目  錄

1 普通二層轉發

1.1 普通二層轉發簡介

1.2 普通二層轉發顯示和維護

2 快速二層轉發

2.1 快速二層轉發簡介

2.2 關閉快速二層轉發時對VLAN ID檢查功能

2.3 快速二層轉發顯示和維護

3 直通轉發

3.1 直通轉發簡介

3.2 直通轉發與硬件適配關係

3.3 直通轉發配置指導

3.4 配置直通轉發

4 Bridge轉發

4.1 Bridge轉發簡介

4.1.1 Bridge轉發模式

4.1.2 跨VLAN模式Bridge轉發

4.1.3 Inline轉發

4.2 配置Bridge轉發

4.2.1 配置跨VLAN模式Bridge轉發

4.2.2 配置Inline轉發

4.2.3 配置Bypass功能

4.3 Bridge轉發顯示和維護

5 快速Bridge轉發

5.1 快速Bridge轉發簡介

5.2 關閉快速Bridge轉發時對VLAN ID檢查功能

5.3 快速Bridge轉發顯示和維護

1 普通二層轉發

1.1  普通二層轉發簡介

如果設備接收到的報文的目的MAC地址匹配三層接口的MAC地址，則通過設備的三層接口進行三層轉發；否則通過設備的二層接口進行二層轉發。

二層轉發根據報文的目的MAC地址查找MAC地址表，得到報文的出接口，然後將報文發送出去。

普通二層轉發是設備默認啟用的特性，不需要配置。

1.2  普通二層轉發顯示和維護

在任意視圖下執行display命令可以顯示二層轉發過程中的統計信息，查看轉發的結果。

在用戶視圖下執行reset命令可以清除二層轉發的統計信息。

表1-1 普通二層轉發顯示和維護

2 快速二層轉發

2.1  快速二層轉發簡介

快速二層轉發采用高速緩存來處理報文，並采用基於數據流的技術，可以大大提高轉發效率。

快速二層轉發用源IP地址、源端口號、目的IP地址、目的端口號、協議號、輸入接口、輸出接口和VLAN來標識一條數據流。在二層轉發過程中，會根據設備規則，對需要進行三層業務處理的報文，獲取其IP地址等信息，生成IP快速轉發表。當一條數據流的第一個報文轉發後，會在高速緩存中生成相應的轉發信息，該數據流後續報文的轉發就可以通過直接查找快速轉發表進行轉發。這樣便大大縮減了報文的排隊流程，減少報文的轉發時間，提高報文的轉發速率。

快速二層轉發是設備默認啟用的特性，不需要配置。

2.2  關閉快速二層轉發時對VLAN ID檢查功能

1. 功能簡介

報文攜帶的VLAN ID是設備判斷其所屬TCP會話的依據之一。在防火牆雙機熱備的組網環境下，有時需要報文在主備設備間傳遞後仍可以匹配到同一個會話中，而主備設備上報文入接口所屬VLAN可能不同，此時可以關閉對VLAN ID的檢查以保證報文在主備設備之間傳遞之後能夠匹配到同一會話。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     關閉快速二層轉發時對VLAN ID檢查功能。

undo mac fast-forwarding check-vlan-id

缺省情況下，快速二層轉發時對VLAN ID字段的檢查功能處於開啟狀態。

2.3  快速二層轉發顯示和維護

在任意視圖下執行display命令可以顯示快速二層轉發表信息。

表2-1 快速二層轉發顯示和維護

3 直通轉發

3.1  直通轉發簡介

直通轉發是指設備接收到報文的前64個字節後立即轉發。該功能可以節省報文在設備中消耗的時間，提高轉發性能。

3.2  直通轉發與硬件適配關係

本特性的支持情況與設備型號有關，請以設備的實際情況為準。

3.3  直通轉發配置指導

配置直通轉發時，需要注意的是報文在CRC（Cyclic Redundancy Code，循環冗餘校驗碼）接收前已經轉發，因此設備也將轉發CRC校驗錯誤的報文。

3.4  配置直通轉發

(1)     進入係統視圖。

system-view

(2)     開啟設備直通轉發。

cut-through enable

缺省情況下，設備直通轉發功能處於關閉狀態。

4 Bridge轉發

4.1  Bridge轉發簡介

Bridge轉發是指用戶創建Bridge實例後，根據Bridge實例中添加成員類型不同，實現報文基於VLAN或者端口的安全轉發功能。

4.1.1  Bridge轉發模式

根據報文的轉發特征，Bridge轉發有下列幾種轉發模式：

·     跨VLAN模式：在不同VLAN間進行報文轉發。

·     反射模式：報文從同一接口收發。

·     透傳模式：報文從一個接口接收，從另一個接口發送。

·     黑洞模式：報文從一個接口接收，處理完後被丟棄。

4.1.2  跨VLAN模式Bridge轉發

跨VLAN模式Bridge轉發是在數據鏈路層完成不同VLAN間通信的一種技術。如圖4-1所示，目前這種技術主要應用在防火牆產品上。防火牆和交換機配合使用、經過交換機的二層網絡流量由防火牆過濾後再進行轉發的場景。

圖4-1 Bridge轉發工作機製

‌

如圖4-1，交換機上配置的防火牆的Bridge轉發實例（可以看作是實現一類Bridge轉發模式的二層橋）為Bridge 1，Bridge 1中添加VLAN 10和VLAN 20。以ARP（Address Resolution Protocol，地址解析協議）實現為例，Bridge轉發過程如下：

(1)     VLAN 10的Host A想要訪問VLAN 20的Host B，Host A發送一個ARP請求報文。

a.     交換機收到請求報文的處理過程：

¡     交換機從接口Port A收到目的MAC未知的報文，交換機學習到該報文的源MAC地址0033-0033-0033，並記錄該MAC地址所對應的VLAN 10和接口Port A。

¡     交換機將該報文在VLAN 10內進行廣播，同時該報文會通過交換機側內聯口Port C（即用於連接交換機與防火牆的接口）發送給防火牆。

b.     防火牆收到請求報文的處理過程：

¡     防火牆收到該報文，將報文源MAC地址學習到用戶配置的Bridge轉發實例Bridge 1內，並且學習到該MAC地址對應的VLAN 10及防火牆側內聯口Port D。

¡     同時根據Bridge 1內用戶配置的VLAN列表，將該報文在Bridge 1內配置的除報文所在VLAN 10以外的所有VLAN內進行發送，即在VLAN 20內發送該報文。在VLAN 20內發送的報文的VLAN ID將被替換為VLAN 20，生成新的報文，然後發送到VLAN 20。

¡     防火牆通過防火牆側內聯口Port D將新報文發送給交換機。

c.     交換機收到新報文的處理過程：

¡     交換機從交換機側內聯口Port C收到新的報文，學習該報文的源MAC地址並記錄該MAC地址所對應的VLAN 20和交換機側內聯口Port C。

¡     同時交換機將報文在VLAN 20內廣播。

(2)     VLAN 20的Host B收到新報文後，發現是要訪問自己的報文，發送ARP應答報文。

a.     交換機收到應答報文的處理過程：

¡     交換機從接口Port B收到目的MAC地址0033-0033-0033的報文，交換機學習到該報文的源MAC地址0000-0000-0002並記錄該MAC地址所對應的VLAN 20和接口Port B。

¡     交換機收到目的MAC地址為0033-0033-0033的已知報文，根據目的MAC地址和VLAN找到MAC地址表項，該表項的出接口為交換機側內聯口Port C，則將該報文發送給防火牆。

b.     防火牆收到應答報文的處理過程：

¡     防火牆收到回複報文，將該報文源MAC地址學習到用戶配置的Bridge轉發實例Bridge 1內，並且學習到該MAC地址對應的VLAN 20及防火牆側內聯口Port D。

¡     防火牆根據VLAN 20找到對應的Bridge 1下學習到的MAC地址表項，將報文的VLAN ID修改為MAC地址表項對應VLAN ID，並從防火牆側內聯口Port D將該報文發送給交換機。

c.     交換機收到新的應答報文的處理過程：

¡     交換機收到該報文後，根據目的MAC地址和VLAN找到MAC地址表項，確認出接口為Port A，將該報文發送出去。

4.1.3  Inline轉發

反射模式Bridge轉發、透傳模式Bridge轉發和黑洞模式Bridge轉發統稱為Inline轉發。

Inline轉發是在數據鏈路層對流量進行安全監控的一種技術。目前這種技術主要應用在安全產品上，通過QoS策略將經過設備的二層網絡流量引流到安全產品上，由安全產品過濾後再進行轉發。

1. 反射/黑洞模式Bridge轉發組網部署

反射/黑洞模式Bridge轉發中，Device B與Device A通過一個物理接口通信。對於反射模式Bridge轉發，Device B通過同一接口完成報文的收發；對於黑洞模式Bridge轉發，Device B收到報文後，先處理完安全業務，然後丟棄該報文。反射/黑洞模式Bridge轉發一般適用於Device B旁掛的組網部署，Device A可直接接入網絡。反射/黑洞模式Bridge轉發如圖4-2所示。

圖4-2 反射/黑洞模式Bridge轉發

‌

2. 透傳模式Bridge轉發組網部署

透傳模式Bridge轉發中，Device B在兩個接口間轉發報文，其中一個接口用於收報文，另外一個接口用於發報文。透傳模式Bridge轉發一般適用於Device B直連的組網部署，Device A通過Device B接入網絡。透傳模式Bridge轉發如圖4-3所示。

圖4-3 透傳模式Bridge轉發

‌

3. Inline轉發報文處理流程

在圖4-2、圖4-3中，以VM（Virtual Machine，虛擬機）間的報文交互為例，Inline轉發過程如下：

(1)     VM 1與VM 2的內部流量通過Device A轉發，Device A將收到的報文引流到與之相連的Device B上。

(2)     Device B將收到的IP報文交給安全業務進行處理，其他報文直接返回給Device A。

(3)     Device B處理通過安全業務過濾的報文，根據報文信息建立對應的轉發表項，並將報文返回給Device A。

4.2  配置Bridge轉發

4.2.1  配置跨VLAN模式Bridge轉發

(1)     進入係統視圖。

system-view

(2)     （可選）設置Bridge轉發的MAC地址的老化時間。

bridge mac-address timer aging seconds

缺省情況下，Bridge轉發的MAC的老化時間為300秒。

(3)     創建跨VLAN模式Bridge轉發實例，並進入Bridge視圖。

bridge bridge-index inter-vlan

(4)     向Bridge轉發實例中添加VLAN列表。

add vlan vlan-id-list

(5)     （可選）配置Bridge實例下的MAC地址最大學習數。

mac-address max-mac-count count

缺省情況下，Bridge實例下的MAC地址最大學習數為4096。

4.2.2  配置Inline轉發

1. 配置限製和指導

透傳模式Bridge轉發實例可以通過命令行手工創建，也可以通過插入硬件Bypass子卡後由設備自動生成。插入硬件Bypass子卡前，需保證設備上不存在跨VLAN模式Bridge轉發實例，否則將導致自動創建透傳模式Bridge轉發實例失敗。

在安全設備上配置Inline轉發時，需要關閉與其連接的交換機上對應互連口的MAC地址學習功能，否則可能造成MAC地址頻繁遷移。

向Bridge轉發實例中添加接口時需要注意：

·     每個反射/黑洞模式Bridge轉發實例隻能添加一個接口。

·     每個手工創建的透傳模式Bridge轉發實例隻能添加兩個接口，且這兩個接口的類型必須保持一致。

·     對於自動創建的透傳模式Bridge轉發實例，設備在自動創建Bridge轉發實例後，會自動將子卡上的一對接口添加到此Bridge轉發實例中，且自動創建的透傳模式Bridge轉發實例不支持手工添加或刪除接口。

·     將三層以太網接口加入Bridge轉發實例後，該接口將隻能用於二層轉發，不能進行三層轉發。因此，請不要在Bridge轉發實例的三層以太網接口上配置IP地址等三層業務相關的功能，即使配置了也無法生效。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     （可選）配置Inline轉發時忽略報文的隧道封裝。

bridge tunnel-encapsulation skip

缺省情況下，Inline轉發時未忽略報文的隧道封裝。

(3)     手工創建不同模式的轉發實例，並進入Bridge視圖。

¡     創建反射模式Bridge轉發實例，並進入Bridge視圖。

bridge bridge-index reflect

¡     創建透傳模式Bridge轉發實例，並進入Bridge視圖。

bridge bridge-index forward

¡     創建黑洞模式Bridge轉發實例，並進入Bridge視圖。

bridge bridge-index blackhole

(4)     向Bridge轉發實例中添加接口。

add interface interface-type interface-number

缺省情況下，手工創建的Bridge轉發實例中未添加任何接口。

4.2.3  配置Bypass功能

1. 功能簡介

在Inline轉發模式下，配置Bypass功能，用戶流量可以不經過安全業務或者安全設備處理，直接被處理。

Bypass功能分為以下幾種模式：

·     內部Bypass功能：用戶流量經過安全設備Device，但不進行安全業務處理。安全設備會根據配置的Inline轉發模式，選擇對應的接口將用戶流量直接轉發或者丟棄。

·     外部Bypass功能：用戶流量不經過安全設備Device，直接通過PFC（Power Free Connector，無源連接設備）設備轉發。

如圖4-4所示，鏈路正常情況下，未配置Bypass功能時，用戶流量轉發路徑如下。

圖4-4 正常情況下流量轉發

如圖4-5所示，當安全設備Device和PFC之間鏈路故障時，用戶可以在安全設備上開啟外部Bypass功能，使流量直接通過PFC設備轉發，保證流量不間斷。

圖4-5 故障情況下流量轉發

開啟外部Bypass功能時，根據配置的不同有如下區分：

·     靜態外部Bypass功能：用戶流量直接通過PFC轉發，不經過安全設備處理。

·     動態外部Bypass功能：在安全設備上將與PFC相連的兩個接口加入Bridge轉發實例。安全設備通過檢查這兩個接口的狀態，決定自動啟用外部Bypass功能。當透傳模式Bridge實例中的某一接口狀態變為DOWN時，用戶流量不經過安全設備，直接通過PFC轉發。同時，安全設備會周期性檢查透傳模式Bridge實例中接口狀態，如果檢查到實例中兩個接口都處於UP狀態，則自動關閉外部Bypass功能，恢複由安全設備處理用戶流量。

2. 配置限製和指導

多次配置bypass enable命令和bypass enable external命令，最後一次執行的配置生效。

多台設備組成IRF時不支持外部Bypass功能。

配置外部Bypass功能時，需要注意：

·     本功能隻能在管理Context上進行配置。對於以共享方式分配的二層以太網接口，在管理Context內配置外部bypass功能時：

¡     如果外部Bypass功能生效，用戶流量通過PFC轉發，用戶Context中該二層以太網接口上存在影響流量轉發的配置，則該配置不生效，流量仍會通過PFC轉發。

¡     如果外部Bypass功能不生效，用戶流量不通過PFC轉發，用戶Context中該二層以太網接口上存在影響流量轉發的配置，則該配置生效，流量按照配置的轉發規則轉發。

·     本功能僅支持在手工創建的透傳模式Bridge轉發實例中配置，對於插入硬件Bypass子卡後設備自動創建的透傳模式Bridge轉發實例，僅支持內部Bypass功能。

·     本功能僅支持在一個手工創建的透傳模式Bridge視圖下配置。加入透傳模式Bridge實例的兩個接口，必須在同一slot上。

·     本功能與接口聯動組不能同時使用。有關接口聯動組的詳細介紹，請參見“高可靠性配置指導”中的“接口聯動組”。

3. 配置內部Bypass功能

(1)     進入係統視圖。

system-view

(2)     進入Bridge視圖。

¡     進入反射模式Bridge視圖。

bridge bridge-index reflect

¡     進入自動創建的透傳模式Bridge視圖。

bridge bridge-index

¡     進入手工創建的透傳模式Bridge視圖。

bridge bridge-index forward

¡     進入黑洞模式Bridge視圖。

bridge bridge-index blackhole

(3)     配置內部Bypass功能。

bypass enable

缺省情況下，Bypass功能處於關閉狀態。

4. 配置外部Bypass功能

(1)     進入係統視圖。

system-view

(2)     進入手工創建的透傳模式Bridge視圖。

bridge bridge-index forward

(3)     配置外部Bypass功能。

bypass enable external [ auto [ check-interval interval ] ]

缺省情況下，Bypass功能處於關閉狀態。

本命令的支持情況與設備的型號有關，具體請參見命令參考。

4.3  Bridge轉發顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示Bridge學習的MAC地址信息。

表4-1 Bridge轉發顯示和維護

5 快速Bridge轉發

5.1  快速Bridge轉發簡介

快速Bridge轉發采用高速緩存來處理報文，采用了基於數據流的技術，可以大大提高轉發效率。

快速Bridge轉發用源IP地址、源端口號、目的IP地址、目的端口號、協議號、輸入接口、輸出接口和VLAN來標識一條數據流。在二層轉發過程中，會根據設備規則，對需要進行三層業務處理的報文，獲取其IP地址等信息，生成IP快速轉發表。當一條數據流的第一個報文轉發後，會在高速緩存中生成相應的轉發信息，該數據流後續報文的轉發就可以通過直接查找快速轉發表進行轉發。這樣便大大縮減了報文的排隊流程，減少報文的轉發時間，提高報文的轉發速率。

快速Bridge轉發是設備默認啟用的特性，不需要配置。

5.2  關閉快速Bridge轉發時對VLAN ID檢查功能

1. 功能簡介

報文攜帶的VLAN ID是設備判斷其所屬TCP會話的依據之一。在防火牆雙機熱備的組網環境下，有時需要報文在主備設備間傳遞後仍可以匹配到同一個會話中，而主備設備上報文入接口所屬VLAN可能不同，此時可以關閉對VLAN ID的檢查以保證報文在主備設備之間傳遞之後能夠匹配到同一會話。

2. 配置限製和指導

僅Inline轉發會對VLAN ID進行檢查，設備使用跨VLAN模式Bridge進行轉發時無需配置本功能，因為跨VLAN模式Bridge轉發不對VLAN ID進行檢查，本功能對跨VLAN模式Bridge轉發不生效。在防火牆雙機熱備的組網環境下，無論是否配置本功能，使用跨VLAN模式Bridge進行快速轉發時，報文在主備設備間傳遞後仍可以匹配到同一個會話中。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     關閉快速Bridge轉發時對VLAN ID檢查功能。

undo bridge fast-forwarding check-vlan-id

缺省情況下，快速二層轉發時對VLAN ID字段的檢查功能處於開啟狀態。

5.3  快速Bridge轉發顯示和維護

在任意視圖下執行display命令可以顯示快速Bridge轉發表信息。

表5-1 快速Bridge轉發顯示和維護