目  录

1 普通二层转发

1.1 普通二层转发简介

1.2 普通二层转发显示和维护

2 快速二层转发

2.1 快速二层转发简介

2.2 关闭快速二层转发时对VLAN ID检查功能

2.3 快速二层转发显示和维护

3 Bridge转发

3.1 Bridge转发简介

3.1.1 Bridge转发模式

3.1.2 跨VLAN模式Bridge转发

3.1.3 Inline转发

3.2 配置Bridge转发

3.2.1 配置跨VLAN模式Bridge转发

3.2.2 配置Inline转发

3.2.3 配置Bypass功能

3.3 Bridge转发显示和维护

3.4 Bridge转发典型配置举例

3.4.1 跨VLAN模式Bridge转发配置举例

3.4.2 反射模式Bridge转发配置举例

4 快速Bridge转发

4.1 快速Bridge转发简介

4.2 关闭快速Bridge转发时对VLAN ID检查功能

4.3 快速Bridge转发显示和维护

1 普通二层转发

1.1  普通二层转发简介

如果设备接收到的报文的目的MAC地址匹配三层接口的MAC地址，则通过设备的三层接口进行三层转发；否则通过设备的二层接口进行二层转发。

二层转发根据报文的目的MAC地址查找MAC地址表，得到报文的出接口，然后将报文发送出去。

普通二层转发是设备默认启用的特性，不需要配置。

1.2  普通二层转发显示和维护

在任意视图下执行display命令可以显示二层转发过程中的统计信息，查看转发的结果。

在用户视图下执行reset命令可以清除二层转发的统计信息。

表1-1 普通二层转发显示和维护

2 快速二层转发

2.1  快速二层转发简介

快速二层转发采用高速缓存来处理报文，并采用基于数据流的技术，可以大大提高转发效率。

快速二层转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中，会根据设备规则，对需要进行三层业务处理的报文，获取其IP地址等信息，生成IP快速转发表。当一条数据流的第一个报文转发后，会在高速缓存中生成相应的转发信息，该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程，减少报文的转发时间，提高报文的转发速率。

快速二层转发是设备默认启用的特性，不需要配置。

2.2  关闭快速二层转发时对VLAN ID检查功能

1. 功能简介

报文携带的VLAN ID是设备判断其所属TCP会话的依据之一。在防火墙双机热备的组网环境下，有时需要报文在主备设备间传递后仍可以匹配到同一个会话中，而主备设备上报文入接口所属VLAN可能不同，此时可以关闭对VLAN ID的检查以保证报文在主备设备之间传递之后能够匹配原本到同一会话。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     关闭快速二层转发时对VLAN ID检查功能。

undo mac fast-forwarding check-vlan-id

缺省情况下，快速二层转发时对VLAN ID字段的检查功能处于开启状态。

2.3  快速二层转发显示和维护

在任意视图下执行display命令可以显示快速二层转发表信息。

表2-1 快速二层转发显示和维护

3 Bridge转发

3.1  Bridge转发简介

Bridge转发是指用户创建Bridge实例后，根据Bridge实例中添加成员类型不同，实现报文基于VLAN或者端口的安全转发功能。

3.1.1  Bridge转发模式

根据报文的转发特征，Bridge转发有下列几种转发模式：

·     跨VLAN模式：在不同VLAN间进行报文转发。

·     反射模式：报文从同一接口收发。

·     透传模式：报文从一个接口接收，从另一个接口发送。

·     黑洞模式：报文从一个接口接收，处理完后被丢弃。

3.1.2  跨VLAN模式Bridge转发

跨VLAN模式Bridge转发是在数据链路层完成不同VLAN间通信的一种技术。如图3-1所示，目前这种技术主要应用在安全设备上。安全设备和交换机配合使用、经过交换机的二层网络流量由安全设备过滤后再进行转发的场景。

图3-1 Bridge转发工作机制

‌

如图3-1，交换机上配置的安全设备（Device）的Bridge转发实例（可以看作是实现一类Bridge转发模式的二层桥）为Bridge 1，Bridge 1中添加VLAN 10和VLAN 20。以ARP（Address Resolution Protocol，地址解析协议）实现为例，Bridge转发过程如下：

(1)     VLAN 10的Host A想要访问VLAN 20的Host B，Host A发送一个ARP请求报文。

a.     交换机收到请求报文的处理过程：

¡     交换机从接口Port A收到目的MAC未知的报文，交换机学习到该报文的源MAC地址0033-0033-0033，并记录该MAC地址所对应的VLAN 10和接口Port A。

¡     交换机将该报文在VLAN 10内进行广播，同时该报文会通过交换机侧内联口Port C（即用于连接交换机与安全设备的接口）发送给安全设备。

b.     安全设备收到请求报文的处理过程：

¡     安全设备收到该报文，将报文源MAC地址学习到用户配置的Bridge转发实例Bridge 1内，并且学习到该MAC地址对应的VLAN 10及安全设备侧内联口Port D。

¡     同时根据Bridge 1内用户配置的VLAN列表，将该报文在Bridge 1内配置的除报文所在VLAN 10以外的所有VLAN内进行发送，即在VLAN 20内发送该报文。在VLAN 20内发送的报文的VLAN ID将被替换为VLAN 20，生成新的报文，然后发送到VLAN 20。

¡     安全设备通过安全设备侧内联口Port D将新报文发送给交换机。

c.     交换机收到新报文的处理过程：

¡     交换机从交换机侧内联口Port C收到新的报文，学习该报文的源MAC地址并记录该MAC地址所对应的VLAN 20和交换机侧内联口Port C。

¡     同时交换机将报文在VLAN 20内广播。

(2)     VLAN 20的Host B收到新报文后，发现是要访问自己的报文，发送ARP应答报文。

a.     交换机收到应答报文的处理过程：

¡     交换机从接口Port B收到目的MAC地址0033-0033-0033的报文，交换机学习到该报文的源MAC地址0000-0000-0002并记录该MAC地址所对应的VLAN 20和接口Port B。

¡     交换机收到目的MAC地址为0033-0033-0033的已知报文，根据目的MAC地址和VLAN找到MAC地址表项，该表项的出接口为交换机侧内联口Port C，则将该报文发送给安全设备。

b.     安全设备收到应答报文的处理过程：

¡     安全设备收到回复报文，将该报文源MAC地址学习到用户配置的Bridge转发实例Bridge 1内，并且学习到该MAC地址对应的VLAN 20及安全设备侧内联口Port D。

¡     安全设备根据VLAN 20找到对应的Bridge 1下学习到的MAC地址表项，将报文的VLAN ID修改为MAC地址表项对应VLAN ID，并从安全设备侧内联口Port D将该报文发送给交换机。

c.     交换机收到新的应答报文的处理过程：

¡     交换机收到该报文后，根据目的MAC地址和VLAN找到MAC地址表项，确认出接口为Port A，将该报文发送出去。

3.1.3  Inline转发

反射模式Bridge转发、透传模式Bridge转发和黑洞模式Bridge转发统称为Inline转发。

Inline转发是在数据链路层对流量进行安全监控的一种技术。目前这种技术主要应用在安全产品上，在设备上配置lnline转发功能，使相关二层网络流量都经过安全业务处理后再进行转发。

1. 反射/黑洞模式Bridge转发组网部署

反射/黑洞模式Bridge转发中，Device B与Device A通过一个物理接口通信。对于反射模式Bridge转发，Device B通过同一接口完成报文的收发；对于黑洞模式Bridge转发，Device B收到报文后，先处理完安全业务，然后丢弃该报文。反射/黑洞模式Bridge转发一般适用于Device B旁挂的组网部署，Device A可直接接入网络。反射/黑洞模式Bridge转发如图3-2所示。

图3-2 反射/黑洞模式Bridge转发

‌

2. 透传模式Bridge转发组网部署

透传模式Bridge转发中，Device B与Device A通过两个物理接口通信，即Device B通过其中的一个接口收报文，通过另外一个接口发报文。透传模式Bridge转发一般适用于Device B直连的组网部署，Device A通过Device B接入网络。透传模式Bridge转发如图3-3所示。

图3-3 透传模式Bridge转发

‌

3. Inline转发报文处理流程

在图3-2、图3-3中，以VM（Virtual Machine，虚拟机）间的报文交互为例，Inline转发过程如下：

(1)     VM 1与VM 2的内部流量通过Device A转发，Device A将收到的报文引流到与之相连的Device B上。

(2)     Device B将收到的IP报文交给安全业务进行处理，其他报文直接返回给Device A。

(3)     Device B处理通过安全业务过滤的报文，根据报文信息建立对应的转发表项，并将报文返回给Device A。

3.2  配置Bridge转发

3.2.1  配置跨VLAN模式Bridge转发

(1)     进入系统视图。

system-view

(2)     （可选）设置Bridge转发的MAC地址的老化时间。

bridge mac-address timer aging seconds

缺省情况下，Bridge转发的MAC的老化时间为300秒。

(3)     创建跨VLAN模式Bridge转发实例，并进入Bridge视图。

bridge bridge-index inter-vlan

(4)     向Bridge转发实例中添加VLAN列表。

add vlan vlan-id-list

(5)     （可选）配置Bridge实例下的MAC地址最大学习数。

mac-address max-mac-count count

缺省情况下，Bridge实例下的MAC地址最大学习数为4096。

3.2.2  配置Inline转发

1. 配置限制和指导

透传模式Bridge转发实例可以通过命令行手工创建，也可以通过插入硬件Bypass子卡后由设备自动生成。插入硬件Bypass子卡前，需保证设备上不存在跨VLAN模式Bridge转发实例，否则将导致自动创建透传模式Bridge转发实例失败。

在安全设备上配置Inline转发时，需要关闭与其连接的交换机上对应互连口的MAC地址学习功能，否则可能造成MAC地址频繁迁移。

向Bridge转发实例中添加接口时需要注意：

·     每个反射/黑洞模式Bridge转发实例只能添加一个接口

·     每个手工创建的透传模式Bridge转发实例只能添加两个接口，且这两个接口的类型必须保持一致

·     对于自动创建的透传模式Bridge转发实例，设备在自动创建Bridge转发实例后，会自动将子卡上的一对接口添加到此Bridge转发实例中，且自动创建的透传模式Bridge转发实例不支持手工添加或删除接口

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     （可选）配置Inline转发时忽略报文的隧道封装。

bridge tunnel-encapsulation skip

缺省情况下，Inline转发时未忽略报文的隧道封装。

(3)     手工创建不同模式的转发实例，并进入Bridge视图。

¡     创建反射模式Bridge转发实例，并进入Bridge视图。

bridge bridge-index reflect

¡     创建透传模式Bridge转发实例，并进入Bridge视图。

bridge bridge-index forward

¡     创建黑洞模式Bridge转发实例，并进入Bridge视图。

bridge bridge-index blackhole

缺省情况下，不存在手工创建的Bridge转发实例。

(4)     向Bridge转发实例中添加接口。

add interface interface-type interface-number

缺省情况下，手工创建的Bridge转发实例中未添加任何接口。

3.2.3  配置Bypass功能

1. 功能简介

在Inline转发模式下，配置Bypass功能，用户流量可以不经过安全业务或者安全设备处理，直接被处理。

Bypass功能是指用户流量经过安全设备Device，但不进行安全业务处理。安全设备会根据配置的Inline转发模式，选择对应的接口将用户流量直接转发或者丢弃。

2. 配置限制和指导

多次配置bypass enable命令，最后一次执行的配置生效。

3. 配置内部Bypass功能

(1)     进入系统视图。

system-view

(2)     进入Bridge视图。

¡     进入反射模式Bridge视图。

bridge bridge-index reflect

¡     进入自动创建的透传模式Bridge视图。

bridge bridge-index

¡     进入手工创建的透传模式Bridge视图。

bridge bridge-index forward

¡     进入黑洞模式Bridge视图。

bridge bridge-index blackhole

(3)     配置内部Bypass功能。

bypass enable

缺省情况下，Bypass功能处于关闭状态。

3.3  Bridge转发显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示Bridge学习的MAC地址信息。

表3-1 Bridge转发显示和维护

3.4  Bridge转发典型配置举例

3.4.1  跨VLAN模式Bridge转发配置举例

1. 组网需求

由交换机GigabitEthernet1/2/5/1、GigabitEthernet1/2/5/2互相交换的不同VLAN的报文需要经过安全设备过滤，采用交换机和安全设备组合的方案较为经济、灵活。在这个方案中采用跨VLAN模式Bridge二层转发技术，如图3-4所示。

2. 组网图

图3-4 跨VLAN模式Bridge转发组网图

‌

3. 配置步骤

# 配置安全设备。

<Device> system-view

[Device] bridge 2 inter-vlan

[Device-bridge2-inter-vlan] add vlan 10 20

[Device-bridge2-inter-vlan] quit

# 配置交换机。

<Switch> system-view

[Switch] interface gigabitethernet 1/2/5/1

[Switch-GigabitEthernet1/2/5/1] port access vlan 10

[Switch] interface gigabitethernet 1/2/5/2

[Switch-GigabitEthernet1/2/5/2] port access vlan 20

[Switch-GigabitEthernet1/2/5/2] quit

4. 验证配置

# 在安全设备上执行display bridge mac-address命令可以看到Bridge转发学习到的MAC地址表项。

[Device] display bridge mac-address 2

MAC Address      BRIDGE ID  State        VLAN ID  Port            Aging

0033-0033-0033   2          Learned      10       GE1/2/5/1       Y

0000-0000-0002   2          Learned      20       GE1/2/5/2       Y

3.4.2  反射模式Bridge转发配置举例

1. 组网需求

Device A上VM1与VM2互相交换的报文需要经Device B过滤。Device B上通过一个接口GigabitEthernet1/2/5/1与Device A相连。在这个方案中采用反射模式Bridge转发技术，如下图所示。

2. 组网图

图3-5 反射模式Bridge转发组网图

‌

3. 配置步骤

(1)     在Device A上配置QoS策略，将VM1和VM2间的流量引流到Device B。并关闭与Device B互连接口上的MAC地址学习功能。

# 定义IPv4高级ACL 3001，并为其创建如下规则：匹配源IP为1.1.1.2、目的IP为1.1.1.3的数据包。

[DeviceA] acl advanced 3001

[DeviceA-acl-ipv4-adv-3001] rule permit ip source 1.1.1.2 0 destination 1.1.1.3 0

[DeviceA-acl-ipv4-adv-3001] quit

# 定义类classifier1，匹配ACL 3001。

[DeviceA] traffic classifier classifier1

[DeviceA-classifier-classifier1] if-match acl 3001

[DeviceA-classifier-classifier1] quit

# 定义IPv4高级ACL 3002，并为其创建如下规则：匹配源IP为1.1.1.3、目的IP为1.1.1.2的数据包。

[DeviceA] acl advanced 3002

[DeviceA-acl-ipv4-adv-3002] rule permit ip source 1.1.1.3 0 destination 1.1.1.2 0

[DeviceA-acl-ipv4-adv-3002] quit

# 定义类classifier2，匹配ACL 3002。

[DeviceA] traffic classifier classifier2

[DeviceA-classifier-classifier2] if-match acl 3002

[DeviceA-classifier-classifier2] quit

# 定义流行为behavior1，动作为重定向Device B。

[DeviceA] traffic behavior behavior1

[DeviceA-behavior-behavior1] redirect interface gigabitethernet 1/2/5/1

[DeviceD-behavior-behavior1] quit

# 定义策略policy1，并为类classifier1指定流行为behavior1。

[DeviceA] qos policy policy1

[DeviceA-qospolicy-policy1] classifier classifier1 behavior behavior1

[DeviceA-qospolicy-policy1] quit

# 定义策略policy2，并为类classifier2指定流行为behavior1。

[DeviceA] qos policy policy2

[DeviceA-qospolicy-policy2] classifier classifier2 behavior behavior1

[DeviceA-qospolicy-policy2] quit

# 将策略policy1应用到接口GigabitEthernet1/2/5/1的入方向上。

[DeviceA] interface gigabitethernet 1/2/5/1

[DeviceA-GigabitEthernet1/2/5/1] qos apply policy policy1 inbound

[DeviceA-GigabitEthernet1/2/5/1] quit

# 将策略policy2应用到接口GigabitEthernet1/2/5/2的入方向上。

[DeviceA] interface gigabitethernet 1/2/5/2

[DeviceA-GigabitEthernet1/2/5/2] qos apply policy policy2 inbound

[DeviceA-GigabitEthernet1/2/5/2] quit

# 关闭Device A上接口GigabitEthernet1/2/5/2的MAC地址学习功能。

[DeviceA] interface gigabitethernet 1/2/5/2

[DeviceA-GigabitEthernet1/2/5/2] undo mac-address mac-learning enable

(2)     在Device B上配置反射模式Bridge转发。

# 在Device B上创建反射模式的Bridge转发实例，并向该实例添加接口GigabitEthernet1/2/5/1。

<DeviceB> system-view

[DeviceB] bridge 2 reflect

[DeviceB-bridge2-reflect] add interface gigabitethernet 1/2/5/1

[DeviceB-bridge2-reflect] quit

4. 验证配置

# 在Device B上执行display bridge cache ip inline命令可以看到反射模式Bridge转发创建的IP快速转发表信息。

[DeviceB] display bridge cache ip inline

Total number of bridge-forwarding entries: 1

SIP             SPort DIP             DPort Pro Output_If

1.1.1.3         470   1.1.1.2         0     1   GE1/2/5/1

1.1.1.2         470   1.1.1.3         2048  1   GE1/2/5/1

4 快速Bridge转发

4.1  快速Bridge转发简介

快速Bridge转发采用高速缓存来处理报文，采用了基于数据流的技术，可以大大提高转发效率。

快速Bridge转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中，会根据设备规则，对需要进行三层业务处理的报文，获取其IP地址等信息，生成IP快速转发表。当一条数据流的第一个报文转发后，会在高速缓存中生成相应的转发信息，该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程，减少报文的转发时间，提高报文的转发速率。

快速Bridge转发是设备默认启用的特性，不需要配置。

4.2  关闭快速Bridge转发时对VLAN ID检查功能

1. 功能简介

报文携带的VLAN ID是设备判断其所属TCP会话的依据之一。在防火墙双机热备的组网环境下，有时需要报文在主备设备间传递后仍可以匹配到同一个会话中，而主备设备上报文入接口所属VLAN可能不同，此时可以关闭对VLAN ID的检查以保证报文在主备设备之间传递之后能够匹配原本到同一会话。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     关闭快速Bridge转发时对VLAN ID检查功能。

undo bridge fast-forwarding check-vlan-id

缺省情况下，快速二层转发时对VLAN ID字段的检查功能处于开启状态。

4.3  快速Bridge转发显示和维护

在任意视图下执行display命令可以显示快速Bridge转发表信息。

表4-1 快速Bridge转发显示和维护