第58章 MFF配置

第58章 MFF配置

本章主要讲述了交换机的MFF功能和配置。

本章节主要内容：

z MFF功能简介

z应用实例

z调试和监控

58.1MFF功能简介

MFF（mac-forced-forwarding）：在传统的以太网组网方案中，为了实现不同客户端主机之间的二层隔离和三层互通，通常采用在交换机上划VLAN 的方法，将彼此需要隔离的客户端设备划分到不同VLAN中。当彼此需要二层隔离的用户较多时，这种方式会占用大量的VLAN资源；同时，为实现客户端之间三层互通，需要为每个VLAN 规划不同的IP 网段，并配置VLAN接口的IP 地址，因此划分过多的VLAN 会降低IP 地址的分配效率。为了消除传统解决方案的弊端，MAC-Forced Forwarding为在同一广播域内实现客户端主机间的二层隔离和三层互通，提供了一种解决方案。

AN（access node）：用户终端接入结点，一般指用户的接入交换机。

AR（access router）：用户终端接入路由器或具有三层功能的交换机，通常指用户所在子网的网关。

AS（access server）：提供特定服务的服务器。

用户端口：直接接入网络终端用户的端口。

网络端口：连接其它网络设备的端口。网络设备如接入交换机，汇聚交换机，网关等。

MFF主要应用在接入级设备上，在使能MFF的VLAN内包括两种端口角色：用户端口和网络端口。这两个端口只对入方向报文进行限制。

1、用户端口（连接用户终端设备端口）对不同报文处理如下：

?允许组播报文和DHCP报文通过

?对于ARP报文则送上CPU进行处理

? 当学习到AR 的MAC 地址时，允许目的MAC 为AR 的单播报文通过，其它报文丢弃；

当没有学习到AR 的MAC 地址时，目的MAC 为AR 的单播报文也丢弃。 ? 其它报文丢弃

2、网络端口（AN 连接其它网络设备的端口）对不同报文处理如下：

? 允许组播报文，DHCP 报文通过 ? 对于ARP 报文则送上CPU 进行处理 ? 允许单播报文通过 ? 其它报文丢弃

58.2 基本指令描述

命令

描述

配置模式 mac-forced-forwarding default-gateway _IPAddress_

使能VLAN MFF 功能，同时配置VLAN 默认网关

VLAN 模式

mac-forced-forwarding gateway probe 使能网关探测功能

VLAN 模式 mac-forced-forwarding gateway probe interval-time _30_180_

配置网关探测时间间

隔

VLAN 模式

mac-forced-forwarding user probe

使能用户探测功能

VLAN 模式 mac-forced-forwarding user probe interval-time _30_180_

配置用户探测时间间隔

VLAN 模式

mac-forced-forwarding server _IPAddress_ 配置服务器IP 地址 VLAN 模式 mac-forced-forwarding network-port 使能VLAN 成员端口为网络端口

端口模式

mac-forced-forwarding default-gateway _IP Address_

配置VLAN默认网关，使能VLAN的MFF功能。

no mac-forced-forwarding default-gateway

删除VLAN的默认网关，关闭VLAN的MFF功能。

语法描述

_IP Address_ 网关IP地址

注：网关IP地址不能是组播，广播或非法地址，否则不能成功使能VLAN的MFF功能。整机支持使能MFF功能的VLAN个数为20个。

mac-forced-forwarding gateway probe

使能VLAN的网关探测功能。

no mac-forced-forwarding gateway probe

关闭VLAN的网关探测功能。

注：网关探测功能为默认开启，可通过命令强制关闭探测，关闭探测后如果网关不可达，则无法知晓网关链路状态，因此建议开启此功能。网关探测必须在有用户ARP的情况下，才能生效。

mac-forced-forwarding gateway probe interval-time _30_180_

配置VLAN的网关探测时间间隔。

no mac-forced-forwarding gateway probe interval-time

恢复VLAN的网关探测时间间隔为默认值。

语法描述

_30_180_ 网关探测时间间隔(s)

注：在使能网关探测功能以后，网关探测时间间隔默认为30s

mac-forced-forwarding user probe

使能VLAN的用户探测功能。

no mac-forced-forwarding user probe

关闭VLAN的用户探测功能。

注：用户探测功能为默认开启，可通过命令强制关闭探测，关闭探测后如果用户不可达，则可能无法老化用户的ARP信息，因此建议开启此功能。整机支持接入的个数为500个，即所有使能MFF功能VLAN内的用户总数不能超过500个。

mac-forced-forwarding user probe interval-time _180_600_

配置VLAN的用户探测时间间隔。

no mac-forced-forwarding user probe interval-time

恢复VLAN的用户探测时间间隔为默认值。

语法描述

_180_600_ 用户探测时间间隔(s)

注：在使能用户探测功能以后，用户探测时间间隔默认为300s

mac-forced-forwarding server _IPAddress_

配置VLAN服务器IP地址。

no mac-forced-forwarding server _IPAddress_

删除VLAN服务器IP地址。

语法描述

_IP Address_ 服务器IP地址

注：服务器IP地址不能是组播，广播或非法地址，否则不能配置成功。

mac-forced-forwarding network-port

使能端口为网络端口。

no mac-forced-forwarding network-port

取消端口为网络端口。

注：网络端口可以是普通端口或汇聚端口。网络端口属性只存在于使能MFF功能的VLAN中。在使能MFF功能的VLAN中，默认所有端口都为用户端口，只有把端口配置为网络端口后，端口才是网络端口，具有网络端口属性。

58.3应用实例

58.3.1应用实例

图58-1 MFF应用实例

如图所示，switch A，switch B为用户终端接入设备，switch C为汇聚设备。

网关Gateway：10.1.1.254 0001.7a4c.a945 服务器Server：10.1.1.253

Host A，Host B，Host C为用户主机A，B，C。对应IP地址为：10.1.1.1 10.1.1.2 10.1.1.3 Switch A配置如下：

命令描述SwitchA(config)#port 0/1-0/2 进入端口模式

SwitchA(config-port-range)#port access vlan 10 将port 0/1,0/2加入VLAN 10

SwitchA(config-port-range)#port 0/3 进入port 0/3端口

SwitchA(config-port-0/3)#port mode trunk 设置端口0/3为trunk端口

SwitchA(config-port-0/3)#port trunk allowed vlan 10 将端口0/3加入VLAN 10

SwitchA(config-port-0/3)#mac-forced-forwarding

设置port 0/3为网络端口network-port

SwitchA(config-port-0/3)#exit 退出端口模式

SwitchA(config)#vlan 10 进入vlan模式

SwitchA(config-vlan10)#mac-forced-forwarding 配置VLAN默认网关为10.1.1.254

default-gateway 10.1.1.254

Switch B配置如下：

命令描述SwitchB(config)#port 0/1 进入端口模式

SwitchB(config-port-0/1)#port access vlan 10 将port 0/1加入VLAN 10

SwitchB(config-port-0/1)#port 0/2 进入port 0/2端口

SwitchB(config-port-0/2)#port mode trunk 设置端口0/2为trunk端口

SwitchB(config-port-0/2)#port trunk allowed vlan 10 将端口0/2加入VLAN 10

SwitchB(config-port-0/2)#mac-forced-forwarding

设置port 0/2为网络端口network-port

SwitchB(config-port-0/2)#exit 退出端口模式

SwitchB(config)#vlan 10 进入vlan模式

SwitchB(config-vlan10)#mac-forced-forwarding

配置VLAN默认网关为10.1.1.254 default-gateway 10.1.1.254

58.4监控和调试

58.4.1监控命令

Show mac-forced-forwarding vlan {_1_4094_ | all}

显示指定VLAN的MFF配置，all则表示显示所有VLAN的MFF配置，该命令只有在VLAN使能MFF功能以后，才能显示出VLAN的MFF配置信息。

Show mac-forced-forwarding network-port

显示所有网络端口。

Show mac-forced-forwarding debugging

显示MFF的DEBUG使能状态。

58.4.2监控命令实例

当VLAN使能MFF功能以后，可以通过show mac-forced-forwarding vlan {_1_4094_ | all}来显示该VLAN下的MFF配置。

SwitchA#show mac-forced-forwarding vlan all

显示结果描述与分析vlan1 is mac-forced-forwarding enable(manual) VLAN1处于MFF使能状态

default-gateway is reachable

default-gateway : 10.1.1.254 0001.7a4c.a945 port 0/3 VLAN1配置的默认网关是10.1.1.254，该VLAN中所有用户通过该网关进行通信，该网关当前处于可达状态。

gateway probe is enable gateway probe interval : 30(s) user probe is enable

user probe interval : 300(s) 网关探测功能处于使能状态，探测时间间隔为30s；用户探测功能处于使能状态，探测时间间隔为300s。

vlan1 access user number : 2

ip address mac address access port asked times

--------------- -------------- ------------------ ---------------

10.1.1.1 0022.151a.eec0 port 0/1 0

10.1.1.2 0001.7a00.11ed port 0/2 0 VLAN1接入用户信息，包括用户的IP地址，MAC地址和接入用户端口。当前VLAN1接入了2个用户。

显示所有网络断口

SwitchA#show mac-forced-forwarding network-port

显示结果描述与分析network-port information:

----------------------------------------

port 0/3

Port 0/3为网络端口

显示所有DEBUG使能状态

SwitchA#show mac-forced-forwarding debugging

显示结果描述与分析

mff ARP receive debugging is on mff ARP send debugging is on mff ARP reply debugging is on DEBUG接收的ARP报文DEBUG发送的ARP报文DEBUG响应的ARP报文

58.4.3调试命令

Debug mac-forced-forwarding {sync | configure | all | arp{send | reply | forward | receive}} 其中debug mac-forced-forwarding sync只能用于S6800A等具有双主控设备。

显示使能MFF VLAN接收的ARP报文。

SwitchA#debug mac-forced-forwarding arp receive

显示结果描述与分析

00:52:37: % MFF ARP receive : vlan[10] logPort[2]

00:52:37: % MFF ARP request : src 10.1.1.1 0022.151a.eec0 dst 10.1.1.254 0000.0000.0000

:52:38: % MFF ARP receive : vlan[10] logPort[3]

00:52:38: % MFF ARP request : src 10.1.1.1 0001.7a00.11ed dst 10.1.1.254 0000.0000.0000 VLAN10端口2（port 0/1）接收到源IP为10.1.1.1 MAC为0022.151a.eec0目的IP为10.1.1.254的ARP请求。

VLAN10端口3（port 0/2）接收到源IP为10.1.1.2 MAC为0001.7a00.11ed目的IP为10.1.1.254的ARP请求。

显示使能MFF VLAN发送的ARP报文

SwitchA#debug mac-forced-forwarding arp send

显示结果描述与分析

01:01:25: % MFF ARP send : vlan[10] logPort[4]

01:01:25: % MFF ARP request : src 10.1.1.1 0022.151a.eec0 dst 10.1.1.254 0000.0000.0000

01:01:40: % MFF ARP send : vlan[10] logPort[2]

01:01:40: % MFF ARP request : src 10.1.1.254 0001.7a4c.a945 dst 10.1.1.1 0000.0000.0000 VLAN 10端口4（port 0/3）发送目的为10.1.1.254的ARP请求。

VLAN 10端口2（port 0/1）发送目的为10.1.1.1的ARP请求。

显示使能MFF VLAN响应的ARP报文

SwitchA#debug mac-forced-forwarding arp reply

显示结果描述与分析

01:12:28: % MFF ARP reply : vlan[1] logPort[2]

01:12:28: % MFF ARP reply : src 10.1.1.254 0001.7A4C.A945 dst 10.1.1.1 0022.151a.eec0

01:12:40: % MFF ARP reply: vlan[10] logPort[2]

01:12:40: % MFF ARP reply: src 10.1.1.2 0001.7a4c.a945 dst 10.1.1.1 0022.151a.eec0 VLAN 10端口2（port 0/1）发送源为10.1.1.254的ARP响应给用户主机10.1.1.1。

VLAN 10端口2（port 0/1）发送源为10.1.1.2的ARP响应给用户主机10.1.1.1。