QinQ的基本原理及相关特性.docVIP

QinQ的基本原理及相关特性 汪政/01405 本文结合低端三层交换机3552产品实现，介绍了QinQ的基本原理，以及TPID, BPDU tunnel等与QinQ相关的特性。 QinQ基本应用及原理 QinQ（802.1Q in 802.1Q），也叫Vlan VPN，用于扩展Vlan的资源，并加强网络的安全性。由于IEEE802.1Q中定义的VLAN Tag域只有12个比特，所以交换机最多可以支持4k个VLAN。在实际应用中，尤其是在城域网中，需要大量的VLAN来隔离用户，4k个VLAN远远不能满足需求。以太网交换机提供的端口VLAN VPN特性，可以给报文打双重VLAN Tag，即在报文原来VLAN Tag的基础上，给报文打上新的VLAN Tag，从而可以最多提供4k X 4k个VLAN，满足城域网对VLAN数量的需求，同时也实现了运营商网络和用户网络在VLAN上的独立规划，互不影响。如图所示： 开启端口的VLAN VPN功能后，当该端口接收到报文，无论报文是否带有VLAN Tag，交换机都会为该报文打上本端口缺省VLAN的VLAN Tag。这样，如果接收到的是已经带有VLAN Tag的报文，该报文就成为双Tag的报文；如果接收到的是untagged的报文，该报文就成为带有端口缺省VLAN Tag的报文。 Vlan VPN的实现原理： 原理很简单，芯片的每个端口有一个标识寄存器，当为1，表示启用QinQ端口，0表示通端口。 在启用QinQ的端口，不管端口是Access类型，还是Trunk/Hybrid类型，对进入的报文，不论是tag还是untagged的，都会被视为untagged的，从而在入端口被分类为端口PVID 所在的vlan。 其他的情况，就与标准的交换机VLAN报文转发一样了。 在出端口（普通端口），如果出端口pvid不同于QinQ端口的pvid，将会打上双tag。 注意：像其他的VPN网络一样，QinQ的设备配置必须符合对称使用的原则，有加双tag的设备就必须有解双tag的设备，否则会造成混乱。这个原则同样适用于后面介绍的Vlan-vpn TPID, BPDU tunnel特性。 配置举例: LswA和LswB为任意二层交换机，3552A和3552B 起Vlan VPN。 各交换机端口的配置如下： LswA： .... # vlan 1 # vlan 10 # interface Ethernet0/1 port link-type trunk port trunk permit vlan all # interface Ethernet0/2 port access vlan 10 #pc接在E0/2上，access vlan 10，从E0/1出去带上vlan 10的tag。 S3528A: # vlan 1 # vlan 100 # interface Aux0/0 # interface Ethernet0/1 port link-type trunk port trunk permit vlan all # interface Ethernet0/2 port access vlan 100 vlan-vpn enable undo ntdp enable # vlan-vpn tunnel # #带tag10的报文进入E0/2的QinQ端口,被识别为vlan 100的报文。从E0/1带上二层tag 100出去。 S3528B: # vlan 1 # vlan 100 # interface Aux0/0 # interface Ethernet0/1 port access vlan 100 vlan-vpn enable undo ntdp enable # interface Ethernet0/2 port link-type trunk port trunk permit vlan all # vlan-vpn tunnel # #带二层tag的报文从E0/2口进入，在vlan 100中转发，转发到QinQ端口E0/1，去掉tag100转发出去。 lswB: # vlan 1 # vlan 10 # interface Aux0/0 # interface Ethernet0/1 port access vlan 10 # interface Ethernet0/2 port link-type trunk port trunk permit vlan all # vlan 10的报文从E0/2进入，在vlan 10转发，从e0/1 un