【网络工程】华为交换机经典配置

华为3Com 8016交换机DHCP配置

1功能需求及组网说明

8016DHCP配置

『配置环境参数』

1.DHCP server的IP地址19

2.168. 0.10/24

2.DHCP server连接在交换机G1/0/0，属于vlan100，网关即vlan100虚接口地址192.168.0.1/24

3.交换机通过G1/0/1连接SwitchAG1/1，G1/0/2连接SwitchBG1/1

4.SwitchA通过G2/1连接SwitchC G1/1

5.vlan10的用户网段为10.10.1.1/24

6.vlan20的用户网段为10.10.2.1/24

7.vlan30的用户网段为10.10.3.1/24

8.SwitchA和SwitchC为二层交换机，SwitchB为三层交换机

『组网需求』

1.8016作DHCP relay，利用远端DHCP server为SwitchA下面的vlan10分配IP地址

2.SwitchB上的vlan20用户以8016上的vlan20虚接口为网关，8016作DHCP server 直接为其分配IP地址

3.SwitchC上的vlan30用户以SwitchB上的vlan30虚接口为网关，8016作DHCP server 为其分配IP地址

2数据配置步骤

『8016DHCP relay数据流程』

DHCP Relay的作用则是为了适应客户端和服务器不在同一网段的情况，通过Relay，不同子网的用户可以到同一个DHCP server申请IP地址，这样便于地址池的管理和维护。

【8016DHCP relay配置】

1.DHCP server要配置到一个VLAN上，这个VLAN可以是任意的，但是要实现Relay，不要将Server同任何客户端配置到同一个VLAN内，建议专门划出VLAN给DHCP server组使用，这里将DHCP服务器组1对应的端口的VLAN配置为100。

[Quidway] vlan 100

[Quidway-vlan100] port gigabitethernet 1/0/0

[Quidway] interface vlanif 100

2.配置DHCP server的网关地址

[Quidway-Vlanif100] ip address 192.168.0.1 255.255.255.0

3.配置DHCP服务器组1对应的IP地址。

[Quidway] dhcp relay server-group 1 server 192.168.0.10

4.配置DHCP服务器组1服务的VLAN范围为10

[Quidway] dhcp relay server-group 1 vlan 10

5. 进入G1/0/1，设置为trunk端口，允许vlan10通过

[Quidway-gigabitethernet 1/0/1] port trunk permit vlan 10

6.配置VLAN10的对应网关地址。

[Quidway] interface vlanif 10

[Quidway-Vlanif10] ip address 10.10.1.1 255.255.255.0

『8016作DHCP server数据流程』

内置DHCP server下挂的用户类型有两种：一种是S8016的VLAN用户，用户直接向S8016发起DHCP请求，这类称为VLAN地址池用户；另一种是中间经过了DHCP中继设备（例如MA5200设备），DHCP请求在到达S8016之前经过了DHCP relay，这类称为全局地址池用户。

【8016vlan用户】

1.用户所在VLAN ID为20，创建并进入VLAN配置视图。

[Quidway] vlan 20

2.将VLAN 20用户地址分配方式设置为本地。

[Quidway-vlan20] address allocate local

3.配置VLAN 20接口IP地址10.10.2.1，同时指定了DHCP server可分配的地址资源为10.10.2.0~10.10.2.255。

[Quidway] interface vlan 20

[Quidway-Vlanif20] ip address 10.10.2.1 255.255.255.0

4.S8016下挂了一台DNS服务器，IP地址是10.10.2.15，在S8016中设置DNS服务器的IP地址，同时将这个IP地址在地址池中禁止分配给用户。

[Quidway-vlan2] dhcp server forbidden-ip 10.10.2.15

[Quidway-vlan2] dns primary-ip 10.10.2.15

5. 进入G1/0/2，设置为trunk端口，允许vlan20通过

[Quidway-gigabitethernet 1/0/2] port trunk permit vlan 20

【全局地址用户】

1.创建全局地址池，并命名为“abc”，地址池用户网关地址为10.10.30.1

[Quidway] dhcp server ip-pool abc 10.10.3.1 255.255.255.0

2.配置路由IP信息

[Quidway] dhcp server gateway abc 10.10.3.1

3.S8016下挂了另外一台DNS服务器，IP地址是10.10.3.15，在S8016中设置DNS服务器的IP地址，同时将这个IP地址在地址池中禁止分配给用户。

[Quidway] dns primary-ip abc 10.10.3.15

[Quidway] dhcp server forbidden-ip abc 10.10.3.15

4.配置VLAN200与SwitchB相应的虚接口vlan200在同一个网段

[Quidway] interface vlanif 200

[Quidway-Vlanif200] ip address 10.10.10.1 255.255.255.0

【SwitchB相关配置】

1.创建（进入）vlan30

[SwitchB] vlan 30

2.将E0/1加入到vlan30

[SwitchB-vlan30]port Ethernet 0/1

3.实际当中一般将上行端口设置成trunk属性，允许vlan透传

[SwitchB-GigabitEthernet2/1]port link-type trunk

4.允许SwitchC的vlan从G2/1端口透传通过

[SwitchB-GigabitEthernet2/1]port trunk permit vlan 30

5.实际当中一般将上行端口设置成trunk属性，允许vlan透传

[SwitchB-GigabitEthernet1/1]port link-type trunk

6.允许所有膙lan从E0/3端口透传通过，也可以指定具体的vlan值

[SwitchB-GigabitEthernet1/1]port trunk permit vlan 30

7.创建（进入）vlan30的虚接口

[SwitchB]interface Vlan-interface 30

8.给vlan30的虚接口配置IP地址

[SwitchB-Vlan-interface30]ip address 10.10.3.1 255.255.255.0

[SwitchB]

9.定义一个DHCP server

[SwitchB]dhcp-server 0 ip 10.10.10.1

[SwitchB-Vlan-interface30]dhcp-server 0

10. 创建（进入）vlan200的虚接口，vlan200用于SwitchB与8016互连

[SwitchB]interface Vlan-interface 200

11. 给vlan200的虚接口配置IP地址

[SwitchB-Vlan-interface200]ip address 10.10.10.2 255.255.255.0

【SwitchC相关配置】

1.创建（进入）vlan30

[SwitchC] vlan 30

2.将E0/1加入到vlan30

[SwitchC-vlan30]port Ethernet 0/1

3.实际当中一般将上行端口设置成trunk属性，允许vlan透传

[SwitchC-GigabitEthernet1/1]port link-type trunk

4.允许所有的vlan从E0/3端口透传通过，也可以指定具体的vlan值

[SwitchC-GigabitEthernet1/1]port trunk permit vlan 30

3测试验证

1.PC1、PC2和PC3都能够正确的获取IP地址和网关

2.PC1、PC2和PC3都能够PING通自己的网关及DHCP server

华为交换机端口镜像配置

--------------------------------------------------------------------------------

【3026等交换机镜像】

S2008/S2016/S2026/S2403H/S3026等交换机支持的都是基于端口的镜像，有两种方法：

方法一

1. 配置镜像（观测）端口

[SwitchA]monitor-port e0/8

2. 配置被镜像端口

[SwitchA]port mirror Ethernet 0/1 to Ethernet 0/2

方法二

1. 可以一次性定义镜像和被镜像端口

[SwitchA]port mirror Ethernet 0/1 to Ethernet 0/2 observing-port Ethernet 0/8【8016交换机端口镜像配置】

1. 假设8016交换机镜像端口为E1/0/15，被镜像端口为E1/0/0，设置端口1/0/15为端口镜像的观测端口。

[SwitchA] port monitor ethernet 1/0/15

2. 设置端口1/0/0为被镜像端口，对其输入输出数据都进行镜像。

[SwitchA] port mirroring ethernet 1/0/0 both ethernet 1/0/15

也可以通过两个不同的端口，对输入和输出的数据分别镜像

1. 设置E1/0/15和E2/0/0为镜像（观测）端口

[SwitchA] port monitor ethernet 1/0/15

2. 设置端口1/0/0为被镜像端口，分别使用E1/0/15和E2/0/0对输入和输出数据进行镜像。[SwitchA] port mirroring gigabitethernet 1/0/0 ingress ethernet 1/0/15 [SwitchA] port mirroring gigabitethernet 1/0/0 egress ethernet 2/0/0

『基于流镜像的数据流程』

基于流镜像的交换机针对某些流进行镜像，每个连接都有两个方向的数据流，对于交换机来说这两个数据流是要分开镜像的。

【3500/3026E/3026F/3050】

〖基于三层流的镜像〗

1. 定义一条扩展访问控制列表

[SwitchA]acl num 101

2. 定义一条规则报文源地址为1.1.1.1/32去往所有目的地址

[SwitchA-acl-adv-101]rule 0 permit ip source 1.1.1.1 0 destination any

3. 定义一条规则报文源地址为所有源地址目的地址为1.1.1.1/32

[SwitchA-acl-adv-101]rule 1 permit ip source any destination 1.1.1.1 0

4. 将符合上述ACL规则的报文镜像到E0/8端口

[SwitchA]mirrored-to ip-group 101 interface e0/8

〖基于二层流的镜像〗

1. 定义一个ACL

[SwitchA]acl num 200

2. 定义一个规则从E0/1发送至其它所有端口的数据包

[SwitchA]rule 0 permit ingress interface Ethernet0/1 (egress interface any)

3. 定义一个规则从其它所有端口到E0/1端口的数据包

[SwitchA]rule 1 permit (ingress interface any) egress interface Ethernet0/1

4. 将符合上述ACL的数据包镜像到E0/8

[SwitchA]mirrored-to link-group 200 interface e0/8

【5516】

支持对入端口流量进行镜像

配置端口Ethernet 3/0/1为监测端口，对Ethernet 3/0/2端口的入流量镜像。[SwitchA]mirror Ethernet 3/0/2 ingress-to Ethernet 3/0/1

【6506/6503/6506R】

目前该三款产品只支持对入端口流量进行镜像，虽然有outbount参数，但是无法配置。

镜像组名为1，监测端口为Ethernet4/0/2，端口Ethernet4/0/1的入流量被镜像。[SwitchA]mirroring-group 1 inbound Ethernet4/0/1 mirrored-to Ethernet4/0/2

【补充说明】

1. 镜像一般都可以实现高速率端口镜像低速率端口，例如1000M端口可以镜像100M端口，反之则无法实现

2. 8016支持跨单板端口镜像

华为路由器qos car+nat+dhcp+vlan配置心得

--------------------------------------------------------------------------------

好久没有写博客了，也好久没有泡坛了，工作压力是大了很多，但实际上还是自己懒了很多，也比以前浮澡了很多，趁今天领导都去开会的机会，把昨天的帮客户解决网络问题的心得写一下，供大家参考，也希望大家提出宝贵意见。

客户网络环境：

一个小型办公网络，有两家公司（A、B）在一个写字楼办公，共申请一条4M独享VDSL专线（其中A是缴3M的专线费用，B是缴1M的专线费用），共60台电脑左右，各30台电脑，各三台非网管24口D-LINK交换机，一台华为1821路由器（1wan口，4lan口）。

用户特殊需求：

（1）、A、B不能互访。

（2）、A、B都通过华为路由器DHCP获取地址。

（3）、A、B带宽必须划分开，A享受3M带宽，B享受1M带宽（原来的时候B公司网络流量过大经常影响到A公司网络办公）。

简单解决方案：

根据现有网络条件，实际上仅通过华为1821路由器可以实现以上功能，具体实施如下：（1）、在华为路由器1821内部网关口（eth1/0）划分子接口（eth1/0.1、eth1/0.2），分别配置两个网关（192.168.0.1、192.168.0.2），并分别进行封装与vlan2、vlan3相对应。（2）、在华为路由器1821两个lan口（eth1/1、eth1/2）划分两个vlan(vlan2、vlan3)。（3）、分别在两个不同的逻辑子接口（eth1/0.1、eth1/0.2）配置nat并应用。

（4）、分别在两个不同的逻辑子接口（eth1/0.1、eth1/0.2）配置dhcp，在同一物理接口针对两个vlan网络应用dhcp来分配两个不同的网段。

（5）、由于该路由器lan口为二层端口，无法实现qos car限速，只能考虑在其唯一的内部网关接口（eth1/0）的子接口上实现qos car限速达到带宽限制的作用。

（6）、配置wan口地址（X、X、X、X），配置static route地址，大功告成。

（7）、配置用户登录（super、console、vty等）用户名及密码（这里仅配置密码模式）。（8）、测试并观察端口信息、负载信息等，随时调整相应策略，由于考虑到其设备处理能力及时间紧迫，并未增加太多策略（如ACL等）和功能。

具体配置如下：

#

sysname Quidway

#

clock timezone gmt-12:000 minus 12:00:00

#

cpu-usage cycle 1min

#

connection-limit disable

connection-limit default action deny

connection-limit default amount upper-limit 50 lower-limit 20

#

web set-package force flash:/http.zip

#

radius scheme system

#

domain system

#

local-user *******

password cipher .]@*********

service-type telnet terminal

level 3

service-type ftp

#

acl number 2000 \\ 配置nat Acl

rule 0 permit source 192.168.0.0 0.0.0.255

#

acl number 3000 \\ 配置nat Acl

rule 0 permit ip source 192.168.1.0 0.0.0.255

acl number 3001 \\配置 Firewall Acl

rule 0 deny ip destination 192.168.1.0 0.0.0.255

acl number 3002 \\配置 Firewall Acl

rule 0 deny ip destination 192.168.0.0 0.0.0.255

#

interface Ethernet1/0

ip address dhcp-alloc

#

interface Ethernet1/0.1

ip address 192.168.0.1 255.255.255.0

dhcp select interface \\ dhcp 应用于子接口dhcp server dns-list 202.106.0.20 202.106.196.115

firewall packet-filter 3001 inbound \\ firewall ACL过滤应用于接口vlan-type dot1q vid 2 \\子接口封装dot1q

qos car inbound any cir 4096000 cbs 204800 ebs 1000 green pass red discard

\\流量限速qos car 配置

qos car outbound any cir 4096000 cbs 204800 ebs 1000 green pass red discard

\\流量限速qos car 配置

#

interface Ethernet1/0.2

ip address 192.168.1.1 255.255.255.0

dhcp select interface \\ dhcp 应用于子接口

dhcp server dns-list 202.106.0.20 202.106.196.115

firewall packet-filter 3002 inbound \\ firewall ACL过滤应用于接口

vlan-type dot1q vid 3 \\子接口封装dot1q

qos car inbound any cir 1024000 cbs 51200 ebs 1000 green pass red discard

\\流量限速qos car 配置

qos car outbound any cir 1024000 cbs 51200 ebs 1000 green pass red discard

\\流量限速qos car 配置

#

interface Ethernet1/1

port access vlan 2 \\将e1/1端口加入vlan2

#

interface Ethernet1/2

port access vlan 3 \\将e1/1端口加入vlan2

#

interface Ethernet1/3

#

interface Ethernet1/4

#

interface Ethernet2/0 \\进入wan口配置

ip address X、X、X、X 255.255.255.224

nat outbound 3000

nat outbound 2000

#

interface NULL0

#

FTP server enable

#

ip route-static 0.0.0.0 0.0.0.0 y、y、y、y preference 60

#

user-interface con 0 \\用户登录配置authentication-mode password

set authentication password cipher 0HB8%-MB%I^[Q1R','&6NQ!!

user-interface vty 0 4

user privilege level 3

set authentication password cipher 0HB8%-MB%I^[Q1R','&6NQ!!

#

return

[Quidway]

华为路由器和交换机配置地址转换

--------------------------------------------------------------------------------

一. 端口：

路由器——ethernet（以太口）、Serial（串口）、loopback（虚拟端口）

交换机——ethernet、vlan、loopback

注意：交换机默认其24个端口全在vlan 1里面，交换机在给vlan配了ip之后就具有路由器的功能了。另一个需要注意的是，所用的端口是否被shutdown了，如果被shutdown了，需要进入相应的端口执行undo shutdown。

二. 配置ip

除了交换机的以太口不可以配置ip外，其他端口都可以，配置方法相同。

[Quidway] interface *（所要配置的端口，如vlan 1）

[Quidway-*]ip add *.*.*.*（ip） *.*.*.*（掩码）/*（掩码位数，一般只在路由器上适用）

三. NAT 上网（此命令是在VRP版本为3.4的路由器上测试的，在其他版本上是否适用，未经考察）组网图：

R1

E0/2

E0/3

E0/1

E1:192.192.169.*/24

E0:192.168.2.1/24

Ip:192.168.2.10/24

网关:192.168.2.1

Ip:192.168.2.11/24

网关:192.168.2.1

Ip:192.168.2.12/24

网关:192.168.2.1

Ip:192.168.2.13/24

网关:192.168.2.1

PCA

PCB

PCC

E0/4

To internet

PCD

S1

E0/5

NAPT工作过程：P19

1.用地址池的方法上网：

首先配置路由器的接口的ip地址，

然后配置地址转换，把所有内网地址转换成所配置的地址池中的地址，参考命令如下：

[R1]acl number 2000 //在vrp为3.4的路由器上，2000-2999表示basic acl

[R1-acl-basic-2000]rule permit source 192.168.2.0 0.0.0.255（地址掩码的反码）[R1-acl-basic-2000]rule deny source any

#这个访问控制列表定义了IP源地址为192.168.2.0/24的外出数据包

[R1]nat address-group 1（地址池的组号）192.192.169.10 192.192.169.15

#这条命令定义了一个包含6个公网地址（10～15）的地址池，地址池代号为1

[R1] interface e 1

[R1-Ethernet1] nat outbound 2000（acl的编号） address-group 1 （地址池的代号）[R1]ip route-static 0.0.0.0 0.0.0.0 192.192.169.1 （千万不要忘记这一步，！）

#上面设置了路由器的E0和E1端口IP地址，并在路由表中添加缺省路由。

2.共用一个ip上网

首先配置路由器的接口的ip地址，参考命令如下：

system

[Router]sysname R1

[R1]interface e0

[R1-Ethernet0]ip add 192.168.2.1 24

[R1]interface e1

[R1-Ethernet1]ip add 192.192.169.10 24 //这里假设出口ip是192.192.169.10

然后配置地址转换，参考命令如下：

[R1]acl number 2000 //在vrp为3.4的路由器上，2000-2999表示basic acl

[R1-acl-basic-2000]rule permit source 192.168.2.0 0.0.0.255（地址掩码的反码）[R1-acl-basic-2000]rule deny source any

#这个访问控制列表定义了IP源地址为192.168.2.0/24的外出数据包

[R1] interface e 1

[R1-Ethernet1]nat server protocol tcp global 192.192.169.10（E1的ip） inside 192.168.2.1（内网网关E0的ip）

[R1-Ethernet1] nat outbound 2000（acl的编号）

[R1]ip route-static 0.0.0.0 0.0.0.0 192.192.169.1

#上面设置了路由器的E0和E1端口IP地址，并在路由表中添加缺省路由。

注：有的组网图可能会复杂一些，比如交换机上划分了vlan，需要在路由器上添加到交换机的路由

四、配置路由

1.默认路由

[Quidway]ip route-static 0.0.0.0（目的地址）0.0.0.0（地址掩码）*.*.*.*（下一条地址）

2.静态路由

[Quidway]ip route-static *.*.*.*（目的地址）*.*.*.*（地址掩码）*.*.*.*（下一条地址）

3. rip（交换机和路由器的配置相同）

[Quidway]rip

[Quidway-rip]network *.*.*.*（所要启动rip协议的端口的网络号）

4. ospf（交换机和路由器的配置相同）

[Quidway]router id *.*.*.*

[Quidway]ospf

[Quidway-ospf]area * （启动ospf的自治区域）

[Quidway-ospf-area-0.0.0.*] network *.*.*.*（所要启动rip协议的端口的网络号）*.*.*.*（网络掩码的反码）

注：要注意交换机/路由器对应端口所在的自治区域。帧在网络通信中的变化

端口镜像：将某些指定端口（出或入方向）的数据流量映射到监控端口，以便集中使用数据捕获软件进行数据分析

[S1]inter e 0/13

[S1-Ethernet0/13]port link –type Trunk

[S1-Ethernet0/13]port trunk permit VLAN 2 3

这样E0/13既属于VLAN2又属于VLAN3，“Tagged”表示从该端口通过的保温都要打上IEEE802.1q标记，用于标记该报文所属的VLAN。

区域内，每台路由器描述的是自己能够确保正确的信息--自己周边的网络拓扑结构--无论路由器位于网络中什么位置，都可以准确无误得接收到全网的拓扑结构图；OSPF 根据收集到的链路状态用最短路径树算法计算路由，从算法上本身保证了不会生成自环路由；当网络拓扑结构发生变化时，会有一台或多台路由器感知到这一变化，重新描述网络拓扑结构，并将其通知给其它路由器，每个路由器收到更新信息后，都会立即重新运行最短路径树算法，得到新的路由。

区域间，通过ABR将一个区域内已计算出的路由封装成Type3类的LSA发送到另一个区域中来传递路由信息。此时的OSPF是基于D-V算法的。为消除自环，所有ABR将本区域内的路由信息封装成LSA后统一发送给骨干区域，再由骨干区域将这些信息发送给其他区域，骨干区域内每一条LSA都确切知道生成者信息（所有区域必须和骨干区域相连，骨干区域自身也必须是连通的）。所以就不会产生路由自环。

服务器192.192.169.200 我要用的ip：192.192.169.113；网关：192.192.169.1

附：

display ip routing

ip route-static *.*.*.* (目标ip) *.*.*.* (掩码) *.*.*.*(下一条ip)

ip route *.*.*.* (目标ip) *.*.*.* (掩码) *.*.*.*(下一条ip)

undo ip route-static *.*.*.* (目标ip) *.*.*.* (掩码) *.*.*.*(下一条ip)

import-route static 将静态路由引入ospf

display ospf lsa

假如S1上的vlan3与R1的e0/0相连，要设定其Metric值为100

[S1]inter vlan3

[S1-Vlan-interface3]ospf cost 100

[R1]inter e 0/0

[R1-Ethernet0]ospf cost 100

[R1]tracert *.*.*.* (目标ip)

1 ip1

2 ip2

3 ip3

说明R1到达目标先到ip1再到ip2再到ip3(目标)，由此可得出最短路径树

查看交换机的ＭＡＣ地址：display arp

华为路由器交换机VLAN配置实例

--------------------------------------------------------------------------------

使用4台PC（pc多和少，原理是一样的，所以这里我只用了4台pc），华为路由器（R2621）、交换机（S3026e）各一台，组建一VLAN，实现虚拟网和物理网之间的连接。实现防火墙策略，和访问控制（ACL）。

方案说明：

四台PC的IP地址、掩码如下列表：

P1 192.168.1.1 255.255.255.0 网关IP 为192.168.1.5

P2 192.168.1.2 255.255.255.0 网关IP 为192.168.1.5

P3 192.168.1.3 255.255.255.0 网关IP 为192.168.1.6

P4 192.168.1.4 255.255.255.0 网关IP 为192.168.1.6

路由器上Ethernet0的IP 为192.168.1.5

Ethernet1的IP 为192.168.1.6

firewall 设置默认为deny

实施命令列表：

交换机上设置，划分VLAN：

sys

//切换到系统视图

[Quidway]vlan enable

[Quidway]vlan 2

[Quidway-vlan2]port e0/1 to e0/8

[Quidway-vlan2]quit

//默认所有端口都属于VLAN1,指定交换机的e0/1 到e0/8八个端口属于VLAN2

[Quidway]vlan 3

[Quidway-vlan3]port e0/9 to e0/16

[Quidway-vlan3]quit

//指定交换机的e0/9 到e0/16八个端口属于VLAN3

[Quidway]dis vlan all

[Quidway]dis cu

路由器上设置，实现访问控制：

[Router]interface ethernet 0

[Router-Ethernet0]ip address 192.168.1.5 255.255.255.0

[Router-Ethernet0]quit

//指定ethernet 0的ip

[Router]interface ethernet 1

[Router-Ethernet1]ip address 192.168.1.6 255.255.255.0

[Router-Ethernet1]quit

//开启firewall，并将默认设置为deny

[Router]fire enable

[Router]fire default deny

//允许192.168.1.1访问192.168.1.3

//firewall策略可根据需要再进行添加

[Router]acl 101

[Router-acl-101]rule permit ip source 192.168.1.1 255.255.255.0 destination 192.168.1.3 255.255.255.0

[Router-acl-101]quit

//启用101规则

[Router-Ethernet0]fire pa 101

[Router-Ethernet0]quit

[Router-Ethernet1]fire pa 101

[Router-Ethernet1]quit

华为三层以太网交换机基本原理及转发流程

--------------------------------------------------------------------------------

1. 二层转发流程

1.1. MAC地址介绍

MAC 地址是48 bit 二进制的地址，如：00-e0-fc-00-00-06。

可以分为单播地址、多播地址和广播地址。

单播地址：第一字节最低位为0，如：00-e0-fc-00-00-06

多播地址：第一字节最低位为1，如：01-e0-fc-00-00-06

广播地址：48 位全1，如：ff-ff-ff-ff-ff-ff

注意：

1）普通设备网卡或者路由器设备路由接口的MAC 地址一定是单播的MAC 地址才能保证其与其它设备的互通。

2） MAC 地址是一个以太网络设备在网络上运行的基础，也是链路层功能实现的立足点。1.2. 二层转发介绍

交换机二层的转发特性，符合802.1D 网桥协议标准。

交换机的二层转发涉及到两个关键的线程：地址学习线程和报文转发线程。

学习线程如下：

华为认证技术文章

2

1）交换机接收网段上的所有数据帧，利用接收数据帧中的源MAC 地址来建立MAC 地址表；2）端口移动机制：交换机如果发现一个包文的入端口和报文中源MAC地址的所在端口不同，就产生端口移动，将MAC 地址重新学习到新的端口；

3）地址老化机制：如果交换机在很长一段时间之内没有收到某台主机发出的报文，在该主机对应的MAC 地址就会被删除，等下次报文来的时候会重新学习。

注意：老化也是根据源MAC 地址进行老化。

报文转发线程:

1）交换机在MAC 地址表中查找数据帧中的目的MAC 地址，如果找到，就将该数据帧发送到相应的端口，如果找不到，就向所有的端口发送；

2）如果交换机收到的报文中源MAC 地址和目的MAC 地址所在的端口相同，则丢弃该报文；3）交换机向入端口以外的其它所有端口转发广播报文。

1.3. VLAN二层转发介绍

报文转发线程:

引入了VLAN 以后对二层交换机的报文转发线程产生了如下的影响：

1）交换机在MAC 地址表中查找数据帧中的目的MAC 地址，如果找到（同时还要确保报文的入VLAN 和出VLAN 是一致的），就将该数据帧发送到相应的端口，如果找不到，就向（VLAN 内）所有的端口发送；

2）如果交换机收到的报文中源MAC 地址和目的MAC 地址所在的端口相同，则丢弃该报文；3）交换机向（VLAN 内）入端口以外的其它所有端口转发广播报文。

以太网交换机上通过引入VLAN，带来了如下的好处：

1）限制了局部的网络流量，在一定程度上可以提高整个网络的处理能力。

2）虚拟的工作组，通过灵活的VLAN 设置，把不同的用户划分到工作

华为认证技术文章

3

组内；

3）安全性，一个VLAN 内的用户和其它VLAN 内的用户不能互访，

提高了安全性。

另外，还有常见的两个概念VLAN 的终结和透传，从字面意思上就可以很好的了解这两个概念。所谓VLAN 的透传就是某个VLAN 不仅在一台交换机上有效，它还要通过某种方法延伸到别的以太网交换机上，在别的设备上照样有效；终结的意思及相对，某个VLAN 的有效域不能再延伸到别的设备，或者不能通过某条链路延伸到别的设备。

VLAN 透传可以使用802.1Q 技术，VLAN 终结可以使用PVLAN 技术。

IEEE802.1Q 协议是VLAN 的技术标准,主要是修改了标准的帧头，添加了一个tag 字段，其

中包含了VLAN ID 等VLAN 信息，具体实现这里不谈，如果有兴趣可以看相关的标准和资料。注意：在Trunk 端口转发报文的时候，如果报文的VLAN Tag 等于端口上配置的默认VLAN ID，则该报文的Tag 应该去掉，对端收到这个不带Tag 信息的报文后，从端口的PVID 获得报文的所属VLAN 信息，因此配置的时候必须保证连接两台交换机之间的一条Trunk 链路两端的PVID 设置相同。

为什么要去Tag 呢？

这样做是为了保证一般的用户插到Trunk 上以后，仍旧可以正常通信，因为普通用户无法识别带有802.1Q Vlan 信息的报文。

使用802.1Q 技术可以很好的实现VLAN 的透传，可是有的时候需要把VLAN 终结掉，也就是说这个VLAN 边界在哪里终止，PVLAN 技术可以很好的实现这个功能，同时达到节省VLAN 的目的。cisco 的PVLAN 意思是private vlan，而我们的PVLAN 意思是primary vlan。这里的VLAN 有两类：Primary vlan 和secondary vlan（子VLAN）。

实现了接入用户二层报文的隔离，同时上层交换机下发的报文可以被每一个用户接收到，简化了配置，节省了VLAN 资源。具体实现这里不谈，如果有兴趣可以相关资料。

华为认证技术文章

4

下面谈谈三层交换流程。

用VLAN 分段，隔离了VLAN 间的通信，用支持VLAN 的路由器（三层设备）可以建立VLAN 间通信。但使用路由器来互联企业园区网中不同的VLAN 显然不合时代的潮流。因为我们可以使用三层交换来实现。

差别1（性能）：传统的路由器基于微处理器转发报文，靠软件处理，而三层交换机通过ASIC 硬件来进行报文转发，性能差别很大；

差别2（接口类型）：三层交换机的接口基本都是以太网接口，没有路由器接口类型丰富；差别3：三层交换机，还可以工作在二层模式，对某些不需路由的包文直接交换，而路由器不具有二层的功能。

首先让我们看一下设备互通的过程：

如图所示：交换机上划分了两个VLAN，在VLAN1，VLAN 2 上配置了路由接口用来实现vlan1 和 vlan 2 之间的互通。

A 和

B 之间的互通（以A 向B 发起ping 请求为例）：

1） A 检查报文的目的IP 地址，发现和自己在同一个网段；

2） A---->B ARP 请求报文，该报文在VLAN1 内广播；

3） B---->A ARP 回应报文；

4） A---->B icmp request;

5） B---->A icmp reply;

A 和C 之间的互通（以A 向C 发起ping 请求为例）：

1） A 检查报文的目的IP 地址，发现和自己不在同一个网段；

2） A---->switch（int vlan 1） ARP 请求报文，该报文在VLAN1 内广播；

华为认证技术文章

5

3）网关---->A ARP 回应报文；

4） A---->switch icmp request（目的MAC 是 int vlan 1 的MAC，源MAC 是A 的MAC，目的IP 是C，源IP 是A）；

5） switch 收到报文后判断出是三层的报文。检查报文的目的IP 地址，发现是在自己的

直连网段；

6） switch（int vlan 2）---->C ARP 请求报文，该报文在VLAN2 内广播；

7） C--->switch（int vlan 2） ARP 回应报文；

8） switch（int vlan 2）---->C icmp request （目的MAC 是 C 的MAC，源MAC 是 int vlan 2 的MAC，目的IP 是C，源IP 是A）同步骤4）相比报文的MAC 头进行了重新的封装，而IP 层以上的字段基本上不变；

9） C---->A icmp reply，这以后的处理同前面icmp request 的过程基本相同。

以上的各步处理中，如果ARP 表中已经有了相应的表项，则不会给对方发ARP 请求报文。怎么样来区分二和三层的数据流？

3526 产品是三层以太网交换机，在其处理流程中既包括了二层的处理

功能，又包括了三层的处理功能。

区别二三层转发的基本模型：

vlan 1 vlan 2

A C

1.1.1.1

255.255.0.0

1.1.1.2

255.255.0.0

2.2.2.2

255.255.0.0

2.2.2.1

255.255.0.0

1.1.1.3

255.255.0.0

B

如图所示：

三层交换机划分了2 个VLAN， A 和B 之间的通信是在一个VLAN 内

6

完成，对与交换机而言是二层数据流，A 和C 之间的通信需要跨越VLAN，是三层的数据流。上面提到的是宏观的方法，具体到微观的角度，一个报文从端口进入后，Swtich 设备是怎么来区分二层包文，还是三层报文的呢？

从A 到B 的报文由于在同一个VLAN 内部，报文的目的MAC 地址将是主机B 的MAC 地址，而从A 到C 的报文，要跨越VLAN，报文的目的MAC 地址是设备虚接口VLAN1 上的MAC 地址。

因此交换机区分二三层报文的标准就是看报文的目的MAC地址是否等于交换机虚接口上的MAC 地址。

以华为S3526 交换机为例，三层交换机整个处理流程中分成了三个大的部分：

1）平台软件协议栈部分

这部分中关键功能有：运行路由协议，维护路由信息表；

IP 协议栈功能，在整个系统的处理流程中，这部分担负着重要的功能，当硬件不能完成报文转发的时候，这部分可以代替硬件来完成报文的三层转发。另外对交换机进行telnet, ping, ftp,snmp 的数据流都是在这部分来处理。

举例：

show ip route：

Routing Tables:

Destination/Mask Proto Pre Metric Nexthop Interface

0.0.0.0/0 Static 60 0 10.110.255.9 VLAN-Interface2

10.110.48.0/21 Direct 0 0 10.110.48.1 VLAN-Interface1

10.110.48.1/32 Direct 0 0 127.0.0.1 InLoopBack0

10.110.255.8/30 Direct 0 0 10.110.255.10 VLAN-Interface2

10.110.255.10/32 Direct 0 0 127.0.0.1 InLoopBack0

127.0.0.0/8 Direct 0 0 127.0.0.1 InLoopBack0

127.0.0.1/32 Direct 0 0 127.0.0.1 InLoopBack0

华为认证技术文章

7

维护ARP 表

show arp：

IpAddress Mac_Address VLAN ID Port Name Type

10.110.255.9 00e0.fc00.5518 2 GigabitEthernet2/1 Dynamic

10.110.51.75 0010.b555.f039 1 Ethernet0/9 Dynamic

10.110.54.30 0800.20aa.f41d 1 Ethernet0/10 Dynamic

10.110.51.137 0010.a4aa.fce6 1 Ethernet0/12 Dynamic

10.110.50.90 0010.b555.e04f 1 Ethernet0/8 Dynamic

2）硬件处理流程

主要的表项是：二层MAC 地址表，和三层的ip fdb 表，这两个表中用于保存转发信息，在转发信息比较全的情况下，报文的转发和处理全部由硬件来完成处理，不需要软件的干预。这两个表的功能是独立的，没有相互的关系，因为一个报文只要一进入交换机，硬件就会区分出这个包是二层还是三层。非此即彼。

例如：show mac all：

MAC ADDR VLAN ID STATE PORT INDEX AGING TIME(s)

0000.21cf.73f4 1 Learned Ethernet0/19 266

0002.557c.5a79 1 Learned Ethernet0/12 225

0004.7673.0b38 1 Learned Ethernet0/9 262

0005.5d04.9648 1 Learned Ethernet0/16 232

0005.5df5.9f64 1 Learned Ethernet0/16 300

MAC 地址表是精确匹配的IVL 方式，其中关键的参数是：Vlan ID, Port

index。

例如：show ipfdb all：

0: System 1: Learned 2: UsrCfg Age 3: UsrCfg noAge Other: Error

Ip Address RtIf Vtag VTValid Port Mac Status

10.11.83.77 2 2 Invalid GigabitEthernet2/1 00-e0-fc-00-55-18 1

10.11.198.28 2 2 Invalid GigabitEthernet2/1 00-e0-fc-00-55-18 1

10.63.32.2 2 2 Invalid GigabitEthernet2/1 00-e0-fc-00-55-18 1

10.72.255.100 2 2 Invalid GigabitEthernet2/1 00-e0-fc-00-55-18 2

华为认证技术文章

8

10.75.35.103 2 2 Invalid GigabitEthernet2/1 00-e0-fc-00-55-18 2

10.75.35.106 2 2 Invalid GigabitEthernet2/1 00-e0-fc-00-55-18 2

路由接口索引（RtIf）：该索引用来确定该转发表项位于哪个路由接口下面，对3526 产品来讲，支持的路由接口数目是32；

Vlan tag: 该值用来表明所处的VLAN，该VLAN 和路由接口是对应的；

Vlan tag 有效位（VTValid）：用来标识转发出去的报文中是否需要插入

Vlan tag 标记。

端口索引（Port）：用来说明该转发表项的出端口；

下一跳MAC：三层设备每完成一跳的转发，会重新封装报文中的MAC头，硬件ASIC 芯片一般依据这个域里面的数值来封装报文头。

两个重要的概念：

解析，未解析，每次收到报文，ASIC 都会从其中提取出源和目的地址在MAC Table 或者 IP Fdb Table 中进行查找，如果地址在转发表中可以找到，则认为该地址是解析的，如果找不到，则认为该地址是未解析的。根据这个地址是源，还是目的，还可以有源解析，目的未解析等等的组合。对于二层未解析，硬件本身可以将该报文在VLAN 内广播，但是对于三层报文地址的未解析报文硬件本身则不对该报文进行任何的处理，而产生CPU 中断，靠软件来处理。

硬件部分的处理可以用这句话来描述：

收到报文后，判断该报文是二或是三层报文，然后判断其中的源，目的地址是否已经解析，如果已经解析，则硬件完成该报文的转发，如果是未解析的情况，则产生CPU 中断，靠软件来学习该未解析的地址。

3）驱动代码部分

其中关键的核心有：

地址解析任务：在该任务中对已经报上来的未解析的地址进行学习，以便硬件完成后续的报文的转发而不需软件干预。

地址管理任务：为了便于软件管理和维护，软件部分保存了一份同硬件中转发表相同的地址表copy。

华为认证技术文章

9

fib（forwarding information base）表: 这个表的信息来源于ip route table 中的路由信息，之所以把它放在了driver 部分，是为了地址解析任务在学IP 地址时查找的方便。举例：

show fib：

Destination/Mask Nexthop Flag Interface

0.0.0.0/0 10.110.255.9 I VLAN-Interface2

10.110.48.0/21 10.110.48.1 D VLAN-Interface1

10.110.48.1/32 127.0.0.1 D InLoopBack0

10.110.255.8/30 10.110.255.10 D VLAN-Interface2

10.110.255.10/32 127.0.0.1 D InLoopBack0

127.0.0.0/8 127.0.0.1 D InLoopBack0

三层转发主要涉及到两个关键的线程：

地址学习线程和报文转发线程，这个和二层的线程是类似的；

1）报文转发线程主要根据地址学习线程生成的转发表（ipfdb table）信息来对报文进行转发，如果里面的信息足够多，这个转发的过程全部由硬件来完成，如果信息不够，则会要求地址学习线程来进行学习，同时该报文硬件不能转发，会交给软件协议栈来进行转发。

2）地址学习线程主要用来生成硬件转发表（ipfdb table）其实ipfdb table 和二层的MAC 地址表也是类似的，只不过里面的具体表项所代表的含义和所起的作用不同罢了。

有一个问题：在路由器等软件转发引擎中，每收一个报文都会去查路由表查下一跳，然后再查ARP 表找下一跳的MAC，可是在三层交换机（如S3526）中，报文转发的时候不需要去查路由表和ARP 表，这样的话，这两个表是不是就没有什么作用了？

回答当然是否定的，在S3526 的三层转发流程中，过程一般都是这样的，第一个报文硬件无法转发，要进行IP 地址的学习，同时为了保证不丢包，该报文也由软件来进行转发，在学习完成以后，第二，第三个报文以华为认证技术文章

10

后就一直是由硬件来完成转发了，这个过程也可以套用“一次路由，多次交换”来形象的进行总结，在一次路由中，要利用路由表和ARP 表来学习IP 地址，和转发第一个报文，在以后的多次交换过程中，则只要有ipfdb table 就可以了。

路由器网络接口解析大全

--------------------------------------------------------------------------------

路由器网络接口解析大全

我们将通过以下几个方面来对路由器网络接口进行全面的介绍和分析。

1) 接口和活动状态

(2) 硬件字段为你提供接口的硬件类型

(3) Internet地址

(4) MTU

(5) BW

(6) DLY

(7) 可靠性

(8) 负载

(9)封装

(10)回送

(11)ARP类型

(12)ARP超时

(13)最后的输入和输出

(14)输出中断

(15)最后一次清除

(16)排队策略

(17)队列消息

(18)5-分钟I/O速率

(19)分组和字节输入

(20)无缓冲

(21)接收的广播

(22)Runts

(23)Giants

(24)Throttles

实例:

Router# show interface e0/0

Ethernet0/0 is up, line protocol is down

Hardware is AmdP2, address is 0009.4375.5e20 (bia 0009.4375.5e20)

Internet address is 192.168.1.53/24

MTU 1500 bytes, BW 10000 Kbit, DLY 1000 usec,

reliability 172/255, txload 3/255, rxload 39/255

Encapsulation ARPA, loopback not set

Keepalive set (10 sec)

ARP type: ARPA, ARP Timeout 04:00:00

Last input never, output 00:00:07, output hang never

Last clearing of "show interface" counters never

Input queue: 0/75/0/0 (size/max/drops/flushes); Total output

drops: 0

Queueing strategy: fifo

Output queue :0/40 (size/max)

5 minute input rate 0 bits/sec, 0 packets/sec

5 minute output rate 0 bits/sec, 0 packets/sec

0 packets input, 0 bytes, 0 no buffer

Received 0 broadcasts, 0 runts, 0 giants, 0 throttles

0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored

0 input packets with dribble condition detected

50 packets output, 3270 bytes, 0 underruns

50 output errors, 0 collisions, 2 interface resets

0 babbles, 0 late collision, 0 deferred

50 lost carrier, 0 no carrier

0 output buffer failures, 0 output buffers swapped out

(1) 接口和活动状态

在上面的显示中，内容表示硬件接口是活动的，而处理行协议的软件过程相信此接口可用。如果路由器操作员拆卸此硬件接口，第一个字段将显示信息is administratively down.如果路由器在活动间隔内收到5000个以上的错误，单词Disabled将出现在此字段中，以显示连路由器自动禁用此端口。行协议字段还显示以前提到的三个描述之一：up、down、administratively down.如果字段项是up,则表示处理行协议和软件过程相信此接口可用，因为她正在接收keepalives的目的也是如此，其他设备可以确定某个空闲连接是否仍然活动。对于以太网接口，Keepalives的默认值是10s。我们不久将注意到，Keepalives设置可以通过为特定接口使用show interfaces命令来获得。可以用keepalive interface 命令来改变keepalives设置。此命令的格式如下：Keepalive seconds

(2) 硬件字段为你提供接口的硬件类型

在以上的例子中，硬件是CISCO扩展总线(CxBus)以太网，即接口处理器的533-Mbps数据总线。因此，硬件通知我们高速CxBus接口处理器用于支持以太网连接。同时还要注意显示字段包括接口的Mac地址。Mac是48位长的。因为Mac地址的头24位是表示生产厂家ID，所以十六进制数00-10-79是由IEEE分配给Csico的标识符。

(3) Internet地址

如果某个接口是为IP路由配置，那么将为它分配一个Internet地址。此地址后面是他的子网掩码。IP地址是205.141.192.1/24。反斜杠(/)后面表示此地址的头24位表示网络，他

等于子网掩码255.255.255.0。

(4) MTU

最大传输单元（MTU）表示运行在接口上的协议的信息字段所支持的最大字节数。因为以太网桢的信息字段的最大长度是1500字节，所以它的MTU显示为1500字节。对于几乎所有的以太网应用程序，默认的1500字节MTU应该是有效的。对于令牌环，默认的MTU值为8192字节；但是应该注意的一点是RFC1191建议的MTU值为16-Mbps令牌环选择17914的，而为4-Mbps令牌环选择4464字节。最小的MTU是64个字节，而最大的值是65535字节。如果IP数据报超过最大的MTU，将对它进行分段，这将增加额外开销，因为每个最后的数据报都包含它自己的报头。虽然在高速LAN连接中，通常无需担心与分段有关的额外开销，但在低速串行接口上，这可能会是一个比较严重的问题。可以用MTUinterface命令来改变默认的MTU，此命令格式如下：

mtu bytes

字节数可以是从64~6553。

(5) BW

接口带宽(BW)通常指的是接口的运行速率，用每秒千字节表示。因为以太网运行速率为10Mbps，所以BW值显示为10 000Kb。

可以用Bandwidth命令设置信息带宽值，但实际上不用它来调整接口的带宽，因为对于某些类型的介质，如以太网，带宽是固定的。对于其他的介质，如串行线，通常通过调整硬件来调整其运行速率。例如通过DSU/CSU上设置不同的时钟速率来提高或降低串行接口的运行速率。因此，bandwidth命令主要目的是使当前带宽与高层协议通信。可以通过以下命令格式设置带宽值，千位表示以千位每秒表示的带宽。Bandwidth kilobits

(6) DLY

此字段表示接口的延迟，用微秒表示。以太网的延迟（DLY）为1000s。可以使用delay interface命令为接口设置延迟值。此命令的格式如下：

delay tens-of-microseconds

(7) 可靠性

可靠性字段表示接口的可靠性，用255分之几表示。此字段中所显示的值由在5分钟内的幂平均值计算。因为以太网为每个桢计算CRC，所以可靠性是基于CRC错误率，而不是位错误率。255/255表示接口在5分钟内100%可靠。

虽然没有可靠性命令，可以考虑定期使用的一个重要命令是clear conuter EXEC命令。此命令的功能是清楚或重置接口计数器。此命令的一般格式取决于正在使用的路由器。下面显示的是第二种格式用于Cisco7000系列产品：

clear counter [type number]

clear counter [type slot/port]

type表示特定的接口类型。如果你不指定特定接口，所有接口的计数器都被清除。

(8) 负载

接口上的发送和接收负载均显示为255分之几。与可靠性字段类似，负载字段也是计算5分钟内的幂平均值。从上面可以看出，发送(Txload)负载表示为3/255，而接收(rxload)负载为39/255。因为以太网运行速率为10Mbps，所以可以通过将每分数乘以运行速率来获得接口活动的一般指示。这是因为每个以太网桢都至少有26个额外字节，而当信息字段少于45字节时，将使PAD字符添加到信息字段中。

(9)封装

此字段表示分配给接口的封装方法。在上面的例子中，封装显示为ARPA，他的标准的以太网2.0版封装方法。其他封装方法还包括IEEE 802.3以太网的关键字iso1,以及IEEE 802.3