现在的位置: 首页 > 综合 > 正文

Super-vlan技术详解

2012年03月21日 综合 ⁄ 共 3971字 ⁄ 字号 暂无评论

Super-vlan技术详解
在传统的VLAN间路由中,我们需要每个VLAN配置一个IP地址,作为此VLAN的网关,以实现三层路由;此方法中,每个VLAN都是一个子网,子网号不能为主机所用,此子网需要分配一个IP地址作为网关,还有一个IP地址作为定向广播地址,如果VLAN中的主机不需要那么多IP地址,那此子网内的剩余IP地址,也不能分配给其它VLAN的主机使用,造成极大的浪费。就算是使用VLSM分配IP地址,每个VLAN也至少浪费三个IP地址,如果有几十或上百个VLAN,那会浪费大量的IP地址。在此这种情况下,为节约IP地址,提出Super VLAN的概念。
Super VLAN又称VLAN聚合,其原理是一个Super VLAN包含多个Sub VLAN,每个Sub VLAN是一个广播域,不同Sub VLAN之间二层相互隔离。Super VLAN可以配置三层接口,Sub VLAN不能配置三层接口。 当Sub VLAN内的用户需要进行三层通信时,将使用Super VLAN三层接口的IP地址作为网关地址,通过ARP 代理可以进行ARP 请求和响应报文的转发与处理,从而实现了二层隔离端口间的三层互通 。这样多个Sub VLAN共用一个IP网段,从而节省了IP地址资源。
Super VLAN只建立三层接口,不包含物理端口,可以看到成是一个逻辑的三层接口,若干sub-VLAN的集合。
sub-VLAN 则只包含物理端口,但不能建立三层VLAN虚接口.它的三层通信依靠super-vlan来实现。
与原来的VLAN间路由不通,原本的三层交换可以根据各自的网关进行,但是现在所有的sub-vlan都属于同一个网段,则就处于不同的sub-vlan通信时,会认在同一个网段,会做二层转发,而不会进行三层转发,但是二层转发是被VLAN隔离了,这就造成sub-vlan间不能通信。解决方法就是代理ARP。
代理ARP的工作原理:
源主机认为目标主机与自己在同一网段,广播发送ARP请求。
与源主机网络相连的网关已经使能ARP PROXY功能,如果存在到达目的主机的正常路由,则代替目的主机REPLY自己接口的MAC地址;
源主机向目的主机发送的IP报文都发给了路由器;
路由器对报文做正常的IP路由转发;
发往目的主机的IP报文通过网络,最终到达目的主机。
三层通信原理
PC1:192.168.10.10 MAC=PC1MAC与PC2:192.168.10.20 MAC=PC2MAC的通信过程:
首先PC1与PC2通信,通过对方IP和自己的子网掩码进行与运算,发现在同一个网段,所以广播发送ARP请求(DMC=FFF:FFF:FFF,SMAC=PC1MAC,ARP字段中 SMAC=PC1MAC,SIP=192.168.10.10 DMAC=000:000:000 DIP=192.168.10.20),SW2收到后学习SMAC(PC1MAC),同时向VLAN10 里广播,SW3收到后也学习SMAC(PC1MAC),同时向VLAN10里广播,并抄送一份给接口板的ARP模块,经过接口板ARP的分析,发现它来自SubVLAN,就将此ARP请求报文交给主控板ARP模块处理。主控板ARP首先在ARP表中查找ARP请求报文中的目的IP地址,假如找到对应项,看看目的IP地址是不是在SubVLAN10中,是就丢弃该报文,不是就将SuperVLAN5的MAC地址应答给PC1,完成代理工作(DMC=PC1MAC,SMAC=VLAN5MAC,ARP字段SMAC=VLAN5MAC,SIP=192.168.10.10,DMAC=PC1MAC,DIP=192.168.10.20)。 假如在ARP表中没有找到对应项,主控板ARP就查VLAN聚合与VLAN的逻辑映射表,知道Sub-VLAN10属于Super-VLAN5,将此报文中的源MAC地址替换成SuperVLAN5的MAC地址,VLAN ID的值由10分别替换成属于SuperVLAN3的其它Sub-VLAN的值,之后逐个向属于此SuperVLAN的其它Sub-VLAN(本例中为Sub-VLAN20)广播,并同时将此请求报文中的信息学习加入动态ARP表中。此后若收到PC2的ARP应答报文(其目的MAC地址为Super-VLAN5的MAC地址),主控板ARP模块发现此ARP应答报文的VLAN ID是Sub-VLAN20,即PC2位于Sub-VLAN20中,主控板CPU根据应答报文中的信息,搜索ARP表中的各项,找到对应项后把SuperVLAN5对应的MAC地址通过ARP应答报文回给PC1(若PC2位于Sub-VLAN10,PC2响应的ARP应答报文直接通过二层转发回给PC1,交换机就不再应答)。同时在接口板上将SubVLAN20中的响应报文信息记录在ARP表及FIB表中,以后再收到来自主机X的报文就可以通过查询FIB表进行三层转发了。二层通信原理
因为super-vlan并不包含物理端口,是一个逻辑的三层接口,所以实际上不会有带有super-vlan的VLAN标记的报文。就算是有super-vlan的VLAN标记的报文过来,但由于trunk上不允许super vlan的VLAN标记的报文通过。所以二层通信与原来的通信是一样的。
与外部PC通信原理
PC1=192.168.1.10/24 MAC=PC1MAC PC3=1.1.1.10/24 MAC=PC3MAC
首先PC1与PC3通信,通过目标IP与PC1的子网掩码进行与运算,发现不在同一个网段,则应该将数据发送给网关,在ARP缓存表查询网关MAC(192.168.10.1的MAC),若没有,则发送ARP请求,与前面一样。得到网关MAC后,将数据发给网关,网关收到后,拆二层封装,以目标IP查询FIB表,发现应从e1/0/3发出,同时从该接口发送ARP请求请求PC3MAC,PC3收到后回复,数据包重新封装从该接口发出。当PC3回复数据时,正常转发到e1/0/3,查询FIB表,发现目标主机PC1对应的出接口为super-vlan5,但是VLAN5中没有包含任何物理端口,那么就不能转发出去,但是尽管在FIB表中192.168.1.0/24出接口为super-VLAN5,但是在ARP表中IP地址192.168.1.10对应的出接口却为sub-VLAN 10,真正用来构建转发表时所用的出接口应该是ARP表中对应的sub-VLAN接口,这样就可以通过在sub-VLAN下查找目的MAC找到正确的出端口。于是,PC3的回应报文就能正常到达主机PC1了。
H3C配置命令:
<h3c> system-view //进入系统视图
[H3C] vlan 5 //进入VLAN视图
[H3C-vlan5] supervlan //配置当前VLAN为Super VLAN
[H3C-vlan5] vlan 10 //创建Sub VLAN
[H3C-vlan10] port ethernet1/0/1 //向Sub VLAN中添加以太网端口 。port命令只适用于将access端口加入sub vlan。如果需要将trunk端口和hybrid端口加入sub vlan,只能通过以太网端口视图下的port trunk permit vlan和port hybrid vlan命令实现
[H3C-vlan10] vlan 20
[H3C-vlan20] port ethernet1/0/2
[H3C-vlan20] vlan 5 //进入Super VLAN的VLAN视图
[H3C-vlan5] subvlan 10 20 //创建Super VLAN与Sub VLAN间的映射关系
[H3C-vlan10] interface vlan 10
[H3C-Vlan-interface10]ip address 192.168.10.1 24
思科交换机VLAN配置
switch# configure //进入全局配置模式
switch(config)# vlan vlan-id //进入 VLAN配置模式
switch(config-vlan)# supervlan //打开 SuperVLAN的功能
缺省情况下,Super VLAN功能是关闭的,使用 no supervlan 可以关闭已经打开得 supervlan 的功能。
switch(config-vlan)# subvlan vlan-id-list //指定若干个 sub vlan 并把它们加入super vlan 中。
switch(config-vlan)# exit //退出到全局模式
设置 Super VLAN 的虚拟接口
switch# configure //进入配置模式
switch(config)# interface vlan vlan-id //进入 SVI 模式
switch(config-vlan)# ip address ip mask //设置虚拟接口的 IP 地址
switch(config-vlan)# end //回到特权模式
打开ARP代理功能,默认是开启的
switch# configure //进入配置模式
switch(config)# vlan vlan-id //进入 VLAN模式 switch(config-vlan)# proxy-arp //打开 VLAN的 ARP 代理功能
注意事项:
Trunk端口会过滤掉super-vlan。
Super VLAN不能做为其它Super VLAN的Sub VLAN。
Super VLAN不能当正常的1Q vlan来使用。
VLan 1不能作为SuperVLAN。
Sub VLAN不能配置为网络接口,不能配置IP地址。
SVLAN不能使用VRRP,不支持多播。
基于Super VLAN接口的ACL和QOS配置不对Sub VLAN生效。
每一个Super VLAN可以和127个Sub VLAN建立映射关系。系统最多允许建立1024个Sub VLAN。

给我留言

留言无头像?