华为数通 端口隔离 出接口和下一跳的区别

端口隔离

华为数通 端口隔离 出接口和下一跳的区别
port-isolate enable group 1     # 在接口上开启隔离功能,默认加入group1,相同组间不能通讯
am isolate g0/0/*     # 在接口上开启单向隔离,使得这个接口无法和指定接口通讯
port-isolate mode all     # 设置模式为二三层都隔离,默认只二层
display port-isolate group all     # 查看所有端口隔离组信息

代理ARP

  • arp-proxy enable
    • 普通arp代理
    • 作用:在源地址访问不同网段的地址时,在接收端口配置代理后,作为一个中间人来响应双方的arp,意思就是目标mac不再是真实的对端mac,而是这台代理arp设备的mac,arp代理有欺骗的性质
  • arp-proxy inner-sub-vlan-proxy enable
    • 区域内arp代理
    • 作用:同一网段同一VLAN但是设置了端口隔离导致ARP请求被隔离,利用这条命令在vlanif接口使用,vlanif接口接收到arp请求会代替目标地址响应源地址的arp,代替双方响应arp实现三层通信。
  • arp-proxy inter-sub-vlan-proxy enable
    • 区域间arp代理
    • 作用:同一网段不同VLAN间代理arp,与区域内不同的是,响应的是不同vlan的arp请求,比如spuer vlan的场景下。

静态路由出接口和下一跳的区别

华为数通 端口隔离 出接口和下一跳的区别
华为数通 端口隔离 出接口和下一跳的区别

如上图,走向2.2.2.2的静态路由写的是下一跳,那么设备会先问下一跳的MAC,以太网报头会封装下一跳的MAC地址,但是IP报头目标地址还是2.2.2.2,对端设备接收报文后会拆封,然后对端设备会看自己的路由表直到走向2.2.2.2。

华为数通 端口隔离 出接口和下一跳的区别

如果AR1走向2.2.2.2的静态路由写的是出接口,出现的问题就是对端AR无法回应ARP,因为你请求的不是对端接口的MAC地址,2.2.2.2和本端根本就不在一个广播域里面,目标MAC无法封装所以导致不通。
可以有的解决方式就是在对端设备接口上开启普通ARP代理,arp-proxy enable

这也就是为什么静态路由需要写下一跳而不是写出接口的原因,写出接口的场景也是有的,比如PPP场景和串口,因为不存在ARP所以直接写下一跳或者出接口都可以。

MUX Vlan

  • 一种通过VLAN进行网络资源控制的机制
  • 只适用于二层网络,对同一网段的用户进行互通和隔离
  • 实现处于相同网段的设备划入不同VLAN后,虽然二层通信是隔离的,但还可以和指定VLAN通信,还可以实现禁止相同VLAN内的不同设备间的通信
华为数通 端口隔离 出接口和下一跳的区别
华为数通 端口隔离 出接口和下一跳的区别
SW1:
[SW1]vlan batch 2 to 3 100
W1]vlan 100
     mux-vlan    # 配置主vlan
     subordinate separate 3    # 隔离型vlan
     subordinate group 2    # 配置互通型vlan
W1]interface GigabitEthernet0/0/1
     port link-type access
     port default vlan 100
     port mux-vlan enable    # 接口开启mux-vlan功能
W1]interface GigabitEthernet0/0/2
     port link-type access
     port default vlan 2
     port mux-vlan enable
W1]interface GigabitEthernet0/0/3
     port link-type access
     port default vlan 2
     port mux-vlan enable
W1]interface GigabitEthernet0/0/4
     port link-type access
     port default vlan 3
     port mux-vlan enable
W1]interface GigabitEthernet0/0/5
     port link-type access
     port default vlan 3
     port mux-vlan enable
华为数通 端口隔离 出接口和下一跳的区别
验证结果

Super Vlan

  • 主要作用是节约地址,同一网段下不同VLAN,共用一个VLANif网关
  • 只在设备间运行,经过trunk不会打上主vlan标签,而是实际的从vlan标签出局
华为数通 端口隔离 出接口和下一跳的区别
华为数通 端口隔离 出接口和下一跳的区别
[SW1]vlan batch 2 to 3 10 100
[SW1]vlan 100
     aggregate-vlan    # 配置super vlan
     access-vlan 2 to 3    # 配置从vlan 2 3
[SW1]interface Vlanif10
     ip address 11.0.0.2 255.255.255.0
[SW1]interface Vlanif100
     ip address 1.0.0.254 255.255.255.0
     arp-proxy inter-sub-vlan-proxy enable    # 利用上文的arp代理,开启区域间代理,不隔绝vlan间通信
[SW1]interface GigabitEthernet0/0/1
     port link-type access
     port default vlan 10
[SW1]interface GigabitEthernet0/0/2
     port link-type access
     port default vlan 2
[SW1]interface GigabitEthernet0/0/4
     port link-type access
     port default vlan 3
[SW1]ip route-static 1.1.1.1 255.255.255.255 11.0.0.1
华为数通 端口隔离 出接口和下一跳的区别
开启区域间arp代理后,由交换机响应用户的请求,转发arp请求

作者:Zleoco,如若转载,请注明出处:https://www.zleoco.com/?p=1759

发表回复

您的电子邮箱地址不会被公开。