目  录

1 VLAN终结

1.1 VLAN终结简介

1.1.1 VLAN终结分类

1.1.2 VLAN终结应用场景

1.2 VLAN终结配置限制和指导

1.3 VLAN终结配置任务简介

1.4 配置Dot1q终结

1.4.1 配置明确的Dot1q终结

1.4.2 配置模糊的Dot1q终结

1.5 配置QinQ终结

1.5.1 配置明确的QinQ终结

1.5.2 配置模糊的QinQ终结

1.6 配置VLAN终结支持广播/组播

1.7 VLAN终结配置举例

1.7.1 明确的Dot1q终结配置举例

1.7.2 模糊的Dot1q终结配置举例

1.7.3 明确的QinQ终结配置举例

1.7.4 模糊的QinQ终结配置举例

1 VLAN终结

1.1  VLAN终结简介

VLAN终结是指对接收到的报文，按照报文携带的VLAN Tag信息匹配对应的接口后，去除报文VLAN Tag，再将报文进行三层转发或交由其他业务处理。转发出去的报文是否带有VLAN Tag由出接口决定，对从配置了VLAN终结的接口发送的报文，按照该接口上的终结配置，将相应的VLAN Tag添加到报文中后发送该报文。

1.1.1  VLAN终结分类

根据对所终结的报文的不同处理方式，VLAN终结分为以下四种：

·     Dot1q终结：用来终结带有一层及以上VLAN Tag的报文（要求最外层VLAN ID必须匹配配置值），从配置了Dot1q终结的接口发送的报文，都添加一层VLAN Tag。

·     QinQ终结：用来终结带有两层及以上VLAN Tag的报文（要求最外两层VLAN ID必须匹配配置值），从配置了QinQ终结的接口发送的报文，都添加两层VLAN Tag。

1.1.2  VLAN终结应用场景

1. 指定VLAN间的互通

划分VLAN后，不同VLAN间的主机不能直接通信，使用三层路由技术可以实现所有VLAN间报文的互通。此时如果要对互通的VLAN范围做限制，即要求只有指定的部分VLAN间可以互通，可以借助VLAN终结功能来实现。目前可以通过VLAN接口/三层以太网子接口/三层聚合子接口实现指定VLAN间的互通。

如下图所示，Host A属于VLAN 2，Host B属于VLAN 3，将Host A的网关地址指定为1.1.1.1/24，Host B的网关地址指定为1.1.2.1/24，就可以通过在三层以太网子接口GigabitEthernet4/1/1.2和GigabitEthernet4/1/2.3上配置VLAN终结来实现Host A和Host B之间的互通。

图1-1 VLAN终结用于不同VLAN之间互通（三层以太网子接口）

2. 局域网和广域网的互联

局域网内的报文大多数都带有VLAN Tag，但一些广域网协议并不能识别VLAN报文，比如ATM、FR和PPP等，这种情况下，如果局域网的VLAN报文要转发到广域网，需要在本地记录并去掉报文的VLAN信息后再转发，可以借助VLAN终结功能来实现。目前可以通过VLAN接口/三层以太网子接口/三层聚合子接口实现局域网和广域网的互联。

如下图所示，用户网络的私网VLAN为Customer VLAN，运营商为用户网络分配的公网VLAN分别为Service VLAN。当用户网内Customer VLAN的报文进入运营商网络时，报文外面就会被封装上Service VLAN的VLAN Tag。在运营商网基于Service VLAN进行转发。如果报文要发往外部WAN，则需要在出口网关（Device）上对该报文进行VLAN终结处理，去掉两层VLAN Tag，再发送到WAN。

图1-1 VLAN终结用于LAN和WAN的互联

1.2  VLAN终结配置限制和指导

·     如果要在使能了Portal认证功能的接口上更改VLAN终结方式（例如从Dot1q终结更改为QinQ终结），必须先把该接口的在线Portal用户全部下线，否则会导致这些在线Portal用户无法正常下线并且也无法重新认证上线的问题。有关Portal的介绍，请参见“安全配置指导”中的“Portal”。

·     同一主接口下的不同子接口配置Dot1q终结和QinQ终结时，如果QinQ终结内层VLAN ID为any（即配置命令vlan-type dot1q vid vlan-id-list second-dot1q any），则QinQ终结和Dot1q终结的最外层VLAN ID范围不能有交叉。

·     同一子接口不支持同时配置以下QinQ终结命令：

¡     vlan-type dot1q vid vlan-id-list second-dot1q any（终结内层VLAN ID为any）

¡     vlan-type dot1q vid vlan-id-list second-dot1q vlan-id-list（终结内层VLAN ID为指定值或指定范围）

·     VPLS实例的组播报文不支持QinQ终结和模糊的Dot1q终结。有关VPLS的介绍，请参见“MPLS配置指导”中的“VPLS”。

·     主接口本身不能对VLAN报文做终结处理，在主接口创建子接口后，由子接口来处理。

·     VLAN接口、三层以太网子接口、三层聚合子接口都可以终结匹配最外层VLAN ID的报文或匹配最外两层VLAN ID的报文。其中，VLAN接口只能终结最外层VLAN ID与接口编号相同的VLAN报文，不能通过命令行修改，比如Vlan-interface10只能终结最外层VLAN ID为10的报文。

·     在三层以太网子接口/三层聚合子接口视图下修改已有的VLAN终结配置后，该子接口会down/up一次，设备ARP表中与该子接口相关的动态表项也会被全部删除。

配置VLAN终结后，对收到的报文按照如下优先级顺序匹配接口：

·     配置QinQ终结的子接口

·     缺省支持Dot1q终结的子接口

·     主接口

1.3  VLAN终结配置任务简介

表1-1 VLAN终结配置任务简介

1.4  配置Dot1q终结

根据每个子接口所能终结的VLAN报文中最外层VLAN ID范围的不同，Dot1q终结分为：

·     明确的Dot1q终结：只允许接收最外层VLAN ID为指定值的VLAN报文，其他VLAN报文则不允许通过该子接口。收到报文后，将报文最外层VLAN Tag剥离。发送报文时，给报文添加一层VLAN Tag，VLAN ID为指定值。

·     模糊的Dot1q终结：只允许接收最外层VLAN ID在指定范围内的VLAN报文，不属于该范围的VLAN报文则不允许通过该子接口。收到报文后，将报文最外层VLAN Tag剥离。发送报文时，会给报文添加一层VLAN Tag，VLAN ID字段取值为：对于PPPoE报文，通过查找PPPoE会话表项获取相应的VLAN ID；对于DHCP Relay转发的DHCP Server端报文，通过查找DHCP会话表项获取相应的VLAN ID；对于MPLS和其他IPv4、IPv6报文，通过查找ARP表项获取相应的VLAN ID。

1.4.1  配置明确的Dot1q终结

表1-2 配置明确的Dot1q终结

1.4.2  配置模糊的Dot1q终结

表1-3 配置模糊的Dot1q终结

1.5  配置QinQ终结

根据每个接口所能终结的VLAN报文的最外两层VLAN ID范围的不同，QinQ终结分为：

·     明确的QinQ终结：只允许接收最外两层VLAN ID均为指定值的报文，其他VLAN报文则不允许通过该接口。收到报文后，将报文最外两层VLAN Tag剥离。发送报文时，会给报文添加两层VLAN Tag，两层VLAN ID均为指定值。

·     模糊的QinQ终结：只允许接收最外两层VLAN ID均在指定范围内的报文，不属于该范围的VLAN报文则不允许通过该接口。收到报文后，将报文最外两层VLAN Tag剥离。发送报文时，会给报文添加两层VLAN Tag。添加VLAN Tag后，报文的最外两层VLAN ID取值为：对于PPPoE报文，通过查找PPPoE会话表项获取相应的VLAN ID；对于DHCP Relay转发的DHCP Server端报文，通过查找DHCP中继用户地址表项获取相应的VLAN ID；对于MPLS和其他IPv4、IPv6报文，通过查找ARP表项获取相应的VLAN ID。

1.5.1  配置明确的QinQ终结

表1-4 配置明确的QinQ终结（方式一）

表1-5 配置明确的QinQ终结（方式二）

1.5.2  配置模糊的QinQ终结

表1-6 配置模糊的QinQ终结（方式一）

表1-7 配置模糊的QinQ终结（方式二）

1.6  配置VLAN终结支持广播/组播

当接口下配置了模糊的Dot1q终结或者模糊的QinQ终结功能后，不允许发送广播、组播报文。只有配置了VLAN终结支持广播/组播功能，这些接口才能发送广播/组播报文。

IPv6网络中，在接口配置了模糊终结功能时，建议配置vlan-termination broadcast ra命令，以允许接口遍历模糊终结的范围发送RA（Router Advertisement，路由器通告消息）组播报文，其他类型的广播/组播报文则不允许发送。该命令与vlan-termination broadcast enable命令相比，能有效减少设备CPU负担。

表1-8 配置VLAN终结支持广播/组播

1.7  VLAN终结配置举例

1.7.1  明确的Dot1q终结配置举例

1. 组网需求

如下图所示，Host A、Host B和Switch A相连，Host C、Host D和Switch B相连。Host A和Host C属于VLAN 10，Host B和Host D属于VLAN 20。Device子接口GigabitEthernet1/0/1.10、GigabitEthernet1/0/1.20、GigabitEthernet2/0/1.10、GigabitEthernet2/0/1.20的IP地址分别为1.0.0.1/8、2.0.0.1/8、3.0.0.1/8和4.0.0.1/8。要求实现：

·     Host A和Host B之间、Host C和Host D之间能够互相通信，即同一交换机、不同VLAN之间能够互相通信；

·     Host A和Host C之间、Host B和Host D之间能够互相通信，即不同交换机、同一VLAN之间能够互相通信；

·     Host A和Host D之间、Host B和Host C之间能够互相通信，即不同交换机、不同VLAN之间能够互相通信。

2. 组网图

图1-2 明确的Dot1q终结配置组网图

3. 配置步骤

(1)     Host A、Host B、Host C、Host D的配置

将Host A的IP地址指定为1.1.1.1/8，网关地址指定为1.0.0.1/8。

将Host B的IP地址指定为2.2.2.2/8，网关地址指定为2.0.0.1/8。

将Host C的IP地址指定为3.3.3.3/8，网关地址指定为3.0.0.1/8。

将Host D的IP地址指定为4.4.4.4/8，网关地址指定为4.0.0.1/8。

(2)     L2 Switch A、L2 Switch B的配置

下面以L2 Switch A的配置步骤为例，L2 Switch B的配置与L2 Switch A的配置相同，不再赘述。

# 向VLAN 10中加入端口GigabitEthernet1/0/2。

<L2_SwitchA> system-view

[L2_SwitchA] vlan 10

[L2_SwitchA-vlan10] port gigabitethernet 1/0/2

[L2_SwitchA-vlan10] quit

# 向VLAN 20中加入端口GigabitEthernet1/0/3。

[L2_SwitchA] vlan 20

[L2_SwitchA-vlan20] port gigabitethernet 1/0/3

[L2_SwitchA-vlan20] quit

# 配置端口GigabitEthernet1/0/1的链路类型为Trunk类型，并允许VLAN 10和VLAN 20通过。

[L2_SwitchA] interface gigabitethernet 1/0/1

[L2_SwitchA-GigabitEthernet1/0/1] port link-type trunk

[L2_SwitchA-GigabitEthernet1/0/1] port trunk permit vlan 10 20

(3)     Device的配置

# 创建以太网子接口GigabitEthernet1/0/1.10、GigabitEthernet1/0/1.20、GigabitEthernet2/0/1.10和GigabitEthernet2/0/1.20，分别为其配置IP地址，配置GigabitEthernet1/0/1.10和GigabitEthernet2/0/1.10用来终结VLAN 10的报文，配置GigabitEthernet1/0/1.20和GigabitEthernet2/0/1.20用来终结VLAN 20的报文。

<Device> system-view

[Device] interface gigabitethernet 1/0/1.10

[Device-GigabitEthernet1/0/1.10] ip address 1.0.0.1 255.0.0.0

[Device-GigabitEthernet1/0/1.10] vlan-type dot1q vid 10

[Device-GigabitEthernet1/0/1.10] quit

[Device] interface gigabitethernet 1/0/1.20

[Device-GigabitEthernet1/0/1.20] ip address 2.0.0.1 255.0.0.0

[Device-GigabitEthernet1/0/1.20] vlan-type dot1q vid 20

[Device-GigabitEthernet1/0/1.20] quit

[Device] interface gigabitethernet 2/0/1.10

[Device-GigabitEthernet2/0/1.10] ip address 3.0.0.1 255.0.0.0

[Device-GigabitEthernet2/0/1.10] vlan-type dot1q vid 10

[Device-GigabitEthernet2/0/1.10] quit

[Device] interface gigabitethernet 2/0/1.20

[Device-GigabitEthernet2/0/1.20] ip address 4.0.0.1 255.0.0.0

[Device-GigabitEthernet2/0/1.20] vlan-type dot1q vid 20

[Device-GigabitEthernet2/0/1.20] quit

4. 验证配置

配置完成后，Host A、Host B、Host C、Host D可以相互ping通。

1.7.2  模糊的Dot1q终结配置举例

1. 组网需求

如下图所示，Host A、Host B、Host C和Switch A相连，Server group和Switch B相连。Host A、Host B、Host C分别属于VLAN 11、VLAN 12、VLAN 13；这些Host需要与Server group互相通信。

2. 组网图

图1-3 模糊的Dot1q终结配置组网图

3. 配置步骤

(1)     Host A、Host B、Host C的配置

将Host A的IP地址指定为1.1.1.1/24，Host B的IP地址为1.1.1.2/24，Host C的IP地址为1.1.1.3/24，网关地址均指定为1.1.1.11/24。

(2)     L2 Switch A的配置

# 向VLAN 11中加入端口GigabitEthernet1/0/1。

<L2_SwitchA> system-view

[L2_SwitchA] vlan 11

[L2_SwitchA-vlan11] port gigabitethernet 1/0/1

[L2_SwitchA-vlan11] quit

# 向VLAN 12中加入端口GigabitEthernet1/0/2。

[L2_SwitchA] vlan 12

[L2_SwitchA-vlan12] port gigabitethernet 1/0/2

[L2_SwitchA-vlan12] quit

# 向VLAN 13中加入端口GigabitEthernet1/0/3。

[L2_SwitchA] vlan 13

[L2_SwitchA-vlan13] port gigabitethernet 1/0/3

[L2_SwitchA-vlan13] quit

# 配置端口GigabitEthernet1/0/7的链路类型为Trunk类型，并允许VLAN 11～13通过。

[L2_SwitchA] interface gigabitethernet 1/0/7

[L2_SwitchA-GigabitEthernet1/0/7] port link-type trunk

[L2_SwitchA-GigabitEthernet1/0/7] port trunk permit vlan 11 to 13

(3)     Device的配置

# 创建以太网子接口GigabitEthernet1/1/1.10，为其配置IP地址，使能Dot1q终结功能，并指定可以终结的最外层VLAN ID在范围11～13内的报文。

<Device> system-view

[Device] interface gigabitethernet 1/1/1.10

[Device-GigabitEthernet1/1/1.10] ip address 1.1.1.11 255.255.255.0

[Device-GigabitEthernet1/1/1.10] vlan-type dot1q vid 11 to 13

[Device-GigabitEthernet1/1/1.10] quit

# 配置以太网接口GigabitEthernet1/1/2的 IP地址。

[Device] interface gigabitethernet 1/1/2

[Device-GigabitEthernet1/1/2] ip address 1.1.2.11 255.255.255.0

(4)     L2 Switch B的配置

L2 Switch B采用出厂配置即可。

(5)     Server group的配置

将Server group里所有设备的IP地址配置在1.1.2.0/24网段，网关地址指定为1.1.2.11/24即可。

4. 验证配置

配置完成后， Host A、Host B、Host C可以与Server group相互ping通。

1.7.3  明确的QinQ终结配置举例

1. 组网需求

如下图所示，Host A和L2 Switch A相连，属于VLAN 11；Host B和L2 Switch C相连，L2 Switch C只支持一层VLAN标签；L2 Switch B上使能了QinQ功能，它会给收到的内层VLAN ID为11的报文外面添加一层VLAN ID为100的VLAN Tag后再转发出去。现需要实现Host A与Host B之间能够互相通信。

2. 组网图

图1-4 明确的QinQ终结配置组网图

3. 配置步骤

(1)     Host A、Host B的配置

将Host A的IP地址指定为1.1.1.1/24，网关地址指定为1.1.1.11/24；Host B的IP地址为1.1.2.1/24，网关地址指定为1.1.2.11/24。

(2)     L2 Switch A的配置

# 向VLAN 11中加入端口GigabitEthernet1/0/2。

<L2_SwitchA> system-view

[L2_SwitchA] vlan 11

[L2_SwitchA-vlan11] port gigabitethernet 1/0/2

[L2_SwitchA-vlan11] quit

# 配置端口GigabitEthernet1/0/1的链路类型为Hybrid类型，且允许VLAN 11的报文带Tag通过。

[L2_SwitchA] interface gigabitethernet 1/0/1

[L2_SwitchA-GigabitEthernet1/0/1] port link-type hybrid

[L2_SwitchA-GigabitEthernet1/0/1] port hybrid vlan 11 tagged

(3)     L2 Switch B的配置

# 配置端口GigabitEthernet1/0/2的链路类型为Trunk类型，并允许VLAN 100通过。

<L2_SwitchB> system-view

[L2_SwitchB] interface gigabitethernet 1/0/2

[L2_SwitchB-GigabitEthernet1/0/2] port link-type trunk

[L2_SwitchB-GigabitEthernet1/0/2] port trunk permit vlan 100

# 配置端口GigabitEthernet1/0/2的缺省VLAN为VLAN 100，并在该端口上使能基本QinQ功能。

[L2_SwitchB-GigabitEthernet1/0/2] port trunk pvid vlan 100

[L2_SwitchB-GigabitEthernet1/0/2] qinq enable

[L2_SwitchB-GigabitEthernet1/0/2] quit

# 配置端口GigabitEthernet1/0/1的链路类型为Trunk类型，并允许VLAN 100通过。

[L2_SwitchB] interface gigabitethernet 1/0/1

[L2_SwitchB-GigabitEthernet1/0/1] port link-type trunk

[L2_SwitchB-GigabitEthernet1/0/1] port trunk permit vlan 100

(4)     Router的配置

# 创建并进入以太网子接口GigabitEthernet1/0/1.100，为其配置IP地址，使能QinQ终结，并指明当前接口可以终结的VLAN报文的最外两层VLAN ID。

<Router> system-view

[Router] interface GigabitEthernet1/0/1.100

[Router-GigabitEthernet1/0/1.100] ip address 1.1.1.11 255.255.255.0

[Router-GigabitEthernet1/0/1.100] vlan-type dot1q vid 100 second-dot1q 11

[Router-GigabitEthernet1/0/1.100] quit

# 配置端口GigabitEthernet1/0/2的IP地址。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] ip address 1.1.2.11 255.255.255.0

(5)     L2 Switch C的配置

L2 Switch C用出厂配置即可。

4. 验证配置

配置完成后，Host A、Host B可以相互ping通。

1.7.4  模糊的QinQ终结配置举例

1. 组网需求

如下图所示，Host A、Host B、Host C和L2 Switch A相连，分别属于VLAN 11、VLAN 12和VLAN 13；Server群和L2 Switch C相连；L2 Switch B上使能了QinQ功能。Host A、Host B、Host C需要与Server群互相通信。

2. 组网图

图1-5 模糊的QinQ终结配置组网图

3. 配置步骤

(1)     Host A、Host B、Host C的配置

将Host A的IP地址指定为1.1.1.1/24，Host B的IP地址为1.1.1.2/24，Host C的IP地址为1.1.1.3/24，网关地址均指定为1.1.1.11/24。

(2)     L2 Switch A的配置

# 向VLAN 11中加入端口GigabitEthernet1/0/1。

<L2_SwitchA> system-view

[L2_SwitchA] vlan 11

[L2_SwitchA-vlan11] port gigabitethernet 1/0/1

[L2_SwitchA-vlan11] quit

# 向VLAN 12中加入端口GigabitEthernet1/0/2。

[L2_SwitchA] vlan 12

[L2_SwitchA-vlan12] port gigabitethernet 1/0/2

[L2_SwitchA-vlan12] quit

# 向VLAN 13中加入端口GigabitEthernet1/0/3。

[L2_SwitchA] vlan 13

[L2_SwitchA-vlan13] port gigabitethernet 1/0/3

[L2_SwitchA-vlan13] quit

# 配置端口GigabitEthernet1/0/7的链路类型为Hybrid类型，且允许VLAN 11～13的报文带Tag通过。

[L2_SwitchA] interface gigabitethernet 1/0/7

[L2_SwitchA-GigabitEthernet1/0/7] port link-type hybrid

[L2_SwitchA-GigabitEthernet1/0/7] port hybrid vlan 11 to 13 tagged

(3)     L2 Switch B的配置

# 配置端口GigabitEthernet1/0/2的链路类型为Trunk类型，并允许VLAN 100通过。

<L2_SwitchB> system-view

[L2_SwitchB] interface gigabitethernet 1/0/2

[L2_SwitchB-GigabitEthernet1/0/2] port link-type trunk

[L2_SwitchB-GigabitEthernet1/0/2] port trunk permit vlan 100

# 配置端口GigabitEthernet1/0/2的缺省VLAN为VLAN 100，并在该端口上使能基本QinQ功能。

[L2_SwitchB-GigabitEthernet1/0/2] port trunk pvid vlan 100

[L2_SwitchB-GigabitEthernet1/0/2] qinq enable

[L2_SwitchB-GigabitEthernet1/0/2] quit

# 配置端口GigabitEthernet1/0/1的链路类型为Trunk类型，并允许VLAN 100通过。

[L2_SwitchB] interface gigabitethernet 1/0/1

[L2_SwitchB-GigabitEthernet1/0/1] port link-type trunk

[L2_SwitchB-GigabitEthernet1/0/1] port trunk permit vlan 100

(4)     Router的配置

# 创建并进入以太网子接口GigabitEthernet1/0/1.100，为其配置IP地址，当收到外层VLAN ID为100，内层VLAN ID为11、12或13的QinQ报文时，对该报文进行VLAN终结处理。

<Router> system-view

[Router] interface GigabitEthernet1/0/1.100

[Router-GigabitEthernet1/0/1.100] ip address 1.1.1.11 255.255.255.0

[Router-GigabitEthernet1/0/1.100] vlan-type dot1q vid 100 second-dot1q 11 to 13

[Router-GigabitEthernet1/0/1.100] quit

# 配置端口GigabitEthernet1/0/2的IP地址。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] ip address 1.1.2.11 255.255.255.0

(5)     L2 Switch C的配置

L2 Switch C采用出厂配置即可。

(6)     Server group的配置

将Server group里所有设备的IP地址配置在1.1.2.0/24网段，网关地址指定为1.1.2.11/24即可。