Q-in-Q.docx

12 QinQ配置12.1 QinQ概述对于QinQ，业界有多种不同的称呼，比如dot1q-tunneling、Tag in Tag、VLAN VPN、Stack VLAN，其标准出自IEEE 802.1ad。它的出现主要是因为：IEEE 802.1Q中定义的VLAN Tag域只有12个比特用于表示VLAN ID，所以设备最多可以支持4094个VLAN。在实际应用中，尤其是在城域网中，需要大量的VLAN来隔离用户，4094个VLAN远远不能满足需求。它实现的基本原理是在用户报文进入服务提供商网络之前封装上一个服务提供商网络的VLAN Tag，而把用户报文中的原有的VLAN Tag当做数据，使报文带着两层VLAN Tag穿越服务提供商网络。在服务提供商网络中，报文只根据外层VLAN Tag（即服务提供商网络的VLAN Tag）传播，当用户报文离开服务提供商网络时，剥去公服务提供商网络的VLAN Tag，报文在用户网络中，根据私网VLAN Tag传播。如图1所示，用户网络A的VLAN 1001的报文在进入服务提供商网络之前被添加上一层vlan Tag 1005的外层Tag，使报文携带两层Tag，在服务商网络中根据外层Vlan Tag 1005传播。当报文离开服务提供商网络时，外层Vlan Tag 1005将被剥去，报文在用户网络中仍然以Vlan Tag 1001进行传播。图 1. QinQ示意图下图显示了双Tag添加的过程：边界设备的入口称为dot1q-tunnel port或简称tunnel port，所有进入边界设备的帧都被当作是Untagged 帧，而不管它实际上是Untagged还是已经带802.1Q Tag头的帧，都被封装上服务商的Tag，VLAN号为Tunnel port的缺省VLAN。图 2. 双Tag报文的结构12.1.1 基本QinQ基本QinQ是基于端口方式实现的。配置了tunnel口后，当该端口接收到报文，设备会为该报文打上tunnel口缺省VLAN 的VLAN Tag。如果接收到的是已经带有VLAN Tag的报文，该报文就成为双Tag的报文；如果接收到的是不带VLAN Tag 的报文，该报文就成为带有端口缺省VLAN Tag 的报文。基本QinQ简单，但外层VLAN Tag封装方式不够灵活。12.1.2 灵活QinQ灵活QinQ是一种灵活的实现，它可以为不同的流打上不同的外层VLAN Tag：如根据用户VLAN Tag、MAC地址、IP协议、源地址、目的地址、优先级、或应用程序的端口号等信息的不同，封装不同的外层Tag。借助上述流分类方法，实际实现了根据不同用户、不同业务、不同优先级等对报文进行外层VLAN Tag封装。当前，在配置上可以使用的具体策略有：n 根据内层VLAN Tag添加外层VLAN Tag；n 根据外层VLAN Tag修改外层VLAN Tag；n 根据内层VLAN Tag修改外层VLAN Tag；n 利用ACL，根据ACL添加外层VLAN Tag；n 利用ACL，根据ACL修改外层VLAN Tag；12.1.3 其他功能n 12.1.3.1TPID设置及优先级的复制与映射n 12.1.3.2MAC地址复制n 12.1.3.3二层协议透传n 12.1.3.4Uplink端口12.1.3.1TPID设置及优先级的复制与映射以太网帧Tag包含四个字段：TPID(Tag Protocol Identifier，标签协议标志)、 User Priority、CFI、VLAN ID。对于TPID值，缺省采用IEEE802.1Q协议规定的0x8100。而某些厂商的设备将报文外层Tag的TPID值设置为0x9100或其他值。为了和这些设备兼容，提供了基于端口的报文TPID可配置功能。用户可自行配置端口的TPID值，那么这些端口在转发报文时，会将报文的外层Vlan Tag中的TPID替换为用户设定的值。n 优先级复制：指的是在添加外层Tag的时候，将内层Tag(用户Tag)的优先级复制到外层Tag(服务商Tag)。n 优先级映射：指的是在添加外层Tag的时候，根据内层Tag(用户Tag)的优先级将外层Tag(服务商Tag)的优先级设置为不同的值。12.1.3.2MAC地址复制由于采用基于流的灵活QinQ时， 交换机学到的mac的vid是native vlan的。故当采用基于流的vlan转换时，当报文从对端回来时候，就会发生无法查询到mac地址而泛洪的情况。图 3. 灵活QinQ 报文的MAC 地址学习示意图如上图所示，假设交换机和用户网络相连端口是dot1q-tunnel port，且在该端口上配置native vlan是4，对vlan 3的报文封装外层Tag为vlan 5。当交换机收到用户网络vlan 3的报文后，为其添加vlan 5的外层Tag，同时由于接收端口的native vlan是vlan 4，MAC-A将被学习到vlan 4中。当响应报文返回时，由于其外层Tag的vlan是vlan 5，将在vlan 5中查找MAC-A，但是MAC-A并没有被学习到vlan 5中，此报文将被泛洪。为此，可以将native vlan的mac地址复制到外层Tag所在的vlan中，解决从公网返回的报文被持续泛洪的问题。同样，也可以将外层Tag所在vlan的mac地址复制到native vlan，解决从用户网络发往公网的报文被持续泛洪的问题。12.1.3.3二层协议透传为了实现用户网络之间二层协议报文的传输而又不对运营商网络产生影响，可以使用二层报文透传功能。当用户网络中二层协议报文进入边缘设备后，将目的mac地址改成私有地址在运营商网络中转发，到了另外一端边缘设备后，再将目的mac地址改成公有地址回到另一端用户网络，以达到二层协议报文在运营商网络透传的效果。12.1.3.4Uplink端口Uplink端口其实就是一种特殊的Trunk口，不同的是，从Uplink口输出的报文都是带Tag的，而从Trunk Port输出的报文，如果是Native VLAN转发过来的，则是不带Tag的。上链端口(如：用户网络中连接到服务商网络的端口)通常被配置成Uplink口。12.2 配置QinQ本章包括以下内容：n 12.2.1 QinQ的默认配置n 12.2.2 QinQ配置的限制n 12.2.3 配置基本QinQn 12.2.4 配置灵活QinQn 12.2.5 配置QinQ其他功能12.2.1 QinQ的默认配置默认配置下，基本QinQ、灵活QinQ和QinQ其他功能均为关闭状态。12.2.2 QinQ配置的限制QinQ配置有如下限制：n 路由口不能设置为Tunnel Port。n 配置为Tunnel的端口不能再启用802.1x功能。n 配置为Tunnel的端口不能再启用端口安全功能。n 配置Tunnel Port作为RSPAN的源口时，外部TAG中的VID等于RSPAN VLAN的报文视为监控流。n 对于应用在Tunnel Port上的ACL，若要匹配用户TAG中的VID，需要使用inner关键词。n 建议将与服务商网络相连的用户网络的出口也配置为Uplink口，如果在用户网络中配置了QinQ端口的服务商Tag的TPID值，那么用户网络出口的Uplink口的服务商Tag的TPID值也需要配置为相同值。n QinQ不支持热备。n 接口的MTU 值默认为1500 字节。当为报文加上外层VLAN Tag 后，报文的长度会增加4 个字节，建议用户适当增加运营商网络中各接口的MTU值，至少为1504 字节。n 在设备上配置了QinQ口之后，若要在设备开启igmp snooping，需要使用SVGL共享模式，否则igmp snooping在QinQ口上将无法正常工作。12.2.3 配置基本QinQ在全局配置模式下使用Interface 命令进入接口配置模式。按照下面的步骤进行Tunnel Port 配置：命令作用Step 1configure terminal进入全局配置模式Step 2interface 进入接口配置模式Step 3switchport mode dot1q-tunnel接口设置成 dot1q-tunnel portStep 4switchport dot1q-tunnel allowed vlan add tagged | untagged v_list添加dot1q-tunnel口的许可vlan，并指明输出相应许可vlan的报文时，是否需要带TagStep 5switchport dot1q-tunnel allowed vlan remove v_list删除dot1q-tunnel口的许可vlanStep 6switchport dot1q-tunnel native vlan VID设置dot1q-tunnel口的缺省vlanStep 7end退出接口模式Step 8show running-config查看全局配置& 说明建议不要将服务商网络中trunk口的native vlan设置为tunnel口的缺省vlan，因为trunk口会剥去VID为其native vlan的Tag。下例给出了如何配置一个QinQ端口的示例：Ruijie(config)# interface fastEthernet 0/1Ruijie(config-if)# switchport mode dot1q-tunnelRuijie(config-if)# switchport dot1q-tunnel nativ vlan 20Ruijie(config-if)# switchport dot1q-tunnel allowed vlan tagged 100-200Ruijie(config)# end12.2.4 配置灵活QinQn 12.2.4.1配置基于协议的vid变更策略表n 12.2.4.2配置基于流的vid变更策略表12.2.4.1配置基于协议的vid变更策略表n 12.2.4.1.1 配置vid添加策略表n 12.2.4.1.2 配置基于外层Tag的vid修改策略表n 12.2.4.1.3 配置基于内层Tag的vid修改策略表12.2.4.1.1 配置vid添加策略表对dot1q-tunnel端口的输入报文，有时需要能够由报文Tag中的不同VID，指定在转发时为报文添加不同的外部Tag的VID，使用dot1q outer-vid 指定内部VID列表添加外部Tag时的外部VID，no dot1q outer-vid 命令可以取消相应得配置。 按照该命令功能，可以通过指定内部VLAN添加与内部VID相同的外部VID，并将出口加入该VLAN的UnTag端口集中，可以实现从出口输出的为原始内部Tag报文。具体命令详见命令参考。配置步骤如下：命令作用Step 1configure terminal进入配置模式Step 2interface intf-id进入接口模式Step 3switchport mode dot1q-tunnel接口配置为dot1q-tunnel口Step 4dot1q outer-vid VID register inner-vid v_list配置基于协议添加外部Tag的VID策略Step 5no dot1q outer-vid VID register inner-vid v_list取消基于协议添加外部Tag的VID策略Step 6end退出接口模式Step 7show registration-table查看该配置。下面例子设置输入报文Tag中的VID为4-22时，增加外部Tag中的VID为3Ruijie# configureRuijie(config)# interface gigabitEthernet 0/1Ruijie(config-if)# switchport mode dot1q-tunnelRuijie(config-if)# switchport dot1q-tunnel allowed vlan add tagged 3Ruijie(config-if)# dot1q outer-vid 3 register inner-vid 4-22Ruijie(config-if)# end12.2.4.1.2 配置基于外层Tag的vid修改策略表对Access，Trunk，Hybrid，Uplink端口的输入报文，有时需要能够由报文外部Tag中的不同VID，指定在转发时修改为不同的外部Tag的VID，使用dot1q relay-vid VID translate local-vid v_list指定本地VID(修改前外部Tag中的VID)列表修改为新的VID，no dot1q outer-vid VID translate local-vid v_list命令可以取消相应的配置。具体命令详见命令参考。配置步骤如下：命令作用Step 1configure terminal进入配置模式Step 2interface intf-id进入接口模式Step 3switchport mode port-type配置为Access、Trunk、Uplink或Hybrid口Step 4dot1q relay-vid VID translate local-vid v_list配置基于外部Tag修改外部Tag的VID策略Step 5no dot1q relay-vid VID translate local-vid v_list取消基于外部Tag修改外部Tag的VID策略Step 6end退出接口模式Step 7show translation-table查看该配置。下面例子设置当输入报文外部Tag的vid为10-20时，修改该vid为100Ruijie(config)# interface gigabitEthernet 0/1Ruijie(config-if)# switchport mode trunkRuijie(config-if)# dot1q relay-vid 100 translate local-vid 10-20Ruijie(config-if)# end12.2.4.1.3 配置基于内层Tag的vid修改策略表对Access，Trunk，Hybrid，Uplink端口的输入报文，有时需要根据报文内部Tag中的不同VID，将外部 Tag的VID修改为不同的值，使用dot1q relay-vid VID translate inner-vid v_list指定本地VID(修改前外部Tag中的VID)列表修改为新的VID，no dot1q outer-vid VID translate inner-vid v_list命令可以取消相应的配置。具体命令详见命令参考。配置步骤如下：命令作用Step 1configure terminal进入配置模式Step 2interface intf-id进入接口模式Step 3switchport mode port-type配置为Access、Trunk、Uplink或Hybrid口Step 4dot1q relay-vid VID translate inner-vid v_list配置基于内部Tag修改外部Tag的VID策略Step 5no dot1q relay-vid VID translate inner-vid v_list取消基于内部Tag修改外部Tag的VID策略Step 6end退出接口模式Step 7show translation-table查看该配置。下面例子设置当输入报文外部Tag的vid为10-20时，修改该vid为100Ruijie(config)# interface gigabitEthernet 0/1Ruijie(config-if)# switchport mode trunkRuijie(config-if)# dot1q relay-vid 100 translate inner-vid 10-20Ruijie(config-if)# end12.2.4.2配置基于流的vid变更策略表n 12.2.4.2.1 配置vid添加策略表n 12.2.4.2.2 配置外部vid修改策略表12.2.4.2.1 配置vid添加策略表对dot1q-tunnel端口的输入报文，有时需要能够由报文内容的不同，转发时为报文添加外部Tag可以指定不同的VID，使用traffic-redirect access-group acl nested-vlan VID in命令，dot1q-tunnel口输入的报文匹配acl条件时，转发报文添加外部Tag指定其VID为改命令指定值，no traffic-redirect access-group acl nested-vlan命令可以取消相应的配置。命令形式详见命令参考。配置步骤如下：命令作用Step 1configure terminal进入配置模式Step 2interface intf-id进入接口模式Step 3switchport mode dot1q-tunnel接口配置为dot1q-tunnel口Step 4traffic-redirect access-group acl nested-vlan VID in配置基于报文流添加外部Tag的VID策略Step 5no traffic-redirect access-group acl nested-vlan取消基于报文流添加外部Tag的VID策略Step 6end退出接口模式Step 7show traffic-redirect查看该配置。& 说明n 基于流的VID变更策略表优先于基于协议的VID变更策略表生效。n 当AP口添加或者删除成员口时，AP上配置的VID添加策略或修改策略会被删除，需要重新配置。建议用户配置完AP成员后，再在AP上进行VID策略配置。n 当ACL被删除时，与此ACL相关的策略会被自动删除。n 当dot1q-tunnel口收到 = 2层Tag的报文时，无法采用基于流的匹配规则来添加Tag。n 若某个报文同时匹配两个或两个以上流策略的规则，且流策略未指明优先级时，按配置时间优先。n 3760E-48系列交换机配置该功能时，出口必须与dot1q-tunnel端口分别在1-24口和25-48口范围内，配置该功能之后，端口的输入广播/多播/未知名单播报文不会转发到与该端口同在1-24口或者25-48口范围内的其他口。S3760E-24系列产品交换机配置该功能后，端口的输入广播/多播/未知名单播报文不会转发到其他口。下面例子设置将接口源地址为1.1.1.3输入报文添加VID为9Ruijie# configureRuijie(config)# ip access-list standard 20Ruijie(config-acl-std)# permit host 1.1.1.3Ruijie(config-acl-std)# exitRuijie(config)# interface gigabitEthernet 0/1Ruijie(config-if)# switchport mode dot1q-tunnelRuijie(config-if)# traffic-redirect access-group 20 nested-vlan 10 inRuijie(config-if)# end12.2.4.2.2 配置外部vid修改策略表对Access，Trunk，Hybrid，Uplink端口的输入报文，有时需要能够由报文内容修改外部Tag的VID 。使用traffic-redirect access-group acl outer-vlan VID in命令，对于符合acl条件的报文修改该报文外部Tag中的VID为命令指定的VID，no traffic-redirect access-group acl outer-vlan命令可以取消相应的配置。命令形式详见命令参考。配置步骤如下：命令作用Step 1configure terminal进入配置模式Step 2interface intf-id进入接口模式Step 3switchport mode trunk配置为Access，Trunk或Hybrid口Step 4traffic-redirect access-group acl outer-vlan VID in配置基于报文流修改外部Tag的VID策略Step 5no traffic-redirect access-group acl outer-vlan取消基于报文流修改外部Tag的VID策略Step 6end退出接口模式Step 7show traffic-redirect查看该配置。& 说明n 基于流的外部VID修改策略表优先于基于协议的外部VID修改策略表生效n 当AP口添加或者删除成员口时，AP上配置的VID添加策略或修改策略会被删除，需要重新配置。建议用户配置完AP成员后，再在AP上进行VID策略配置。n 当ACL被删除时，与此ACL相关的策略会被自动删除。n 若某个报文同时匹配两个或两个以上流策略的规则，且流策略未指明优先级时，按配置时间优先。下面例子设置将接口源地址为1.1.1.1输入报文的外部VID修改为3Ruijie# configureRuijie(config)# ip access-list standard 2Ruijie(config-acl-std)# permit host 1.1.1.1Ruijie(config-acl-std)# exitRuijie(config)# interface gigabitEthernet 0/1Ruijie(config-if)# switchport mode trunkRuijie(config-if)# traffic-redirect access-group 2 outer-vlan 3 inRuijie(config-if)# end12.2.5 配置QinQ其他功能n 12.2.5.1配置一个uplink端口n 12.2.5.2配置服务商Tag中的TPID值n 12.2.5.3配置优先级复制n 12.2.5.4配置优先级映射n 12.2.5.5配置地址复制n 12.2.5.6配置二层协议透传功能12.2.5.1配置一个uplink端口在全局配置模式下使用Interface 命令进入接口配置模式。按照下面的步骤进行Uplink Port 配置：命令作用Step 1configure terminal进入全局配置模式Step 2interface 进入接口配置模式Step 3switchport mode uplink配置端口为Uplink口Step 4end退出接口模式Step 5show running-config查看全局配置下例给出了如何配置一个Uplink端口的示例：Ruijie(config)# interface gigabitEthernet 0/1Ruijie(config-if)# switchport mode uplinkRuijie(config)# end12.2.5.2配置服务商Tag中的TPID值在全局配置模式下使用Interface 命令进入接口配置模式。按照下面的步骤进行配置：命令作用Step 1configure terminal进入配置模式Step 2interface 进入接口配置模式Step 3frame-tag tpid 设置帧Tag中的TPID。如果想设置为0x9100。那么直接输入frame-tag tpid 9100。注意默认是16进制。该功能需要在出口配置才能生效。Step 4end退出接口模式Step 5show frame-tag tpid查看端口的tpid值列表。下例给出了如何配置TPID的示例：Ruijie(config)# interface gigabitethernet 0/1Ruijie(config-if)# frame-tag tpid 9100Ruijie(config)# endRuijie# show frame-tag tpid interface gigabitethernet 0/1Port tpid- -Gi0/1 0x9100& 说明n 不允许将tpid指定为如下知名类型0x0806(ARP)、0x0200(PUP)、0x8035(RARP)、0x0800(IP)、0x86DD(IPv6)、0x8863/0x8864(PPPoE)、0x8847/0x8848(MPLS)、0x8137(IPX/SPX)、0x8000(IS-IS)、0x8809(LACP)、0x888E(802.1x)、0x88A7(集群)、0x0789(我司保留)。12.2.5.3配置优先级复制实现在tunnel口上，将用户报文的内层Tag的优先级复制到外层Tag中。配置步骤如下：命令作用Step 1configure terminal进入配置模式Step 2interface 进入接口配置模式Step 3mls qos trust cos配置端口信任模式为trust CoSStep 4inner-priority-trust enable复制内层Tag(用户Tag)的priority字段值到外层Tag的priority字段值(服务商Tag)。Step 5end退出接口模式Step 6show inner-priority-trust查看复制的配置。& 说明n 只有dot1q-tunnel端口允许配置用户Tag的优先级复制，其优先级高于信任模式的QOS，低于基于流的QOS。n 优先级复制与优先级映射功能不能在同一接口上同时打开。下例给出了如何配置用户Tag优先级复制的示例：Ruijie(config)# interface gigabitethernet 0/1Ruijie(config-if)#mls qos trust cosRuijie(config-if)# inner-priority-trust enableRuijie(config)# endRuijie# show inner-priority-trust interface gigabitethernet 0/1Port inner-priority-trust- -Gi0/1 enable12.2.5.4配置优先级映射在tunnel口上，实现根据报文内层优先级的不同，为报文封装Tag时候标记上不同优先级的外层标签。配置步骤如下：命令作用Step 1configure terminal进入配置模式Step 2interface 进入接口配置模式Step 3dot1q-Tunnel cos inner-cos-value remark-cos outer-cos-value根据内层Tag(用户Tag)的priority字段值设置外层Tag的priority字段值(服务商tag)。Step 4end退出接口模式Step 5show interface intf-name remark查看优先级映射的配置。& 说明n 只有dot1q-tunnel端口允许配置用户Tag的优先级复制，其优先于QOS生效。n 优先级映射与优先级复制功能不能在同一接口上同时打开。n 如果没有配置信任模式，即trust none，则优先级映射的配置不生效；如果配置的信任模式和配置的映射不匹配，也不生效。下例给出了如何配置用户Tag优先级复制的示例：Ruijie(config)# interface gigabitethernet 0/1Ruijie(config-if)#dot1q-Tunnel cos 3 remark-cos 5Ruijie(config)# endRuijie# show interface gigabitethernet 0/1 remarkPorts Type From value To value- - - -Gi0/1 Cos-To-Cos 3 512.2.5.5配置地址复制当一个端口学习到动态地址时，将其从一个vlan复制到另一个vlan中。配置步骤如下：命令作用Step 1configure terminal进入配置模式Step 2interface 进入接口配置模式Step 3mac-address-mapping x source-vlan src-vlan-list destination-vlan dst-vlan-id将接口在源vlan中学习到的动态地址复制到目的vlan中。Step 4end退出接口模式Step 5show interface intf-name mac-address-mapping x查看地址复制的配置。& 说明n 关闭VLAN 间MAC 地址复制功能后，系统将删除目的VLAN 中通过该功能学到的其他VLAN 的所有MAC 地址表项。n VLAN 间MAC 地址复制功能在一个端口下对某个目的VLAN 只能配置一次。如果需要修改，必须先删除之前的配置，然后再重新进行配置。n 不能和share vlan共用；不能将地址复制到动态VLAN中。n 每个端口最多只能配置8个目的VLAN。即使端口不在指定的目的VLAN中，该功能也会生效。n 地址复制不能在host/promiscuous口上配置，不能在打开端口安全，镜像的目的口，打开1x功能的端口上配置。n 只复制动态地址；静态地址不复制；地址表已满时，不复制；开启功能前，源地址已经存在的mac地址不复制。n 复制地址的优先级比动态地址高，比其它类型地址的优先级低。n 当MAC地址老化时候，由其复制出来的地址也要相应老化；当MAC地址被删除时，由其复制出来的地址也将被自动删除。n 不支持热备，故当发生主从切换建议用户关闭复制功能，再重新打开。n 用户不能手工删除通过VLAN间MAC地址复制功能获得的MAC地址表项，如果确实需要删除该表项，可以通过关闭VLAN间MAC地址复制功能实现。下例给出了如何配置用户Tag优先级复制的示例：Ruijie(config)# interface gigabitethernet 0/1Ruijie(config)# switchport mode trunkRuijie(config-if)#mac-address-mapping destination-vlan5 source-vlan 1-3Ruijie(config)# endRuijie# show interface mac-address-mappingPorts destination-VID Source-VID-list-Gi0/1 5 1-312.2.5.6配置二层协议透传功能n 12.2.5.6.1 STP协议报文透传设置n 12.2.5.6.2 GVRP协议报文透传设置n 12.2.5.6.3 配置透传地址12.2.5.6.1 STP协议报文透传设置要配置STP协议报文透传功能，在特权模式下按照下面的步骤进行配置：命令作用Step 1configure terminal进入配置模式Step 2l2protocol-tunnel stp配置全局使能STP协议报文透传功能Step 3interface interface-name进入接口模式Step 4l2protocol-tunnel stp enable在接口上使能STP协议报文透传功能Step 5show l2protocol-tunnel stp查看该配置。下面的例子打开STP报文的透传功能Ruijie# configureRuijie(config)# l2protocol-tunnel stpRuijie(config)# interface fa 0/1Ruijie(config-if)# l2protocol-tunnel stp enable12.2.5.6.2 GVRP协议报文透传设置要配置GVRP协议报文透传功能，在特权模式下按照下面的步骤进行配置：命令作用Step 1configure terminal进入配置模式Step 2l2protocol-tunnel gvrp配置全局使能GVRP协议报文透传功能Step 3interface interface-name进入接口模式Step 4l2protocol-tunnel gvrp enable在接口上使能GVRP协议报文透传功能Step 5show l2protocol-tunne