以太網(wǎng)交換機SVLAN技術(shù)白皮書

1、F-ngin烽火網(wǎng)緡以太網(wǎng)交換機SVLAN技術(shù)白皮書武漢烽火網(wǎng)絡有限責任公司文檔版本：V1.0時間：2006-02-08撰寫：交換機項目組相關(guān)人員，技術(shù)支持部審核：技術(shù)支持部發(fā)布：武漢烽火網(wǎng)絡有限責任公司市場部讀者對象：烽火網(wǎng)絡客戶，烽火網(wǎng)絡市場及 客服所有人員修訂記錄聲明：本文僅作市場宣傳參考，不作合同簽定、技術(shù)配置的依據(jù)。由于編者技術(shù)水平有限，歡 迎批評和指導。版權(quán)所有，保留一切權(quán)力非經(jīng)本公司書面許可，任何單位和個人不得擅自摘抄、復制本書的部分或全部，并不得以 任何形式傳播。有任何疑問請垂詢市場部技術(shù)支持部。目錄 TOC o 1-5 h z HYPERLINK l bookmark42 o

2、 Current Document 一、SVLAN 概述5 HYPERLINK l bookmark45 o Current Document 二、SVLAN的實現(xiàn)5 HYPERLINK l bookmark57 o Current Document 三、 命令說明6 HYPERLINK l bookmark61 o Current Document 配置dtag端口收到數(shù)據(jù)進行轉(zhuǎn)發(fā)時以哪個vlan標記進行6 HYPERLINK l bookmark70 o Current Document 設置dtag外層標記的TPID7 HYPERLINK l bookmark79 o Current D

3、ocument 設置dtag在端口上使能或者失效8 HYPERLINK l bookmark88 o Current Document 是否失效端口的dot1q功能9 HYPERLINK l bookmark97 o Current Document 是否在dtag端口上進行外層vlan標記TPID判斷9 HYPERLINK l bookmark106 o Current Document 查看 dtag的全局配置10 HYPERLINK l bookmark121 o Current Document 顯示端口的dtag配置信息11 HYPERLINK l bookmark124 o Cur

4、rent Document 四、配置實例12 HYPERLINK l bookmark128 o Current Document 使用雙標記功能實現(xiàn)類似VPN的功能12 HYPERLINK l bookmark148 o Current Document 使用雙標記進行多單位的接入14 HYPERLINK l bookmark185 o Current Document 五、SVLAN技術(shù)優(yōu)勢18摘要本文介紹武 漢烽火 網(wǎng)絡有 限公司F-Engine S3500、F-Engine S2000M、F-Engine S2000MF、F-Engine S2200MA系列以太網(wǎng)交換機的SVLAN功能

5、。SVLAN是當前電信運營 商特別關(guān)注的一個技術(shù)熱點，目前以太網(wǎng)運營商依托以太網(wǎng)開展普通的上網(wǎng)業(yè)務、IPTV業(yè) 務、VOIP等新的增值業(yè)務。從普通的Internet時代的每個用戶一個VLAN，到多業(yè)務時代的 一種業(yè)務一個V LAN?；赩LAN進行用戶和業(yè)務的標識，是以太網(wǎng)運營的基礎。本文全面 地介紹了SVLAN技術(shù)，及其配置方式，簡要的介紹了 F-Engine S3500、F-Engine S2000M、 F-Engine S2000MF、F-Engine S2200M 系列以太網(wǎng)交換機的SVLAN功能在實際組網(wǎng)中的應 用方式。關(guān)鍵詞VLAN SVLAN Q-IN-Q IPTV接入網(wǎng)園區(qū)交換

6、機匯聚交換機城域網(wǎng)要在城域網(wǎng)大范圍實現(xiàn)基于VLAN技術(shù)來實現(xiàn)對不同業(yè)務的標識、隔離、及QoS保證。、SVLAN概述SVLAN是當前電信運營商特別關(guān)注的一個技術(shù)熱點，目前以太網(wǎng)運營商依托以太網(wǎng)開 展普通的上網(wǎng)業(yè)務、IPTV業(yè)務、VOIP等新的增值業(yè)務。從普通的Internet時代的每個用戶 一個VLAN，到多業(yè)務時代的一種業(yè)務一個VLAN?；赩LAN進行用戶和業(yè)務的標識， 是以太網(wǎng)運營的基礎。SVLAN也稱為QINQ，是對802.1Q的擴展，其核心思想是將用戶私網(wǎng)VLAN tag封裝 到運營商網(wǎng)絡VLAN tag里面，報文帶著兩層tag穿越服務商的骨干網(wǎng)絡，從而為用戶提供 一種二層VPN隧道。

7、其特點是簡單而易于管理，不需要信令的支持，僅僅通過靜態(tài)配置即 可實現(xiàn)，特別適用于以交換機為骨干的小規(guī)模城域網(wǎng)。S2000MA上的DTAG(雙標記)功能就是指數(shù)據(jù)幀中攜帶兩個vlan標記，也就是通常 所說的Q-IN-Q功能，數(shù)據(jù)幀中的第一個vlan標記我們稱為外層vlan標記、第二個vlan標 記我們稱為內(nèi)層vlan標記。S2000MA的QinQ為運營商提供了一種廉價、簡潔的二層VPN解決方案，越來越多的 小型用戶傾向于使用該功能構(gòu)建自己的VPN網(wǎng)絡。二、SVLAN的實現(xiàn)基于SVLAN技術(shù)實現(xiàn)多業(yè)務的支持如下圖所示：必須采用SVLAN （QINQ ）技術(shù)來擴展傳統(tǒng)交換機4K VLAN的限制。SV

8、LAN取值范圍：4KX4K,突破了傳統(tǒng)的4096個VLAN的限制，使基于VLAN的 運營成為可能。上圖中，多業(yè)務終端（家庭網(wǎng)關(guān)）或接入支持按不同的業(yè)務劃分不同的VLAN, VLAN 從最初的寬帶用戶標識演變?yōu)閷I(yè)務的標識。在園區(qū)交換機上按不同的業(yè)務標記出不同的外 層VLAN標簽，這樣可以使用外層標簽對業(yè)務進行標識。同種業(yè)務的不同用戶（內(nèi)層標簽） 到達園區(qū)交換機時可以通過SVLAN技術(shù)分配一個外層標簽，這樣后續(xù)設備就可以根據(jù)外層 標簽來對不同的業(yè)務實現(xiàn)不同的優(yōu)先級保證。通過SVLAN技術(shù)實現(xiàn)的兩個功能：解決了傳統(tǒng)VLAN 4K的限制。通過外層標簽完成了對業(yè)務和用戶的唯一標識。SVLAN技術(shù)對以太

9、網(wǎng)交換機提出了新的要求：1、要求交換機支持基本的SVLAN技術(shù)。2、要求交換機支持基于SVLAN的策略控制。3、要求SVLAN的優(yōu)先級映射。4、要求可以根據(jù)內(nèi)層VLAN標簽靈活分配外層標簽。5、SVLAN外層標簽的ETHERNET TYPE字段值必須可以配置。SVLAN內(nèi)外層標簽可以理解寬帶號碼，相當于窄帶電話網(wǎng)的電話號碼。SVLAN的外層 標簽相當于局號，內(nèi)層標簽相當于分機號。通過SVLAN技術(shù)可以在城域網(wǎng)范圍內(nèi)對用戶和 業(yè)務的唯一標識。三、命令說明1.配置dtag端口收到數(shù)據(jù)進行轉(zhuǎn)發(fā)時以哪個vlan標記進行【命令格式】dtag forward-tag （first | second）【參數(shù)

10、說明】參數(shù)first表示交換機在使能了雙標記的端口上接收到數(shù)據(jù)時，以外層vlan標記進 行數(shù)據(jù)轉(zhuǎn)發(fā)；參數(shù)second表示交換機在使能了雙標記功能的端口上接收到數(shù)據(jù)時，以 內(nèi)層vlan標記進行轉(zhuǎn)發(fā)轉(zhuǎn)發(fā)?！九渲媚Ｊ健咳峙渲媚Ｊ健竟δ苷f明】本命令配置在使能了雙標記功能的端口上接收到數(shù)據(jù)時，根據(jù)哪個vlan標記進行 數(shù)據(jù)轉(zhuǎn)發(fā)，缺省是以內(nèi)層vlan標記進行數(shù)據(jù)轉(zhuǎn)發(fā)。本命令執(zhí)行后將影響所有使能了雙 標記功能的端口?！久钆e例】S2000MA(config)#dtag forward-tag first上面的命令執(zhí)行后在使能雙標記功能的端口上將以外層vlan標記進行數(shù)據(jù)轉(zhuǎn)發(fā)。2.設置dtag外層標記的TP

11、ID【命令格式】dtag protocol 【參數(shù)說明】參數(shù)是一個十進制表示的數(shù)值，當使能了雙標記的端口有數(shù)據(jù)發(fā)送出去時、外層 vlan標記使用的TPID值將使用該命令設置的數(shù)值。缺省雙標記使用的TPID是0X8100、 即十進制的33024?！九渲媚Ｊ健咳峙渲媚Ｊ健竟δ苷f明】本命令用于設置外層vlan標記使用的TPID值，本命令設置后會影響所有的使能了 雙標記的端口。【命令舉例】S2000MA(config)#dtag protocol 33025上面的命令執(zhí)行后使能雙標記功能的端口發(fā)送出去的數(shù)據(jù)的外層vlan標記的TPID值將為16進制的0X8101。3.設置dtag在端口上使能或者失效

12、【命令格式】dtag (enable! disable)【參數(shù)說明】參數(shù)enable表示在這個端口上使能雙標記功能，也即從這個端口發(fā)送出去的數(shù)據(jù) 將添加一個外層vlan標記；參數(shù)disable表示當有數(shù)據(jù)從這個端口發(fā)送出去時不添加一 個外層vlan標記【配置模式】端口配置模式【功能說明】本命令用于在某個端口上使能或者失效雙標記功能。特別注明：當一個端口使能雙標記功能后，從這個端口發(fā)送出去的數(shù)據(jù)將添加一個vlan標記，該 標記中的vlan id為該數(shù)據(jù)的入端口的PVID即如果端口 1使能雙標記、2號端口接收到的 數(shù)據(jù)要從端口 1轉(zhuǎn)發(fā)出去時，如果2號端口的PVID是3,那么從端口 1發(fā)送出去的數(shù)據(jù)

13、的 外層vlan標記中的vlan字段將為3；如果3號端口也有數(shù)據(jù)從端口 1轉(zhuǎn)發(fā)出去，而且3號 端口的PVID是5,那么這個數(shù)據(jù)從1號端口發(fā)送出去時外層vlan標記中的vlan字段數(shù)值 將是5。使能dtag功能后，接入端口建議在所有的vlan中都是標記端口，即不直接連接最終用 戶、而是連接以太網(wǎng)交換機，并且接入端口對端的交換機發(fā)送給S2000MA交換機的數(shù)據(jù)都 需要是vlan標記數(shù)據(jù)?！久钆e例】S2000MA(config-eth-1)#dtag enable上面的命令執(zhí)行后將會導致1號端口使能雙標記功能4.是否失效端口的dotlq功能【命令格式】dtag dotlq （enable I di

14、sable）【參數(shù)說明】參數(shù)enable表示在該端口上使能dot1q功能，即收到數(shù)據(jù)時如果數(shù)據(jù)中攜帶有vlan 標記，那么將以vlan標記中的vlan id進行數(shù)據(jù)轉(zhuǎn)發(fā)；參數(shù)disable表示在該端口上失效 dot1q功能，即收到數(shù)據(jù)時只以端口的PVID進行數(shù)據(jù)轉(zhuǎn)發(fā)（即使收到的數(shù)據(jù)攜帶有vlan 標記也不以vlan標記中的vlan id進行數(shù)據(jù)轉(zhuǎn)發(fā)）?！九渲媚Ｊ健慷丝谂渲媚Ｊ健竟δ苷f明】本命令用于設置某個端口是否失效IEEE 802.1Q中對于接收到vlan標記數(shù)據(jù)時的 處理流程。特別注明：不要在使能了 DTAG功能的端口上失效dotlq功能。當使用的設備是S2016M-A或者 S2024M-

15、A時，一定要在接入端口上（即沒有使能dtag、但是有數(shù)據(jù)需要從dtag端口轉(zhuǎn)發(fā) 出去的接入端口）失效dotlq功能；如果使用的設備是S2008M-A，那么接入端口可以不用 失效dotlq功能?！久钆e例】S2000MA（config-eth-1）dtag dot1q disable上面的命令執(zhí)行后，1號端口接收到數(shù)據(jù)時將以該端口的PVID進行數(shù)據(jù)轉(zhuǎn)發(fā)。5.是否在dtag端口上進行外層vlan標記TPID判斷【命令格式】dtag protocol ( enable | disable)【參數(shù)說明】enable表示當該端口接收到數(shù)據(jù)時，檢查收到的數(shù)據(jù)的第一個vlan標記的TPID值 是否與全局配置

16、的TPID相同，如果相同，則認為這是一個雙標記數(shù)據(jù)、那么在轉(zhuǎn)發(fā)到 其它端口時應該剝外層vlan標記；如果不相同，則認為這不是一個雙標記數(shù)據(jù)，那么 將進行正常的數(shù)據(jù)轉(zhuǎn)發(fā)。Disable表示當該端口接收到數(shù)據(jù)時，不檢查收到數(shù)據(jù)的第一個vlan標記的TPID 值是否與全局配置的TPID相同，統(tǒng)統(tǒng)都認為是雙標記數(shù)據(jù)?！九渲媚Ｊ健慷丝谂渲媚Ｊ健竟δ苷f明】本命令用于配置是否在端口上進行雙標記協(xié)議值（TPID）檢查?！久钆e例】S2000MA（config-eth-1）#dtag protocol enable上面的命令執(zhí)行后將導致1號端口收到數(shù)據(jù)時進行TPID的檢查。6.查看dtag的全局配置【命令格式】

17、show dtag【參數(shù)說明】本命令沒有參數(shù)【配置模式】特權(quán)模式【功能說明】本命令用于查看dtag的全局配置信息【命令舉例】show dtagprotocol : 33024forwardTag : second上面的顯示表示：使能雙標記的端口發(fā)送數(shù)據(jù)出去時外層vlan標記使用的TPID值是十六進制的0 x8100,使能雙標記的端口收到數(shù)據(jù)時將以內(nèi)層vlan標記進行數(shù)據(jù)轉(zhuǎn)發(fā)。7.顯示端口的dtag配置信息【命令格式】show interface dtag【參數(shù)說明】本命令無需輸入?yún)?shù)【配置模式】特權(quán)模式【功能說明】本命令用于顯示端口的雙標記配置情況【命令舉例】S2024MA#show inte

18、rface dtagPort 1DTagStatus : disableProtocolStatus : disableDot1qStatus : enablePort 2DTagStatus : disableProtocolStatus : disableDot1qStatus : enable上面的顯示表示端口 1沒有使能雙標記，端口的IEEE802.1Q功能有效，不檢 查收到數(shù)據(jù)的TPID是否與DTAG的全局配置是否一致。四、配置實例使用雙標記功能實現(xiàn)類似VPN的功能i.需求說明某大學有A、B兩個校區(qū)，位于城市的兩個不同的位置，兩個分校區(qū)都劃分了很多的在 校園內(nèi)有效的vlan、目前希望

19、兩個校區(qū)之間可以直接進行2層的數(shù)據(jù)通信。由于兩個校區(qū)之 間沒有鋪設專門的光纖線路，導致兩個校區(qū)之間不能直接，于是租用運營商的線路把兩個小 區(qū)連接起來。由于校區(qū)數(shù)據(jù)攜帶一些校園內(nèi)私有的vlan信息，運營商為了在目前的城域網(wǎng) 上能夠直接將兩個校區(qū)的數(shù)據(jù)進行轉(zhuǎn)發(fā)，因此決定直接使用Q-IN-Q將兩個校區(qū)連接起來。假設運營商為這個大學分配的城域網(wǎng)有效的vlan id為100，A校區(qū)有大學私有vlan 1、2、3、4，B 校區(qū)有私有 vlan 1、2、3、4。ii.使用設備以及拓撲在該大學的A、B兩校區(qū)分別使用1臺S2008M-A設備作為實現(xiàn)Q-IN-Q的交換機，運 營商的城域網(wǎng)使用普通交換機進行兩個校區(qū)

20、的互聯(lián)。之所以使用S2008M-A而不是 S2024M-A是因為下面的拓撲中S2008MA交換機只使用了 2個端口。為了簡化配置，我們 將拓撲簡化為：S2008M-A 1域域所孩機S2008M-A2a校區(qū)機B校區(qū)翊機iii. 配置A)城域網(wǎng)交換機 假設城域網(wǎng)交換機使用1號接口連接S2008M-A 1,使用2號接口連接S2008M-A 2。城域網(wǎng)交換機的配置比較簡單：創(chuàng)建vlan 100，把1號端口劃到vlan100，并作為vlan100的tag端口；把2號端 口劃分到vlan100、并作為vlan100的tag端口。B） S2008M-A 1假設S2008M-A 1使用端口 1與城域網(wǎng)交換機連

21、接，使用端口 2與A校區(qū)的匯聚交換 機連接。S2008M-A 1的配置為：創(chuàng)建vlan100，把端口 1、2都加入van100并作為tag端口；在端口 1上使能DTAG功能；創(chuàng)建vlan 1、2、3、4，把端口 1、2都加入這些vlan并作為tag端口；端口 2的PVID設置為vlan 100；配置dtag轉(zhuǎn)發(fā)時以內(nèi)層vlan標記進行轉(zhuǎn)發(fā)。說明：當A校區(qū)的匯聚交換機的數(shù)據(jù)（vlan標記數(shù)據(jù)）到達S2008M-A 1的2號端口時，將 會從1號端口發(fā)送出去（因為端口 1、2都屬于vlan1、2、3、4），又因為1號端口使能了雙 標記，所以數(shù)據(jù)從1號端口發(fā)送出去時將攜帶兩個vlan標記，外層vlan

22、標記是100、內(nèi)層 vlan標記是匯聚交換機發(fā)送上來時攜帶的vlan標記。當城域網(wǎng)交換機接收到S2008M-A 1的數(shù)據(jù)時，因為城域網(wǎng)交換機是普通交換機，因 此將以外層vlan進行轉(zhuǎn)發(fā)，從而數(shù)據(jù)將被發(fā)送到該交換機與B校區(qū)連接的2號端口，這樣， S2008MA 2收到的數(shù)據(jù)將會是攜帶有兩個vlan標記的數(shù)據(jù)幀，其外層vlan標記是100、內(nèi) 層vlan標記是校園內(nèi)的私有vlan。同樣，當城域網(wǎng)交換機的數(shù)據(jù)發(fā)送給S2008M-A1時，將會攜帶兩個vlan標記，因為 S2008M-A 1的1號端口使能了雙標記，所以1號端口收到數(shù)據(jù)時將剝?nèi)?shù)據(jù)的外層vlan標 記，又因為dtag配置轉(zhuǎn)發(fā)時以內(nèi)層vla

23、n標記進行轉(zhuǎn)發(fā)，所以數(shù)據(jù)將會從2號端口發(fā)送出去、 并且數(shù)據(jù)只攜帶1個vlan標記（vlan id從1至4），這樣A校區(qū)與B校區(qū)的這4個vlan就 可以互相通信了。C) S2008M-A 2在結(jié)構(gòu)上S2008M-A 2與S2008M-A 1完全一樣，所以配置也是完全一樣的。2.使用雙標記進行多單位的接入i.需求說明有多個單位需要連接到互聯(lián)網(wǎng)，這些單位內(nèi)部需要劃分多個vlan，但是這些單位并不想 在單位內(nèi)部安裝3層交換機或者路由器來實現(xiàn)vlan之間的路由，于是需要運營商使用3層 路由設備來實現(xiàn)這些單位內(nèi)部vlan之間的數(shù)據(jù)交換。又因為這些單位內(nèi)部的vlan只在單位 內(nèi)部有意義，運營商的城域網(wǎng)不允許

24、這些單位的內(nèi)部數(shù)據(jù)直接連接到城域網(wǎng)交換機中，所以 需要使用Q-IN-Q來屏蔽單位的內(nèi)部vlan。ii. 使用設備以及拓撲在單位的出口處部署一臺S2024M-A，在運營商的機房中部署一臺S2024M-A，一臺3層交換機，拓撲如下：注：有多少個單位需要連接到運營商、那么S2024M-A 2與3層交換機之間就需要有多少根網(wǎng)線連接。iii.配置說明普通交換機1該普通交換機使用2 7號端口連接vlan 1的多個用戶，使用端口 1連接S2024M-A 1的 2號端口。配置：創(chuàng)建vlan1,把2 7號端口作為untag端口加入vlan1, 2 7號端口的pvid都設置為1。把1號端口加入vlan1作為tag

25、端口；普通交換機2該普通交換機使用2 7號端口連接vlan2的多個用戶，使用端口 1連接S2024M-A 1的 3號端口。配置：創(chuàng)建vlan2,把2 7號端口作為untag端口加入vlan2,27號端口的pvid都設置為2。把1號端口加入vlan2作為tag端口；普通交換機3該普通交換機使用2 7號端口連接vlan3的多個用戶，使用端口 1連接S2024M-A 1的 4號端口。配置：創(chuàng)建vlan3,把2 7號端口作為untag端口加入vlan3, 2 7號端口的pvid都設置為3。 把1號端口加入vlan3作為tag端口；S2024M-A 1該交換機是這個單位的匯聚交換機、也充當QINQ出口（

26、使用端口 1與城域網(wǎng)連 接）的角色，假設運營商為這個單位分配的城域網(wǎng)有效vlan id為100。配置：創(chuàng)建 vlan1、2、3、100；端口 2作為tag端口加入vlan1以及vlan100, pvid設置為100,并且失效dot1q功能; 端口 3作為tag端口加入vlan2以及vlan100, pvid設置為100,并且失效dotlq功能; 端口 4作為tag端口加入vlan3以及vlan100，pvid設置為100，并且失效dotlq功能； 端口 1作為tag端口加入vlan1、2、3、100，并且設置為tag端口，pvid無所謂是上述vlan的哪一個，使能dtag功能，不能失效dot1

27、q功能；設置dtag轉(zhuǎn)發(fā)以內(nèi)層vlan標記進行；啟用端口隔離功能隔離2、3、4端口。5.S2024M-A 2本交換機是運營商用于接入這些單位并終結(jié)Q-IN-Q的設備，假設使用端口 1用于接入 這些單位，使用2號端口連接3層交換機（2號端口對應上圖中的那個單位）。配置：創(chuàng)建 vlan1、2、3、100；端口 1作為tag端口加入vlan1、2、3、100，使能dtag功能，不失效dot1q功能；端口 2作為tag端口加入vlan1、2、3、100，不使能dtag功能，pvid為100，失效dot1q 功能；啟用端口隔離功能隔離2號端口與后面的端口。6. 3層交換機假設3層交換機使用端口 1連接S

28、2024M-A 2。配置：創(chuàng)建 vlan1、2、3；把端口 1作為tag端口加入vlan1、2、3；分別為vlan1、2、3配置IP地址以及子網(wǎng)掩碼。iv.通信流程說明：以vlan 1的某臺PC通過ARP請求3層交換機的mac地址為例：假設VLAN1的某個用戶發(fā)出ARP請求3層交換機對應IP的mac地址，這個數(shù)據(jù)將會到達普通交換機1（PC機發(fā)出的數(shù)據(jù)都是非標記數(shù)據(jù)）；當普通交換機1的接收到這個非標記數(shù)據(jù)時，該ARP請求將以該端口的pvid（即vlanl）進行轉(zhuǎn)發(fā)、并從端口 1發(fā)送出去；又因為端口 1在vlanl中 是標記端口，所以從端口 1發(fā)送出去的數(shù)據(jù)將攜帶vlan 1的標記；當該數(shù)據(jù)到達S2024M-A 1的端口 2時，因為端口 2失效了 dot1q功能，所以數(shù)據(jù)將根據(jù)端口 2的pvid （100）進行轉(zhuǎn)發(fā)，從而數(shù)據(jù)將被轉(zhuǎn)發(fā)到端口 1； 又因為端口 1使能了 DTAG功能，所以從端口 1發(fā)送出去的數(shù)據(jù)將攜帶 兩個vlan標記，外層vlan為100 （因為