Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

第 2 层网络

第 2 层网络概述

第 2 层又称为数据链路层,是用于网络协议设计的七层 OSI 参考模型中的第二层。第 2 层等同于 TCP/IP 网络模型中的链路层(最低层)。第 2 层是用于在广域网中的相邻网络节点之间或同一局域网节点之间传输数据的网络层。

是协议数据单元,是第 2 层网络上最小的比特单位。帧从同一局域网 (LAN) 上的设备传输和接收。解开位,帧具有定义的结构,可用于错误检测、控制平面活动等。并非所有帧都承载用户数据。网络使用一些帧来控制数据链路本身。

在第 2 层, 单播 是指从一个节点向另一个节点发送帧,而 组播 表示从一个节点向多个节点发送流量, 广播 是指将帧传输到网络中的所有节点。广播域是网络的一个逻辑划分,其中网络的所有节点都可以通过广播到达第 2 层。

可以使用 网桥在帧级别连接 LAN 分段。桥接在 LAN 上创建单独的广播域,从而创建 VLAN,这是一种独立的逻辑网络,可将相关设备分组为单独的网段。VLAN 上的设备分组独立于设备在 LAN 中的物理位置。如果没有桥接和 VLAN,以太网 LAN 上的所有设备都位于一个广播域中,并且所有设备都检测到 LAN 上的所有数据包。

转发 是指通过网络中的节点将数据包从一个网段中继到另一个网段。在 VLAN 上,源和目标在同一 VLAN 中的帧仅在本地 VLAN 中转发。网络分段是计算机网络的一部分,其中每个设备都使用相同的物理层进行通信。

第 2 层包含两个子层:

  • 逻辑链路控制 (LLC) 子层,负责管理通信链路和处理帧流量。

  • 媒体访问控制 (MAC) 子层,用于管理对物理网络介质的协议访问。通过使用分配给交换机上所有端口的 MAC 地址,相同物理链路上的多个设备可以相互唯一识别。

    交换机上的端口或接口在访问模式、标记访问模式或中继模式下运行:

    • 接入模式 端口连接到台式计算机、IP 电话、打印机、文件服务器或安全摄像头等网络设备。端口本身属于单个 VLAN。通过接入接口传输的帧是正常的以太网帧。默认情况下,交换机上的所有端口均处于访问模式。

    • 标记访问模式 端口连接到网络设备,例如台式计算机、IP 电话、打印机、文件服务器或安全摄像头。端口本身属于单个 VLAN。通过接入接口传输的帧是正常的以太网帧。默认情况下,交换机上的所有端口均处于访问模式。标记访问模式支持云计算,特别是包括虚拟机或虚拟计算机在内的情景。由于一台物理服务器上可以包含多台虚拟计算机,因此一台服务器生成的数据包可以包含来自该服务器上不同虚拟机的 VLAN 数据包聚合。为适应这种情况,当在该下游端口上学习数据包的目标地址时,标记访问模式会将数据包反射回同一下游端口上的物理服务器。当尚未了解目标时,数据包也会反射回下游端口上的物理服务器。因此,第三个接口模式(标记访问)具有访问模式的某些特征和中继模式的某些特征:

    • 中继模式 端口处理多个 VLAN 的流量,通过相同的物理连接对所有这些 VLAN 的流量进行复用。中继接口通常用于将交换机与其他设备或交换机互连。

      配置本机 VLAN 后,不携带 VLAN 标记的帧将通过中继接口发送。如果您的情况是数据包在接入模式下从设备传递到交换机,然后要通过中继端口从交换机发送这些数据包,请使用本机 VLAN 模式。将交换机端口上的单个 VLAN(处于访问模式)配置为本机 VLAN。然后,交换机的中继端口将以与其他标记的数据包不同的方式处理这些帧。例如,如果一个中继端口分配了三个 VLAN(VLAN 10、20 和 30,其中 VLAN 10 为本机 VLAN),则 VLAN 10 上离开另一端中继端口的帧没有 802.1Q 标头(标记)。还有另一个本机 VLAN 选项。您可以让交换机为未标记的数据包添加和移除标记。为此,您首先将单个 VLAN 配置为连接到边缘设备的端口上的本征 VLAN。然后,将 VLAN ID 标记分配给连接到设备的端口上的单个本征 VLAN。最后,将 VLAN ID 添加到中继端口。现在,当交换机收到未标记的数据包时,它会添加您指定的 ID,并在配置为接受该 VLAN 的中继端口上发送和接收标记的数据包。

包括子层,QFX 系列的第 2 层支持以下功能:

  • 单播、组播和广播流量。

  • 桥。

  • VLAN 802.1Q — 也称为 VLAN 标记,此协议允许多个桥接网络在以太网帧中添加 VLAN 标记,从而透明地共享同一物理网络链路。

  • 使用生成树协议 (STP) 跨多个交换机扩展第 2 层 VLAN 可防止在网络上环路。

  • MAC 学习,包括 per-VLAN MAC 学习和第 2 层学习抑制 – 此过程可获取网络上所有节点的 MAC 地址

  • 链路聚合 — 物理层上的此进程以太网接口组,可形成单个链路层接口,也称为 链路聚合组 (LAG) 或 LAG 束

    注:

    NFX150 设备不支持链路聚合。

  • 物理端口上的单播、组播和广播风暴控制

    注:

    NFX150 设备不支持风暴控制。

  • STP 支持,包括 802.1d、RSTP、MSTP 和 Root Guard

以太网交换和第 2 层透明模式概述

第 2 层透明模式可在不更改现有路由基础架构的情况下部署防火墙。该防火墙部署为具有多个 VLAN 分段的第 2 层交换机,并在 VLAN 分段内提供安全服务。安全电线是第 2 层透明模式的特殊版本,允许部署插件。

当有定义为第 2 层接口的接口时,设备以透明模式运行。如果没有配置为第 2 层接口的物理接口,设备将以路由模式(默认模式)运行。

对于 SRX 系列设备,透明模式可为第 2 层交换功能提供全面的安全服务。在这些 SRX 系列设备上,您可以配置一个或多个 VLAN 来执行第 2 层交换。VLAN 是一组共享相同泛洪或广播特性的逻辑接口。与虚拟 LAN (VLAN) 一样,VLAN 跨越多个设备的一个或多个端口。因此,SRX 系列设备可以作为第 2 层交换机运行,具有多个 VLAN,这些 VLAN 可参与同一第 2 层网络。

在透明模式下,SRX 系列设备过滤遍历设备的数据包,而不会修改 IP 数据包标头中的任何源或目标信息。透明模式可用于保护主要从不受信任来源接收流量的服务器,因为无需重新配置路由器或受保护服务器的 IP 设置。

在透明模式下,设备上的所有物理端口都分配给第 2 层接口。请勿通过设备路由第 3 层流量。第 2 层区域可配置为托管第 2 层接口,并可在第 2 层区域之间定义安全策略。当数据包在第 2 层区域之间传输时,可以在这些数据包上实施安全策略。

表 1 列出了在透明模式下支持和不支持的第 2 层交换的安全功能。

表 1: 透明模式下支持的安全功能

模式类型

支持

不支持

透明模式

  • 应用层网关 (ALG)

  • 防火墙用户身份验证 (FWAUTH)

  • 入侵检测和防御 (IDP)

  • 筛选

  • AppSecure

  • 统一威胁管理 (UTM)

  • 网络地址转换 (NAT)

  • VPN

注:

在 SRX300、SRX320、SRX340、SRX345 和 SRX550M 设备上,DHCP 服务器传播在第 2 层透明模式下不受支持。

此外,SRX 系列设备不在第 2 层透明模式下支持以下第 2 层功能:

  • 生成树协议 (STP)、RSTP 或 MSTP — 用户有责任确保网络拓扑中不存在泛洪环。

  • 互联网组管理协议 (IGMP) 侦听 — IPv4 的主机到路由器信令协议,用于向邻接路由器报告其组播组成员,并确定 IP 组播期间是否存在组成员。

  • 在 802.1Q 数据包中封装的双标记 VLAN 或 IEEE 802.1Q VLAN 标识符(也称为“Q 中的 Q”VLAN 标记)—SRX 系列设备上仅支持未标记或单标记 VLAN 标识符。

  • 无资格的 VLAN 学习,其中仅使用 MAC 地址用于 VLAN 内的学习 — SRX 系列设备上的 VLAN 学习合格;也就是使用 VLAN 标识符和 MAC 地址

此外,在 SRX100、SRX110、SRX210、SRX220、SRX240、SRX300、SRX320、SRX340、SRX345、SRX550 或 SRX650 设备上,部分功能不受支持。(平台支持取决于安装中的 Junos OS 版本。)上述设备上的第 2 层透明模式不支持以下功能:

  • 第 2 层接口上的 G-ARP

  • 任何接口上的 IP 地址监控

  • 通过 IRB 传输流量

  • 路由实例中的 IRB 接口

  • 第 3 层流量的 IRB 接口处理

    注:

    IRB 接口是伪接口,不属于 reth 接口和冗余组。

SRX5000 系列模块端口集中器上的第 2 层透明模式

SRX5000 系列模块端口集中器 (SRX5K-MPC) 支持第 2 层透明模式,并在 SRX 系列设备在第 2 层透明模式下配置时处理流量。

当 SRX5K-MPC 在第 2 层模式下工作时,您可以将 SRX5K-MPC 上的所有接口配置为第 2 层交换端口,以支持第 2 层信息流。

安全处理单元 (SPU) 支持用于第 2 层交换功能的所有安全服务,而 MPC 将入口数据包交付至 SPU,并将由 SPU 封装的出口数据包转发至传出接口。

当 SRX 系列设备在第 2 层透明模式下配置时,您可以通过在物理接口上定义一个或多个逻辑单元(其家族地址类型为 ) Ethernet switching来使 MPC 上的接口在 2 层模式下工作。稍后,您可以继续配置第 2 层安全区域,并在透明模式下配置安全策略。完成此操作后,将设置下一跳跃拓扑来处理入口和出口数据包。

了解安全设备上透明模式的 IPv6 流

在透明模式下,SRX 系列设备过滤遍历设备的数据包,而无需修改数据包 MAC 标头中的任何源或目标信息。透明模式可用于保护主要从不受信任来源接收流量的服务器,因为无需重新配置路由器或受保护服务器的 IP 设置。

当设备上的所有物理接口配置为第 2 层接口时,设备在透明模式下运行。如果在 [edit interfaces interface-name unit unit-number family] 层次结构级别上配置了ethernet-switching选项,则物理接口是第 2 层接。设备上没有定义或启用透明模式的命令。当有定义为第 2 层接口的接口时,设备将以透明模式运行。如果所有物理接口都配置为第 3 层接口,设备将以路由模式(默认模式)运行。

默认情况下,IPv6 流会在安全设备上丢弃。要实现区域、屏幕和防火墙策略等安全功能的处理,您必须为 IPv6 流量 mode flow-based 启用基于流的转发,并在 [edit security forwarding-options family inet6] 层次结构级别使用配置选项。更改模式时,必须重新启动设备。

在透明模式下,您可以将第 2 层区域配置为托管第 2 层接口,并可在第 2 层区域之间定义安全策略。当数据包在第 2 层区域之间传输时,可以在这些数据包上实施安全策略。对于透明模式的 IPv6 流量,支持以下安全功能:

透明模式下 IPv6 流 支持以下安全功能:

  • 逻辑系统

  • IPv6 GTPv2

  • J-Web 界面

  • NAT

  • IPsec VPN

  • 除 DNS、FTP 和 TFTP ALG 外,不支持所有其他 ALG。

为 IPv6 流配置 VLAN 和第 2 层逻辑接口与为 IPv4 流配置 VLAN 和第 2 层逻辑接口相同。您可以选择性地为 VLAN 中的管理流量配置集成路由和桥接 (IRB) 接口。IRB 接口是透明模式下唯一允许的第 3 层接口。SRX 系列设备上的 IRB 接口不支持信息流转发或路由。IRB 接口可使用 IPv4 和 IPv6 地址配置。您可以为 IRB 接口分配一个 IPv6 地址, address 其配置语句 位于 [edit interfaces irb unit number family inet6] 层次结构级别。您可以为 IRB 接口 address 分配一个 IPv4 地址,其配置语句位于 [edit interfaces irb unit number family inet] 层次结构级别。

SRX 系列设备上的以太网交换功能与瞻博网络 MX 系列路由器上的交换功能类似。但是,SRX 系列设备上不支持 MX 系列路由器上支持的所有第 2 层网络功能。请参阅 以太网交换和第 2 层透明模式概述

SRX 系列设备维护包含每个第 2 层 VLAN 的 MAC 地址和关联接口的转发表。IPv6 流处理类似于 IPv4 流。请参阅 VLAN 2 层学习和转发概述

了解安全设备上的 2 层透明模式机箱群集

可在 机箱集群 中连接一对处于第 2 层透明模式的 SRX 系列设备,以提供网络节点冗余。在机箱群集中配置时,一个节点用作主设备,另一个节点用作辅助设备,确保在发生系统或硬件故障时有状态的进程和服务故障转移。如果主设备发生故障,辅助设备将接管信息流处理。

注:

如果主设备在第 2 层透明模式机箱群集中发生故障,则故障设备中的物理端口将失效(关闭)几秒钟,然后再激活(再次启动)。

为了形成机箱群集,一对相同类型的受支持的 SRX 系列设备组合在一起,可以作为单个系统来实施相同的整体安全性。

处于第 2 层透明模式的设备可部署在主动/备份和主动/主动机箱群集配置中。

对于处于第 2 层透明模式的设备,不支持以下机箱群集功能:

  • 无偿 ARP — 冗余组中新选出的初选不能发送无偿 ARP 请求,以通知网络设备在冗余以太网接口链路上发生主要角色更改。

  • IP 地址监控 — 无法检测到上游设备的故障。

冗余组是一种结构,包含两个节点上的对象集合。冗余组主要位于一个节点上,另一个节点为备份组。当一个冗余组在节点上为主时,该节点上的对象将处于活动状态。当冗余组发生故障时,其所有对象会一起故障。

对于活动/主动机箱群集配置,您可以创建一个或多个编号为 1 到 128 的冗余组。每个冗余组都包含一个或多个冗余以太网接口。冗余以太网接口是一种伪接口,包含来自群集每个节点的物理接口。冗余以太网接口中的物理接口必须相同 — 快速以太网或千兆位以太网。如果冗余组在节点 0 上处于活动状态,则节点 0 上所有相关冗余以太网接口的子链路将处于活动状态。如果冗余组未能传递到节点 1,则节点 1 上所有冗余以太网接口的子链路将处于活动状态。

注:

在主动/主动机箱群集配置中,冗余组的最大数量等于您配置的冗余以太网接口数量。在活动/备份机箱群集配置中,支持的最大冗余组数为两个。

在第 2 层透明模式下,在设备上配置冗余以太网接口类似于在第 3 层路由模式下在设备上配置冗余以太网接口,但存在以下差异:第 2 层透明模式下设备上的冗余以太网接口配置为第 2 层 逻辑接口

冗余以太网接口可配置为接入接口(分配给接口上接收的未标记数据包的单个 VLAN ID)或中继接口(接口上接受的 VLAN ID 列表,以及可选接口上接收的未标记数据包的本机 vlan ID)。物理接口(机箱集群中每个节点中的一个)作为儿童接口绑定到父层冗余以太网接口。

在第 2 层透明模式下,MAC 学习基于冗余以太网接口。MAC 表跨机箱集群设备对之间的冗余以太网接口和服务处理单元 (SPU) 同步。

IRB 接口仅用于管理信息流,不能分配给任何冗余以太网接口或冗余组。

对于第 2 层透明模式机箱群集中的设备,可为单个非组件设备提供的所有 Junos OS 屏幕选项。

注:

第 2 层透明模式不支持生成树协议 (STP)。您必须确保部署拓扑中没有环路连接。

在 SRX 设备上配置带外管理

即使设备上定义了第 2 层接口,您也可以将 SRX 系列设备上的带外管理接口配置 fxp0 为第 3 层接口。除了接口,您还可以在设备的 fxp0 网络端口上定义第 2 层和第 3 层接口。

注:

SRX300、SRX320 和 SRX550M 设备上没有 fxp0 带外管理接口。(平台支持取决于安装中的 Junos OS 版本。)

以太网交换

以太网交换使用以太网 MAC 地址信息转发 LAN 分段内或跨 LAN 分段(或 VLAN)的以太网帧。SRX1500 设备上的以太网交换在硬件中使用 ASIC 执行。

从 Junos OS 版本 15.1X49-D40 开始,使用 set protocols l2-learning global-mode(transparent-bridge | switching) 命令在第 2 层透明桥接模式和以太网交换模式之间切换。切换模式后,您必须重新启动设备以使配置生效。 表 2 介绍了 SRX 系列设备上的默认第 2 层全局模式。

表 2: SRX 系列设备上的默认第 2 层全局模式

Junos OS 版本

平台

默认第 2 层全局模式

详细信息

在 Junos OS 15.1X49-D50 版本之前

Junos OS 版本 17.3R1 以后

SRX300、SRX320、SRX340 和 SRX345

交换模式

Junos OS 版本 15.1X49-D50 至 Junos OS 版本 15.1X49-D90

SRX300、SRX320、SRX340 和 SRX345

交换模式

删除设备上的第 2 层全局模式配置时,设备处于透明桥接模式。

Junos OS 版本 15.1X49-D100 从

SRX300、SRX320、SRX340、SRX345、SRX550 和 SRX550M

交换模式

删除设备上的第 2 层全局模式配置时,设备处于交换模式。将层级下的[edit]命令配置set protocols l2-learning global-mode transparent-bridge为切换到透明桥接模式。重新启动设备以使配置生效。

Junos OS 版本 15.1X49-D50 从

SRX1500

透明网桥模式

交换模式中支持的第 2 层协议是链路聚合控制协议 (LACP)。

您可在冗余以太网接口上配置第 2 层透明模式。使用以下命令定义冗余以太网接口:

  • set interfaces interface-name ether-options redundant-parent reth-interface-name

  • set interfaces reth-interface-name redundant-ether-options redundancy-group number

SRX 系列设备上第 2 层交换例外

SRX 系列设备上的交换功能与瞻博网络 MX 系列路由器上的交换功能类似。但是,SRX 系列设备不支持 MX 系列路由器上的以下第 2 层网络功能:

  • 第 2 层控制协议 — 这些协议用于 VPLS 路由实例的客户边缘接口中用于快速生成树协议 (RSTP) 或多生成树协议 (MSTP) 的 MX 系列路由器上。

  • 虚拟交换机路由实例 — MX 系列路由器上使用虚拟交换路由实例对一个或多个 VLAN 进行分组。

  • 虚拟专用 LAN 服务 (VPLS) 路由实例 — VPLS 路由实例在 MX 系列路由器上使用,用于在 VPN 中的一组站点之间实施点对多点 LAN。

了解单播

单播 是指将数据从网络的一个节点发送到另一个节点的行为。相比之下,组播传输会将流量从一个数据节点发送至多个其他数据节点。

未知单播 流量由具有未知目标 MAC 地址的单播帧组成。默认情况下,交换机会将 VLAN 中传输到 VLAN 成员的所有接口的单播帧泛洪。将此类信息流转发至交换机上的接口可能会触发安全问题。LAN 突然被数据包淹没,造成不必要的流量,导致网络性能不佳,甚至网络服务完全丢失。这被称为流量风暴。

为防止风暴,您可以通过配置一个 VLAN 或所有 VLAN 将任何未知单播流量转发至特定中继接口,将未知单播数据包泛滥至所有接口,从而禁用到所有接口。(此通道将未知单播流量传输至单个接口。)

了解交换机上的 2 层广播

在第 2 层网络中, 广播 是指向网络上的所有节点发送流量。

第 2 层广播流量保留在局域网 (LAN) 边界内;称为 广播域。第 2 层广播流量使用 FF:FF:FF:FF:FF:FF:FF:FF 的 MAC 地址发送至广播域。广播域中的每个设备都可识别此 MAC 地址,并在适用时将广播信息流传递至广播域中的其他设备。广播可以与单播(将流量发送到单个节点)或组播(同时向一组节点提供流量)进行比较。

但是,第 3 层广播流量使用广播网络地址发送至网络中的所有设备。例如,如果网络地址为 10.0.0.0,则广播网络地址为 10.255.255.255。在这种情况下,只有属于 10.0.0.0.0 网络的设备才会接收第 3 层广播信息流。不属于此网络的设备会丢弃流量。

广播在以下情况下使用:

  • 地址解析协议 (ARP) 使用广播将 MAC 地址映射到 IP 地址。ARP 将 IP 地址(逻辑地址)动态绑定到正确的 MAC 地址。在发送 IP 单播数据包之前,ARP 会发现配置 IP 地址的以太网接口使用的 MAC 地址。

  • 动态主机配置协议 (DHCP) 使用广播为网段或子网上的主机动态分配 IP 地址。

  • 路由协议使用广播来播发路由。

过多的广播流量有时会造成广播风暴。当在网络上广播消息,并且每个消息提示接收节点通过在网络上广播自己的消息来响应时,就会发生广播风暴。这反过来又会引发进一步的响应,从而产生雪球效应。LAN 突然被数据包淹没,造成不必要的流量,导致网络性能不佳,甚至网络服务完全丢失。

使用增强型第 2 层软件 CLI

增强型第 2 层软件 (ELS) 提供统一的 CLI,用于在 QFX 系列交换机、EX 系列交换机和其他瞻博网络设备(如 MX 系列路由器)上配置和监控第 2 层功能。借助 ELS,您可以在所有这些瞻博网络设备上以相同的方式配置第 2 层功能。

本主题介绍如何了解您的平台是否运行 ELS。其中还解释了如何使用 ELS 配置样式执行一些常见任务。

了解哪些设备支持 ELS

如果您的设备运行的 Junos OS 版本支持 ELS,则会自动支持 ELS。您无需采取任何措施来启用 ELS,也无法禁用 ELS。有关哪些平台和版本支持 ELS 的信息,请参阅 功能浏览器

了解如何使用 ELS 配置第 2 层功能

由于 ELS 提供了统一的 CLI,您现在可以在受支持的设备上以相同的方式执行以下任务:

配置 VLAN

您可以配置一个或多个 VLAN 来执行第 2 层桥接。第 2 层桥接功能包括集成路由和桥接 (IRB),可支持同一接口上的第 2 层桥接和第 3 层 IP 路由。EX 系列和 QFX 系列交换机可作为第 2 层交换机运行,每个交换机都具有多个参与同一第 2 层网络的桥接或广播域。您也可为 VLAN 配置第 3 层路由支持。

要配置 VLAN:

  1. 通过设置唯一 VLAN 名称并配置 VLAN ID 来创建 VLAN:

    使用 VLAN ID 列表选项,您可以选择性地指定 VLAN ID 的范围。

  2. 为 VLAN 至少分配一个接口:

配置本机 VLAN 标识符

EX 系列和 QFX 系列交换机支持接收和转发带有 802.1Q VLAN 标记的路由或桥接以太网帧。通常,将交换机相互连接的中继端口接受未标记的控制数据包,但不接受未标记的数据包。通过在希望接收未标记数据包的接口上配置本机 VLAN ID,您可以使中继端口接受未标记的数据包。

要配置本机 VLAN ID:

  1. 在需要接收未标记数据包的接口上,将接口模式设置为 trunk,该模式指定接口处于多个 VLAN 中,并可在不同 VLAN 之间复用流量。
  2. 配置本机 VLAN ID 并将接口分配给本机 VLAN ID:
  3. 将接口分配给本机 VLAN ID:

配置第 2 层接口

为了确保调整高流量网络以获得最佳性能,请在交换机的网络接口上显式配置一些设置。

要将千兆以太网接口或 10 千兆位以太网接口配置为 trunk 接口:

要将千兆以太网接口或 10 千兆位以太网接口配置为 access 接口:

要将接口分配给 VLAN:

配置第 3 层接口

要配置第 3 层接口,必须将 IP 地址分配给接口。在配置协议家族时指定地址,可将地址分配给接口。inet对于或inet6家族,配置接口 IP 地址。

您可以使用 32 位 IP 版本 4 (IPv4) 地址配置接口,并可选择使用目标前缀(有时称为子网掩码)。IPv4 地址使用 4 字节点缀十进制地址语法(例如 192.168.1.1)。具有目标前缀的 IPv4 地址使用带有附加目标前缀的 4 字节点缀十进制地址语法(例如 192.168.1.1/16)。

要为逻辑单元指定 IP4 地址:

通过使用 16 位值的结肠分隔列表,您可以使用十六位位符号来表示 IP 版本 6 (IPv6) 地址。您可将一个 128 位 IPv6 地址分配给某个接口。

要为逻辑单元指定 IP6 地址:

配置 IRB 接口

集成路由和桥接 (IRB) 支持同一接口上的第 2 层桥接和第 3 层 IP 路由。IRB 允许您将数据包路由到另一个路由接口或配置了第 3 层协议的另一个 VLAN。IRB 接口使设备能够识别发送到本地地址的数据包,以便尽可能对这些数据包进行桥接(交换),并且仅在必要时才进行路由。只要可以交换数据包而无需路由,就可消除多层处理。名为 irb 的接口可用作逻辑路由器,您可以在其中为 VLAN 配置第 3 层逻辑接口。为实现冗余,您可以将 IRB 接口与桥接和虚拟专用 LAN 服务 (VPLS) 环境中的虚拟路由器冗余协议 (VRRP) 实施相结合。

要配置 IRB 接口,请执行以下操作:

  1. 通过分配名称和 VLAN ID 创建第 2 层 VLAN:
  2. 创建 IRB 逻辑接口:
  3. 将 IRB 接口与 VLAN 相关联:

在该接口上配置聚合以太网接口和配置 LACP

使用链路聚合功能聚合一个或多个链路以形成虚拟链路或链路聚合组 (LAG)。MAC 客户端可以将此虚拟链路视为单个链路以增加带宽、在发生故障时提供平滑降级并提高可用性。

要配置聚合以太网接口:

  1. 指定要创建的聚合以太网接口数量:
  2. 指定链路聚合组接口的名称:
  3. 为要标记为 的聚合以太网接口 (aex)(即定义捆绑包)指定最小链路数:
  4. 指定聚合以太网捆绑包的链路速度:
  5. 指定要包含在聚合以太网捆绑包中的成员:
  6. 为聚合以太网捆绑包指定接口族:

对于设备上的聚合以太网接口,可以配置链路聚合控制协议 (LACP)。LACP 捆绑多个物理接口以形成一个逻辑接口。您可在启用 LACP 或不启用 LACP 的情况下配置聚合以太网。

启用 LACP 时,聚合以太网链路的本地和远程侧将交换协议数据单元 (PDU),其中包含有关链路状态的信息。您可以将以太网链路配置为主动传输 PDU,或者将链路配置为被动传输 PDU,仅当它们从另一个链路接收到 LACP PDU 时才发送。链路的一侧必须配置为活动状态,才能使链路正常运行。

要配置 LACP:

  1. 将聚合以太网链路的一侧启用为活动:

  2. 指定接口发送 LACP 数据包的间隔时间:

了解 ELS 配置语句和命令更改

ELS 是在适用于 EX9200 交换机的 Junos OS 12.3R2 版中引入的。ELS 针对支持的 EX 系列和 QFX 系列交换机上的部分第 2 层功能更改了 CLI。

以下部分提供已移至新层次结构级别或在 EX 系列交换机上更改的现有命令列表,作为此 CLI 增强工作量的一部分。这些部分仅作为高级参考提供。有关这些命令的详细信息,请使用所提供的配置语句的链接或请参阅技术文档。

对以太网交换选项层次结构级别的更改

本节概述了层次结构级别的 ethernet-switching-options 更改。

注:

层次 ethernet-switching-options 结构级别已重命名为 switch-options

表 3: 重命名以太网交换选项层次结构

原始层次结构

更改了层次结构

ethernet-switching-options {
    authentication-whitelist {
        ...
    }
}
switch-options {
    ...
    authentication-whitelist {
        ...
    }
}
ethernet-switching-options {
     interfaces interface-name {
        no-mac-learning;
        ...
    }
}
switch-options {
     interfaces interface-name {
         no-mac-learning;
        ...
    }
}
ethernet-switching-options {
    unknown-unicast-forwarding {
        (...)
        }
}
switch-options {
    unknown-unicast-forwarding {
        (...)
        }
}
ethernet-switching-options {
     voip {
         interface (all | [interface-name | access-ports]) {
             forwarding-class (assured-forwarding | best-effort | expedited-forwarding | network-control);
             vlan vlan-name;
                ...
        }
    }
}
switch-options {
     voip {
         interface (all | [interface-name | access-ports]) {
             forwarding-class (assured-forwarding | best-effort | expedited-forwarding | network-control);
             vlan vlan-name;
                ...
        }
    }
}
表 4: RTG 语句

原始层次结构

更改了层次结构

ethernet-switching-options {
    redundant-trunk-group {
        group name {
            description;
            interface interface-name {
                primary;
            }
            preempt-cutover-timer seconds;
            ...
        }
    }
}
switch-options {
    redundant-trunk-group {
        group name {
            description;
            interface interface-name {
                primary;
            }
            preempt-cutover-timer seconds;
            ...
        }
    }
}
表 5: 已删除语句

原始层次结构

更改了层次结构

ethernet-switching-options {
    mac-notification {
        notification-interval seconds;
        ...
    }
}

语句已从层次结构中 switch-options 删除。

ethernet-switching-options {
     traceoptions {
        file filename <files number> <no-stamp> <replace> 
<size size> <world-readable | no-world-readable>;
        flag flag <disable>;
        ...
    }
}

语句已从层次结构中 switch-options 删除。

ethernet-switching-options {
    port-error-disable {
        disable-timeout timeout;
        ...
    }
}
注:

port-error-disable 语句已替换为新声明。

interfaces interface-name family ethernet-switching {
    recovery-timeout seconds;
}

端口镜像层次结构级别更改

注:

语句已从 ethernet-switching-options 层次结构级别移至 forwarding-options 层次结构级别。

表 6: 端口镜像层次结构

原始层次结构

更改了层次结构

ethernet-switching-options {
    analyzer   {
         name {
            ...
        }
    }
}
forwarding-options {
    analyzer   {
         name {
            ...
        }
    }
}

第 2 层控制协议层次结构级别的更改

第 2 层控制协议语句已从 ethernet-switching-options 层次结构移至 protocols 层次结构。

表 7: 2 层控制协议

原始层次结构

更改了层次结构

ethernet-switching-options {
     bpdu-block {
        ...
    }
}
protocols {
     layer2-control {
        bpdu-block {
            ...
        }
    }
}

对 dot1q 隧道语句的更改

dot1q-tunneling 句已替换为新语句,并移至不同的层次结构级别。

表 8: dot1q-tunneling

原始层次结构

更改了层次结构

ethernet-switching-options {
     dot1q-tunneling {
         ether-type (0x8100 | 0x88a8 | 0x9100);
            ...
    }
}
interfaces interface-name {
    ether-options {
        ethernet-switch-profile {
            tag-protocol-id [tpids];
        }
    }
}
interfaces interface-name {
    aggregated-ether-options {
        ethernet-switch-profile {
            tag-protocol-id [tpids];
        }
    }
}

对 L2 学习协议的更改

mac-table-aging-time 句已替换为新语句,并移至不同的层次结构级别。

表 9: mac 表老化时间语句

原始层次结构

更改了层次结构

ethernet-switching-options {
    mac-table-aging-time seconds;
        ...
}
protocols {
     l2-learning {
        global-mac-table-aging-time seconds;
            ...
    }
}

不间断桥接的更改

nonstop-bridging 句已移至不同的层次结构级别。

表 10: 不间断桥接语句

原始层次结构

更改了层次结构

ethernet-switching-options {
    nonstop-bridging;
}
protocols {
    layer2-control {
        nonstop-bridging {
        }
    }
}

端口安全和 DHCP 侦听更改

端口安全和 DHCP 侦听语句已移至不同的层次结构级别。

注:

语句 examine-dhcp 不存在于更改的层次结构中。当 VLAN 上启用其他 DHCP 安全功能时,DHCP 侦听现已自动启用。有关附加信息,请参阅 配置端口安全 (ELS)

表 11: 端口安全语句

原始层次结构

更改了层次结构

 ethernet-switching-options {
     secure-access-port {
         interface (all | interface-name) {
            (dhcp-trusted | no-dhcp-trusted );
             static-ip  ip-address {
                 mac mac-address; 
                 vlan  vlan-name;
            }
        }
         vlan (all | vlan-name) {
            (arp-inspection | no-arp-inspection );
             dhcp-option82 {
                disable;
                     circuit-id {
                     prefix hostname;
                     use-interface-description;
                     use-vlan-id;
                }
                 remote-id {
                     prefix (hostname | mac | none);
                     use-interface-description;
                     use-string string;
                }
                 vendor-id [string];
            }
            (examine-dhcp | no-examine-dhcp);
            }
            (ip-source-guard | no-ip-source-guard);
        }
    }
vlans vlan-name forwarding-options{
    dhcp-security {
        arp-inspection; 
        group group-name {
            interfaceiinterface-name {
                static-ip ip-address {
                    mac mac-address;
                }
            }
            overrides {
                no-option82; 
                trusted; 
            }
        }
        ip-source-guard; 
        no-dhcp-snooping; 
        option-82 {
            circuit-id {
                prefix {
                    host-name; 
                    routing-instance-name;
                }
                use-interface-description (device | logical); 
                use-vlan-id; 
            }
            remote-id {
                host-name; 
                use-interface-description (device | logical); 
                use-string string;
            }
            vendor-id {
                use-string string;
            }
        }
    }
提示:

对于允许的 mac 配置,原始层次结构语句 set ethernet-switching-options secure-access-port interface ge-0/0/2 allowed-mac 00:05:85:3A:82:8 由 ELS 命令取代 set interfaces ge-0/0/2 unit 0 accept-source-mac mac-address 00:05:85:3A:82:8

注:

DHCP 侦听语句已移至不同的层次结构级别。

表 12: DHCP 侦听语句

原始层次结构

更改了层次结构

 ethernet-switching-options {
     secure-access-port {
        dhcp-snooping-file {
            location local_pathname | remote_URL;
            timeout seconds;
            write-interval seconds;
        }
system [
    processes [
        dhcp-service
            dhcp-snooping-file local_pathname | remote_URL;
                write-interval interval;
            }
    }

配置 VLAN 的更改

配置 VLAN 的语句已移至不同的层次结构级别。

注:

从 EX4300 和 EX4600 交换机的 Junos OS 14.1X53-D10 版本开始,启用 xSTP 时,您可以在 VLAN 中包含的部分或所有接口上启用。例如,如果将 VLAN 100 配置为包括接口 ge-0/0/0、ge-0/0/1 和 ge-0/0/2,并且您想要在接口 ge-0/0/0 和 ge-0/0/2 上启用 MSTP,则可以指定 set protocols mstp interface ge-0/0/0set protocols mstp interface ge-0/0/2 命令。在此示例中,您未明确启用接口 ge-0/0/1 上的 MSTP;因此,此接口上未启用 MSTP。

表 13: VLAN 层次结构

原始层次结构

更改了层次结构

 ethernet-switching-options {
     secure-access-port vlan (all | vlan-name{
        mac-move-limit
    }
vlans vlan-name  switch-options {
    mac-move-limit
}
ethernet-switching-options {
    static {
        vlan vlan-id {
            mac mac-address next-hop interface-name;
            ...
        }
    }
}
注:

语句替换为新语句,并已移至不同的层次结构级别。

vlans {
    vlan-name {
        switch-options {
            interface interface-name {
                static-mac mac-address;
                    ...
            }
        }
    }
}
vlans {
    vlan-name {
        interface interface-name { 
            egress;
            ingress;
            mapping (native (push | swap) | policy | tag (push | swap));
            pvlan-trunk;
            ...
        }
    }
}

这些语句已删除。您可以使用 [edit interfaces interface-name unit logical-unit-number family ethernet-switching vlan members vlan-name] 层次结构将接口分配给 VLAN。

vlans {
    vlan-name {
        isolation-id id-number;
            ...
    }
}

语句已删除。

vlans {
    vlan-name {
        interface vlan.logical-interface-number;
            ...
    }
}
注:

语法已更改。

vlans {
    vlan-name {
        interface irb.logical-interface-number;
            ...
    }
}
vlans {
    vlan-name {
        l3-interface-ingress-counting layer-3-interface-name; 
            ...
    }
}

语句将被删除。入口流量将自动跟踪。

vlans {
    vlan-name {
        no-local-switching;
            ...
    }
}

语句将被删除。

vlans {
    vlan-name {
        no-mac-learning;
            ...
    }
}

语句已移至不同的层次结构。

vlans {
    vlan-name {
        switch-options {
            no-mac-learning limit 
                ...
        }
    }
}
vlans {
    vlan-name {
        primary-vlan vlan-name;
            ...
    }
}

语句已删除。

vlans {
    vlan-name {
        vlan-prune;
            ...
    }
}

语句将被删除。

vlans {
    vlan-name {
        vlan-range vlan-id-low-vlan-id-high;
            ...
    }
}
注:

语句已替换为新声明。

vlans {
    vlan-name {
        vlan-id-list [vlan-id-numbers];
            ...
    }
}
vlans {
    vlan-name {
        l3-interface vlan.logical-interface-number;
            ...
    }
}
注:

语法已更改。

vlans {
    vlan-name {
        interface irb.logical-interface-number;
            ...
    }
}
表 14: 语句迁移到不同的层次结构

原始层次结构

更改了层次结构

vlans {
    vlan-name {
        dot1q-tunneling {
            customer-vlans (id | native | range);
            layer2-protocol-tunneling all | protocol-name {
                drop-threshold number;
                shutdown-threshold number;
                    ...
            }
        }
    }
}

对于 dot1q-tunneling

interface interface-name {
    encapsulation extended-vlan-bridge; 
    flexible-vlan-tagging; 
    native-vlan-id number; 
    unit logical-unit-number {
        input-vlan-map action; 
        output-vlan-map action;
        vlan-id number;
        vlan-id-list [vlan-id vlan-idvlan-id];
    }
}

对于 layer2-protocol-tunneling (接口上启用的 MAC 重写):

protocols {
    layer2-control {
        mac-rewrite {
            interface interface-name {
                protocol {
                    ...
                }
            }
        }
    }
}
vlans {
    vlan-name {
        filter{
            input  filter-name
            output  filter-name;
            ...
        }
    }
}
vlans {
    vlan-name {
        forwarding-options {
            filter{
                input  filter-name
                output  filter-name;
                ...
            }
        }
    }
}
vlans {
    vlan-name {
        mac-limit limit action action;
            ...
    }
}
vlans {
    vlan-name {
        switch-options {
            interface-mac-limit limit {
                packet-action action;
                ...
            }
        }
    }
}
vlans {
    vlan-name {
        switch-options {
            interface interface-name {
                interface-mac-limit limit {
                    packet-action action;
                    ...
                }
            }
        }
    }
}
vlans {
    vlan-name {
        mac-table-aging-time seconds;
            ...
    }
}
protocols {
     l2-learning {
        global-mac-table-aging-time seconds;
            ...
    }
}

风暴控制配置文件更改

风暴控制配置为两个步骤。第一步是在层次结构级别创建风暴控制配置文件 [edit forwarding-options] ,第二步是将配置文件绑定到层次结构级别的 [edit interfaces] 逻辑接口。请参阅 示例:为更改的过程配置风暴控制以防止 EX 系列交换机上 的网络中断。

表 15: 风暴控制配置文件层次结构级别的更改

原始层次结构

更改了层次结构

ethernet-switching-options {
    storm-control {
        (...)
        }
}
forwarding-options {
    storm-control-profiles profile-name {
        (...)
        }
    }
interfaces interface-name unit number family ethernet-switching {
    storm-control storm-control-profile;
}

接口层次结构更改

注:

语句已移至不同的层次结构。

表 16: 接口层次结构更改

原始层次结构

更改了层次结构

interfaces interface-name {
    ether-options {
        link-mode mode;
        speed (auto-negotiation | speed)
    }
}
interfaces interface-name {
    link-mode mode;
    speed speed)
}
interfaces interface-name {
    unit logical-unit-number {
        family ethernet-switching {
            native-vlan-id vlan-id 
        }
    }
}
interfaces interface-name {
    native-vlan-id vlan-id
}
interfaces interface-name {
    unit logical-unit-number {
        family ethernet-switching {
            port-mode mode 
        }
    }
}
注:

语句已替换为新声明。

interfaces interface-name {
    unit logical-unit-number {
        family ethernet-switching {
            interface-mode mode 
        }
    }
}
interfaces vlan
注:

语句已替换为新声明。

interfaces irb

IGMP 侦听更改

表 17: IGMP 侦听层次结构

原始层次结构

更改了层次结构

protocols {
    igmp-snooping {
        traceoptions  {
            file filename <files number> <no-stamp> <replace> <size maximum-file-size> <world-readable | no-world-readable>;
            flag flag <flag-modifier> <disable>;
        }
        vlan (all | vlan-identifier) {
            disable;
            data-forwarding {
                receiver {
                    install;
                    source-vlans vlan-name;
                }
                source {
                    groups ip-address;
                }
            }
            immediate-leave;
            interface (all | interface-name) {
                multicast-router-interface;
                static {
                    group multicast-ip-address;
                }
            }
            proxy {
                source-address ip-address;
            }
            robust-count number;
        }
    }
}
protocols {
    igmp-snooping {
        vlan vlan-name {
                data-forwarding {
                    receiver {
                        install;
                        source-list vlan-name;
                        translate;
                    }
                    source {
                        groups ip-address;
                    }
                }
            immediate-leave;
                interface (all | interface-name) {
                    group-limit <1..65535>
                    host-only-interface
                    multicast-router-interface;
                    immediate-leave;
                    static {
                        group multicast-ip-address {
                            source <>
                        }
                    }
                }
            }
            l2-querier {
                source-address ip-address;
            }
            proxy {
                source-address ip-address;
            }
            query-interval number;
            query-last-member-interval number;
            query-response-interval number;
            robust-count number;
            traceoptions  {
                file filename <files number> <no-stamp> <replace> <size maximum-file-size> <world-readable | no-world-readable>;
                flag flag <flag-modifier>;
            }
        }
    }
}

增强型第 2 层 CLI 配置语句和安全设备的命令更改

从 Junos OS 15.1X49-D10 版和 Junos OS 17.3R1 版开始,部分第 2 层 CLI 配置语句得到增强,部分命令将更改。 表 18表 19 提供已移动到 SRX 系列设备上的新层次结构或更改的现有命令列表,作为此 CLI 增强功能的一部分。这些表仅作为高级参考提供。有关这些命令的详细信息,请参阅 CLI Explorer

表 18: 增强型第 2 层配置语句更改

原始层次结构

更改了层次结构

层次结构级别

更改说明

bridge-domains bridge-domain--name {
    ...
    }
}
vlans vlans-name {
    ...
    }
}

[编辑]

层次结构重命名。

bridge-domains bridge-domain--name {
    vlan-id-list [vlan-id] ;
}
vlans vlans-name {
    vlan members [vlan-id] ;
}

[编辑 vlans vlans-name]

语句已重命名。

bridge-options {
    interface interface-name { 
        encapsulation-type;
        ignore-encapsulation-mismatch;
        pseudowire-status-tlv;
        static-mac mac-address {
            vlan-id vlan-id;
        }
    }
    mac-table-aging-time seconds;
    mac-table-size {
        number;
        packet-action drop;
    }
}
switch-options {
    interface interface-name { 
        encapsulation-type;
        ignore-encapsulation-mismatch;
        pseudowire-status-tlv;
        static-mac mac-address {
            vlan-id vlan-id;
        }
    }
    mac-table-aging-time seconds;
    mac-table-size {
        number;
        packet-action drop;
    }
}

[编辑 vlans vlans-name]

语句已重命名。

bridge {
    block-non-ip-all;
    bpdu-vlan-flooding;
    bypass-non-ip-unicast;
    no-packet-flooding {
        no-trace-route;
    }
}
ethernet-switching {
    block-non-ip-all;
    bpdu-vlan-flooding;
    bypass-non-ip-unicast;
    no-packet-flooding {
        no-trace-route;
    }
}

[编辑安全流]

语句已重命名。

family {
    bridge {
        bridge-domain-type (svlan| bvlan);
    ...
family {
    ethernet-switching {
    ...

[编辑接口 interface-name ]单位 unit-number

层次结构重命名。

...
routing-interface  irb.0;
...
...
l3-interface  irb.0;
...

[编辑 vlans vlans-name]

语句已重命名。

表 19: 增强型 2 层操作命令更改

原始操作命令

修改后的操作命令

清桥 mac 表

清除以太网交换表

清桥 mac 表持久学习

清晰的以太网交换表持久学习

show bridge 域

show vlans

show bridge mac 表

显示以太网交换表

show l2 学习界面

show ethernet-switching 接口

注:

SRX300、SRX320 和 SRX500HM 设备上没有 fxp0 带外管理接口。(平台支持取决于安装中的 Junos OS 版本。)

ACX 系列第 2 层下一代模式

ACX5048、ACX5096 和 ACX5448 路由器支持第 2 层下一代模式,也称为增强型第 2 层软件 (ELS),用于配置第 2 层功能。ACX5048、ACX5096 和 ACX5448 路由器的第 2 层 CLI 配置和 show 命令与其他 ACX 系列路由器(ACX1000、ACX1100、ACX2000、ACX2100、ACX2200 和 ACX4000)和 MX 系列路由器不同。

表 20 显示了在下一代模式下配置第 2 层功能的 CLI 层次结构中的差异。

表 20: 第 2 层下一代模式中第 2 层功能在 CLI 层次结构中的差异

功能

ACX1000、ACX1100、ACX2000、ACX2100、ACX2200、ACX4000 和 MX 系列路由器

ACX5048、ACX5096 和 ACX5448 路由器

桥接域

[edit bridge-domains bridge-domain-name]

[edit vlans vlan-name]

家庭 bridge

[edit interfaces interface-name unit unit-number family bridge]

[edit interfaces interface-name unit unit-number family ethernet-switching]

2 层选项

[edit bridge-domains bridge-domain-name bridge-options]

[edit vlans vlan-name switch-options]

以太网选项

[edit interfaces interface-name gigether-options]

[edit interfaces interface-name ether-options]

集成路由和桥接 (IRB)

[edit bridge-domains bridge-domain-name] routing-interface irb.unit;

[edit vlans vlan-name] l3-interface irb.unit;

风暴控制

[edit vlans vlan-name forwarding-options flood filter filter-name]

[edit forwarding-options storm-control-profiles]

[edit interfaces interface-name ether-options] storm-control name; recovery-timeout interval;

互联网组管理协议 (IGMP) 侦听

[edit bridge-domains bridge-domain-name protocols igmp-snooping]

[edit protocols igmp-snooping vlan vlan-name]

系列 bridge 防火墙过滤器

[edit firewall family bridge]

[edit firewall family ethernet-switching]

表 21 显示了第 2 层下一代模式下 show 第 2 层功能的命令差异。

表 21: 在第 2 层下一代模式下显示 2 层功能的 show 命令中的差异

功能

ACX1000、ACX1100、ACX2000、ACX2100、ACX2200、ACX4000 和 MX 系列路由器

ACX5048、ACX5096 和 ACX5448 路由器

VLAN

show bridge-domain

show vlans

MAC 表

show bridge mac-table

show ethernet-switching table

MAC 表选项

show bridge mac-table(MAC 地址、桥接域名、接口、VLAN ID 和实例)

show ethernet-switching table

具有 VLAN 分配的交换机端口列表

show l2-learning interface

show ethernet-switching interfaces

齐平数据库的内核状态

show route forwarding-table family bridge

show route forwarding-table family ethernet-switching

发布历史记录表
版本
说明
15.1X49-D40
从 Junos OS 版本 15.1X49-D40 开始,使用 set protocols l2-learning global-mode(transparent-bridge | switching) 命令在第 2 层透明桥接模式和以太网交换模式之间切换。
15.1X49-D10
从 Junos OS 15.1X49-D10 版和 Junos OS 17.3R1 版开始,部分第 2 层 CLI 配置语句得到增强,部分命令将更改。