安全设备上的以太网端口切换模式

支持的设备和端口

瞻博网络支持各种以太网端口和设备上的交换功能（请参阅 表 1）。平台是否支持取决于设备安装的 Junos OS 版本。包括以下端口和设备：

• SRX300、SRX320、SRX320 PoE、SRX340、SRX345、SRX550M 和 SRX1500 设备上的板载以太网端口（千兆位和快速以太网内置端口）。

• SRX650 设备上的多端口千兆位以太网 XPIM。

在 SRX100 上。对于 SRX220、SRX240、SRX300、SRX320、SRX340 和 SRX345 设备，您可以将板载千兆以太网端口设置为作为交换端口或路由端口运行。（平台是否支持取决于设备安装的 Junos OS 版本。）

集成桥接和路由

集成桥接和路由 （IRB） 支持同一 VLAN 内同时进行第 2 层交换和第 3 层路由。到达 VLAN 接口的数据包将根据数据包的目标 MAC 地址进行交换或路由。以路由器的 MAC 地址为目标的数据包将被路由到其他第 3 层接口。

链路层发现协议和 LLDP 媒体端点发现

设备使用链路层发现协议 （LLDP） 和 LLDP 媒体端点发现 （MED） 来学习和分发有关网络链路的设备信息。这些信息使设备能够快速识别各种系统，从而形成平稳高效的 LAN。

支持 LLDP 的设备将类型长度值 （TLV） 消息中的信息传输到相邻设备。设备信息可以包括细节，例如机箱和端口标识以及系统名称和系统功能。TLV 利用已在 Junos OS 中配置的参数中的此信息。

LLDP-MED 更进一步，在设备和 IP 电话之间交换 IP 电话消息。这些 TLV 消息提供有关以太网供电 （PoE） 策略的详细信息。PoE 管理 TLV 允许设备端口通告所需的功率级别和电源优先级。例如，该设备可以将在 PoE 接口上运行的 IP 电话所需的功率与可用资源进行比较。如果设备无法满足 IP 电话所需的资源，设备可以与电话协商，直到达成电源折衷方案。

支持以下基本 TLV：

• 机箱标识符 — 与本地系统关联的 MAC 地址。

• 端口标识符 — 本地系统中指定端口的端口标识。

• 端口说明 - 用户配置的端口说明。端口描述最多可包含 256 个字符。

• 系统名称 - 用户配置的本地系统名称。系统名称最多可包含 256 个字符。

• 交换功能概述 — 此信息不可配置，但取自软件。

• 系统功能 - 系统执行的主要功能。系统支持的功能;例如，以太网交换或路由器。此信息不可配置，但基于产品的型号。

• 管理地址 - 本地系统的 IP 管理地址。

支持以下 LLDP-MED TLV：

• LLDP-MED 功能 — 通告端口主要功能的 TLV。值的范围为 0 到 15：

  • 0 - 功能

  • 1 - 网络策略

  • 2 - 位置识别

  • 3—通过介质相关接口电源设备 （MDI-PSE） 扩展电源

  • 4 - 库存

  • 5–15 - 保留

• LLDP-MED 设备类值：

  • 0 - 未定义类

  • 1 - 1 类设备

  • 2 - 2 类设备

  • 3 - 3 类设备

  • 4 - 网络连接设备

  • 5–255— 保留

  注：

  从 Junos OS 15.1X49-D60 版和 Junos OS 17.3R1 版开始，SRX300、SRX320、SRX340、SRX345、SRX550M 和 SRX1500 设备上启用了链路层发现协议 （LLDP） 和 LLDP 媒体端点发现 （MFD）。

• 网络策略 — 通告端口 VLAN 配置以及关联的第 2 层和第 3 层属性的 TLV。属性包括策略标识符、应用程序类型（如语音或流视频）、802.1Q VLAN 标记以及 802.1p 优先级位和 Diffserv 代码点。

• 端点位置 — 通告端点物理位置的 TLV。

• 通过 MDI 扩展电源 — 一种 TLV，用于通告端口的电源类型、电源、电源优先级和功率值。PSE 设备（网络连接设备）负责在端口上通告电源优先级。

必须在 SRX100、SRX210、SRX240、SRX300、SRX320、SRX340 和 SRX345 设备的基本端口上的 uPIM（增强型交换模式下）以及 SRX650 设备上的千兆位背板物理接口模块 （GPIM） 上显式配置 LLDP 和 LLDP-MED。（平台支持取决于安装中的 Junos OS 版本。要在所有接口或特定接口上配置 LLDP，请在 [set protocols] 层次结构级别使用该lldp语句。要在所有接口或特定接口上配置 LLDP-MED，请在 [set protocols] 层次结构级别使用该lldp-med语句。

交换机端口的类型

交换机上的端口或接口在接入模式或中继模式下运行。

访问模式下的接口连接到网络设备，如台式计算机、IP 电话、打印机、文件服务器或安全摄像头。接口本身属于单个 VLAN。通过接入接口传输的帧是正常的以太网帧。

中继接口处理多个 VLAN 的流量，通过同一物理连接对所有这些 VLAN 的流量进行多路复用。中继接口通常用于将交换机相互互连。

菊花链中的 uPIM

不能将多个 uPIM 组合为单个集成交换机。但是，您可以通过以菊花链方式将一个 uPIM 上的端口物理连接到另一个 uPIM 上的端口，从外部连接同一机箱上的 uPIM。

两个或多个 uPIM 以菊花链方式连接在一起，可创建端口数高于任一单个 uPIM 的单个交换机。每个 uPIM 上的一个端口仅用于连接。例如，如果以菊花链形式连接 6 端口 uPIM 和 8 端口 uPIM，则结果将作为 12 端口 uPIM 运行。uPIM 的任何端口都可用于菊花链。

仅为其中一个菊花链 uPIM 配置 IP 地址，使其成为主 uPIM。辅助 uPIM 将流量路由到主 uPIM，后者将其转发到路由引擎。由于外部链接的超额订阅，这会导致延迟和丢包增加。

两个 uPIM 之间仅支持一个链接。在 uPIM 之间连接多个链路会创建不支持的环路拓扑。

Q-in-Q VLAN 标记

Q-in-Q 隧道由 IEEE 802.1ad 标准定义，允许以太网接入网络上的服务提供商在两个客户站点之间扩展第 2 层以太网连接。

在 Q-in-Q 隧道中，当数据包从客户 VLAN （C-VLAN） 传输到服务提供商的 VLAN 时，会将特定于服务提供商的 802.1Q 标记添加到数据包中。此附加标记用于将流量隔离到服务提供商定义的服务 VLAN (S-VLAN) 中。数据包的原始客户 802.1Q 标记将被保留，并以透明传输的方式，通过服务提供商的网络。数据包向下行方向离开 S-VLAN 时，附加的 802.1Q 标记将被删除。

可通过三种方式将 C-VLAN 映射到 S-VLAN：

• 一体化捆绑 — 在 [edit vlans] 层级使用语句进行dot1q-tunneling映射，无需指定客户 VLAN。来自特定接入接口的所有数据包都映射到 S-VLAN。

• 多对一捆绑 — 使用 [edit vlans] 层次结构级别的语句指定customer-vlans将哪些 C-VLAN 映射到 S-VLAN。

• 在特定接口上映射 C-VLAN — 使用 [edit vlans] 层次结构级别的语句将mapping指定接入接口上的特定 C-VLAN 映射到 S-VLAN。

表 2列出了 SRX 系列防火墙支持的 C-VLAN 到 S-VLAN 映射。（平台是否支持取决于设备安装的 Junos OS 版本。）

SRX210、SRX240、SRX340、SRX345 和 SRX650 设备的 Q-in-Q VLAN 支持 IRB 接口。无论是单标记数据包还是双标记数据包，都会路由到达 Q-in-Q VLAN 上的 IRB 接口的数据包。传出路由的数据包仅在退出中继接口时才会包含 S-VLAN 标记；退出接入接口时，数据包为未标记状态。（平台是否支持取决于设备安装的 Junos OS 版本。）

在 Q-in-Q 部署中，来自下行接口的客户数据包在传输时，不会更改 MAC 源地址和目的地址。您可以在接口级别和 VLAN 级别禁用 MAC 地址学习。对某个接口禁用 MAC 地址学习也会禁用包含该接口的所有 VLAN 的地址学习。禁用 VLAN 的 MAC 地址学习后，已学习的 MAC 地址将被清除。

在 SRX100、SRX210、SRX240、SRX300、SRX320、SRX340、SRX345 和 SRX650 设备上（平台支持取决于安装中的 Junos OS 版本），在第 3 层聚合以太网上，不支持以下功能：

• 封装（如 CCC、VLAN CCC、VPLS 和 PPPoE）

• J-Web

• 从 Junos OS 19.4R2 版 开始， 您可以在冗余以太网 （reth） 接口上配置 LLDP。使用命令在 set protocol lldp interface <reth-interface> reth 接口上配置 LLDP。

• SRX550M设备上，不能使用以太网交换家族配置具有 XE 成员接口的聚合以太网 （ae） 接口。

• 在 SRX300、SRX320、SRX340、SRX345 和 SRX550M 设备上，第 3 层接口上的 Q-in-Q 支持具有以下限制：

  • reth 和 ae 接口不支持双重标记。

  • 流模式和机箱群集不支持多拓扑路由。

  • 封装（如 CCC、TCC、VPLS 和 PPPoE）不支持双标记帧

  • 在第 3 层逻辑接口上，input-vlan-mapoutput-vlan-mapinner-range、 、 和 inner-list 不适用

  • 仅支持具有0x8100的 TPID，最大标签数为 2。

  • 只有具有 IPV4 和 IPv6 系列的逻辑接口才接受双标记帧。

• 在 SRX100、SRX210、SRX240、SRX300、SRX320、SRX340、SRX345 和 SRX650 设备上（平台支持取决于安装中的 Junos OS 版本），在 路由 VLAN 接口 （RVI） 上，不支持以下功能：

  • IS-IS（族式 ISO）

  • VLAN 接口上的封装（Ether CCC、VLAN CCC、VPLS、PPPoE 等）

  • CLNS

  • DVMRP

  • VLAN 接口的 MAC 变更

  • G-ARP

  • VLAN 接口的 VLAN ID 变更