目  录

第1章 VLAN-VPN配置... 1-1

1.1 VLAN-VPN简介.. 1-1

1.1.1 VLAN-VPN原理介绍.. 1-1

1.1.2 VLAN-VPN的实现方式.. 1-2

1.1.3 VLAN-VPN报文的TPID值可调功能.. 1-2

1.2 VLAN-VPN配置.. 1-3

1.2.1 VLAN-VPN配置任务简介.. 1-3

1.2.2 配置VLAN-VPN端口.. 1-3

1.2.3 配置全局TPID. 1-4

1.3 VLAN-VPN配置显示.. 1-4

1.4 VLAN-VPN典型配置举例.. 1-5

1.4.1 利用VLAN-VPN功能实现用户报文在公网中的隧道传输.. 1-5

第2章 灵活QinQ.. 2-1

2.1 灵活QinQ简介.. 2-1

2.1.1 灵活QinQ简介.. 2-1

2.1.2 VLAN-VPN内外层标签优先级映射功能.. 2-2

2.2 灵活QinQ配置.. 2-2

2.2.1 灵活QinQ配置任务简介.. 2-2

2.2.2 配置端口的灵活QinQ功能.. 2-2

2.2.3 配置VLAN-VPN内外层标签优先级映射功能.. 2-3

2.3 灵活QinQ配置举例.. 2-4

2.3.1 使用灵活QinQ功能对不同类型的私网数据进行分类处理.. 2-4

第1章  VLAN-VPN配置

1.1  VLAN-VPN简介

1.1.1  VLAN-VPN原理介绍

VPN（Virtual Private Network，虚拟私有网络）是近年来随着Internet的广泛应用而迅速发展起来的一种新技术，用以实现在公用网络上构建私人专用网络。通过在客户端或运营商接入端对用户报文进行特殊处理，使公网设备可以为用户报文建立专用的传输隧道，保证数据的安全。

VLAN-VPN是一种简单、灵活的二层VPN隧道技术，它通过在运营商接入端为用户的私网报文封装外层VLAN Tag，使报文携带两层VLAN Tag穿越运营商的骨干网络（公网）。在公网中，报文只根据外层VLAN Tag（即公网VLAN Tag）进行传输，用户的私网VLAN Tag则当作报文中的数据部分来进行传输。

携带单层VLAN Tag的报文结构如图1-1所示：

图1-1 携带单层VLAN Tag的报文结构

携带双层VLAN Tag的报文结构如图1-2所示：

图1-2 携带双层VLAN Tag的报文结构

相对于基于MPLS的二层VPN，VLAN-VPN具有如下特点：

l              为用户提供了一种更为简单的二层VPN隧道。

l              不需要在公网上配置自动学习的信令协议，可以通过简单的手工配置实现。

VLAN-VPN主要可以解决以下问题：

l              缓解日益紧缺的公网VLAN ID资源问题。

l              用户可以规划自己的私网VLAN ID，不会导致和公网VLAN ID冲突。

l              为小型城域网或企业网提供一种较为简单的二层VPN解决方案。

1.1.2  VLAN-VPN的实现方式

在开启端口的VLAN-VPN功能后，当该端口接收报文时，无论报文是否带有VLAN Tag，交换机都会为该报文封装本端口缺省VLAN的VLAN Tag，并将源MAC地址学习到缺省VLAN的MAC地址表中。因此，在接收报文时：

l              如果原报文是已经带有VLAN Tag的报文，在进入交换机后将成为带有双层Tag的报文

l              如果原报文是不带VLAN Tag的报文，在进入交换机后将成为带有端口缺省VLAN Tag的报文

1.1.3  VLAN-VPN报文的TPID值可调功能

TPID（Tag Protocol Identifier，标签协议标识）是VLAN Tag中的一个字段，IEEE 802.1q协议规定该字段的取值为0x8100。

IEEE 802.1q协议定义的以太网帧的Tag报文结构如图1-3所示：

图1-3 以太网帧的Tag报文结构

S5100-SI/EI系列交换机缺省采用协议规定的TPID值（0x8100）。某些厂商将设备可识别的TPID值设置为0x9100或其他数值。

为了和这些设备兼容，S5100-SI/EI系列交换机提供了全局的VLAN-VPN报文TPID值可调功能，用户可以自行配置TPID值。VLAN-VPN Uplink端口在转发报文时会将报文外层VLAN Tag中的TPID值替换为用户设定值再进行发送，从而使发送到公网中的VLAN-VPN报文可以被其他厂商的设备识别。

由于TPID字段在以太网报文中所处位置与不带VLAN Tag的报文中协议类型字段所处位置相同，为避免网络中报文转发和接收造成混乱，用户在配置VLAN-VPN时，交换机将不允许用户配置TPID为表1-1中列举的常用协议类型值。

表1-1 常用以太网帧协议类型值

1.2  VLAN-VPN配置

1.2.1  VLAN-VPN配置任务简介

表1-2 VLAN-VPN配置任务简介

1.2.2  配置VLAN-VPN端口

1. 配置准备

l              此端口不是VLAN-VPN Uplink端口

l              此端口不能作为远程镜像反射端口

2. 配置过程

表1-3 配置端口的VLAN-VPN功能

1.2.3  配置全局TPID

1. 配置准备

如果需要将全局TPID值设为不同于0x8100的其它值，则需要指定设备上的某个端口作为VLAN-VPN Uplink端口，在配置前，请确认该端口没有开启VLAN-VPN功能。

为保证报文的正确传输，在配置TPID值之前，请确认对端公网设备的TPID值。

2. 配置过程

表1-4 配置VLAN-VPN报文的TPID值可调功能

1.3  VLAN-VPN配置显示

完成上述配置后，在任意视图下执行display命令，可以显示配置VLAN-VPN后的运行情况。通过查看显示信息，用户可以验证配置的效果。

表1-5 VLAN-VPN配置显示

1.4  VLAN-VPN典型配置举例

1.4.1  利用VLAN-VPN功能实现用户报文在公网中的隧道传输

1. 组网需求

l              如图1-4所示，SwitchA和SwitchB为S5100-SI/EI交换机，通过公共网络将用户的工作站与服务器相连。

l              用户的PC工作站和服务器划分在私有VLAN100，终端工作站和服务器划分在私有VLAN200。用户通过公共网络中的VLAN1040进行VPN连接。

l              公共网络中使用其他厂商的设备，TPID值为0x9200。

l              要求配置SwitchA和SwitchB的VLAN-VPN功能，使用户的PC工作站/服务器和终端工作站/服务器能通过VPN连接，并进行正常通信。

2. 组网图

图1-4 VLAN-VPN典型配置举例组网图

3. 配置步骤

l              配置Switch A

# 配置Switch A的端口GigabitEthernet1/0/11为VLAN-VPN端口，为进入该端口的报文封装VLAN1040的外层VLAN Tag。

<SwitchA> system-view

[SwitchA] vlan 1040

[SwitchA-vlan1040] port GigabitEthernet 1/0/11

[SwitchA-vlan1040] quit

[SwitchA] interface GigabitEthernet 1/0/11

[SwitchA-GigabitEthernet1/0/11] vlan-vpn enable

# 为与公共网络中的设备进行互通，配置Switch A的全局TPID值为0x9200，并指定GigabitEthernet1/0/12为VLAN-VPN Uplink端口。

[SwitchA-GigabitEthernet1/0/11] quit

[SwitchA] vlan-vpn tpid 9200

[SwitchA] interface GigabitEthernet1/0/12

[SwitchA-GigabitEthernet1/0/12] port link-type trunk

[SwitchA-GigabitEthernet1/0/12] port trunk permit vlan 1040

[SwitchA-GigabitEthernet1/0/12] vlan-vpn uplink enable

l              配置Switch B

# 配置SwitchB的端口GigabitEthernet1/0/21为VLAN-VPN端口，为进入该端口的报文封装VLAN1040的外层VLAN Tag。

<SwitchB> system-view

[SwitchB] vlan 1040

[SwitchB-vlan1040] port GigabitEthernet 1/0/21

[SwitchB-vlan1040] quit

[SwitchB] interface GigabitEthernet 1/0/21

[SwitchB-GigabitEthernet1/0/21] vlan-vpn enable

# 为与公共网络中的设备进行互通，配置SwitcB的全局TPID值为0x9200，并指定GigabitEthernet1/0/22为VLAN-VPN Uplink端口。

[SwitchB-GigabitEthernet1/0/21] quit

[SwitchB] vlan-vpn tpid 9200

[SwitchB] interface GigabitEthernet1/0/22

[SwitchB-GigabitEthernet1/0/22] port link-type trunk

[SwitchB-GigabitEthernet1/0/22] port trunk permit vlan 1040

[SwitchB-GigabitEthernet1/0/22] vlan-vpn uplink enable

l              配置公共网络设备

# 由于公共网络使用其他厂商的设备，这里只介绍基本原理。配置公共网络中与SwitchA的GigabitEthernet1/0/12和SwitchB的GigabitEthernet1/0/22端口连接的设备，使其相应的端口允许VLAN1040的报文携带VLAN Tag进行发送即可。

第2章  灵活QinQ

2.1  灵活QinQ简介

2.1.1  灵活QinQ简介

灵活QinQ是VLAN-VPN功能的一种增强应用，使用灵活QinQ，用户可以配置内外层Tag映射规则，为具有不同内层Tag的报文按映射规则封装不同的外层Tag。

灵活QinQ功能使运营商的网络构架更为灵活，在连接接入层设备的端口上可以根据VLAN Tag对不同的终端用户进行分类，为各类用户封装不同的外层Tag，并在公网中按外层Tag配置QoS策略，灵活配置数据的传输优先级，使各类用户获得相应的服务。以图2-1为例。

图2-1 灵活QinQ典型应用

SwitchA为运营商的接入设备，接入用户分为普通用户（VLAN8～100）、大客户（VLAN101～200）及IP电话用户（VLAN201～300）。这三类用户的报文全部由Switch A转发到公共网络。

在SwitchA连接用户的端口上配置了灵活QinQ及相应的内外层标签映射规则后，该端口将根据内层VLAN Tag为报文封装外层Tag。例如，将IP电话用户（内层Tag为201～300）的数据外层封装VLAN1002的Tag，并传送到负责IP电话业务的VoIP设备进行处理。

为保证语音报文的传输质量，可以在公共网络配置QoS策略，对VLAN1002的报文采取保留带宽、优先发送的规则。

该方法可以对不同类型用户的数据配置转发策略，提高网络管理灵活性；而且能够节省了公网VLAN资源，又使同类用户之间因内层VLAN Tag的不同而保持隔离状态，保证了一定的安全性。

2.1.2  VLAN-VPN内外层标签优先级映射功能

IEEE 802.1Q协议定义的以太网帧的Tag报文结构如图2-2所示：

图2-2 以太网帧的Tag报文结构

其中Priority即该标签的802.1p优先级，长度3bit，取值范围为0～7。在开启VLAN-VPN功能的端口上，可以通过配置内外层优先级映射关系，根据报文内层优先级的不同，为报文封装具有不同优先级的外层标签。

有关优先级的具体配置，请参见本手册“QoS-QoS Profile”部分的介绍。

2.2  灵活QinQ配置

2.2.1  灵活QinQ配置任务简介

表2-1 灵活QinQ配置任务简介

2.2.2  配置端口的灵活QinQ功能

1. 配置准备

l              开启端口的VLAN-VPN功能；

l              设置当前端口允许特定VLAN的报文通过，至少应包括私网报文的VLAN和添加的外层标签对应的VLAN

2. 灵活QinQ配置过程

表2-2 灵活QinQ配置过程

2.2.3  配置VLAN-VPN内外层标签优先级映射功能

1. 配置准备

端口开启VLAN-VPN功能。

2. 配置过程

表2-3 配置VLAN-VPN内层标签优先级映射功能

2.3  灵活QinQ配置举例

2.3.1  使用灵活QinQ功能对不同类型的私网数据进行分类处理

1. 组网需求

l              SwitchA的端口GigabitEthernet1/0/3连接了PC用户和IP电话用户。其中PC用户位于VLAN100～VLAN108范围内，IP电话用户位于VLAN200～VLAN230范围内。SwitchA的端口GigabitEthernet1/0/5连接到公共网络，对端为SwitchB。

l              SwitchB的GigabitEthernet1/0/11端口接入公共网络，GigabitEthernet1/0/12和GigabitEthernet1/0/13端口分别接入PC用户服务器所在VLAN100～VLAN108和IP电话用户语音网关所在VLAN200～VLAN230。

l              公共网络中允许VLAN1000和VLAN1200的报文通过，并配置了QoS策略，对VLAN1200的报文配置有带宽保留等优先传输策略，而VLAN1000的报文传输优先级较低。

l              在SwitchA和SwitchB上配置灵活QinQ功能，将PC用户和IP电话用户的流量分别在公网的VLAN1000和VLAN1200内传输，以利用QoS策略保证语音数据的传输优先级。

2. 组网图

图2-3 灵活QinQ配置图

3. 配置步骤

l              配置SwitchA

# 在SwitchA上创建VLAN1000、VLAN1200和GigabitEthernet1/0/3的缺省VLAN5。

<SwitchA> system-view

[SwitchA] vlan 1000

[SwitchA-vlan1000] quit

[SwitchA] vlan 1200

[SwitchA-vlan1200] quit

[SwitchA] vlan 5

[SwitchA-vlan5] quit

# 配置端口GigabitEthernet1/0/5为Hybrid端口，缺省VLAN为VLAN5、并在转发VLAN5、VLAN1000和VLAN1200的报文时保留VLAN Tag。

[SwitchA] interface GigabitEthernet 1/0/5

[SwitchA-GigabitEthernet1/0/5] port link-type hybrid

[SwitchA-GigabitEthernet1/0/5] port hybrid pvid vlan 5

[SwitchA-GigabitEthernet1/0/5] port hybrid vlan 5 1000 1200 tagged

[SwitchA-GigabitEthernet1/0/5] quit

# 配置端口GigabitEthernet1/0/3为Hybrid端口，并在转发VLAN5、VLAN1000和VLAN1200的报文时去除VLAN Tag。

[SwitchA] interface GigabitEthernet 1/0/3

[SwitchA-GigabitEthernet1/0/3] port link-type hybrid

[SwitchA-GigabitEthernet1/0/3] port hybrid vlan 5 1000 1200 untagged

# 开启端口GigabitEthernet1/0/3的VLAN-VPN功能。

[SwitchA-GigabitEthernet1/0/3] vlan-vpn enable

# 配置该端口的灵活QinQ功能，为内层VLAN是100至108的报文封装VLAN1000的外层Tag；为内层VLAN是200至230的报文封装VLAN1200的外层Tag。

[SwitchA-GigabitEthernet1/0/3] vlan-vpn vid 1000

[SwitchA-GigabitEthernet1/0/3-vid-1000] raw-vlan-id inbound 100 to 108

[SwitchA-GigabitEthernet1/0/3-vid-1000] quit

[SwitchA-GigabitEthernet1/0/3] vlan-vpn vid 1200

[SwitchA-GigabitEthernet1/0/3-vid-1200] raw-vlan-id inbound 200 to 230

经过上述配置，在SwitchA向公共网络转发报文时，会自动将VLAN100～VLAN108（PC用户）的报文封装外层Tag为VLAN1000，将VLAN200～VLAN230（IP电话用户）的报文封装外层Tag为VLAN1200。

l              配置SwitchB

# 创建VLAN1000、VLAN1200以及GigabitEthernet1/0/12和GigabitEthernet1/0/13端口的缺省VLAN12和VLAN13。

<SwitchB> system-view

[SwitchB] vlan 1000

[SwitchB-vlan1000] quit

[SwitchB] vlan 1200

[SwitchB-vlan1200] quit

[SwitchB] vlan 12 to 13

# 配置端口GigabitEthernet1/0/11为Hybrid端口，并在发送VLAN12、VLAN13、VLAN1000和VLAN1200的报文时保留VLAN Tag。

<SwitchB> system-view

[SwitchB] interface GigabitEthernet 1/0/11

[SwitchB-GigabitEthernet1/0/11] port link-type hybrid

[SwitchB-GigabitEthernet1/0/11] port hybrid vlan 12 13 1000 1200 tagged

# 配置端口GigabitEthernet1/0/12为Hybrid端口，缺省VLAN为VLAN12，在发送VLAN12和VLAN1000的报文时去掉VLAN Tag。

[SwitchB] interface GigabitEthernet 1/0/12

[SwitchB-GigabitEthernet1/0/12] port link-type hybrid

[SwitchB-GigabitEthernet1/0/12] port hybrid pvid  vlan 12

[SwitchB-GigabitEthernet1/0/12] port hybrid vlan 12 1000 untagged

[SwitchB-GigabitEthernet1/0/12] quit

# 配置端口GigabitEthernet1/0/13为Hybrid端口，缺省VLAN为VLAN13，在发送VLAN13和VLAN1200的报文时去掉VLAN Tag。

[SwitchB] interface GigabitEthernet 1/0/13

[SwitchB-GigabitEthernet1/0/13] port link-type hybrid

[SwitchB-GigabitEthernet1/0/13] port hybrid pvid vlan 13

[SwitchB-GigabitEthernet1/0/13] port hybrid vlan 13 1200 untagged

经过上述配置，SwitchB可以将公网中VLAN1000和VLAN1200的数据分别通过GigabitEthernet1/0/12和GigabitEthernet1/0/13端口发送到相应的服务器。

为使服务器端返回的数据能够使用同样的传输方式返回客户端，需要在SwitchB的GigabitEthernet1/0/12和GigabitEthernet1/0/13端口也配置相应的灵活QinQ功能，配置方法与SwitchA类似，这里不再赘述。