华为S3900灵活QinQ实现机制及配置指导书客户版.docx

1、华为S3900灵活QinQ实现机制及配置指导书客户版1 S3900的灵活QinQ实现原理S3900的灵活QinQ报文转发流程如下：首先报文从下行口（开启灵活QINQ功能）进入，交换机不管报文是否带TAG，都会打上值为PVID的外层Tag，并PVID所在的VLAN中进行转发，找到出端口；然后通过内部ACL根据内层VLAN（c-tag-vlan）值修改外层VLAN ID为配置的值（此处就是灵活QINQ的配置VLAN ID值）。需要特殊说明的是：一、 S3900的灵活QinQ下，为了支持上行口出去带外层Tag，要求下行端口PVID对应的VLAN在上行口出去一定要带Tag，想要不带Tag则通过重定向去

2、掉Tag的方式处理；二、 下行口上来的报文首先带PVID对应的外层VLAN，学习到的MAC地址也是在PVID对应的VLAN中，所以需要配置MAC地址映射，以避免上游下来的下行数据在S3900上广播。2 S3900的灵活QinQ配置指导组网： 说明：S3900的e1/0/1为下行用户端口，g1/1/1，g1/1/2为上行端口，g1/1/1,g1/1/2为一个汇聚组。Vlan 18为网管VLAN，vlan 1538为PPPOE用户的外层VLAN，vlan 11为专线vlan，vlan200为除PPPOE业务外需要透传双层标签的业务VLAN；S3900上网管vlan接口的虚MAC地址为00e0-fc

3、12-3457要求：S8500，S3900，DSLAM/lanswitch的管理VLAN相同，管理地址在同一网段。要求管理地址之间可以互通，并且网管VLAN，专线，及VPN用户数据报文要求在S3900上单层VLAN透传。 配置步骤：步骤1：配置普通QinQ上行通路在e1/0/1上配置PVID（举例1538）和端口类型和使能普通QinQ；同时在上行口上把VLAN 1538设置成带Tag上行，由于两个上行口配置相同，以下步骤都只列出一个上行口G1/1/1。vlan 1538#interface Ethernet1/0/1 undo ntdp enable stp disable port link

4、-type hybrid port hybrid vlan 1538untagged undo port hybrid vlan 1 port hybrid pvid vlan 1538 vlan-vpn enable #interface GigabitEthernet1/1/1undo ntdp enable stp disable port link-type hybrid port hybrid vlan 1538 tagged undo port hybrid vlan 1 配置之后，上行数据从下行口上来时，无论报文带什么Tag，都会打上1538外层Tag，然后在VLAN 1538内

5、转发，MAC地址学习在VLAN 1538中，如果确定需要从G1/1/1出去，则带双层Tag。（浙江电信组网中，大部分DSLAM用户可以通过普通QinQ上，只要做到各DSLAM数据上行时，对应S3900上的PVID不一致就可以了）步骤2：配置灵活QinQ上行通路部分VLAN需要转变外层VLAN，即灵活QinQ的功能，如内层VLAN 1到10需要带上外层200的tag（不再是1538），如后续的IPTV用户。需要在e1/0/1上进行相关配置。同时VLAN 200要在上行口G1/1/1上允许通过，并是带Tag出去vlan 200#vlan 1538# interface Ethernet1/0/1

6、undo ntdp enable stp disable port link-type hybrid port hybrid vlan 200 1538untagged undo port hybrid vlan 1 port hybrid pvid vlan 1538 vlan-vpn enable vlan-vpn vid 200 raw-vlan-id inbound 1 to 10# interface GigabitEthernet1/1/1undo ntdp enable stp disable port link-type hybrid port hybrid vlan 200

7、1538 tagged undo port hybrid vlan 1 配置之后，上行数据从下行口上来时，如果带VLAN 1至VLAN 10的Tag，会先带上1538外层Tag，然后在VLAN 1538内转发，MAC地址学习在VLAN 1538中，然后把外层VLAN ID从1538改成200，如果确定需要从G1/1/1出去，则带双层Tag。步骤3：配置灵活QinQ上下行通路时的Mac地址映射 步骤2配置完了，内层VLAN为110的报文源mac地址学习在1538 VLAN中，而从上行口输入的下行数据，外层VLAN为200，内层为110，会在VLAN 200内转发。这样由于VLAN不对称，就会出现

8、目的mac查找不到，而在VLAN 200内广播。所以需要在下行口配置mac mapping，把VLAN 1538中的MAC地址映射到VLAN 200中一份。这样下行数据就能查到对应VLAN 200的mac地址，从而走单播。那么随着下行数据流（外层VLAN为200的）在S3900完成mac地址学习之后，是否以后的上行数据就不是广播，而是单播了呢？其实不是的。因为下行数据流的源MAC地址学习到VLAN 200上，需要把VLAN 200的mac地址映射到VLAN 1538上，这样后期下行口上来的上行数据就能在VLAN 1538中查到MAC地址从而实现已知单播转发。interface Ethernet

9、1/0/1 undo ntdp enable stp disable port link-type hybrid port hybrid vlan 200 1538untagged undo port hybrid vlan 1 port hybrid pvid vlan 1538 vlan-vpn enable mac-address-mapping 0 source-vlan 1538 destination-vlan 200 vlan-vpn vid 200 raw-vlan-id inbound 1 to 10interface GigabitEthernet1/1/1undo ntd

10、p enable stp disable port link-type hybrid port hybrid vlan 200 1538 taggedundo port hybrid vlan 1mac-address-mapping 0 source-vlan 200 destination-vlan 1538步骤4：配置灵活QinQ上行通路时的专线VLAN用户如果VLAN 11为专线用户，此VLAN报文要求从G1/1/1上行口出去时只能带一层Tag，即还是VLAN 11，而不是双tag。这就需要用到ACL重定向来完成，把e1/0/1端口、内层VLAN为11的上行报文重定向到G1/1/1，并

11、剥掉一层Tag。同时配置上行口G1/1/1允许通过VLAN 11。acl number 4999 rule 0 permit c-tag-vlan 11 #vlan 11#vlan 200#vlan 1538# interface Ethernet1/0/1 undo ntdp enable stp disable port link-type hybrid port hybrid vlan 200 1538untagged port hybrid vlan 11 tagged undo port hybrid vlan 1 port hybrid pvid vlan 1538 vlan-vp

12、n enable mac-address-mapping 0 source-vlan 1538 destination-vlan 200 traffic-redirect inbound link-group 4999 rule 0 interface GigabitEthernet1/1/1 untagged vlan-vpn vid 200 raw-vlan-id inbound 1 to 10#interface GigabitEthernet1/1/1undo ntdp enable stp disable port link-type hybrid port hybrid vlan

13、11 200 1538 taggedundo port hybrid vlan 1mac-address-mapping 0 source-vlan 200 destination-vlan 1538 这样配置之后，VLAN 11的报文从G1/1/1端口出去时，只会带一层VLAN Tag。对于VPN用户也可以同样处理。如果是需要把组播业务放到S3900上层去复制，也可以用这种方式把组播VLAN的数据带一层Tag上行。以上的步骤，把数据上行的过程介绍了一下。反过来，到达上行口的下行数据通路如何处理呢？从组网要求看都是带一层或者二层tag，所以上行口处理上比较简单，重点关注相关VLAN要允许通过。

14、上行口的PVID根据情况进行选取，一般建议设置成一个没有业务使用的VLAN。重点需要关注下行口的tag属性配置和MAC地址映射设置。步骤5：配置普通QinQ下行通路对照步骤1，普通QinQ方式下比较简单。下行数据肯定是双层Tag，外层都是VLAN 1538。下行到DSLAM时需要把外层Tag给剥掉。所以配置要求VLAN 1538在下行口untag。举例如下，基于前面的配置，下行口不需要做修改，因为前面已经配置过了。interface Ethernet1/0/1 undo ntdp enable stp disable port link-type hybrid port hybrid vlan

15、 200 1538untagged port hybrid vlan 11 tagged undo port hybrid vlan 1 port hybrid pvid vlan 1538 vlan-vpn enable mac-address-mapping 0 source-vlan 1538 destination-vlan 200 traffic-redirect inbound link-group 4999 rule 0 interface GigabitEthernet1/1/1 untagged vlan-vpn vid 200 raw-vlan-id inbound 1 t

16、o 10浙江电信组网中，大部分DSLAM用于工作于这种配置，数据流下行根据VLAN 1538和MAC地址查找到出端口，然后剥掉外层Tag之后从e1/0/1出去。步骤6：配置灵活QinQ下行通路对照步骤2，此时存在这样的下行数据流，外层Tag为VLAN 200，内层VLAN为110。数据到S3900的上行口G1/1/1，mac地址学习到VLAN 200，并在VLAN 200中查找目的MAC地址。由于在步骤3中配置了下行口上的MAC映射，所以他们应该能查到单播MAC地址，从而从e1/0/1转发出去。这里也需要剥掉一层Tag出去，因此，需要在下行口e1/0/1上配置允许VLAN 200通过，且unt

17、ag。interface Ethernet1/0/1 undo ntdp enable stp disable port link-type hybrid port hybrid vlan 200 1538untagged port hybrid vlan 11 tagged undo port hybrid vlan 1 port hybrid pvid vlan 1538 vlan-vpn enable mac-address-mapping 0 source-vlan 1538 destination-vlan 200 traffic-redirect inbound link-grou

18、p 4999 rule 0 interface GigabitEthernet1/1/1 untagged vlan-vpn vid 200 raw-vlan-id inbound 1 to 10步骤7：配置灵活QinQ下行通路时的专线VLAN用户下行数据剥tag都是用下行口上的Tag属性来控制的，不需要用ACL重定向。那么对于VLAN 11的用户数据，从上行口下来的报文只有一层Tag，从下行口输出是也需要带一层Tag，那么就需要e1/0/1端口上做配置进行处理。但是mac地址同步骤3中所述，下行数据在VLAN 11中找不到对应的MAC地址，因为MAC地址学习到VLAN 1538上，所以也需要

19、把VLAN 1538映射到VLAN 11一份。interface Ethernet1/0/1 undo ntdp enable stp disable port link-type hybrid port hybrid vlan 200 1538untagged port hybrid vlan 11 tagged undo port hybrid vlan 1 port hybrid pvid vlan 1538 vlan-vpn enable mac-address-mapping 0 source-vlan 1538 destination-vlan 200mac-address-map

20、ping 1 source-vlan 1538 destination-vlan 11 traffic-redirect inbound link-group 4999 rule 0 interface GigabitEthernet1/1/1 untagged vlan-vpn vid 200 raw-vlan-id inbound 1 to 10步骤8：配置灵活QinQ管理VLAN用户首先，S3900可以把下行端口上来的管理VLAN上行数据通过只带一层Tag的方式，送到上行设备，做到上行设备跟下面DSLAM管理VLAN的互通；同样，也可以让S3900 CPU发送管理VLAN的报文时带一层t

21、ag到上行设备，实现与上行设备的互通。具体方式同前面的专线用户，区别点为VLAN 18从上行口出去要带Tag，这是为了确保S3900 CPU发出的报文能带上VLAN 18的tag。其次，S3900与下挂DSLAM设备的通信，由于所有设备管理VLAN在一个VLAN内，在前面的配置基础上，从下行口上来的管理VLAN的报文被重定向到上行口了，导致不通。所以S3900与下挂DSLAM设备的通信的规避处理是，还需要增加一个ACL，把对应本交换虚接口MAC地址的报文，重定向上CPU。（举例中的虚接口mac地址为00e0-fc12-3457）。ARP报文不需要特殊处理，因为ARP请求报文会广播上CPU，而目

22、的是S3900的ARP响应报文目的MAC也是虚接口MAC地址。acl number 4995 rule 0 permit dest 00e0-fc12-3457 ffff-ffff-ffff c-tag-vlan 18acl number 4996 rule 0 permit c-tag-vlan 18acl number 4999 rule 0 permit c-tag-vlan 11#vlan 1#vlan 11#vlan 18#vlan 200#vlan 1538#interface Vlan-interface18 ip address 1.1.1.2 255.255.255.0#in

23、terface Ethernet1/0/1 undo ntdp enable stp disable port link-type hybrid port hybrid vlan 200 1538untagged port hybrid vlan 11 18 tagged undo port hybrid vlan 1 port hybrid pvid vlan 1538 vlan-vpn enable mac-address-mapping 0 source-vlan 1538 destination-vlan 200mac-address-mapping 1 source-vlan 153

24、8 destination-vlan 11 traffic-redirect inbound link-group 4999 rule 0 interface GigabitEthernet1/1/1 untaggedtraffic-redirect inbound link-group 4996 rule 0 interface GigabitEthernet1/1/1 untagged traffic-redirect inbound link-group 4995 rule 0 cpu ；上面两条有顺序要求 vlan-vpn vid 200 raw-vlan-id inbound 1 t

25、o 10#interface GigabitEthernet1/1/1undo ntdp enable stp disable port link-type hybrid port hybrid vlan 11 18 200 1538 tagged -VLAN 18需要带Tagundo port hybrid vlan 1mac-address-mapping 0 source-vlan 200 destination-vlan 1538 前面8个步骤举例都是针对上行口为单端口的，如果上行口是聚合组，有哪些需要变化呢。假设上行链路为G1/1/1和G1/1/2构成的聚合组。首先，需要配置聚合组，

26、建议手动聚合；其次，G1/1/2上必须有与G1/1/1完全相同的配置；（请在G1/1/2端口在down的状态进行配置，配置完成后，再UP起来，进行聚合）；最后，下行口上的重定向动作，需要改成重定向到聚合组。关键配置脚本：DSLAM（S3900模拟）关键配置：vlan 18-网管VLAN#interface Vlan-interface18 ip address 1.1.1.4 255.255.255.0#interface Ethernet1/0/2-DSLAM的上行端口 port link-type hybrid port hybrid vlan 18 tagged port hybrid

27、vlan 1 untagged#8500关键配置：vlan 18-网管VLAN#interface Vlan-interface18 ip address 1.1.1.10 255.255.255.0#interface GigabitEthernet1/0/24-S8500的下行端口，与S3900只接了一个端口 port link-type hybrid port hybrid vlan 18 tagged port hybrid vlan 1 untagged#S3900关键配置：link-aggregation group 1 mode manualacl number 4995-匹配目

28、的为本设备的网管VLAN接口MAC的数据流。 rule 0 permit dest 00e0-fc12-3457 ffff-ffff-ffff c-tag-vlan 18acl number 4996-匹配内层VLAN为网管VLAN的数据流。 rule 0 permit c-tag-vlan 18acl number 4999-匹配内层VLAN为专线vlan的数据流。 rule 0 permit c-tag-vlan 11#vlan 1#vlan 11#vlan 18#vlan 200#vlan 1538#interface Vlan-interface18 ip address 1.1.1.

29、2 255.255.255.0#interface Ethernet1/0/1undo ntdp enable stp disable port link-type hybrid port hybrid vlan 200 1538 untagged port hybrid vlan 11 18 tagged undo port hybrid vlan 1 port hybrid pvid vlan 1538 vlan-vpn enablemac-address-mapping 0 source-vlan 1538 destination-vlan 200 mac-address-mapping

30、 1 source-vlan 1538 destination-vlan 11 traffic-redirect inbound link-group 4999 rule 0 link-aggregation-group 1 untagged traffic-redirect inbound link-group 4996 rule 0 link-aggregation-group 1 untagged traffic-redirect inbound link-group 4995 rule 0 cpu-上面两条有顺序要求 vlan-vpn vid 200 raw-vlan-id inbound 1 to 10#interface GigabitEthernet1/1/1undo ntdp enable stp disable port link-type hybrid port hybrid vlan 11 18 200 1538 tagged -VLAN 18需要带Tagundo port hybrid vlan 1