接收到后会将泛洪的数据帧丢弃。
在多活模式下，冗余备份组中的VTEP都会通过MP-BGP向远端VTEP通告同一ES的信息。即使只有一个VTEP学习到了MAC/ARP信息并发布给远端VTEP，远端VTEP除了会添加下一跳为该VTEP的IP地址，还会添加下一跳为冗余备份组中其他VTEP的IP地址，以实现自动在不同VTEP之间形成等价路径。该功能称为Aliasing。
为了避免广播发送的ARP/ND请求报文占用核心网络带宽，VTEP会根据接收到的ARP/ND请求和ARP/ND应答报文、BGP EVPN路由在本地建立ARP/ND泛洪抑制表项。后续当VTEP收到本站点内虚拟机请求其它虚拟机MAC地址的ARP/ND请求时，优先根据ARP/ND泛洪抑制表项进行代答。如果没有对应的表项，则通过VXLAN隧道将ARP/ND请求泛洪到其他站点。ARP/ND泛洪抑制功能可以大大减少ARP/ND泛洪的次数。
图1-10 ARP/ND泛洪抑制示意图
如图1-10所示，以ARP为例，泛洪抑制的处理过程如下：
(1) 虚拟机VM 1发送ARP请求，获取VM 7的MAC地址。
(2) VTEP 1根据接收到的ARP请求，建立VM 1的ARP泛洪抑制表项，在VXLAN内泛洪该ARP请求（图1-10以单播路由泛洪方式为例）。VTEP 1还会通过BGP EVPN将该表项同步给VTEP 2和VTEP 3。
(3) 远端VTEP（VTEP 2和VTEP 3）解封装VXLAN报文，获取原始的ARP请求报文后，在本地站点的指定VXLAN内泛洪该ARP请求。
(4) VM 7接收到ARP请求后，回复ARP应答报文。
(5) VTEP 2接收到ARP应答后，建立VM 7的ARP泛洪抑制表项，通过VXLAN隧道将ARP应答发送给VTEP 1。VTEP 2通过BGP EVPN将该表项同步给VTEP 1和VTEP 3。
(6) VTEP 1解封装VXLAN报文，获取原始的ARP应答，将ARP应答报文发送给VM 1。
(7) 在VTEP 1上建立ARP泛洪抑制表项后，虚拟机VM 4发送ARP请求，获取VM 1的MAC地址。
(8) VTEP 1接收到ARP请求后，建立VM 4的ARP泛洪抑制表项，并查找本地ARP泛洪抑制表项，根据已有的表项回复ARP应答报文，不会对ARP请求进行泛洪。
(9) 虚拟机VM 10发送ARP请求，获取VM 1的MAC地址。
(10) VTEP 3接收到ARP请求后，建立VM 10的ARP泛洪抑制表项，并查找ARP泛洪抑制表项，根据已有的表项（VTEP 1通过BGP EVPN同步）回复ARP应答报文，不会对ARP请求进行泛洪。
MAC地址迁移是指虚拟机或主机从一个ES迁移到另一个ES。原ES连接的VTEP无法感知MAC地址已经迁移到其他ES段。新迁移到的ES所在VTEP需要重新通告该MAC/IP路由。原VTEP在收到此路由后，撤销之前通告的路由。MAC地址每次迁移，迁移序列号依次递增，以便在MAC地址多次迁移时，通过序列号来标识最近一次迁移。
VXLAN隧道既可以通过EVPN自动创建，也可以手工创建。隧道目的地址相同的EVPN自动创建隧道和手工创建隧道不能关联同一个VXLAN。手工创建VXLAN隧道的详细介绍，请参见“VXLAN配置指导”中的“配置VXLAN”。
EVPN配置任务如下：
(1) 配置VSI和VXLAN
a. 创建VSI和VXLAN
b. （可选）配置VSI参数
(2) 配置EVPN实例
(3) （可选）配置多归属站点
a. 配置接口ESI
b. （可选）配置DF选举延迟时间
(4) 配置BGP发布EVPN路由
b. （可选）控制BGP EVPN路由的优选和发布
c. （可选）维护BGP会话
(5) 配置AC与VSI关联
(6) （可选）管理远端MAC地址和远端ARP/ND信息学习
(7) （可选）配置按需下发转发表项
执行本配置后，只有存在报文转发需求时，设备上才会将远端MAC地址表项下发到硬件，以节省设备的硬件资源。
(8) （可选）维护和优化EVPN网络
本配置中各命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(1) 进入系统视图。
system-view
(2) 开启L2VPN功能。
l2vpn enable
缺省情况下，L2VPN功能处于关闭状态。
(3) 创建VSI，并进入VSI视图。
vsi vsi-name
(4) 开启VSI。
undo shutdown
缺省情况下，VSI处于开启状态。
(5) 创建VXLAN，并进入VXLAN视图。
vxlan vxlan-id
在一个VSI下只能创建一个VXLAN。
不同VSI下创建的VXLAN，其VXLAN ID不能相同。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 配置VSI的描述信息。
description text
缺省情况下，未配置VSI的描述信息。
(4) 配置VSI的MTU值。
mtu size
缺省情况下，VSI的MTU值为1500字节。
(5) 配置VSI内流量的最大带宽。
bandwidth bandwidth
缺省情况下，未配置VSI内流量的最大带宽，即不限制VSI内的流量。
(6) 配置VSI的广播、组播或未知单播抑制带宽。
restrain { broadcast | multicast | unknown-unicast } bandwidth
缺省情况下，不抑制VSI的广播、组播和未知单播流量。
(7) 开启VSI的MAC地址学习功能。
mac-learning enable
缺省情况下，VSI的MAC地址学习功能处于开启状态。
用于二层交换的VXLAN网络无需关联VPN实例。VTEP在发布该VXLAN内路由时，携带VXLAN对应EVPN实例下配置的RD和RT。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 创建EVPN实例，并进入EVPN实例视图。
evpn encapsulation vxlan
(4) 配置EVPN实例的RD。
route-distinguisher { route-distinguisher | auto [ router-id ] }
缺省情况下，未指定EVPN实例的RD。
(5) 配置EVPN实例的Route Target属性。
vpn-target { vpn-target&<1-8> | auto } [ both | export-extcommunity | import-extcommunity ]
缺省情况下，未指定EVPN实例的Route Target属性。
多归属的站点，在冗余备份组的每个成员设备上的AC和VXLAN ID的配置应该保持一致，VXLAN ID相同的VSI应该配置不同的EVPN实例的RD。
ESI是ES的唯一标识，ESI相同的接口对应的链路属于同一个ES，报文可以在这些链路之间进行负载分担。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
¡ 进入二层以太网接口视图。
interface interface-type interface-number
¡ 进入二层聚合接口视图。
interface bridge-aggregation interface-number
¡ 进入三层接口视图。
interface interface-type interface-number
¡ 进入三层聚合接口视图。
interface route-aggregation interface-number
(3) 配置接口ESI。
esi esi-id
缺省情况下，未配置接口的ESI。
AC所在接口的状态、多归属成员设备数量或者接口下ESI值的频繁变化都会导致DF频繁选举，极大影响了网络的性能。通过本命令可以指定DF选举的时间间隔，避免频繁选举DF，保证网络的稳定性。
(1) 进入系统视图。
system-view
(2) 配置DF选举延迟时间。
evpn multihoming timer df-delay delay-value
缺省情况下，DF选举的延迟时间为3秒。
在站点多归属组网中，用户需要重启其中一台VTEP时，重启该VTEP前，可以通过在该VTEP上执行本命令，来禁止通告以太网自动发现路由和以太网段路由，并撤销已经通告的该类路由，以便其他VTEP及时更新本地的EVPN路由表，确保VTEP的重启不会影响报文转发。
(1) 进入系统视图。
system-view
(2) 配置禁止通告以太网自动发现路由和以太网段路由，并撤销已经通告的该类路由。
evpn multihoming advertise disable
缺省情况下，允许通告EVPN以太网自动发现路由和以太网段路由。
BGP相关命令的详细介绍，请参见“三层技术-IP路由命令参考”中的“BGP”。
(1) 进入系统视图。
system-view
(2) 配置全局Router ID。
router id router-id
缺省情况下，未配置全局Router ID。
(3) 启动BGP实例，并进入BGP实例视图。
bgp as-number [ instance instance-name ]
缺省情况下，系统没有运行BGP。
(4) 将远端VTEP配置为对等体。
peer { group-name | ipv4-address [ mask-length ] } as-number as-number
(5) 创建BGP EVPN地址族，并进入BGP EVPN地址族视图。
address-family l2vpn evpn
(6) 使能本地路由器与指定对等体/对等体组交换BGP EVPN路由的能力。
peer { group-name | ipv4-address [ mask-length ] } enable
缺省情况下，本地路由器不能与对等体/对等体组交换BGP EVPN路由。
(1) 进入系统视图。
system-view
(2) 进入BGP实例视图。
bgp as-number [ instance instance-name ]
(3) 进入BGP EVPN地址族视图。
address-family l2vpn evpn
(4) 配置对于从对等体/对等体组接收的BGP消息，允许本地AS号在该消息的AS_PATH属性中出现，并配置允许出现的次数。
peer { group-name | ipv4-address [ mask-length ] } allow-as-loop [ number ]
缺省情况下，不允许本地AS号在接收消息的AS_PATH属性中出现。
(5) 开启BGP EVPN路由的VPN-Target过滤功能。
policy vpn-target
缺省情况下，BGP EVPN路由的VPN-Target过滤功能处于开启状态。
(6) （可选）配置BGP路由延迟优选。
route-select delay delay-value
缺省情况下，延迟时间为0秒，即路由优选不延迟。
(7) 配置BGP路由反射。
a. 配置本机作为路由反射器，对等体/对等体组作为路由反射器的客户机。
peer { group-name | ipv4-address [ mask-length ] } reflect-client
缺省情况下，没有配置路由反射器及其客户机。
b. （可选）允许路由反射器在客户机之间反射EVPN路由。
reflect between-clients
缺省情况下，允许路由反射器在客户机之间反射EVPN路由。
c. （可选）配置路由反射器的集群ID。
reflector cluster-id { cluster-id | ipv4-address }
缺省情况下，每个路由反射器都使用自己的Router ID作为集群ID。
d. （可选）配置路由反射器对反射的EVPN路由进行过滤。
rr-filter ext-comm-list-number
缺省情况下，路由反射器不会对反射的EVPN路由进行过滤。
e. （可选）允许路由反射器反射路由时修改路由属性。
reflect change-path-attribute
缺省情况下，不允许路由反射器反射路由时修改路由属性。
(8) 对来自对等体/对等体组的路由或发布给对等体/对等体组的路由应用路由策略。
peer { group-name | ipv4-address [ mask-length ] } route-policy route-policy-name { export | import }
缺省情况下，没有为对等体/对等体组指定路由策略。
(9) 配置向对等体/对等体组发布团体属性。
peer { group-name | ipv4-address [ mask-length ] } advertise-community
缺省情况下，不向对等体/对等体组发布团体属性。
请在用户视图下执行如下命令，复位或软复位BGP会话。
· 复位EVPN地址族下的BGP会话。
reset bgp [ instance instance-name ] { as-number | ipv4-address [ mask-length ] | all | external | group group-name | internal } l2vpn evpn
· 手工对EVPN地址族下的BGP会话进行软复位。
refresh bgp [ instance instance-name ] { ipv4-address [ mask-length ] | all | external | group group-name | internal } { export | import } l2vpn evpn
当以太网接口作为AC时，不满足以太网服务实例报文匹配规则的ARP/ND和DHCP/DHCPv6报文，可能会出现报文源端口进源端口出的现象，用户需要根据实际情况，在端口下配置端口隔离组来解决此问题。需要注意，配置端口隔离组后，经过该以太网接口进入设备的报文将不再从源端口转发出去。
手工创建以太网服务实例，并将以太网服务实例与VSI关联后，从该接口接收到的、符合以太网服务实例报文匹配规则的报文，将通过查找关联VSI的MAC地址表进行转发。
本配置中各命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
请不要在同一个二层以太网接口/二层聚合接口上同时配置以下功能：
· VLAN映射、以太网服务实例与VSI
· QinQ、以太网服务实例与VSI
· 接口桥功能、以太网服务实例与VSI
否则，可能导致这些功能不可用。
建议不要将以太网服务实例所在的二层聚合接口配置为聚合边缘接口 ；若以太网服务实例所在的二层聚合接口必须配置为聚合边缘接口，则建议同时将二层聚合接口及子接口配置为AC口，避免流量转发失败。
执行本配置时，需要注意：对于以太网服务实例所匹配的VLAN，在设备上需要创建对应的VLAN，并在创建以太网服务实例的接口配置允许该VLAN通过。
配置以太网服务实例的报文匹配规则时需要注意的事项请参见“VXLAN命令参考”中的“VXLAN”。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
¡ 进入二层以太网接口视图。
interface interface-type interface-number
¡ 进入二层聚合接口视图。
interface bridge-aggregation interface-number
(3) 手工创建以太网服务实例，并进入以太网服务实例视图。
service-instance instance-id
(4) 配置以太网服务实例的报文匹配规则。
¡ 匹配报文的外层VLAN tag。
encapsulation s-vid vlan-id [ only-tagged ]
encapsulation s-vid vlan-id-list
¡ 同时匹配报文的外层和内层VLAN tag。
encapsulation s-vid vlan-id-list c-vid vlan-id
encapsulation s-vid vlan-id c-vid { vlan-id | all }
¡ 匹配携带VLAN tag或不携带VLAN tag的所有报文。
encapsulation { tagged | untagged }
¡ 匹配未匹配到接口上其他以太网服务实例的所有报文。
encapsulation default
同一个接口上最多只能有一个服务实例的报文匹配规则为encapsulation default。
如果接口上只存在一个配置了encapsulation default规则的以太网服务实例，则该接口上的所有报文都匹配该以太网服务实例。
缺省情况下，未配置报文匹配规则。
(5) 将以太网服务实例与VSI关联。
xconnect vsi vsi-name [ access-mode { ethernet | vlan } ] [ track track-entry-number&<1-3> ]
缺省情况下，以太网服务实例未关联VSI。
802.1X或MAC地址认证为用户下发授权VSI、Guest VSI、Auth-Fail VSI或Critical VSI后，将用户信息（接入端口、所属VLAN、MAC地址等）及VSI信息通知给VXLAN。VXLAN根据用户信息动态创建以太网服务实例，并将其与VSI关联。802.1X和MAC地址认证的详细介绍，请参见“安全配置指导”中的“802.1X”和“MAC地址认证”。
动态创建的以太网服务实例通过检查报文携带的VLAN ID、源MAC地址是否分别与以太网服务实例匹配的VLAN ID、MAC地址相同判断接口接收到的报文是否属于该AC。只有VLAN ID、源MAC地址均相同时，报文才属于该AC。
采用动态创建以太网服务实例，必须配置MAC地址认证或基于MAC接入控制的802.1X认证，并开启动态创建的以太网服务实例匹配MAC地址功能。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
¡ 进入二层以太网接口视图。
interface interface-type interface-number
¡ 进入二层聚合接口视图。
interface bridge-aggregation interface-number
(3) 开启动态创建的以太网服务实例匹配MAC地址功能。
mac-based ac
缺省情况下，动态创建的以太网服务实例匹配MAC地址功能处于关闭状态。
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(4) 配置MAC接入控制的802.1X认证或MAC地址认证。
完成802.1X或MAC地址认证相关配置，并在接入认证设备上配置Guest VSI、Auth-Fail VSI、Critical VSI，或在远程AAA服务器上配置为认证成功用户下发授权VSI。
完成上述配置后，接入认证设备上会自动地创建以太网服务实例，并将其与Guest VSI、Auth-Fail VSI、Critical VSI或授权VSI关联。
802.1X或MAC地址认证的配置方法，请参见“安全配置指导”中的“802.1X”和“MAC地址认证”。
缺省情况下，设备从VXLAN隧道接收到报文后可以自动学习远端虚拟机的MAC地址和ARP/ND信息。在EVPN组网中，为了避免自动学习的远端MAC地址/ARP信息/ND信息与通过BGP通告的MAC地址/ARP信息/ND信息冲突，需要关闭远端MAC地址和远端ARP/ND自动学习功能。
本配置中各命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(1) 进入系统视图。
system-view
(2) 关闭远端MAC地址自动学习功能。
vxlan tunnel mac-learning disable
缺省情况下，远端MAC地址自动学习功能处于开启状态。
(3) 关闭远端ARP自动学习功能。
vxlan tunnel arp-learning disable
缺省情况下，远端ARP自动学习功能处于开启状态。
(4) 关闭远端ND自动学习功能。
vxlan tunnel nd-learning disable
缺省情况下，远端ND自动学习功能处于开启状态。
VTEP可能会同时向远端VTEP通告MAC地址信息和ARP/ND信息。其中，ARP/ND信息中已经包含MAC地址信息。为了避免重复，可以执行本配置来禁止本端VTEP向远端VTEP通告MAC地址信息。执行本配置后，本端VTEP还会撤销已经发布的MAC地址信息。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 进入EVPN实例视图。
evpn encapsulation vxlan
(4) 配置禁止通告MAC地址信息，并撤销已经通告的MAC地址信息。
mac-advertising disable
缺省情况下，允许通告MAC地址信息。
VTEP可能会同时接收到远端VTEP通告的MAC地址信息和ARP/ND信息。其中，ARP/ND信息中包含MAC地址信息。为了避免重复，可以在VTEP上执行本配置来禁止EVPN从ARP/ND信息中学习MAC地址表项，EVPN仅通过MAC地址信息学习远端MAC地址表项。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 进入EVPN实例视图。
evpn encapsulation vxlan
(4) 配置禁止EVPN从ARP信息中学习MAC地址表项。
arp mac-learning disable
缺省情况下，EVPN可以从ARP信息中学习MAC地址表项。
(5) 配置禁止EVPN从ND信息中学习MAC地址表项。
nd mac-learning disable
缺省情况下，EVPN可以从ND信息中学习MAC地址表项。
执行本配置后，只有存在报文转发需求时，设备上才会将远端MAC地址表项下发到硬件，以节省设备的硬件资源。
本功能仅用于EVPN组网。非EVPN组网中，不要配置本功能。
缺省情况下，通过BGP EVPN路由同步过来的远端MAC地址表项会直接下发到硬件。开启本功能后，同步过来的远端MAC地址表项不会直接下发到硬件，当报文转发过程中需要使用远端MAC地址表项时，才会将其下发到硬件。该功能可以有效节省设备的硬件资源。
开启本功能后，当设备在一个MAC地址表项老化时间内收到50次目的MAC地址相同的报文，且设备的MAC地址表中不存在该MAC地址，设备会将此报文的目的MAC地址加入到黑洞MAC地址表项中。MAC地址表项老化时间和黑洞MAC地址的详细介绍，请参见“二层技术-以太网交换配置指导”中的“MAC地址表”。
(1) 进入系统视图。
system-view
(2) 开启报文转发时下发远端MAC地址表项功能。
mac-address forwarding-conversational-learning
缺省情况下，报文转发时下发远端MAC地址表项功能处于关闭状态。
缺省情况下，VTEP从本地站点内接收到目的MAC地址为广播、未知单播和未知组播的数据帧后，会在该VXLAN内除接收接口外的所有本地接口和VXLAN隧道上泛洪该数据帧，将该数据帧发送给VXLAN内的所有站点；VTEP从VXLAN隧道接收到目的MAC地址为广播、未知单播和未知组播的数据帧后，会在该VXLAN内的所有本地接口上泛洪该数据帧。通过本配置可以手工禁止某类数据帧在VXLAN内泛洪，以减少网络中的泛洪流量。
禁止通过VXLAN隧道向远端站点泛洪后，为了将某些单播或组播MAC地址的数据帧泛洪到远端站点以保证某些业务的流量在站点间互通，可以配置选择性泛洪的MAC地址，当数据帧的目的MAC地址匹配该MAC地址时，该数据帧可以泛洪到远端站点。
本配置中各命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 关闭VSI的泛洪功能。
flooding disable { all | { broadcast | unknown-multicast | unknown-unicast } * } [ all-direction ]
缺省情况下，VSI泛洪功能处于开启状态。
(4) （可选）配置VSI选择性泛洪的MAC地址。
selective-flooding mac-address mac-address
开启ARP/ND泛洪抑制时，如果同时执行flooding disable命令关闭了VSI的泛洪功能，则建议通过mac-address timer命令配置动态MAC地址的老化时间大于25分钟（ARP/ND泛洪抑制表项的老化时间），以免MAC地址在ARP/ND泛洪抑制表项老化之前老化，产生黑洞MAC地址。
如果配置了vxlan tunnel arp-learning disable或vxlan tunnel nd-learning disable命令，则设备从VXLAN隧道上接收到ARP/ND请求报文后，不会采用匹配的ARP/ND泛洪抑制表项对其进行应答。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 开启ARP泛洪抑制功能。
arp suppression enable
缺省情况下，ARP泛洪抑制功能处于关闭状态。
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
(1) 进入系统视图。
system-view
(2) 进入VSI视图。
vsi vsi-name
(3) 开启ND泛洪抑制功能。
ipv6 nd suppression enable
缺省情况下，ND泛洪抑制功能处于关闭状态。
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
开启本功能后，设备会统计已经创建的自动VXLAN隧道上转发的流量，也会对之后创建的自动VXLAN隧道进行流量统计，直到删除VXLAN隧道或关闭本功能。
开启自动VXLAN隧道的报文统计功能后，可以通过display interface tunnel命令查看统计信息，通过reset counters interface tunnel命令清除VXLAN隧道的统计信息。
(1) 进入系统视图。
system-view
(2) 开启自动VXLAN隧道的报文统计功能。
tunnel statistics vxlan auto
缺省情况下，自动VXLAN隧道的报文统计功能处于关闭状态。
本命令的详细介绍，请参见“VXLAN命令参考”中的“VXLAN”。
在完成上述配置后，在任意视图下执行display命令可以显示配置后EVPN的运行情况，通过查看显示信息验证配置的效果。
在用户视图下，用户可以执行reset命令来清除EVPN的相关信息。
display bgp group、display bgp peer、display bgp update-group命令的详细介绍请参见“三层技术-IP路由命令参考”中的“BGP”。
|
操作 |
命令 |
|
显示BGP对等体组的信息 |
display bgp [ instance instance-name ] group l2vpn evpn [ group-name group-name ] |
|
显示BGP EVPN路由信息 |
display bgp [ instance instance-name ] l2vpn evpn [ peer { ipv4-address | ipv6-address } { advertised-routes | received-routes } [ statistics ] | [ route-distinguisher route-distinguisher | route-type { auto-discovery | es | imet | mac-ip } ] * [ { evpn-route route-length | evpn-prefix } [ advertise-info ] | ipv4-address | ipv6-address | mac-address ] | statistics ] |
|
显示BGP对等体或对等体组的状态和统计信息 |
display bgp [ instance instance-name ] peer l2vpn evpn [ ipv4-address mask-length | ipv6-address prefix-length | { ipv4-address | group-name group-name } log-info | [ ipv4-address ] verbose ] |
|
显示BGP打包组的相关信息 |
display bgp [ instance instance-name ] update-group l2vpn evpn [ ipv4-address ] |
|
显示EVPN通过BGP自动发现的IPv4邻居信息 |
display evpn auto-discovery { imet [ peer ip-address] [ vsi vsi-name ] | mac-ip ] [ count ] } |
|
显示EVPN的ES信息 |
display evpn es { local [ vsi vsi-name ] [ esi esi-id ] [ verbose ] | remote [ vsi vsi-name ] [ esi esi-id ] [ nexthop next-hop ] } |
|
显示EVPN的ARP泛洪抑制信息 |
display evpn route arp suppression [ local | remote ] [ vsi vsi-name ] [ count ] |
|
显示EVPN的MAC地址信息 |
display evpn route mac [ local | remote ] [ vsi vsi-name ] [ count ] |
|
显示EVPN的ND信息 |
display evpn route nd [ local | remote ] [ count ] |
|
显示EVPN的路由表信息 |
display evpn routing-table [ ipv6 ] [ count ] |
|
显示EVPN多归属组网中满足水平分割原则的接口信息 |
display l2vpn forwarding evpn split-horizon [ tunnel tunnel-number ] slot slot-number |
Switch A、Switch B、Switch C为与服务器连接的VTEP设备。虚拟机VM 1、VM 2和VM 3同属于VXLAN 10。通过VXLAN实现不同站点间的二层互联，确保虚拟机在站点之间进行迁移时用户的访问流量不会中断。
图2-1 同一EVPN网络内互通配置组网图
(1) 配置IP地址和单播路由协议
# 配置各接口的IP地址和子网掩码；在IP核心网络内配置OSPF协议，确保交换机之间路由可达。（具体配置过程略）
(2) 配置Switch A
# 开启L2VPN能力。
<SwitchA> system-view
[SwitchA] l2vpn enable
# 关闭远端MAC地址自动学习功能。
[SwitchA] vxlan tunnel mac-learning disable
# 在VSI实例vpna下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。
[SwitchA] vsi vpna
[SwitchA-vsi-vpna] evpn encapsulation vxlan
[SwitchA-vsi-vpna-evpn-vxlan] route-distinguisher auto
[SwitchA-vsi-vpna-evpn-vxlan] vpn-target auto
[SwitchA-vsi-vpna-evpn-vxlan] quit
# 创建VXLAN 10。
[SwitchA-vsi-vpna] vxlan 10
[SwitchA-vsi-vpna-vxlan-10] quit
[SwitchA-vsi-vpna] quit
# 配置BGP发布EVPN路由。
[SwitchA] bgp 200
[SwitchA-bgp-default] peer 4.4.4.4 as-number 200
[SwitchA-bgp-default] peer 4.4.4.4 connect-interface loopback 0
[SwitchA-bgp-default] address-family l2vpn evpn
[SwitchA-bgp-default-evpn] peer 4.4.4.4 enable
[SwitchA-bgp-default-evpn] quit
[SwitchA-bgp-default] quit
# 在接入服务器的接口HundredGigE1/0/1上创建以太网服务实例1000，该实例用来匹配VLAN 2的数据帧。
[SwitchA] interface hundredgige 1/0/1
[SwitchA-HundredGigE1/0/1] service-instance 1000
[SwitchA-HundredGigE1/0/1-srv1000] encapsulation s-vid 2
# 配置以太网服务实例1000与VSI实例vpna关联。
[SwitchA-HundredGigE1/0/1-srv1000] xconnect vsi vpna
[SwitchA-HundredGigE1/0/1-srv1000] quit
[SwitchA-HundredGigE1/0/1] quit
(3) 配置Switch B
# 开启L2VPN能力。
<SwitchB> system-view
[SwitchB] l2vpn enable
# 关闭远端MAC地址自动学习功能。
[SwitchB] vxlan tunnel mac-learning disable
# 在VSI实例vpna下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。
[SwitchB] vsi vpna
[SwitchB-vsi-vpna] evpn encapsulation vxlan
[SwitchB-vsi-vpna-evpn-vxlan] route-distinguisher auto
[SwitchB-vsi-vpna-evpn-vxlan] vpn-target auto
[SwitchB-vsi-vpna-evpn-vxlan] quit
# 创建VXLAN 10。
[SwitchB-vsi-vpna] vxlan 10
[SwitchB-vsi-vpna-vxlan-10] quit
[SwitchB-vsi-vpna] quit
# 配置BGP发布EVPN路由。
[SwitchB] bgp 200
[SwitchB-bgp-default] peer 4.4.4.4 as-number 200
[SwitchB-bgp-default] peer 4.4.4.4 connect-interface loopback 0
[SwitchB-bgp-default] address-family l2vpn evpn
[SwitchB-bgp-default-evpn] peer 4.4.4.4 enable
[SwitchB-bgp-default-evpn] quit
[SwitchB-bgp-default] quit
# 在接入服务器的接口HundredGigE1/0/1上创建以太网服务实例1000，该实例用来匹配VLAN 2的数据帧。
[SwitchB] interface hundredgige 1/0/1
[SwitchB-HundredGigE1/0/1] service-instance 1000
[SwitchB-HundredGigE1/0/1-srv1000] encapsulation s-vid 2
# 配置以太网服务实例1000与VSI实例vpna关联。
[SwitchB-HundredGigE1/0/1-srv1000] xconnect vsi vpna
[SwitchB-HundredGigE1/0/1-srv1000] quit
[SwitchB-HundredGigE1/0/1] quit
(4) 配置Switch C
# 开启L2VPN能力。
<SwitchC> system-view
[SwitchC] l2vpn enable
# 关闭远端MAC地址自动学习功能。
[SwitchC] vxlan tunnel mac-learning disable
# 在VSI实例vpna下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。
[SwitchB] vsi vpna
[SwitchB-vsi-vpna] evpn encapsulation vxlan
[SwitchB-vsi-vpna-evpn-vxlan] route-distinguisher auto
[SwitchB-vsi-vpna-evpn-vxlan] vpn-target auto
[SwitchB-vsi-vpna-evpn-vxlan] quit
# 创建VXLAN 10。
[SwitchB-vsi-vpna] vxlan 10
[SwitchB-vsi-vpna-vxlan-10] quit
[SwitchB-vsi-vpna] quit
# 配置BGP发布EVPN路由。
[SwitchC] bgp 200
[SwitchC-bgp-default] peer 4.4.4.4 as-number 200
[SwitchC-bgp-default] peer 4.4.4.4 connect-interface loopback 0
[SwitchC-bgp-default] address-family l2vpn evpn
[SwitchC-bgp-default-evpn] peer 4.4.4.4 enable
[SwitchC-bgp-default-evpn] quit
[SwitchC-bgp-default] quit
# 在接入服务器的接口HundredGigE1/0/1上创建以太网服务实例1000，该实例用来匹配VLAN 2的数据帧。
[SwitchC] interface hundredgige 1/0/1
[SwitchC-HundredGigE1/0/1] service-instance 1000
[SwitchC-HundredGigE1/0/1-srv1000] encapsulation s-vid 2
# 配置以太网服务实例1000与VSI实例vpna关联。
[SwitchC-HundredGigE1/0/1-srv1000] xconnect vsi vpna
[SwitchC-HundredGigE1/0/1-srv1000] quit
[SwitchC-HundredGigE1/0/1] quit
(5) 配置Switch D
# 配置Switch D与其他交换机建立BGP连接。
<SwitchD> system-view
[SwitchD] bgp 200
[SwitchD-bgp-default] group evpn
[SwitchD-bgp-default] peer 1.1.1.1 group evpn
[SwitchD-bgp-default] peer 2.2.2.2 group evpn
[SwitchD-bgp-default] peer 3.3.3.3 group evpn
[SwitchD-bgp-default] peer evpn as-number 200
[SwitchD-bgp-default] peer evpn connect-interface loopback 0
# 配置BGP发布EVPN路由，并关闭BGP EVPN路由的VPN-Target过滤功能。
[SwitchD-bgp-default] address-family l2vpn evpn
[SwitchD-bgp-default-evpn] peer evpn enable
[SwitchD-bgp-default-evpn] undo policy vpn-target
# 配置Switch D为路由反射器。
[SwitchD-bgp-default-evpn] peer evpn reflect-client
[SwitchD-bgp-default-evpn] quit
[SwitchD-bgp-default] quit
(1) 验证VTEP设备Switch A
# 查看Switch A上的EVPN路由信息，可以看到Switch A发送了IMET路由和MAC/IP路由，并接收到Switch B和Switch C发送的IMET路由和MAC/IP路由。
[SwitchA] display bgp l2vpn evpn
BGP local router ID is 1.1.1.1
Status codes: * - valid, > - best, d - dampened, h - history
s - suppressed, S - stale, i - internal, e - external
a - additional-path
Origin: i - IGP, e - EGP, ? - incomplete
Total number of routes from all PEs: 4
Route distinguisher: 1:10
Total number of routes: 6
Network NextHop MED LocPrf PrefVal Path/Ogn
* >i [2][0][48][0a00-2700-0010][0][0.0.0.0]/104
2.2.2.2 0 100 0 i
* >i [2][0][48][0a00-2700-0013][0][0.0.0.0]/104
3.3.3.3 0 100 0 i
* > [2][0][48][0a00-2700-0018][0][0.0.0.0]/104
0.0.0.0 0 100 32768 i
* > [3][0][32][1.1.1.1]/80
0.0.0.0 0 100 32768 i
* >i [3][0][32][2.2.2.2]/80
2.2.2.2 0 100 0 i
* >i [3][0][32][3.3.3.3]/80
3.3.3.3 0 100 0 i
# 查看Switch A上的Tunnel接口信息，可以看到VXLAN模式的Tunnel接口处于up状态。（以Tunnel0接口为例）
[SwitchA] display interface tunnel 0
Tunnel0
Current state: UP
Line protocol state: UP
Description: Tunnel0 Interface
Bandwidth: 64 kbps
Maximum transmission unit: 1464
Internet protocol processing: Disabled
Last clearing of counters: Never
Tunnel source 1.1.1.1, destination 2.2.2.2
Tunnel protocol/transport UDP_VXLAN/IP
Last 300 seconds input rate: 134 bytes/sec, 1072 bits/sec, 1 packets/sec
Last 300 seconds output rate: 136 bytes/sec, 1088 bits/sec, 1 packets/sec
Input: 480 packets, 41764 bytes, 0 drops
Output: 480 packets, 42482 bytes, 0 drops
# 查看Switch A上的VSI信息，可以看到VSI内创建的VXLAN、与VXLAN关联的VXLAN隧道、与VSI关联的VSI虚接口等信息。
[SwitchA] display l2vpn vsi verbose
VSI Name: vpna
VSI Index : 0
VSI State : Up
MTU : 1500
Bandwidth : -
Broadcast Restrain : 5120 kbps
Multicast Restrain : 5120 kbps
Unknown Unicast Restrain: 5120 kbps
MAC Learning : Enabled
MAC Table Limit : -
MAC Learning rate : Unlimited
Drop Unknown : Disabled
Flooding : Enabled
Statistics : Disabled
VXLAN ID : 10
Tunnels:
Tunnel Name Link ID State Type Flood proxy
Tunnel0 0x5000000 UP Auto Disabled
Tunnel1 0x5000001 UP Auto Disabled
ACs:
AC Link ID State Type
HGE0/0/1 srv1000 0 Up Manual
# 查看Switch A上VSI的MAC地址表项信息，可以看到已学习到的MAC地址信息。
<SwitchA> display l2vpn mac-address
MAC Address State VSI Name Link ID/Name Aging
0a00-2700-0010 EVPN vpna Tunnel0 NotAging
0a00-2700-0013 EVPN vpna Tunnel1 NotAging
0a00-2700-0018 Dynamic vpna HGE0/0/1 Aging
--- 3 mac address(es) found ---
(2) 验证主机之间可以互访
虚拟机VM 1、VM 2、VM 3、VM 4之间可以互访。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
