跳至主要内容

Access、Hybrid和Trunk三种模式的理解


华为：Access、Hybrid和Trunk三种模式的理解


untag就是普通的ethernet报文,普通PC机的网卡是可以识别这样的报文进行通讯;
tag报文结构的变化是在源mac地址和目的mac地址之后,加上了4bytes的vlan信息,也就是vlan tag头;一般来说这样的报文普通PC机的网卡是不能识别的

下图说明了802.1Q封装tag报文帧结构
带802.1Q的帧是在标准以太网帧上插入了4个字节的标识。其中包含：
2个字节的协议标识符（TPID),当前置0x8100的固定值,表明该帧带有802.1Q的标记信息。
2个字节的标记控制信息（TCI）,包含了三个域。
Priority域,占3bits,表示报文的优先级,取值0到7,7为最高优先级,0为最低优先级。该域被802.1p采用。
规范格式指示符（CFI)域,占1bit,0表示规范格式,应用于以太网;1表示非规范格式,应用于Token Ring。
VLAN ID域,占12bit,用于标示VLAN的归属。


以太网端口有三种链路类型：Access、Hybrid和Trunk。
Access类型的端口只能属于1个VLAN,一般用于连接计算机的端口;
Trunk类型的端口可以允许多个VLAN通过,可以接收和发送多个VLAN的报文,一般用于交换机之间连接的端口;
Hybrid类型的端口可以允许多个VLAN通过,可以接收和发送多个VLAN的报文,可以用于交换机之间连接,也可以用于连接用户的计算机。
Hybrid端口和Trunk端口在接收数据时,处理方法是一样的,唯一不同之处在于发送数据时：Hybrid端口可以允许多个VLAN的报文发送时不打标签,而Trunk端口只允许缺省VLAN的报文发送时不打标签。

在这里先要向大家阐明端口的缺省VLAN这个概念
Access端口只属于1个VLAN,所以它的缺省VLAN就是它所在的VLAN,不用设置;
Hybrid端口和Trunk端口属于多个VLAN,所以需要设置缺省VLAN ID。缺省情况下,Hybrid端口和Trunk端口的缺省VLAN为VLAN 1

当端口接收到不带VLAN Tag的报文后,则将报文转发到属于缺省VLAN的端口（如果设置了端口的缺省VLAN ID）。当端口发送带有VLAN Tag的报文时,如果该报文的VLAN ID与端口缺省的VLAN ID相同,则系统将去掉报文的VLAN Tag,然后再发送该报文。
注：对于华为交换机缺省VLAN被称为"Pvid Vlan",对于思科交换机缺省VLAN被称为"Native Vlan"交换机接口出入数据处理过程如下：

Acess端口收报文:
收到一个报文,判断是否有VLAN信息：如果没有则打上端口的PVID,并进行交换转发,如果有则直接丢弃（缺省）

Acess端口发报文：
将报文的VLAN信息剥离,直接发送出去

（所以,Access端口可以实现同一交换机上相同VLAN下的主机通信;也可以实现交换机级连时的缺省VLAN1报文交换,但不能实现VLAN透传。）

trunk端口收报文：
收到一个报文,判断是否有VLAN信息：如果有,判断该trunk端口是否允许该VLAN的数据进入：如果可以则转发,否则丢弃;如果没有VLAN信息则打上端口的PVID,并进行交换转发。

trunk端口发报文：
比较将要发送报文的VLAN信息和端口的PVID,如果不相等则直接发送。如果两者相等则剥离VLAN信息,再发送。
（所以,将交换机级连口统统设置为Trunk并允许所有VLAN通过后,VLAN2－VLAN4000直接透传,而VLAN1则因为和Trunk缺省PVID相同,需要通过剥离VLAN信息又添加VLAN信息实现了透传。而如果更改Trunk的缺省PVID,则可以实现某一交换机下的VLAN-X和另一交换机下的VLAN-Y通信。）

hybrid端口收报文：
收到一个报文,判断是否有VLAN信息：如果有,则判断该hybrid端口是否允许该VLAN的数据进入：如果可以则转发,否则丢弃(此时端口上的untag配置是不用考虑的,untag配置只对发送报文时起作用);
如果没有则打上端口的PVID,并进行交换转发。

hybrid端口发报文：
1、判断该VLAN在本端口的属性（disp interface 即可看到该端口对哪些VLAN是untag,哪些VLAN是tag）
2、如果是untag则剥离VLAN信息,再发送,如果是tag则直接发送
（所以,Hybrid实现了不同VLAN下的主机的通信。）

以下案例可以帮助大家深入理解华为交换机的hybrid端口模式
[Switch-Ethernet0/1]int e0/1
[Switch-Ethernet0/1]port link-type hybrid
[Switch-Ethernet0/1]port hybrid pvid vlan 10
[Switch-Ethernet0/1]port hybrid vlan 10 20 untagged

[Switch-Ethernet0/1] int e0/2
[Switch-Ethernet0/2]port link-type hybrid
[Switch-Ethernet0/2]port hybrid pvid vlan 20
[Switch-Ethernet0/2]port hybrid vlan 10 20 untagged
此时inter e0/1和inter e0/2下的所接的PC是可以互通的,但互通时数据所走的往返vlan是不同的。
以下以inter e0/1下的所接的pc1访问inter e0/2下的所接的pc2为例进行说明

pc1所发出的数据,由inter0/1所在的pvid vlan10封装vlan10的标记后送入交换机,交换机发现inter e0/2允许vlan 10的数据通过,于是数据被转发到inter e0/2上,由于inter e0/2上vlan 10是untagged的,于是交换机此时去除数据包上vlan10的标记,以普通包的形式发给pc2,此时pc1->p2走的是vlan10

再来分析pc2给pc1回包的过程,pc2所发出的数据,由inter0/2所在的pvid vlan20封装vlan20的标记后送入交换机,交换机发现inter e0/1允许vlan 20的数据通过,于是数据被转发到inter e0/1上,由于inter e0/1上vlan 20是untagged的,于是交换机此时去除数据包上vlan20的标记,以普通包的形式发给pc1,此时pc2->pc1走的是vlan20

标签：

评论

发表评论

读过之后是不是文思泉涌了？，快快让大家拜读一下你的高见吧～～～

此博客中的热门博文

使用StrongSwan搭建 IKEv1 IKEv2 VPN服务器

#2016-01-04 决定将本文作废，因我要另再写新版本的配置。这篇作于 2013年，而strongswan已经更新很多版本。 #本文需要有独立的VPS，如果你需要一台速度快，每月30元的左右的VPS，可以使用我的邀请注册 http://www.vultr.com/?ref=6813064 并且在注册时使用 SSDVPS 可以送 $20（或者 $10 不等）。一定要选日本线路，这个到国内延迟约40ms ~ 100ms ，一般是 80ms 左右，非常快非常稳定，一个月32元，可以和几个人合租了。 #LOG:2014-04-30 对ipsec.conf进行修改，增加了android手机的兼容，现在可以支持完整支持android 自带的VPN设置啦~~~~ #LOG:2013-0609 对ipsec.conf进行修改，加入清楚DPD代码，防止IP 地址池不正确占用 #LOG: 2013-0519 删除ipsec.conf 中多余的conn iOS一节，这本是我一年前调试用的，时间不起作用； 删除了 %default中的 rightsubnet ，如果不删除，在定义了多段IP路由的情况下会导致账号无法上网（只有一段IP没这个bug），感谢  JackWindows  ‏ @ JackWindows #LOG 2013-05-12 修正bug，原配置文件会导致一个ID不可以同时多次登陆。得蒙  @ KhaosT   指点，对  strongswan.conf 加入duplicheck.enable = no ，对 ipsec.conf 加如 uniqueids=never #完成度100% 在我们生活的周围，通常要用到很多种VPN: PPTP, L2TP/IPSec, Cisco IPSec, IKEv2, 这些不同类型的VPN覆盖了目前我们常见的所有手机或者电脑平台，比如 iOS, Blackberry OS, BB10, Android, WebOS, Windows XP, Windows Vista/7/8, Unix/Unix-like。 （*如果你正在找blackberry 翻墙方法、ios ipsec vpn、windows IKEv2 VPN、Blackberry...
65 条评论
阅读全文

简易 APN Proxy (APN代理）的搭建

2012年2月1日 ，新增加了一种方案，请看 《 搭建增强型代理服务器(APN Proxy) 》 2012-01-03 更新 3proxy 及 监控进程脚本，分别见 B 3) 和 曾经在twitter被封锁的时候，我在长城宽带干过一件事，那就是将twitter的请求和通讯使用SSH，让全网用户可以无阻访问，不过也因此付出了代价，略不去说了。 后来得厨神 @paveo 的创意，何不将其用在手机等移动设备上？厨神的APN现在已经很成熟并在免费有限量专供中。我今天这里写得，是如何搭建自己的APN Proxy（APN 代理），但在阅读下面内容之前，需要一个刚性要求：一台在国内的Unix-Like的主机（可以是Linux/FreeBSD/Mac Osx Server/Solaris等等）并且是公网IP地址以及在国外的VPS主机（Unix类）。这个要求可以看出成本比较高，所以我看到淘宝上已经有人开始出售APN代理了，这个可以理解。 第一部分 原理 原理图1 如上图所示，我们要实现的功能原理是，将上网请求先发送到“国内VPS”，再由“国内VPS”通过SSH隧道转送到国外，最终实现无阻上网。点击查看大图可以看出，主要配置是在“国内VPS”上，包括配置SSH -D、Squid、Privoxy或者Polipo（socks代理程序你可以选自己喜欢的）。 第二 配置 1 国外VPS 国外VPS上，你需要有一个SSH帐户，并且请注意，使用密钥方式登录你的SSH而非密码，之所以如此，是为了下一步建立长久的SSH以及断线自动重连做准备，这个很重要。关于“SSH 免密码 密钥 登录”请使用google看一下。 这里有一个小插曲，部分centos 上如果默认的话，SSH帐户会报错，大约 是adminitstatly close之类，这有可能是 openfile数目问题，可以轻松解决。我非Linux爱好者，所以是临时google，并没有记录下来，你只要记得如果遇到同样问题，5分钟之内就可以google解决。 2 国内VPS 这一节将会是我们的主战场，基本上，我将会按下面的逻辑图来进行配置，这其中会涉及很多文件的配置，需要你注意哦，最后部分我会提供部分配置文档下载，由于我使用的是FreeBSD，因此会有少量差...
7 条评论
阅读全文

搭建增强型代理服务器(APN Proxy)

我在上一篇博文中已经写了如何搭建简单APN代理，这一个月中我一直在测试（苦逼的IT男，别人过年带老婆回家，我是带着ipad+ssh 在家测试），于是推翻掉上一篇文章中的方案，使用本文的方案。 本篇原理与上一篇相仿，不同的实现则是使用 Ziproxy+Privoxy（上一篇是使用Squid+Privox/3Proxy/polipo），我的系统是 FreeBSD 8.2-Release ，你可以选用你喜欢的Unix-Like主机。使用Squdi实现的好处是在访问时可以有缓存：由于让PC（或者手持设备－－－以下统称装置）加快网速，以抵消由于使用代理带来的网速慢，因此比使用VPN绝对是要快多了。 本文假定你有两台主机，国内主机使用SSH连接到国外主机，事实上如果你只有一台国外主机，则可以直接使用Ziproxy而无需Privoxy，但是请务必注意，在只有一台国外主机的情况下，请将Ziproxy的端口改成一组特殊端口，抱歉，不能直说是哪几个端口，但是聪明的你应该可以猜到，实在不想猜，就直接到twitter上问吧 我想多数人在装置应该使用过Opera浏览器，当我们打开一个网页的时候，Opera用自己的OperaTurbo技术加速打开，实际上大家也发现了，用它打开网页后图像变的模糊了，这是因为被服务器压缩过。而我们今天使用的这个方案就是采用压缩方式来达到节约流量和提高网速。 Ziproxy的主要作用是压缩HTTP请求和优化精简图片，它可以把JS,CSS,HTML和JPEG,PNG,GIF都压缩，然后再传递给你的装置使用，更好玩的是，它还可以区分用户，比如你想给手机用户使用代理，那么创建一个针对手机的配置，把图片压缩的重一点；而想把代理给ipad或者电脑用，就创建一个针对电脑的配置，把图片压缩的轻一点；两个配置的端口只要不同就OK了。 Privoxy在这个方案中有两个作用：1 将SSH的 socks5 代理转化为HTTP代理然后给ziproxy使用 ，这是因为 Ziproxy只支持http的父代理。2 区分网站。Privoxy会将被 某国家 屏蔽的网站转发到SSH 代理上，而将没有屏蔽的直接走你的国内主机线路。 方案开始实施： 1 建立到国外主机的连接( SSH -D） 我是使用autossh的，建立你也使用这个工具，它会监视你的ssh连接，在断线时可...
发表评论
阅读全文