HCIE-R&S面试--VLAN技术

红太狼 2022-10-30 13:25 79阅读 0赞

二层设备虽然能够隔离冲突域，但是不能隔离广播域，为什么呢？因为如果一个接口发出广播报文，那么这个报文就会向除它之外的所有接口转发，主机数量少的时候还好说，如果这个二层设备连的主机数量比较多，那么这种无差别转发的行为就会大大消耗网络带宽，并且在安全方面也带来很多问题。为了避免这种情况，可以使用路由器，因为路由器的一个接口就是一个广播域，但是因为路由器成本太高且转发能力比较低，这种办法并不是最优解。基于这种情况，二层交换中出现了vlan技术。

什么是vlan呢？

vlan又叫做虚拟局域网，是将一个物理的网络在逻辑上划分为多个广播域的通信技术，就像是把一个网络通过二层设备变成了多个网络。主要的目的就是将广播报文限制在一个vlan内，一个vlan就是一个广播域，避免广播报文大量的转发，vlan内的主机可以互相通信，但是不同vlan间不能直接互通。那么vlan是怎样划分的呢？vlan的划分主要是根据使用需要进行，主要有三种方法，分别是基于接口的vlan划分，基于mac的vlan划分，以及基于IP子网的vlan划分。其中，基于接口划分vlan是最简单，最有效的vlan划分方法。

交换机是如何分辨不同vlan的报文呢？

tag标签。根据IEEE802.1q协议，在以太网数据帧的目的mac地址和源mac地址之后，协议类型字段之前加入4个字节的vlan标签（即tag）用于标识vlan信息。

原来的以太网数据帧格式

<table style="margin-left:.3333in;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:.834in;"> <p style="margin-left:0in;">DMAC</p> <p style="margin-left:0in;">6B</p> </td> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:.8034in;"> <p style="margin-left:0in;">SMAC</p> <p style="margin-left:0in;">6B</p> </td> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:1.6034in;"> <p style="margin-left:0in;">Length/Type</p> <p style="margin-left:0in;">2B</p> </td> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:1.2284in;"> <p style="margin-left:0in;">DATA</p> <p style="margin-left:0in;">46-1500B</p> </td> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:.5201in;"> <p style="margin-left:0in;">FCS</p> <p style="margin-left:0in;">4B</p> </td> 
  </tr> 
 </tbody> 
</table>

VLAN数据帧格式

<table style="margin-left:.3333in;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:.8743in;"> <p style="margin-left:0in;">DMAC</p> </td> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:.8354in;"> <p style="margin-left:0in;">SMAC</p> </td> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:1.2625in;"> <p style="margin-left:0in;">VLAN TAG</p> <p style="margin-left:0in;">4B</p> </td> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:1.5097in;"> <p style="margin-left:0in;">Length/Type</p> </td> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:.7937in;"> <p style="margin-left:0in;">DATA</p> </td> 
   <td style="border-color:#a3a3a3;vertical-align:top;width:.5083in;"> <p style="margin-left:0in;">FCS</p> </td> 
  </tr> 
 </tbody> 
</table>

VLAN TAG标签包含4个字段

TPID:tag protocol identifier ,标签协议标识符，表示数据帧类型，当其取值为0X8100时，表示IEEE802.1Q的vlan数据帧。如果不支持802.1Q的设备收到这样的帧，会将其丢弃。各设备厂商也可自定义该字段的值，但是如果被修改为除0x8100的其他值时，对端设备也必须进行修改。

PRI：priority,表示数据帧的802.1p优先级，取值范围0-7，越大越优先。当网络阻塞时，交换机优先发送优先级高的数据帧。

CFI:canonical format indicator，标准格式指示位，表示MAC地址在不同的传输介质中是否以标准格式进行封装，用于兼容以太网和令牌环网。取0表示标准格式，在以太网中取0.

VID:vlan id.表示该数据帧所属vlan的编号，取值范围0-4095，0和4095为协议保留值，因此实际上我们可以有效取到1-4094.

交换机利用vlan标签中的vid来识别数据帧所属的vlan，广播帧只在同一vlan内转发，这就将广播域限制在一个vlan内。

在一个vlan交换网络中，以太网帧主要有两种存在形式：有标记帧（tagged帧）和无标记帧（untagged帧）

顾名思义，有标记帧就是加入了4字节vlan标签的帧，而无标记帧则是没有加vlan标签的帧。

在常用设备中，终端设备及傻瓜交换机，hub只能收发untagged帧，交换机、路由器和AC即能收发tagged帧，也能收发untagged帧，语音终端、AP等设备可以同时收发一个tagged帧和一个untagged帧。

为了提高处理效率，交换机内部处理的数据帧都是tagged帧。

现在，交换机内部处理的数据帧都带有了vlan标签，也就是我们之前所说的tag，但是现网中交换机连接的设备不止一台，有一些设备只会收发untagged帧，交换机如何才能与这些设备交互呢？这就需要接口能够识别untagged帧并且在收发时给帧添加或者剥离标签。同时，现网中属于同一个vlan的用户可能连接在不同的交换机上，且这些交换机之间交互的vlan有多个，这就需要交换机的接口能够识别和发送多个vlan的数据帧。

为了适应不同的连接和组网，华为定义了access接口，trunk接口，hybrid接口和qinq接口4种接口类型，以及接入链路、干道链路两种链路类型。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70][]

根据链路种需要承载的vlan数目不同，以太网链路分为：

接入链路：只可以承载1个vlan的数据帧，用于连接交换机和用户终端（如用户主机、服务器、傻瓜交换机等）通常情况下，用户终端并不需要知道自己属于哪个vlan，也不能识别带有tag的帧，所以在接入链路上传输的帧都是untagged帧。

干道链路：可以承载多个不同vlan的数据帧，用于交换机间互联或者连接交换机与路由器，为了保证其他网络设备能够正确识别数据帧中的vlan信息，在干道链路上传输的数据帧必须打上tag.

根据接口连接对象以及收发数据帧处理的不同，以太网接口分为：

access接口：一般用于和不能识别tag的用户终端（如用户主机、服务器等）相连，或者不需要区分不同vlan成员时使用，access接口大部分情况只能收发untagged帧，且只能为untagged帧添加唯一vlan的tag.但当access接口收到带有tag的帧，并且帧中vid与pvid（port vid）相同时，access接口也能接受并处理该帧。

trunk接口：一般用于连接交换机，路由器，AP以及可以同时收发tagged帧和untagged帧的语音终端，它可以允许多个vlan的帧带tag通过，但是只允许一个vlan的帧从该类接口上发出时不带tag（即剥除tag）.

hybrid接口（混合接口）：既可以用于连接不能识别tag的用户终端（如用户主机、服务器等）和网络设备（如hub、傻瓜交换机），也可以用于连接交换机、路由器以及可同时收发tagged帧和untagged帧的语音终端、ap，它可以允许多个vlan的帧带tag通过，且允许从该类接口发出的帧根据需要配置某些vlan的帧带tag（即不剥除tag),某些vlan的帧不带tag（即剥除tag），注意trunk接口只允许一个vlan的帧从该类接口上发出时不带tag。

qinq接口（802.1qin802.1q):一般用于私网与公网之间的连接，它可以给帧加上双层tag.即在原来tag的基础上，给帧加上一个新的tag.从而可以支持多达4094\*4094个vlan，，满足对vlan数量的需求，外网的tag通常被称为公网tag,用来标识公网的vlan，内层的tag被称为私网tag，用来标识私网的vlan。

如果需要访问不同vlan内的设备，应该怎么办呢?

需要借助三层交换机或路由器实现三层交换。

主要有两种情况，一种是同设备的三层互访。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 1][]

另一种是跨设备的三层互访

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 2][]

现在，访问不同vlan内的设备已经通过三层交换方式实现了，但是很多情况下，我们并不希望所有接入交换机的用户可以访问任意vlan下的设备。比如为了通信的安全性，公司在交换机下配置了三个vlan，分别作为访客区，员工区，服务器区，公司希望员工、服务器主机、访客均能访问Internet，但访客不能与员工互通，且只能访问服务器区的服务器\_1。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 3][]

为了实现这种目标，我们需要在三层交换机上配置流策略，并在连接访客区的接口下应用流策略。

基础知识

**1、VLAN ID的作用和数值范围**

VID:vlan id.表示该数据帧所属vlan的编号，取值范围0-4095，0和4095为协议保留值，因此实际上我们可以有效取到1-4094.

交换机利用vlan标签中的vid来识别数据帧所属的vlan，广播帧只在同一vlan内转发，这就将广播域限制在一个vlan内。

**2、PRI（802.1p)字段作用**

PRI：priority,表示数据帧的802.1p优先级，取值范围0-7，越大越优先。当网络阻塞时，交换机优先发送优先级高的数据帧。

**3、怎么理解VLAN ID和PVID**

pvid(port default vlan id ),即接口的缺省vlan id，当设备收到untagged帧时，就需要给该帧添加tag，添加的tag由接口上的缺省vlan id决定，每个接口都有一个缺省vlan id，缺省情况下，所有接口的缺省vlan id均为vlan1 ，可以修改。

pvid是针对接口而言，vlan id 是针对数据帧而言。

对于Access接口，缺省VLAN就是它允许通过的VLAN，修改接口允许通过的VLAN即可更改接口的缺省VLAN。

对于Trunk接口和Hybrid接口，一个接口可以允许多个VLAN通过，但是只能有一个缺省VLAN，修改接口允许通过的VLAN不会更改接口的缺省VLAN。

**端口类型**

**ACCESS**

**应用场景**

Access接口一般用于和不能识别Tag的用户终端（如用户主机、服务器等）相连，或者不需要区分不同VLAN成员时使用。

**收到不带标签数据帧应该如何处理**

接收并打上pvid,进行下一步处理

**发送数据帧如何处理**

剥离tag并发送

**trunk**

**应用场景**

trunk接口一般用于连接交换机、路由器、AP以及可同时收发Tagged帧和Untagged帧的语音终端。

**如何发送数据帧**

如果与接口的pvid相同，剥离tag并发送，如果不同，保持原有tag并发送。

**收到不带标签数据帧如何处理**

给数据帧打上pvid的tag，并接收进行进一步处理。

**收到带标签数据帧如何处理**

如果数据帧的vid被允许通过，就接收并进行进一步处理，如果不被允许通过，就丢弃。

**hybrid**

**应用场景**

Hybrid接口既可以用于连接不能识别Tag的用户终端（如用户主机、服务器等）和网络设备（如Hub、傻瓜交换机），也可以用于连接交换机、路由器以及可同时收发Tagged帧和Untagged帧的语音终端、AP。Hybrid接口和Trunk接口在很多应用场景下可以通用，但在某些应用场景下，必须使用Hybrid接口。比如在灵活QinQ中，服务提供商网络的多个VLAN的报文在进入用户网络前，需要剥离外层VLAN Tag，此时Trunk接口不能实现该功能，因为Trunk接口只能使该接口缺省VLAN的报文不带VLAN Tag通过。

**如何发送数据帧**

如果配置了发送数据帧是携带tag,就保持原有tag并发送，如果没有配置就剥离tag并发送。

**收到不带标签数据帧如何处理**

给数据帧打上pvid的tag，接收并进行进一步处理

**收到带标签数据帧如何处理**

如果该标签被允许通过就接收并进一步处理，如果不被允许通过，就丢弃。

**qinq**

**应用场景**

QinQ（802.1Q-in-802.1Q）接口是使用QinQ协议的接口，一般用于私网与公网之间的连接。

**双层标签**

它可以给帧加上双层Tag，即在原来Tag的基础上，给帧加上一个新的Tag，从而可以支持多达4094×4094个VLAN，满足网络对VLAN数量的需求。外层的Tag通常被称作公网Tag，用来标识公网的VLAN；内层Tag通常被称作私网Tag，用来标识私网的VLAN。

**高级特性**

**super vlan (VLAN Aggregation)**

vlan 聚合，指在一个物理网络内，用多个vlan（称为sub-vlan)隔离广播域，并将这些sub-vlan聚合成一个逻辑的vlan（称为super-vlan)，这些sub-vlan使用同一个IP子网和缺省网关，进而达到节约IP地址资源的目的。通过定义super-vlan 和sub-vlan，使sub-vlan只包含物理接口，负责保留各自独立的广播域，super-vlan不包含物理接口，只用来建立三层vlanif接口，然后再通过建立supervlan和subvlan间的映射关系把三层vlanif接口和物理接口两部分有机结合，实现所有的sub-vlan共用一个网关与外部网络通信，并用arp proxy实现sub-vlan间的三层通信，从而在实现普通vlan的隔离广播域的同时，达到节省IP地址的目的。多个vlan共用一个网关。

**应用场景**

某公司多个部门，划分多个vlan，每个vlan需求不同，如vlan1 要与vlan2 互通，vlan3 与vlan4 互通，且所有vlan都要访问外部网络。公司IP地址有限。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 4][]

在switch上部署supervlan2与supervlan3，将subvlan21和subvlan22聚合到supervlan2 上，将subvlan31和subvlan32聚合到supervlan3上，这样只需要在switch上为supervlan2和supervlan3分配两个Ip地址，vlan21和vlan22 上的用户可以通过supervlan2的IP地址访问Internet，vlan31和vlan32的用户可以通过supervlan3 的IP地址访问Internet，既实现各部门访问Internet的需求，又节约了IP地址的资源。

**sub vlan间通信**

在supervlan的vlanif接口下配置启用proxy arp，super-vlan对应的vlanif接口配置IP地址后proxy arp才能生效，在switch的supervlan2 和supervlan3上配置proxy arp，既可以实现vlan21与vlan22的互通，也可实现vlan31和vlan32的互通。

proxy arp：如果arp 请求是从一个网络的主机发往同一网段但不在同一物理网络上的另一台主机，那么连接这两个网络的设备就可以回答该arp请求，这个过程称作arp代理（proxy arp)

proxy vlan分为路由式proxy arp，vlan内的proxy arp和vlan间proxy arp

路由式proxyarp需要互通的主机（主机上没有配置缺省网关）处于相同的网段但不在同一物理网络（既不在同一广播域）的场景。

vlan内proxyarp需要互通的主机处于相同网段，并且属于相同的vlan，但是vlan内配置了端口隔离的场景。

vlan间proxy arp，需要互通的主机处于相同网段，但属于不同vlan的场景，supervlan用到的就是vlan间的proxy arp。

详细就是：如果两台主机处于相同网段但是属于不同的vlan，用户间要进行三层互通，可以在关联了这些vlan的接口（例如vlanif接口或者子接口）上使能vlan间proxy arp功能。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 5][]

如果switch上使能了vlan间proxyarp功能，可以使host1和host2实现三层互通，switch的接口在接收到目的地址不是自己的arp请求报文后，并不立即丢弃该报文，而是查找arp表项，包括动态学习到的arp表项和静态配置的arp表项，如果存在host2的arp表项，则将自己的mac地址发送给host1，并将host1发送给host2的报文代为转发，实际上此时switch相当于host2的代理。

**supervlan和subvlan的条件**

*  vlan1 不能配置为supervlan
 *  配置某些vlan为super-vlan后，该vlan类型改变为super，不允许任何物理接口加入该vlan。
 *  如果该vlan已经作为guestvlan（动态授权vlan）则不能配置为supervlan。
 *  流策略只有在supervlan的所有subvlan下配置才生效，在supervlan下配置不生效。
 *  如果通过命令dot1q termination vid或者qinq termination pe-vid ce-vid配置某个vlan为子接口的终结vlan后，该vlan不能再配置为super vlan或sub vlan .
 *  super-vlan 对应的vlanif接口配置IP地址后proxy arp才能生效。

**mux vlan**

**使用场景**

企业网中，企业员工和企业客户可以访问企业的服务器。对于企业来说，希望企业内部员工之间可以互相交流，而企业客户之间是隔离的。不能相互访问。

为了实现所有用户都可以访问企业服务器，可通过配置vlan间通信实现。如果企业规模很大，拥有大量用户，那么就要为不能互相访问的用户都分配vlan，这不但需要耗费大量的vlanid，还增加了网络管理者的工作量同时也增加了维护量。

通过muxvlan提供的二层流量隔离机制可以实现企业内部员工之间互相交流，而企业客户之间是隔离的。

**隔离型、互通型和主vlan之间的互通性如何**

*  主vlan（principal vlan）所属接口principal port ，可以和mux vlan 内的所有接口进行通信。
 *  从vlan（subordinate vlan）分为隔离型（separate)和互通型(groupvlan)
 *  隔离型所属接口为separate port，只能和principal port进行通信和其他类型接口驶向完全隔离。每个separate vlan必须绑定一个principal vlan
 *  互通型所属接口为group port ，可以和principal port进行通信，再同一组内的接口也可互相通信，但不能和其他组接口或者separate port通信）每个groupvlan必须绑定一个principal vlan

**隔离型和互通型vlan定义的个数**

每个principalvlan支持的separate vlan个数为1个，支持的group vlan个数为127个

**注意事项**

*  如果某个vlan已经用于muxvlan，则不能再配置为supervlan或subvlan。
 *  如果某个vlan已经用于groupvlan或者separatevlan则还不能再创建vlanif接口。
 *  禁止接口mac地址学习功能或限制接口mac地址学习数量会影响muxvlan功能的正常使用。
 *  不能在同一接口上配置muxvlan 和端口安全功能。
 *  不能在同一接口上配置muxvlan和mac认证功能。
 *  不能在同一接口上配置muxvlan和802.1x认证功能。

**端口隔离**

可以实现同一vlan内端口之间的隔离，为了实现报文之间的二层隔离用户可以将不同的端口加入不同的vlan但这样会浪费有限的vlan资源，因此采用端口隔离功能，实现同一vlan内端口之间的隔离。用户只需要将端口加入到隔离组中，，就可以实现隔离组内端口之间二层数据的隔离，端口隔离功能为用户提供了更安全更灵活的组网方案。

如果用户希望隔离同一vlan内的广播报文的同时可以进行三层通信，可以将隔离模式设置为二层隔离三层互通，如果用户希望同一vlan下不同端口用户彻底无法通信，则可以将隔离模式设置为二层三层均隔离即可。

**使用场景1（双向隔离）**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 6][]

PC1、PC2和PC3同属于VLAN10，将PC1与PC2对应的端口GE0/0/1和GE0/0/2加入端口隔离组后，PC1与PC2在VLAN10内不能互相访问，但是PC3与PC1之间可以互相访问，PC3与PC2之间也可以互相访问。

**使用场景2（单向隔离）**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 7][]

现网中可能存在如下情况时，还可以配置端口单向隔离功能。接入同一个设备不同接口的多台主机，若某台主机存在安全隐患，可能会向其他主机发送大量的广播报文。用户可以通过配置接口间的单向隔离来实现其他主机对该主机报文的隔离。

如[图2][2]所示，假设PC4存在安全隐患，会向其他主机发送大量广播报文，可以仅在PC4对应设备接口GE0/0/4上配置与GE0/0/5、GE0/0/6进行单向隔离，这样PC4发送的广播报文不能到达PC5、PC6，但从PC5、PC6发送的广播报文可以到达PC4。

**隔离组个数**

有些设备只支持一个隔离组，由系统自动创建隔离组1，用户不可删除该隔离组。有些设备支持多个隔离组，用户可以手工配置，不同设备支持的隔离组数不同。隔离组内可以加入的端口数量没有限制。

**安全MAC技术**

将设备接口学习到的mac地址变为安全mac地址（包括安全动态mac，安全静态mac和stickymac）可以阻止除安全mac和静态mac之外的主机通过本接口和设备通信。从而增强设备的安全性。

**使用场景**

应用在接入层设备，通过配置端口安全可以防止仿冒用户从其他端口攻击。

应用在汇聚层设备，通过配置端口安全可以控制接入用户的数量。

接入层使用场景

如[图1][1]，用户PC1和PC3通过IP Phone接入SwitchA设备，用户PC2直接接入设备SwitchA，为了保证接入设备安全性，防止非法用户攻击，可以在接入设备SwitchA的接口上配置端口安全功能。

![20210219175527214.png][]

**安全动态、安全静态、sticky mac定义**

*  如果接入用户变化比较频繁，可以通过端口安全把动态mac地址转换成安全动态mac地址。这样可以在用户变动时，及时清除绑定的mac地址表项。
 *  如果接入用户变动较少，可以通过端口安全把动态mac地址转化为sticky mac地址，这样在保存配置重启后，绑定的mac地址不会丢失。
 *  如果接入用户变动较小，且数量较少的情况下，可以通过配置为安全静态mac地址，实现mac地址表项的绑定。

汇聚层使用场景

树状组网中，多个用户通过switchA和汇聚设备switch进行通信，为了保证汇聚设备的安全性，控制接入用户的数量，可以在汇聚设备配置端口安全功能，同时指定安全mac地址的限制数。

![20210219175527213.png][]

端口安全：mac地址防漂移

网络中产生环路或者非法用户进行网络攻击都会造成mac地址发生漂移，导致mac地址不稳定，可以通过两种方式来避免这种情况:

提高接口mac地址学习优先级，当不同接口学到相同的mac地址表项时，高优先级的接口学到的mac地址表项可以覆盖低优先级接口学到的mac地址表项，防止mac地址在接口间发生漂移。

不允许相同优先级的接口发生mac地址表项覆盖。当伪造网络设备所连接口的优先级与安全的网路设备相同时，后学习到的伪造网络设备的mac地址表项不会覆盖之前正确的表项，但如果网络设备下电，此时会学习到伪造网络设备的mac地址，当网络设备再次上电时将无法学习到正确的mac地址。

**VLAN间通信**

**单臂路由**

目的是在原有二层网络上加入一个三层交换设备实现vlan间通信。

**实现原理**

当三层交换机的三层以太网接口有限，只使用一个接口接入用户或者网络时，一个接口上需要传输多个vlan报文，vlanif无法实现，此时，可以将一个三册以太网接口虚拟成多个逻辑子接口

![20210219175527216.png][]

由于三层以太网子接口不支持vlan报文，当它收到vlan报文时，会将vlan报文当成是非法报文而丢弃，因此，需要在子接口上将vlan tag剥掉，就需要配置vlan终结。

vlan终结是指设备对接收到的报文中的vlan标签进行识别，根据后续的转发行为对报文中的单层或双层vlan标签进行剥除，然后进行三层转发或者其他处理不再依据报文中的这些标签。

vlan终结的实质包含两个方面：

对接口接收的报文，剥除vlan标签后进行三层转发或者其他处理

对接口发出的报文，将相应的vlan标签添加到报文中后再发送。

根据对所终结的vlan报文处理方式的不同，vlan终结分为dot1q终结和qinq终结。

vlan终结一般在子接口上进行，如果子接口是对报文中的单层vlan标签的终结，该子接口就称为dot1q终结子接口，如果子接口是对报文中的双层vlan标签进行终结，该子接口就称为qinq终结子接口。

dot1q终结子接口和qinq终结子接口不支持透传不带vlantag的报文，收到不带vlantag的报文会直接丢弃。配置单臂路由需要用到的是dot1q终结子接口。

**配置要点**

1.进入主接口配置主接口端口类型（trunk/hybrid）

2.进入子接口配置子接口IP地址

3.配置子接口IP地址

4.dot1q termination vid 配置子接口终结的vlan（不同的主接口下的子接口可以关联相同的vlanid，但是同一主接口下的不同子接口一定不能关联相同的vlan id。）

5.执行arp broadcast enable.使能子接口的arp广播功能（会使该子接口的路由状态发生一次先down再up的变化，从而可能导致整个网络的路由发生一次震荡，影响正在运行的业务。）

**arp-broadcast enable 作用**

当IP报文需要从终结子接口发出，但是没有相应的arp表项时，如果终结子接口上没有配置ARP广播功能，那么系统会直接把该IP报文丢弃。此时该终结子接口的路由可以看作是黑洞路。只有通过在子接口上执行命令arp broadcast enable使能终结子接口的ARP广播功能，系统才会构造带Tag的ARP广播报文，然后再从该终结子接口发出。

使用单臂路由会因为不同vlan的数据流争用用一个以太网主接口的带宽，网络繁忙时，会导致通信瓶颈。

**三层交换机**

**转发原理**

目前的三层交换机一般是通过vlan来划分二层网络并实现二层交换，同时能够实现不同vlan间的三层IP互访，不同网络的主机之间互访的流程简要如下：

1.源主机再发起通信之前，将自己的IP与目的主机的IP进行比较，如果两者处于同一网段，那么源主机直接向目的主机发送arp请求，在收到目的主机的arp应答后获得对方的mac地址，然后用对方的mac地址作为报文的目的mac地址进行报文发送。

2.当源主机判断目的主机与自己位于不同的网段时，它会通过网关来递交报文，即发送arp请求来获取网关IP地址对应的mac,在得到网关的arp应答后，用网关mac作为报文的目的mac发送报文，此时发送报文的源IP是源主机的IP，目的IP仍然是目的主机的IP。

PCA:10.1.1.2 MAC:A GW:10.1.1.1

PCB:10.2.1.2 MAC:B  GW:10.2.1.1

L3 SWITCH IF\_1\_IP:10.1.1.1

IF\_2\_IP:10.2.1.1

1.PCA首先检查目的IP地址10.2.1.2与自己不在同一网段，因此发出请求网关地址10.1.1.1对应mac的arp请求。

2.L3switch收到PCA的arp请求后，检查请求报文发现被请求的IP是自己的三层接口IP，因此发送arp应答并将自己的三层接口mac（只有一个）包含在其中，同时还会把PCA的IP地址与mac地址对应关系记录到自己的arp表项中

3.PCA得到网关的arp应答后，组装icmp请求报文并发送，此报文的目的Ip仍然是PCB的IP地址10.2.1.2，但是目的mac却改为L3switch的三层接口的mac

4.L3switch收到报文后，根据报文的源mac+vlanid更新mac表，然后根据报文的目的mac+vlanid查找mac地址表，发现匹配了自己的三层接口mac地址，意识到需要做三层转发，于是继续查找交换芯片的三层表项。

5.CPU根据报文的目的IP去查找其软件路由表，发现匹配了一个直连网段（PCB直连），于是继续查找其软件arp表，仍然查找失败，然后L3swtich会在目的网段对应的vlan3的所有接口发送请求地址10.2.1.2对应mac的arp请求。

6.PCB收到此arp请求后，检查发现被请求IP是自己的IP，因此发送arp应答（包含自己的mac),同时将L3switch的IP与mac的对应关系（10.2.1.1 与mac switch)记录到自己的arp表中。

7.L3switch收到pcb的arp应答后，将其IP和mac对应关系记录到自己的arp表中，并将PCA的icmp请求报文发送给pcb，此报文的源IP是pca的IP，源mac修改为自己的mac，目的IP是pcb的ip,目的mac是pcb的mac，同时在交换芯片的三层表项中根据得到的三层转发信息添加表项（包括了IP，mac,出口vlan，出接口）这样后续的pcA发往pcB的报文就可以通过该硬件三层表项直接转发了。

8.pcb收到l3switch转发过来的icmp请求报文以后，回应icmp应答给pca,icmp应答报文的转发过程与前面类似，只是由于l3switch在之前已经得到pca的IP和mac对应关系了，也同时在交换芯片中添加了相关三层表项，因此这个报文直接由交换芯片硬件转发给Pca。

9.后续的往返报文都经过查mac表到查三层转发表的过程由交换芯片直接进行硬件转发了。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70]: /images/20221024/db2598fc8d3e44fb98becddbeef92916.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 1]: /images/20221024/d429c9dddd1846549874ce8897ea3d31.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 2]: /images/20221024/ee35b74c7a894458a2aab16adc5e65b3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 3]: /images/20221024/b00a0a9151c34a5697fd7dcfd2452a61.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 4]: /images/20221024/4feb1267d9004d62811053ee87214278.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 5]: /images/20221024/2194fd3fe69f49629458d28ca6fbe688.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 6]: /images/20221024/9bf84b79c376474ea2fe96b863cabb56.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2ODEzODU3_size_16_color_FFFFFF_t_70 7]: /images/20221024/d8c6d9322ee444d99084ae7f14bf0474.png
[2]: http://localhost:7890/pages/AZG0221P/13/AZG0221P/13/resources/dc/dc_cfg_int_1006.html?ft=99&fe=1&id=dc_cfg_int_1006&keyword=%E7%AB%AF%E5%8F%A3%E9%9A%94%E7%A6%BB&noteId=#dc_cfg_int_1006__fig_dc_cfg_int_100602
[1]: http://localhost:7890/pages/AZG0221P/13/AZG0221P/13/resources/dc/dc_cfg_portsec_0004.html?ft=0&fe=10&hib=11.4.13.8.3&id=dc_cfg_portsec_0004#dc_cfg_portsec_0004__fig_02
[20210219175527214.png]: /images/20221024/b2c51fe154cd4f54a2008a6540239310.png
[20210219175527213.png]: /images/20221024/4ce43694c3d44471891e39fd8eddca62.png
[20210219175527216.png]: /images/20221024/b7140d75d5e14959a32457a4ffec1aea.png