第 2 层网络 |Junos OS |瞻博网络

第 2 层网络概述

第 2 层又称为数据链路层，是网络协议设计七层 OSI 参考模型中的第二层。第 2 层等同于 TCP/IP 网络模型中的链路层（最底层）。第 2 层是用于在广域网中的相邻网络节点之间或同一局域网的节点之间传输数据的网络层。

帧是用来表示协议数据的单位，也是第 2 层网络中最小的比特流单位。同一局域网（LAN）上的设备之间可以进行帧的传输和接收。与比特不同，帧具有清晰的结构，可用于错误检测、控制平面活动等。并非所有帧都携带用户数据。网络会使用某些帧来控制数据链路本身。

在第 2 层，单播是指从一个节点向另外一个节点发送帧，而组播表示从一个节点向多个节点发送流量，广播是指向网络中的所有节点传输帧。 广播域 是网络的逻辑划分，通过广播可到达该网络第 2 层的所有广播节点。

可以使用网桥在帧级别连接 LAN 的各个网段。桥接可在 LAN 上创建单独的广播域，从而搭建 VLAN 网络，该网络是一种独立的逻辑网络，可将相关设备分组到不同的网段中。VLAN 上的设备分组与设备在 LAN 中的物理位置无关。如果没有桥接和 VLAN，以太网 LAN 上的所有设备均会处于一个广播域中，并且所有设备都会检测到 LAN 上的全部数据包。

转发是指在网络中通过节点将数据包从一个网段中继到另一个网段。在 VLAN 上，源地址和目的地址在同一 VLAN 中的帧仅会在本地 VLAN 中进行转发。网段是计算机网络的一部分，其中的每个设备都使用相同的物理层进行通信。

第 2 层包含两个子层：

逻辑链路控制（LLC）子层负责管理通信链路并处理帧流量。
媒体访问控制（MAC）子层用于管理对物理网络介质的协议访问。通过使用交换机上所有端口的已分配 MAC 地址，相同物理链路上的多个设备可以相互唯一识别。

交换机上的端口或接口可以在接入模式、标记访问模式或中继模式运行：
- 接入模式 端口可以连接台式计算机、IP 电话、打印机、文件服务器或安全摄像机等网络设备。端口本身属于单个 VLAN 的一部分。通过接入接口传输的帧是正常的以太网帧。默认情况下，交换机上的所有端口均处于接入模式。
- 标记访问模式 端口可以连接台式计算机、IP 电话、打印机、文件服务器或安全摄像机等网络设备。端口本身属于单个 VLAN 的一部分。通过接入接口传输的帧是正常的以太网帧。默认情况下，交换机上的所有端口均处于接入模式。标记访问模式支持云计算，具体包括虚拟机或虚拟计算机在内的场景。由于一台物理服务器上可以包含多台虚拟计算机，因此一台服务器生成的数据包可以包含来自该服务器上不同虚拟机的 VLAN 数据包聚合。为了支持这种情况，当交换机在该下行端口上学习了数据包的目的地址后，标记访问模式会将数据包反射到同一个下行端口上的物理服务器。即使未学习目的地址，数据包也会被反射到下行端口的物理服务器上。因此，第三种接口模式（标记访问模式）具有接入模式和中继模式的某些特征：
- 中继模式 端口可以处理多个 VLAN 的流量，并可通过同一物理连接对所有这些 VLAN 的流量进行多路复用。中继接口通常用于将交换机与其他设备或交换机进行互连。
  
  在配置了本征 VLAN 的情况下，不携带 VLAN 标记的帧将通过中继接口发送。如果遇到在接入模式中将数据包从设备传输到交换机，而且希望随后通过中继端口从交换机发送这些数据包的情况，请使用本征 VLAN 模式。将交换机端口（处于接入模式）上的单个 VLAN 配置为本征 VLAN。然后，交换机的中继端口将以区别于其他标记数据包的方式处理这些帧。例如，如果为一个中继端口分配了三个 VLAN（VLAN 10、VLAN 20 和 VLAN 30，其中 VLAN 10 为本征 VLAN），则 VLAN 10 上从另一端的中继端口离开的帧就不会有 802.1Q 标头（标记）。还有另一个本征 VLAN 选项。您可以通过交换机为无标记数据包添加和删除标记。要进行该操作，首先将单个 VLAN 配置为边缘设备连接端口上的本征 VLAN。然后，将 VLAN ID 标记分配至设备连接端口上的单个本征 VLAN。最后，将 VLAN ID 添加至中继端口。现在，当交换机收到未标记的数据包时，它就会添加您指定的 ID，并在已配置好接受 VLAN 的中继端口上发送和接收带标记的数据包。

QFX 系列上的第 2 层（包括子层）支持以下功能：

单播、组播和广播流量。
桥接。
VLAN 802.1Q — 此协议也称为 VLAN 标记，通过将 VLAN 标记添加到以太网帧，允许多个桥接网络透明地共享同一物理网络链路。
使用生成树协议（STP）在多个交换机之间实现第 2 层 VLAN 扩展可避免跨网络环路的出现。
MAC 学习，包括基于 VLAN 的 MAC 学习和第 2 层学习抑制 — 此过程获取网络上所有节点的 MAC 地址
链路聚合 — 此过程将物理层的以太网接口分组，形成单个链路层接口，也称为 链路聚合组（LAG） 或 LAG 束

注意：
NFX150 设备不支持链路聚合。
物理端口上的单播、组播和广播风暴控制

注意：
NFX150 设备不支持风暴控制。
支持 STP 协议，包括 802.1 d、RSTP、MSTP 和 Root Guard

了解 VLAN

VLAN（虚拟 LAN）是组合在一起构成单独广播域的网络节点的集合。在单个 LAN 的以太网网络上，所有流量都会转发到 LAN 上的所有节点。在 VLAN 上，源地址和目的地址在同一 VLAN 中的帧仅会在本地 VLAN 中进行转发。不发往本地 VLAN 的帧是唯一转发至其他广播域的帧。因此，VLAN 限制了通过整个 LAN 的流量，从而减少了 VLAN 内和整个 LAN 上可能出现的冲突次数和数据包重新传输的次数。

在以太网 LAN 上，所有网络节点都必须物理连接到同一个网络。在 VLAN 上，节点的物理位置并不重要;因此，您可以按照任何适合贵组织的方式对网络设备进行分组，例如按部门或业务职能部门、按网络节点类型或按物理位置。每个 VLAN 都由单个 IP 子网和标准化的 IEEE 802.1Q 封装标识。

为了识别流量属于哪个 VLAN，以太网 VLAN 上的所有帧都由标记标识，如 IEEE 802.1Q 标准中所定义。这些帧会进行标记，并用 802.1Q 标记封装。

对于只有一个 VLAN 的简单网络，所有流量都具有相同的 802.1Q 标记。将以太网 LAN 划分为多个 VLAN 时，每个 VLAN 都由一个唯一的 802.1Q 标记标识。标记将应用于所有帧，以便接收帧的网络节点知道帧属于哪个 VLAN。中继端口在多个 VLAN 之间进行多路传输流量，使用标记来确定帧的来源以及帧的转发位置。

以太网交换和第 2 层透明模式概述

第 2 层透明模式提供了部署防火墙的能力，而无需更改现有路由基础架构。防火墙部署为具有多个 VLAN 分段的第 2 层交换机，并在 VLAN 分段内提供安全服务。安全布线是第 2 层透明模式的特殊版本，允许线内碰撞部署。

当存在定义为第 2 层接口的接口时，设备将在透明模式下运行。如果没有物理接口配置为第 2 层接口，则设备将在路由模式（默认模式）下运行。

对于 SRX 系列防火墙，透明模式可为2 层交换功能提供完整的安全服务。在这些 SRX 系列防火墙上，您可以配置一个或多个 VLAN 来执行第 2 层交换。VLAN 是一组具有相同泛洪或广播特征的逻辑接口。与虚拟 LAN （VLAN）一样，VLAN 跨越多个设备的一个或多个端口。因此，SRX 系列防火墙可以用作具有多个 VLAN 且加入同一第 2 层网络的第 2 层交换机。

在透明模式下，SRX 系列防火墙过滤遍历设备的数据包，而不修改 IP 数据包标头中的任何源或目标信息。透明模式可用于保护主要从不受信任源接收流量的服务器，因为无需重新配置路由器或受保护服务器的 IP 设置。

在透明模式下，设备上的所有物理端口都分配给第 2 层接口。请勿通过设备路由第 3 层流量。第 2 层区域可以配置为托管第 2 层接口，并且可以在第 2 层区域之间定义安全策略。当数据包在第 2 层区域之间传输时，可以对这些数据包实施安全策略。

表 1 列出了 2 层交换在透明模式中支持和不支持的安全功能。

表 1：透明模式下支持的安全性功能
模式类型	支持	不支持
透明模式	应用层网关（ALG）防火墙用户身份验证（FWAUTH）入侵检测和防御（IDP）筛选 AppSecure 内容安全性	网络地址转换（NAT） VPN

注意：

在 SRX300、SRX320、SRX340、SRX345 和 SRX550M 设备上，第 2 层透明模式不支持 DHCP 服务器传播。

此外，SRX 系列防火墙在第 2 层透明模式中不支持以下第 2 层功能：

生成树协议（STP）、RSTP 或 MSTP — 用户有责任确保网络拓扑中不存在泛洪环路。
互联网组管理协议（IGMP）窥探 — 用于 IPv4 的主机到路由器信令协议，用于向相邻路由器报告其组播组成员资格，并确定在 IP 组播期间组成员是否存在。
封装在 802.1Q 数据包中的双标记 VLAN 或 IEEE 802.1Q VLAN 标识符（也称为“Q in Q”VLAN 标记）— SRX 系列防火墙仅支持未标记或单标记 VLAN 标识符。
不合格 VLAN 学习，其中仅 MAC 地址用于 VLAN 内的学习 - 在 SRX 系列防火墙上进行 VLAN 学习是合格的;也就是说，同时使用 VLAN 标识符和 MAC 地址。

此外，在 SRX100、SRX110、SRX210、SRX220、SRX240、SRX300、SRX320、SRX340、SRX345、SRX550 或 SRX650 设备上，不支持某些功能。（平台是否支持取决于设备安装的 Junos OS 版本。）上述设备上的第 2 层透明模式不支持以下功能：

第 2 层接口上的 G-ARP
任何接口上的 IP 地址监控
通过 IRB 的中转流量
路由实例中的 IRB 接口
第 3 层流量的 IRB 接口处理

注意：
IRB 接口是伪接口，不属于 reth 接口和冗余组。

SRX5000线模块上的第 2 层透明模式端口集中器
了解安全性设备上透明模式下的 IPv6 流
了解安全性设备上的第 2 层透明模式机箱群集
在 SRX 系列防火墙上配置带外管理
以太网交换
SRX 系列设备上的第 2 层交换异常

SRX5000线模块上的第 2 层透明模式端口集中器

SRX5000 系列模块端口集中器（SRX5K-MPC）支持第 2 层透明模式，当 SRX 系列防火墙配置为第 2 层透明模式时，SRX 系列防火墙会处理流量。

当 SRX5K-MPC 在第 2 层模式下运行时，您可以将 SRX5K-MPC 上的所有接口配置为第 2 层交换端口，以支持第 2 层流量。

安全处理单元（SPU）支持用于 2 层交换功能的所有安全服务，MPC 将入口数据包传送至 SPU，并将经 SPU 封装的出口数据包转发至传出接口。

在第 2 层透明模式下配置 SRX 系列防火墙时，可在物理接口上定义一个或多个逻辑单元（家族地址类型为 Ethernet switching），使 MPC 上的接口能够在第 2 层模式下工作。稍后，您可以继续配置第 2 层安全区域，并在透明模式下配置安全策略。完成此操作后，将设置下一跳拓扑来处理入口和出口数据包。

了解安全性设备上透明模式下的 IPv6 流

在透明模式下，SRX 系列防火墙过滤遍历设备的数据包，而不修改数据包 MAC 标头中的任何源或目标信息。透明模式可用于保护主要从不受信任源接收流量的服务器，因为无需重新配置路由器或受保护服务器的 IP 设置。

当设备上的所有物理接口均配置为第 2 层接口时，设备将在透明模式下运行。如果物理接口的逻辑接口在层次结构级别上配置了 ethernet-switching [edit interfaces interface-name unit unit-number family] 选项，则其逻辑接口是第 2 层接口。设备上没有用于定义或启用透明模式的命令。当存在定义为第 2 层接口的接口时，设备将在透明模式下运行。如果所有物理接口均配置为第 3 层接口，则设备将在路由模式（默认模式）下运行。

默认情况下，IPv6 流在安全设备上会被丢弃。要按安全功能（如区域、筛选和防火墙策略）进行处理，必须使用 [edit security forwarding-options family inet6] 层级的配置选项为 mode flow-based IPv6 流量启用基于流的转发。更改模式时，必须重新启动设备。

在透明模式下，您可以将第 2 层区域配置为托管第 2 层接口，并且可以在第 2 层区域之间定义安全策略。当数据包在第 2 层区域之间传输时，可以对这些数据包实施安全策略。透明模式中的 IPv6 流量支持以下安全功能：

2 层安全区域和安全策略。请参阅了解第 2 层安全性区域和了解透明模式下的安全性策略。
防火墙用户身份验证。请参阅了解透明模式下的防火墙用户身份验证。
第 2 层透明模式机箱群集。
服务类功能。请参阅透明模式下的服务等级功能概述。

透明模式中的 IPv6 流不支持 以下安全功能：

逻辑系统
IPv6 GTPv2
J-Web 界面
NAT
IPsec VPN
除 DNS、FTP 和 TFTP ALG 外，不支持所有其他 ALG。

为 IPv6 流配置 VLAN 和第 2 层逻辑接口与为 IPv4 流配置 VLAN 和第 2 层逻辑接口相同。您可以选择性地为 VLAN 中的管理流量配置集成路由和桥接（IRB）接口。IRB 接口是透明模式中唯一允许的第 3 层接口。SRX 系列防火墙上的 IRB 接口不支持流量转发或路由。IRB 接口可以配置 IPv4 和 IPv6 地址。您可以在 [edit interfaces irb unit number family inet6] 层次结构级别使用配置语句为 address IRB 接口分配 IPv6 地址。您可以在层次结构级别使用edit interfaces irb unit number family inet配置语句为 address IRB 接口分配 IPv4 地址。

SRX 系列防火墙上的以太网交换功能与瞻博网络 MX 系列路由器上的交换功能类似。但是，并非 MX 系列路由器上支持的所有第 2 层网络功能在 SRX 系列防火墙上受支持。请参阅以太网交换和第 2 层透明模式概述。

SRX 系列防火墙维护转发表，其中包含每个第 2 层 VLAN 的 MAC 地址和关联接口。IPv6 流处理与 IPv4 流类似。请参阅 VLAN 的第 2 层学习和转发概述。

了解安全性设备上的第 2 层透明模式机箱群集

一对处于第 2 层透明模式的 SRX 系列防火墙可以连接到机箱群集中，以提供网络节点冗余。在机箱群集中配置时，一个节点充当主设备，另一个作为辅助设备，确保在发生系统或硬件故障时进行有状态的进程和服务故障切换。如果主设备发生故障，辅助设备将接管流量处理。

注意：

如果主设备在第 2 层透明模式机箱群集中发生故障，则故障设备中的物理端口将变为非活动状态（关闭）几秒钟，然后再次变为活动状态（启动）。

要形成机箱群集，将一对受支持的相同类型的 SRX 系列防火墙组合成一个系统，以实施相同的整体安全性。

第 2 层透明模式中的设备可以部署在主动/备份和主动/主动机箱群集配置中。

第 2 层透明模式中的设备不支持以下机箱群集功能：

无偿 ARP — 冗余组中新当选的主数据库无法发送无偿 ARP 请求，以通知网络设备冗余以太网接口链路上的主角色发生变化。
IP 地址监控 — 无法检测到上游设备的故障。

冗余组是一种结构，它包括两个节点上的对象集合。冗余组在一个节点上是主节点，在另一个节点上是备份组。当冗余组是节点上的主节点时，该节点上的对象处于活动状态。当冗余组故障转移时，其所有对象都会一起故障转移。

您可以为主动/主动机箱群集配置创建一个或多个编号为 1 到 128 的冗余组。每个冗余组都包含一个或多个冗余以太网接口。冗余以太网接口是一种伪接口，其中包含来自群集中每个节点的物理接口。冗余以太网接口中的物理接口必须是同类接口，可以是快速以太网，也可以是千兆以太网。如果节点 0 上的冗余组处于活动状态，则节点 0 上所有关联冗余以太网接口的子链路均处于活动状态。如果冗余组故障转移到节点 1，则节点 1 上所有冗余以太网接口的子链路将变为活动状态。

注意：

在主动/主动机箱群集配置中，冗余组的最大数量等于您配置的冗余以太网接口数量。在主动/备份机箱群集配置中，支持的最大冗余组数为 2。

在第 2 层透明模式的设备上配置冗余以太网接口与在第 3 层路由模式下的设备上配置冗余以太网接口类似，但区别如下：第 2 层透明模式设备上的冗余以太网接口配置为第 2 层逻辑接口。

冗余以太网接口可以配置为接入接口（为接口上接收的未标记数据包分配一个 VLAN ID）或中继接口（接口上接受的 VLAN ID 列表，以及接口上接收的未标记数据包的本机 VLAN ID）。物理接口（机箱群集中每个节点一个）作为子接口绑定到父冗余以太网接口。

在第 2 层透明模式中，MAC 学习基于冗余以太网接口。MAC 表在机箱群集设备对之间的冗余以太网接口和服务处理单元（SPU）之间同步。

IRB 接口仅用于管理流量，不能分配给任何冗余以太网接口或冗余组。

可用于单个非群集设备的所有 Junos OS 屏幕选项都可用于第 2 层透明模式机箱群集中的设备。

注意：

第 2 层透明模式不支持生成树协议（STP）。必须确保部署拓扑中没有环路连接。

在 SRX 系列防火墙上配置带外管理

您可以将 fxp0 SRX 系列防火墙上的带外管理接口配置为第 3 层接口，即使设备上定义了第 2 层接口也是如此。除接口外 fxp0 ，您可以在设备的网络端口上定义第 2 层和第 3 层接口。

注意：

SRX300、SRX320 和 SRX550M 设备上没有 fxp0 带外管理接口。（平台是否支持取决于设备安装的 Junos OS 版本。）

以太网交换

以太网交换使用以太网 MAC 地址信息在 LAN 段（或 VLAN）内或 LAN 段（或 VLAN）之间转发以太网帧。SRX1500 设备上的以太网交换是使用 ASIC 在硬件中执行的。

从 Junos OS 15.1X49-D40 版开始，使用该 set protocols l2-learning global-mode(transparent-bridge | switching) 命令在第 2 层透明网桥模式和以太网交换模式之间切换。切换模式后，必须重新启动设备才能使配置生效。表 2 介绍了 SRX 系列防火墙的默认第 2 层全局模式。

表 2：SRX 系列设备上的默认第 2 层全局模式
Junos OS 版本	平台	默认第 2 层全局模式	详情
早于 Junos OS 15.1X49-D50 版本以及 Junos OS 17.3R1 及更高版本	SRX300、SRX320、SRX340 和 SRX345	交换模式	无
Junos OS 15.1X49-D50 版本至 Junos OS 15.1X49-D90 版本	SRX300、SRX320、SRX340 和 SRX345	交换模式	删除设备上的第 2 层全局模式配置时，设备将处于透明网桥模式。
Junos OS 15.1X49-D100 及更高版本	SRX300、SRX320、SRX340、SRX345、SRX550 和 SRX550M	交换模式	删除设备上的第 2 层全局模式配置时，设备将处于交换模式。在层次结构级别下配置`set protocols l2-learning global-mode transparent-bridge[edit]`命令以切换到透明网桥模式。重新启动设备以使配置生效。
Junos OS 15.1X49-D50 及更高版本	SRX1500	透明网桥模式	无

交换模式下支持的第 2 层协议是链路聚合控制协议（LACP）。

您可以在冗余以太网接口上配置第 2 层透明模式。使用以下命令定义冗余以太网接口：

set interfaces interface-name ether-options redundant-parent reth-interface-name
set interfaces reth-interface-name redundant-ether-options redundancy-group number

SRX 系列设备上的第 2 层交换异常

SRX 系列防火墙上的交换功能与瞻博网络 MX 系列路由器上的交换功能类似。但是，SRX 系列防火墙不支持 MX 系列路由器上的以下第 2 层网络功能：

第 2 层控制协议 — 这些协议用于 MX 系列路由器上 VPLS 路由实例客户边缘接口中的快速生成树协议（RSTP）或多生成树协议（MSTP）。
虚拟交换机路由实例 — 虚拟交换路由实例用于在 MX 系列路由器上对一个或多个 VLAN 进行分组。
虚拟专用 LAN 服务（VPLS）路由实例 — VPLS 路由实例在 MX 系列路由器上用于在 VPN 中的一组站点之间实现点对多点 LAN 实施。

了解单播

单播是将数据从网络的一个节点发送到另一个节点的行为。相比之下，组播传输将流量从一个数据节点发送到多个其他数据节点。

未知单播 流量由目标 MAC 地址未知的单播帧组成。默认情况下，交换机会将这些在 VLAN 中传输的单播帧泛洪到属于 VLAN 成员的所有接口。将此类流量转发到交换机上的接口可能会触发安全问题。LAN 突然被数据包淹没，产生不必要的流量，导致网络性能下降，甚至完全丧失网络服务。这被称为流量风暴。

为防止风暴，您可以通过配置一个 VLAN 或所有 VLAN 将任何未知单播流量转发到特定中继接口，禁用将未知单播数据包泛洪到所有接口。（这会将未知单播流量引导至单个接口。）

了解交换机上的第 2 层广播

在第 2 层网络中，广播指的是向网络上的所有节点发送流量。

第 2 层广播流量停留在局域网（LAN）边界内;称为 广播域。第 2 层广播流量使用 FF：FF：FF：FF：FF：FF：FF MAC 地址发送到广播域。广播域中的每台设备都能识别此 MAC 地址，并将广播流量传递到广播域中的其他设备（如果适用）。广播可以比作单播（向单个节点发送流量）或组播（同时向一组节点发送流量）。

但是，第 3 层广播流量会使用一个广播网络地址发送到网络中的所有设备。例如，如果您的网络地址是 10.0.0.0，则广播网络地址为 10.255.255.255。在这种情况下，只有属于 10.0.0.0 网络的设备才能接收第 3 层广播流量。不属于此网络的设备会丢弃流量。

广播用于以下情况：

地址解析协议（ARP）使用广播将 MAC 地址映射到 IP 地址。ARP 会将 IP 地址（逻辑地址）动态绑定到正确的 MAC 地址。在发送 IP 单播数据包之前，ARP 会发现配置了 MAC 地址的以太网接口使用的 MAC 地址。
动态主机配置协议（DHCP）使用广播将 IP 地址动态分配给网段或子网上的主机。
路由协议使用广播来播发路由。

过多的广播流量有时会引发广播风暴。当网络上广播消息并且每条消息提示接收节点通过在网络上广播自己的消息来做出响应时，就会发生广播风暴。这反过来又会引发进一步的反应，从而产生滚雪球效应。LAN 突然被数据包淹没，产生不必要的流量，导致网络性能下降，甚至完全丧失网络服务。

使用增强型第 2 层软件 CLI

增强型第 2 层软件（ELS）提供统一的 CLI，用于配置和监控 QFX 系列交换机、EX 系列交换机和其他瞻博网络设备上的第 2 层功能。借助 ELS，您可以在所有这些瞻博网络设备上以相同的方式配置第 2 层功能。

本主题介绍如何了解您的平台是否正在运行 ELS。它还解释了如何使用 ELS 配置样式执行一些常见任务。

了解哪些设备支持 ELS
了解如何使用 ELS 配置第 2 层功能
了解 ELS 配置语句和命令更改

了解哪些设备支持 ELS

如果您的设备运行的是支持 ELS 的 Junos OS 版本，则系统将自动支持 ELS。您无需执行任何操作即可启用 ELS，也无法禁用 ELS。有关哪些平台和版本支持 ELS 的信息，请参阅功能浏览器。

了解如何使用 ELS 配置第 2 层功能

由于 ELS 提供统一的 CLI，您现在可以以相同的方式在受支持的设备上执行以下任务：

配置 VLAN
配置本征 VLAN 标识符
配置第 2 层接口
配置第 3 层接口
配置 IRB 接口
配置聚合以太网接口并在该接口上配置 LACP

配置 VLAN

您可以配置一个或多个 VLAN 来执行第 2 层桥接。第 2 层桥接功能包括集成路由和桥接（IRB），支持同一接口上的第 2 层桥接和第 3 层 IP 路由。EX 系列和 QFX 系列交换机可以用作第 2 层交换机，每个交换机都有多个参与同一第 2 层网络的桥接或广播域。您还可以为 VLAN 配置第 3 层路由支持。

要配置 VLAN，请执行以下操作：

通过设置唯一 VLAN 名称并配置 VLAN ID，创建 VLAN：

使用 VLAN ID 列表选项，您可以随意指定 VLAN ID 的范围。

为 VLAN 至少分配一个接口：

配置本征 VLAN 标识符

EX 系列和 QFX 系列交换机支持使用 802.1Q VLAN 标记接收和转发路由或桥接以太网帧。通常，将交换机相互连接的中继端口接受未标记的控制数据包，但不接受未标记的数据包。通过在要接收未标记数据包的接口上配置本征 VLAN ID，使中继端口能够接受未标记的数据包。

要配置本征 VLAN ID，请执行以下操作：

在要接收未标记数据包的接口上，将接口模式 trunk设置为，该模式将指定接口在多个 VLAN 中，并且可以在不同 VLAN 之间多路复用流量。

配置本征 VLAN ID 并将接口分配给本征 VLAN ID：

将接口分配给本征 VLAN ID：

配置第 2 层接口

为确保对高流量网络进行调优以获得最佳性能，请在交换机的网络接口上显式配置一些设置。

要将千兆以太网接口或 10 千兆以太网接口配置为接口：trunk

要将千兆以太网接口或 10 千兆以太网接口配置为接口：access

要将接口分配给 VLAN，请执行以下操作：

配置第 3 层接口

要配置第 3 层接口，您必须为该接口分配一个 IP 地址。您可以通过在配置协议家族时指定地址来为接口分配地址。对于 inet or inet6 系列，配置接口 IP 地址。

您可以配置接口，采用 32 位 IP 版本 4 （IPv4）地址，也可以选择使用目标前缀（有时称为子网掩码）。IPv4 地址使用 4 个八位字节的点缀十进制地址语法（例如，192.168.1.1）。带有目标前缀的 IPv4 地址使用后附加目标前缀的 4 个八位字节点十进制地址语法（例如，192.168.1.1/16）。

要为逻辑单元指定 IP4 地址：

您可以使用冒号分隔的 16 位值列表，以十六进制表示法表示 IP 版本 6 （IPv6）地址。为接口分配一个 128 位 IPv6 地址。

要为逻辑单元指定 IP6 地址：

配置 IRB 接口

集成路由和桥接（IRB）可支持同一接口上的第 2 层桥接和第 3 层 IP 路由。您可以通过 IRB 将数据包路由到另一个路由接口或另一个配置了第 3 层协议的 VLAN。IRB 接口使设备能够识别发送到本地地址的数据包，以便尽可能对这些数据包进行桥接（交换），并且仅在必要时才进行路由。只要可以交换数据包，而不需要路由，就无需再进行多层处理。名为 irb 的接口充当逻辑路由器，您可以在该上为 VLAN 配置第 3 层逻辑接口。为实现冗余，您可以将 IRB 接口与桥接和虚拟专用 LAN 服务（VPLS）环境中虚拟路由器冗余协议（VRRP）的实现相结合。

要配置 IRB 接口，请执行以下操作：

通过分配名称和 VLAN ID，创建一个第 2 层 VLAN：

创建一个 IRB 逻辑接口：

将 IRB 接口与 VLAN 进行关联：

配置聚合以太网接口并在该接口上配置 LACP

使用链路聚合功能聚合一个或多个链路以形成虚拟链路或链路聚合组（LAG）。MAC 客户端可以将此虚拟链路视为单个链路来增加带宽，在发生故障时提供正常的降级并提高可用性。

要配置聚合以太网接口，请执行以下操作：

指定要创建的聚合以太网接口数量：

指定链路聚合组接口的名称：

指定聚合以太网接口（aex）（即定义的捆绑包）的最小链路数：

指定聚合以太网捆绑包的链路速度：

指定要包含在聚合以太网捆绑包中的成员：

为聚合以太网捆绑包指定接口族：

对于设备上的聚合以太网接口，您可以配置链路聚合控制协议（LACP）。LACP 捆绑多个物理接口以形成一个逻辑接口。您可以配置启用或不启用 LACP 的聚合以太网。

启用 LACP 后，聚合以太网链路的本地端和远程端将交换包含有关链路状态的信息的协议数据单元（PDU）。您可以将以太网链路配置为主动传输 PDU，也可以将链路配置为被动传输 PDU，仅在从其他链路接收 LACP PDU 时才发送 LACP PDU。必须将链路的一端配置为活动状态，链路才能开启。

要配置 LACP：

将聚合以太网链路的一端启用为活动状态：

指定接口发送 LACP 数据包的间隔：

了解 ELS 配置语句和命令更改

ELS 是在适用于 EX9200 交换机的 Junos OS 12.3R2 版中引入的。ELS 会更改受支持的 EX 系列和 QFX 系列交换机上部分第 2 层功能的 CLI。

以下部分列出了在此 CLI 增强工作中已移至新层级或在 EX 系列交换机上更改的现有命令。这些部分仅作为高层次参考。有关这些命令的详细信息，请使用提供的配置语句的链接，或参阅技术文档。

ethernet-switching-options 层次结构级别的更改
对端口镜像层级的更改
第 2 层控制协议层级的更改
dot1q-tunneling 语句的更改
L2 学习协议的变更
对不间断桥接的更改
端口安全性和 DHCP 侦听的更改
对配置 VLAN 的更改
对风暴控制配置文件的更改
接口层次结构的更改
IGMP 侦听的更改

ethernet-switching-options 层次结构级别的更改

本节概述了对层级的 ethernet-switching-options 更改。

注意：

ethernet-switching-options层级已重命名为 switch-options。

表 3：重命名 ethernet-switching-options 层次结构
原始层次结构	层次结构更改
ethernet-switching-options { authentication-whitelist { ... } }	switch-options { ... authentication-whitelist { ... } }
ethernet-switching-options { interfaces `interface-name` { no-mac-learning; ... } }	switch-options { interfaces `interface-name` { no-mac-learning; ... } }
ethernet-switching-options { unknown-unicast-forwarding { (...) } }	switch-options { unknown-unicast-forwarding { (...) } }
ethernet-switching-options { voip { interface (all \| [`interface-name` \| access-ports]) { forwarding-class (assured-forwarding \| best-effort \| expedited-forwarding \| network-control); vlan `vlan-name`; ... } } }	switch-options { voip { interface (all \| [`interface-name` \| access-ports]) { forwarding-class (assured-forwarding \| best-effort \| expedited-forwarding \| network-control); vlan `vlan-name`; ... } } }

表 4：RTG 声明
原始层次结构	层次结构更改
ethernet-switching-options { redundant-trunk-group { group `name` { description; interface `interface-name` { primary; } preempt-cutover-timer `seconds`; ... } } }	switch-options { redundant-trunk-group { group `name` { description; interface `interface-name` { primary; } preempt-cutover-timer `seconds`; ... } } }

表 4：RTG 声明

原始层次结构

层次结构更改

ethernet-switching-options {
    redundant-trunk-group {
        group name {
            description;
            interface interface-name {
                primary;
            }
            preempt-cutover-timer seconds;
            ...
        }
    }
}

switch-options {
    redundant-trunk-group {
        group name {
            description;
            interface interface-name {
                primary;
            }
            preempt-cutover-timer seconds;
            ...
        }
    }
}

表 5：已删除的语句
原始层次结构	层次结构更改
ethernet-switching-options { mac-notification { notification-interval `seconds`; ... } }	这些语句已从层次结构中 `switch-options` 删除。
ethernet-switching-options { traceoptions { file `filename` <files `number`> <no-stamp> <replace> <size `size`> <world-readable \| no-world-readable>; flag `flag` <disable>; ... } }	这些语句已从层次结构中 `switch-options` 删除。
ethernet-switching-options { port-error-disable { disable-timeout `timeout`; ... } }	注意：该 `port-error-disable` 语句已替换为新语句。 interfaces `interface-name` family ethernet-switching { recovery-timeout `seconds`; }

原始层次结构

层次结构更改

ethernet-switching-options {
    mac-notification {
        notification-interval seconds;
        ...
    }
}

这些语句已从层次结构中 switch-options 删除。

ethernet-switching-options {
     traceoptions {
        file filename <files number> <no-stamp> <replace> 
<size size> <world-readable | no-world-readable>;
        flag flag <disable>;
        ...
    }
}

这些语句已从层次结构中 switch-options 删除。

ethernet-switching-options {
    port-error-disable {
        disable-timeout timeout;
        ...
    }
}

注意：

该 port-error-disable 语句已替换为新语句。

interfaces interface-name family ethernet-switching {
    recovery-timeout seconds;
}

对端口镜像层级的更改

注意：

语句已从 ethernet-switching-options 层次结构级别移动到 forwarding-options 层次结构级别。

表 6：端口镜像层次结构
原始层次结构	层次结构更改
ethernet-switching-options { analyzer { `name` { ... } } }	forwarding-options { analyzer { `name` { ... } } }

第 2 层控制协议层级的更改

第 2 层控制协议语句已从层次结构移动 ethernet-switching-options 到 protocols 层次结构。

表 7：第 2 层控制协议
原始层次结构	层次结构更改
ethernet-switching-options { bpdu-block { ... } }	protocols { layer2-control { bpdu-block { ... } } }

dot1q-tunneling 语句的更改

该 dot1q-tunneling 语句已替换为新语句，并移动到不同的层级。

表 8： dot1q 隧道
原始层次结构	层次结构更改
ethernet-switching-options { dot1q-tunneling { ether-type (0x8100 \| 0x88a8 \| 0x9100); ... } }	interfaces `interface-name` { aggregated-ether-options ether-options { ethernet-switch-profile { tag-protocol-id [`tpids`]; } } } interfaces `interface-name` { aggregated-ether-options { ethernet-switch-profile { tag-protocol-id [`tpids`]; } } }

表 8： dot1q 隧道

原始层次结构

层次结构更改

ethernet-switching-options {
     dot1q-tunneling {
         ether-type (0x8100 | 0x88a8 | 0x9100);
            ...
    }
}

interfaces interface-name {
    aggregated-ether-options 
ether-options {
        ethernet-switch-profile {
            tag-protocol-id [tpids];
        }
    }
}

interfaces interface-name {
    aggregated-ether-options {
        ethernet-switch-profile {
            tag-protocol-id [tpids];
        }
    }
}

L2 学习协议的变更

该 mac-table-aging-time 语句已替换为新语句，并移动到不同的层级。

表 9：mac-table-aging-time 语句
原始层次结构	层次结构更改
ethernet-switching-options { mac-table-aging-time `seconds`; ... }	protocols { l2-learning { global-mac-table-aging-time `seconds`; ... } }

对不间断桥接的更改

该 nonstop-bridging 语句已移动到不同的层次结构级别。

表 10：不间断桥接语句
原始层次结构	层次结构更改
ethernet-switching-options { nonstop-bridging; }	protocols { layer2-control { nonstop-bridging { } } }

端口安全性和 DHCP 侦听的更改

端口安全和 DHCP 侦听语句已移至不同的层级。

注意：

更改后的层次结构中不存在该语句examine-dhcp。现在，当 VLAN 上启用了其他 DHCP 安全功能时，系统会自动启用 DHCP 侦听。有关更多信息，请参阅配置端口安全性（ELS）。

表 11：端口安全性声明
原始层次结构	层次结构更改
ethernet-switching-options { secure-access-port { interface (all \| `interface-name`) { (dhcp-trusted \| no-dhcp-trusted ); static-ip `ip-address` { mac `mac-address`; vlan `vlan-name`; } } vlan (all \| `vlan-name`) { (arp-inspection \| no-arp-inspection ); dhcp-option82 { disable; circuit-id { prefix `hostname`; use-interface-description; use-vlan-id; } remote-id { prefix (`hostname` \| mac \| none); use-interface-description; use-string `string`; } vendor-id [`string`]; } (examine-dhcp \| no-examine-dhcp); } (ip-source-guard \| no-ip-source-guard); } }	vlans `vlan-name` forwarding-options{ dhcp-security { arp-inspection; group `group-name` { interfacei`interface-name` { static-ip `ip-address` { mac `mac-address`; } } overrides { no-option82; trusted; } } ip-source-guard; no-dhcp-snooping; option-82 { circuit-id { prefix { host-name; routing-instance-name; } use-interface-description (device \| logical); use-vlan-id; } remote-id { host-name; use-interface-description (device \| logical); use-string `string`; } vendor-id { use-string `string`; } } }

表 11：端口安全性声明

原始层次结构

层次结构更改

 ethernet-switching-options {
     secure-access-port {
         interface (all | interface-name) {
            (dhcp-trusted | no-dhcp-trusted );
             static-ip  ip-address {
                 mac mac-address; 
                 vlan  vlan-name;
            }
        }
         vlan (all | vlan-name) {
            (arp-inspection | no-arp-inspection );
             dhcp-option82 {
                disable;
                     circuit-id {
                     prefix hostname;
                     use-interface-description;
                     use-vlan-id;
                }
                 remote-id {
                     prefix (hostname | mac | none);
                     use-interface-description;
                     use-string string;
                }
                 vendor-id [string];
            }
            (examine-dhcp | no-examine-dhcp);
            }
            (ip-source-guard | no-ip-source-guard);
        }
    }

vlans vlan-name forwarding-options{
    dhcp-security {
        arp-inspection; 
        group group-name {
            interfaceiinterface-name {
                static-ip ip-address {
                    mac mac-address;
                }
            }
            overrides {
                no-option82; 
                trusted; 
            }
        }
        ip-source-guard; 
        no-dhcp-snooping; 
        option-82 {
            circuit-id {
                prefix {
                    host-name; 
                    routing-instance-name;
                }
                use-interface-description (device | logical); 
                use-vlan-id; 
            }
            remote-id {
                host-name; 
                use-interface-description (device | logical); 
                use-string string;
            }
            vendor-id {
                use-string string;
            }
        }
    }

提示：

对于允许的 MAC 配置，原始 hierarchy 语句 set ethernet-switching-options secure-access-port interface ge-0/0/2 allowed-mac 00:05:85:3A:82:8 将替换为 ELS 命令 set interfaces ge-0/0/2 unit 0 accept-source-mac mac-address 00:05:85:3A:82:8

注意：

DHCP 侦听语句已移至不同的层级。

表 12：DHCP 侦听语句
原始层次结构	层次结构更改
ethernet-switching-options { secure-access-port { dhcp-snooping-file { location `local_pathname` \| `remote_URL`; timeout `seconds`; write-interval `seconds`; }	system [ processes [ dhcp-service dhcp-snooping-file `local_pathname` \| `remote_URL`; write-interval `interval`; } }

表 12：DHCP 侦听语句

原始层次结构

层次结构更改

 ethernet-switching-options {
     secure-access-port {
        dhcp-snooping-file {
            location local_pathname | remote_URL;
            timeout seconds;
            write-interval seconds;
        }

system [
    processes [
        dhcp-service
            dhcp-snooping-file local_pathname | remote_URL;
                write-interval interval;
            }
    }

对配置 VLAN 的更改

用于配置 VLAN 的语句已移至不同的层级。

注意：

从适用于 EX4300 和 EX4600 交换机的 Junos OS 14.1X53-D10 版本开始，启用 xSTP 时，您可以在 VLAN 中包含的部分或所有接口上启用它。例如，如果将 VLAN 100 配置为包括接口 ge-0/0/0、ge-0/0/1 和 ge-0/0/2，并且希望在接口 ge-0/0/0 和 ge-0/0/2 上启用 MSTP，则可以指定 set protocols mstp interface ge-0/0/0 set protocols mstp interface ge-0/0/2 and 命令。在此示例中，您没有在接口 ge-0/0/1 上显式启用 MSTP;因此，此接口上未启用 MSTP。

表 13：VLAN 层次结构
原始层次结构	层次结构更改
ethernet-switching-options { secure-access-port vlan (all \| `vlan-name`{ mac-move-limit }	vlans `vlan-name` switch-options { mac-move-limit }
ethernet-switching-options { static { vlan `vlan-id` { mac `mac-address` next-hop `interface-name`; ... } } }	注意：语句将替换为新语句，并已移动到不同的层级。 vlans { `vlan-name` { switch-options { interface `interface-name` { static-mac `mac-address`; ... } } } }
vlans { `vlan-name` { interface `interface-name` { egress; ingress; mapping (native (push \| swap) \| policy \| `tag` (push \| swap)); pvlan-trunk; ... } } }	这些语句已被删除。您可以使用层次结构将 `[edit interfaces interface-name unit logical-unit-number family ethernet-switching vlan members vlan-name]` 接口分配给 VLAN。
vlans { `vlan-name` { isolation-id `id-number`; ... } }	语句已被删除。
vlans { `vlan-name` { interface vlan.`logical-interface-number`; ... } }	注意：语法已更改。 vlans { `vlan-name` { interface irb.`logical-interface-number`; ... } }
vlans { `vlan-name` { l3-interface-ingress-counting `layer-3-interface-name`; ... } }	语句已移除。入口流量将被自动跟踪。
vlans { `vlan-name` { no-local-switching; ... } }	语句已移除。
vlans { `vlan-name` { no-mac-learning; ... } }	语句已移至不同的层次结构。 vlans { `vlan-name` { switch-options { no-mac-learning `limit` ... } } }
vlans { `vlan-name` { primary-vlan `vlan-name`; ... } }	语句已被删除。
vlans { `vlan-name` { vlan-prune; ... } }	语句已移除。
vlans { `vlan-name` { vlan-range `vlan-id-low`-`vlan-id-high`; ... } }	注意：语句已替换为新语句。 vlans { `vlan-name` { vlan-id-list [`vlan-id-numbers`]; ... } }
vlans { `vlan-name` { l3-interface vlan.`logical-interface-number`; ... } }	注意：语法已更改。 vlans { `vlan-name` { interface irb.`logical-interface-number`; ... } }

表 14：移动到不同层次结构的语句
原始层次结构	层次结构更改
vlans { `vlan-name` { dot1q-tunneling { customer-vlans (`id` \| native \| `range`); layer2-protocol-tunneling all \| `protocol-name` { drop-threshold `number`; shutdown-threshold `number`; ... } } } }	对于 `dot1q-tunneling`： interface `interface-name` { encapsulation extended-vlan-bridge; flexible-vlan-tagging; native-vlan-id `number`; unit `logical-unit-number` { input-vlan-map `action`; output-vlan-map `action`; vlan-id `number`; vlan-id-list [`vlan-id` `vlan-id`–`vlan-id`]; } } 对于 `layer2-protocol-tunneling` （接口上启用了 MAC 重写）： protocols { layer2-control { mac-rewrite { interface `interface-name` { protocol { ... } } } } }
vlans { `vlan-name` { filter{ input `filter-name` output `filter-name`; ... } } }	vlans { `vlan-name` { forwarding-options { filter{ input `filter-name` output `filter-name`; ... } } } }
vlans { `vlan-name` { mac-limit `limit` action `action`; ... } }	vlans { `vlan-name` { switch-options { interface-mac-limit `limit` { packet-action `action`; ... } } } } vlans { `vlan-name` { switch-options { interface `interface-name` { interface-mac-limit `limit` { packet-action `action`; ... } } } } }
vlans { `vlan-name` { mac-table-aging-time `seconds`; ... } }	protocols { l2-learning { global-mac-table-aging-time `seconds`; ... } }

对风暴控制配置文件的更改

风暴控制配置步骤为两个步骤。第一步是在层级创建 [edit forwarding-options] 风暴控制配置文件，第二步是在层级将 [edit interfaces] 配置文件绑定到逻辑接口。有关更改后的过程，请参阅示例：配置风暴控制以防止 EX 系列交换机上的网络中断。

表 15：风暴控制配置文件层次结构级别的更改
原始层次结构	层次结构更改
ethernet-switching-options { storm-control { (...) } }	forwarding-options { storm-control-profiles `profile-name` { (...) } } interfaces `interface-name` unit `number` family ethernet-switching { storm-control `storm-control-profile`; }

表 15：风暴控制配置文件层次结构级别的更改

原始层次结构

层次结构更改

ethernet-switching-options {
    storm-control {
        (...)
        }
}

forwarding-options {
    storm-control-profiles profile-name {
        (...)
        }
    }

interfaces interface-name unit number family ethernet-switching {
    storm-control storm-control-profile;
}

接口层次结构的更改

注意：

语句已移至其他层次结构。

表 16：接口层次结构的更改
原始层次结构	层次结构更改
interfaces `interface-name` { ether-options { link-mode `mode`; speed (auto-negotiation \| `speed`) } }	interfaces `interface-name` { link-mode `mode`; speed `speed`) }
interfaces `interface-name` { unit `logical-unit-number` { family ethernet-switching { native-vlan-id `vlan-id` } } }	interfaces `interface-name` { native-vlan-id `vlan-id` }
interfaces `interface-name` { unit `logical-unit-number` { family ethernet-switching { port-mode `mode` } } }	注意：语句已替换为新语句。 interfaces `interface-name` { unit `logical-unit-number` { family ethernet-switching { interface-mode `mode` } } }
interfaces vlan	注意：语句已替换为新语句。 interfaces irb

IGMP 侦听的更改

表 17：IGMP 侦听层次结构
原始层次结构	层次结构更改
protocols { igmp-snooping { traceoptions { file `filename` <files `number`> <no-stamp> <replace> <size `maximum-file-size`> <world-readable \| no-world-readable>; flag `flag` <`flag-modifier`> <disable>; } vlan (all \| `vlan-identifier`) { disable; data-forwarding { receiver { install; source-vlans `vlan-name`; } source { groups `ip-address`; } } immediate-leave; interface (all \| `interface-name`) { multicast-router-interface; static { group `multicast-ip-address`; } } proxy { source-address `ip-address`; } robust-count `number`; } } }	protocols { igmp-snooping { vlan `vlan-name` { data-forwarding { receiver { install; source-list `vlan-name`; translate; } source { groups `ip-address`; } } immediate-leave; interface `(all \| interface-name)` { group-limit <1..65535> host-only-interface multicast-router-interface; immediate-leave; static { group `multicast-ip-address` { source <> } } } } l2-querier { source-address `ip-address`; } proxy { source-address `ip-address`; } query-interval `number`; query-last-member-interval `number`; query-response-interval `number`; robust-count `number`; traceoptions { file `filename` <files `number`> <no-stamp> <replace> <size `maximum-file-size`> <world-readable \| no-world-readable>; flag `flag` <`flag-modifier`>; } } } }

表 17：IGMP 侦听层次结构

原始层次结构

层次结构更改

protocols {
    igmp-snooping {
        traceoptions  {
            file filename <files number> <no-stamp> <replace> <size maximum-file-size> <world-readable | no-world-readable>;
            flag flag <flag-modifier> <disable>;
        }
        vlan (all | vlan-identifier) {
            disable;
            data-forwarding {
                receiver {
                    install;
                    source-vlans vlan-name;
                }
                source {
                    groups ip-address;
                }
            }
            immediate-leave;
            interface (all | interface-name) {
                multicast-router-interface;
                static {
                    group multicast-ip-address;
                }
            }
            proxy {
                source-address ip-address;
            }
            robust-count number;
        }
    }
}

protocols {
    igmp-snooping {
        vlan vlan-name {
                data-forwarding {
                    receiver {
                        install;
                        source-list vlan-name;
                        translate;
                    }
                    source {
                        groups ip-address;
                    }
                }
            immediate-leave;
                interface (all | interface-name) {
                    group-limit <1..65535>
                    host-only-interface
                    multicast-router-interface;
                    immediate-leave;
                    static {
                        group multicast-ip-address {
                            source <>
                        }
                    }
                }
            }
            l2-querier {
                source-address ip-address;
            }
            proxy {
                source-address ip-address;
            }
            query-interval number;
            query-last-member-interval number;
            query-response-interval number;
            robust-count number;
            traceoptions  {
                file filename <files number> <no-stamp> <replace> <size maximum-file-size> <world-readable | no-world-readable>;
                flag flag <flag-modifier>;
            }
        }
    }
}

安全性设备的增强型第 2 层 CLI 配置语句和命令更改

从 Junos OS 15.1X49-D10 版和 Junos OS 17.3R1 版开始，一些第 2 层 CLI 配置语句得到了增强，一些命令也发生了变化。表 18 和表 19 列出了在此次 CLI 增强工作中已移至新层次结构或在 SRX 系列防火墙上更改的现有命令。这些表格仅作为高级参考提供。有关这些命令的详细信息，请参阅 CLI 资源管理器。

表 18：增强型第 2 层配置语句更改
原始层次结构	层次结构更改	层次结构级别	变更说明
bridge-domains `bridge-domain--name` { ... } }	vlans `vlans-name` { ... } }	[编辑]	层次结构已重命名。
bridge-domains `bridge-domain--name` { vlan-id-list [`vlan-id`] ; }	vlans `vlans-name` { vlan members [`vlan-id`] ; }	[编辑 VLAN `vlans-name`]	语句已重命名。
bridge-options { interface `interface-name` { encapsulation-type; ignore-encapsulation-mismatch; pseudowire-status-tlv; static-mac `mac-address` { vlan-id `vlan-id`; } } mac-table-aging-time `seconds`; mac-table-size { `number`; packet-action drop; } }	switch-options { interface `interface-name` { encapsulation-type; ignore-encapsulation-mismatch; pseudowire-status-tlv; static-mac `mac-address` { vlan-id `vlan-id`; } } mac-table-aging-time `seconds`; mac-table-size { `number`; packet-action drop; } }	[编辑 VLAN `vlans-name`]	语句已重命名。
bridge { block-non-ip-all; bpdu-vlan-flooding; bypass-non-ip-unicast; no-packet-flooding { no-trace-route; } }	ethernet-switching { block-non-ip-all; bpdu-vlan-flooding; bypass-non-ip-unicast; no-packet-flooding { no-trace-route; } }	[编辑安全流程]	语句已重命名。
family { bridge { bridge-domain-type (svlan\| bvlan); ...	family { ethernet-switching { ...	[编辑接口 `interface-name` ]单位 `unit-number`	层次结构已重命名。
... routing-interface irb.0; ...	... l3-interface irb.0; ...	[编辑 VLAN `vlans-name`]	语句已重命名。

表 19：增强型第 2 层操作命令更改
原始操作命令	修改后的操作命令
清除网桥 MAC 表	清除以太网交换表
清除网桥 MAC 表持久学习	清除以太网交换表 persistent-learning
显示网桥域	显示 VLAN
显示网桥 MAC 表	显示以太网交换表
显示 L2-Learning 接口	显示以太网交换接口

注意：

SRX300、SRX320 和 SRX500HM 设备上没有 fxp0 带外管理接口。（平台是否支持取决于设备安装的 Junos OS 版本。）

适用于 ACX 系列的第 2 层新一代模式

ACX5048、ACX5096 和 ACX5448 路由器支持第 2 层新一代模式（也称为增强型第 2 层软件（ELS），用于配置第 2 层功能。ACX5048、ACX5096、ACX5448、ACX710、ACX7100、ACX7024、ACX7332、ACX7348 和 ACX7509 路由器的第 2 层CLI配置和 show 命令与其他 ACX 系列路由器（ACX1000、ACX1100、ACX2000、ACX2100、ACX2200 和 ACX4000）和 MX 系列路由器的配置和 show 命令不同。

表 20 显示了在第 2 层下一代模式下配置第 2 层功能的 CLI 层次结构中的差异。

表 20：第 2 层下一代模式下第 2 层功能的 CLI 层次结构差异
功能	ACX1000、ACX1100、ACX2000、ACX2100、ACX2200、ACX4000 和 MX 系列路由器	ACX5048、ACX5096、ACX5448、ACX710、ACX7100、ACX7024、ACX7332、ACX7348 和 ACX7509 路由器
网桥域	[`edit bridge-domains bridge-domain-name`]	[`edit vlans vlan-name`]
家庭 `bridge`	[`edit interfaces interface-name unit unit-number family bridge`]	[`edit interfaces interface-name unit unit-number family ethernet-switching`]
第 2 层选项	[`edit bridge-domains bridge-domain-name bridge-options`]	[`edit vlans vlan-name switch-options`]
以太网选项	[`edit interfaces interface-name gigether-options`]	[`edit interfaces interface-name ether-options`]
集成路由和桥接（IRB）	[`edit bridge-domains bridge-domain-name] routing-interface irb.unit`;	`[edit vlans vlan-name] l3-interface irb.unit;`
风暴控制	[`edit vlans vlan-name forwarding-options flood filter filter-name`]	[`edit forwarding-options storm-control-profiles`] [`edit interfaces interface-name ether-options] storm-control name; recovery-timeout interval;`
互联网组管理协议（IGMP）窥探	[`edit bridge-domains bridge-domain-name protocols igmp-snooping`]	[`edit protocols igmp-snooping vlan vlan-name`]
家族 `bridge` 防火墙过滤器	[`edit firewall family bridge`]	[`edit firewall family ethernet-switching`]

表 21 显示了第 2 层下一代模式下第 2 层功能命令的 show 差异。

表 21：第 2 层下一代模式下第 2 层功能的 show 命令差异
功能	ACX1000、ACX1100、ACX2000、ACX2100、ACX2200、ACX4000 和 MX 系列路由器	ACX5048、ACX5096、ACX5448、ACX710、ACX7100、ACX7024、ACX7332、ACX7348 和 ACX7509 路由器
VLAN	`show bridge-domain`	`show vlans`
MAC 表	`show bridge mac-table`	`show ethernet-switching table`
MAC 表选项	`show bridge mac-table`（MAC 地址、网桥域名、接口、VLAN ID 和实例）	`show ethernet-switching table`
带有 VLAN 分配的交换机端口列表	`show l2-learning interface`	`show ethernet-switching interfaces`
刷新数据库的内核状态	`show route forwarding-table family bridge`	`show route forwarding-table family ethernet-switching`

灵活的以太网服务封装，可支持 ACX7000 系列路由器上的服务提供商和企业配置样式

灵活以太网服务是一种封装方式，使物理接口能够在逻辑接口级别指定以太网封装。每个逻辑接口都可以有不同的以太网封装。通过定义多个按单元以太网封装，可以更轻松地将基于以太网的服务定制到连接到同一物理接口的多台主机。

未使用灵活以太网服务封装且在第 2 层模式下运行的以太网接口仅限于单个逻辑接口单元（0）。通过在单元 0 上配置 ethernet-switching 为接口族，可以在接口上启用桥接。只能在逻辑接口单元 0 上配置该 ethernet-switching 系列，不能在该接口上定义其他逻辑单元。

但是，无法在逻辑接口单元 0 上配置某些交换功能。Q-in-Q 隧道等功能需要逻辑接口来传输带有 VLAN 标记的帧。要使逻辑接口能够接收和转发使用匹配 VLAN ID 标记的以太网帧，您必须将逻辑接口绑定到该 VLAN。必须在 0 以外的逻辑接口设备上配置这些功能，因为您无法将 VLAN ID 绑定到单元 0。

使用灵活以太网服务封装接口时，可以使用配置 0 family ethernet-switching以外的逻辑接口单元。您还可以在同一接口上配置具有不同类型以太网封装的其他逻辑接口。这样可以让绑定到 VLAN ID 的逻辑接口与使用配置的 family ethernet-switching逻辑接口共存。

该 flexible-ethernet-services 语句允许配置服务提供商样式的逻辑接口和企业样式的逻辑接口。

例如，如果在配置 Q-in-Q 隧道的同一物理接口上配置 PVLAN，则可以使用灵活的以太网服务来支持 PVLAN 的企业配置样式，同时vlan-bridge使用 family ethernet-switching以及用于 Q-in-Q 隧道的封装。

最佳实践：

建议在配置用作硬件 VTEP 的设备时，使用组来配置以下语句：

设置接口 interface-name flexible-vlan-tagging
set 接口 interface-name 封装 extended-vlan-bridge
设置接口 interface-name native-vlan-id vlan-id

服务提供商配置样式

要将接口配置为支持服务提供商配置样式：

在接口上启用灵活的以太网服务封装。

使接口能够使用 802.1Q VLAN 单标记和双标记帧传输数据包：
在接口上配置逻辑接口（单元）：
注意：
请勿使用逻辑接口单元 0。稍后，您必须将 VLAN 标记 ID 绑定到您在此步骤中指定的设备，并且不能将 VLAN 标记 ID 绑定到单元 0。最佳做法是将单元号与接口绑定到的 VLAN ID 进行匹配。
封装逻辑接口以进行服务提供商样式的桥接配置 — 例如，在要用于 Q-in-Q 隧道的接口上使用vlan-bridge封装。（如果仅为 Q-in-Q 隧道配置接口，则将在物理接口上使用encapsulation extended-vlan-bridge。）

将上一步中的逻辑接口绑定到 VLAN ID：

配置另一个逻辑接口。（如果您仅配置 PVLAN，建议为一个接口上的所有 PVLAN 域配置一个逻辑接口。）

企业配置样式

要将接口配置为支持企业配置样式：

在接口上启用灵活的以太网服务封装。

使接口能够使用 802.1Q VLAN 单标记和双标记帧传输数据包：

在接口上配置逻辑接口（单元）：

为企业样式桥接配置启用上一步中的逻辑接口：

将 VLAN 成员资格分配给逻辑接口：

将接口配置为中继接口，以传输带有 802.1Q VLAN 标记的帧：

本页内容

第 2 层网络

第 2 层网络概述

了解 VLAN

以太网交换和第 2 层透明模式概述

SRX5000线模块上的第 2 层透明模式端口集中器

了解安全性设备上透明模式下的 IPv6 流

了解安全性设备上的第 2 层透明模式机箱群集

在 SRX 系列防火墙上配置带外管理

以太网交换

SRX 系列设备上的第 2 层交换异常

了解单播

了解交换机上的第 2 层广播

使用增强型第 2 层软件 CLI

了解哪些设备支持 ELS

了解如何使用 ELS 配置第 2 层功能

配置 VLAN

配置本征 VLAN 标识符

配置第 2 层接口

配置第 3 层接口

配置 IRB 接口

配置聚合以太网接口并在该接口上配置 LACP

了解 ELS 配置语句和命令更改

ethernet-switching-options 层次结构级别的更改

对端口镜像层级的更改

第 2 层控制协议层级的更改

dot1q-tunneling 语句的更改

L2 学习协议的变更

对不间断桥接的更改

端口安全性和 DHCP 侦听的更改

对配置 VLAN 的更改

对风暴控制配置文件的更改

接口层次结构的更改

IGMP 侦听的更改

安全性设备的增强型第 2 层 CLI 配置语句和命令更改

适用于 ACX 系列的第 2 层新一代模式

灵活的以太网服务封装，可支持 ACX7000 系列路由器上的服务提供商和企业配置样式

服务提供商配置样式

企业配置样式

变更历史表

本页内容

第 2 层网络

第 2 层网络概述

也可以看看

了解 VLAN

也可以看看

以太网交换和第 2 层透明模式概述

SRX5000线模块上的第 2 层透明模式 端口集中器

了解安全性设备上透明模式下的 IPv6 流

了解安全性设备上的第 2 层透明模式机箱群集

在 SRX 系列防火墙上配置带外管理

以太网交换

SRX 系列设备上的第 2 层交换异常

也可以看看

了解单播

也可以看看

了解交换机上的第 2 层广播

也可以看看

使用增强型第 2 层软件 CLI

了解哪些设备支持 ELS

了解如何使用 ELS 配置第 2 层功能

配置 VLAN

配置本征 VLAN 标识符

配置第 2 层接口

配置第 3 层接口

配置 IRB 接口

配置聚合以太网接口并在该接口上配置 LACP

了解 ELS 配置语句和命令更改

ethernet-switching-options 层次结构级别的更改

对端口镜像层级的更改

第 2 层控制协议层级的更改

dot1q-tunneling 语句的更改

L2 学习协议的变更

对不间断桥接的更改

端口安全性和 DHCP 侦听的更改

对配置 VLAN 的更改

对风暴控制配置文件的更改

接口层次结构的更改

IGMP 侦听的更改

安全性设备的增强型第 2 层 CLI 配置语句和命令更改

也可以看看

适用于 ACX 系列的第 2 层新一代模式

也可以看看

灵活的以太网服务封装，可支持 ACX7000 系列路由器上的服务提供商和企业配置样式

服务提供商配置样式

企业配置样式

变更历史表

SRX5000线模块上的第 2 层透明模式端口集中器