2024年-QINQ原理及應(yīng)用

QINQ原理及應(yīng)用1

2P第1章QinQ技術(shù)基礎(chǔ)第2章BPDUTunnel應(yīng)用第3章靈活QinQ原理與應(yīng)用內(nèi)容介紹2P學(xué)習(xí)完此課程，您將會(huì)：理解QinQ基礎(chǔ)原理與應(yīng)用了解靈活QinQ的原理和應(yīng)用目標(biāo)3隨著以太網(wǎng)技術(shù)在運(yùn)營(yíng)商網(wǎng)絡(luò)中的大量部署（即城域以太網(wǎng)），利用802.1QVLAN對(duì)用戶進(jìn)行隔離和標(biāo)識(shí)受到很大限制，因?yàn)镮EEE802.1Q中定義的VLANtag域只有12個(gè)比特，僅能表示4K個(gè)VLAN，這對(duì)于城域以太網(wǎng)中需要標(biāo)識(shí)的大量用戶捉襟見肘，于是QinQ技術(shù)應(yīng)運(yùn)而生。產(chǎn)生背景42024/5/12QinQ最初主要是為拓展VLAN的數(shù)量空間而產(chǎn)生的，它是在原有的802.1Q報(bào)文的基礎(chǔ)上又增加一層802.1Q標(biāo)簽實(shí)現(xiàn)，使VLAN數(shù)量增加到4K*4K，隨著城域以太網(wǎng)的發(fā)展以及運(yùn)營(yíng)商精細(xì)化運(yùn)作的要求，QinQ的雙層標(biāo)簽又有了進(jìn)一步的使用場(chǎng)景，它的內(nèi)外層標(biāo)簽可以代表不同的信息，如內(nèi)層標(biāo)簽代表用戶，外層標(biāo)簽代表業(yè)務(wù)，內(nèi)層tag透明傳送，另外，QinQ報(bào)文帶著兩層tag穿越運(yùn)營(yíng)商網(wǎng)絡(luò)是一種簡(jiǎn)單、實(shí)用的VPN技術(shù)，因此它又可以作為核心MPLSVPN在城域以太網(wǎng)VPN的延伸，最終形成端到端的VPN技術(shù)。產(chǎn)生背景52024/5/12QinQ的基本思想是在基于802.1Q封裝的報(bào)文的Tag前再加一個(gè)Tag以增加Tag數(shù)量或以前一個(gè)Tag來(lái)區(qū)分隧道(用戶)的一種形象化的稱呼.目前很多廠商的網(wǎng)絡(luò)設(shè)備都能支持這個(gè)特性，但是名稱各不相同Cisco

802.1QTunnelingExtreme VirtualMAN/vMANsRiverstone StackableVLAN/SVLANH3C VLANVPN總的思想都是將用戶私網(wǎng)VLANTag封裝在公網(wǎng)VLANTag中，報(bào)文帶著兩層Tag穿越服務(wù)商的骨干網(wǎng)絡(luò)，從而為用戶提供一種較為簡(jiǎn)單的二層VPN隧道。產(chǎn)生背景62024/5/12QinQ封裝8021Q封裝QinQ封裝DASATagLen/EtypeDataFCSEtypeDASATagLen/EtypeDataFCSEtypeTagEtype同802.1Q的幀相比QinQ在這里插入了一層標(biāo)簽,通常我們稱之為外層標(biāo)簽內(nèi)層標(biāo)簽，是由用戶打上去的72024/5/12QinQ封裝說(shuō)明在802.1Q中規(guī)定TagProtocolIdentifier(TPID)Etype的值為8100,H3C和CISCO內(nèi)外層標(biāo)簽的Etype相同都是0x8100Foundry和Extreme，外層標(biāo)簽的Etype為0x9100。(最新版本可能有變化）。為同外層標(biāo)簽為0x9100、0x9200的設(shè)備互通,可提供外層標(biāo)簽可調(diào)功能,可以通過(guò)命令指定外層標(biāo)簽的值。82024/5/12QinQ應(yīng)用示意圖－簡(jiǎn)單二層VPN客戶A，LAN1-100客戶A，LAN1-100客戶B，LAN1-200客戶B，LAN1-200Trunk端口運(yùn)營(yíng)商網(wǎng)絡(luò)VLAN30VLAN30VLAN20VLAN20VLAN20：Tunnel端口，打上或剝掉外層標(biāo)簽VLAN20：Trunk端口，客戶側(cè)單tag，運(yùn)營(yíng)商側(cè)雙tag20headerdatauservlanheaderdatauservlanheaderdatauservlan外層標(biāo)簽92024/5/12QinQ原理先介紹Tunnel端口：配置了支持QinQ的端口，Tunnel端口被配置為屬于運(yùn)營(yíng)商分配給客戶的VLAN，Tunnel端口只在運(yùn)營(yíng)商設(shè)備上配置。上圖中客戶A被分配了VLAN20，所有和客戶A相連的Tunnel端口，在運(yùn)營(yíng)商網(wǎng)絡(luò)中屬于VLAN20A客戶數(shù)據(jù)（已經(jīng)有一層客戶VLAN標(biāo)簽）到達(dá)Tunnel端口，會(huì)再添加外層標(biāo)簽，VLANID為20，在運(yùn)營(yíng)商網(wǎng)絡(luò)中，帶著Tag在VLAN20中按正常二層轉(zhuǎn)發(fā)流程轉(zhuǎn)發(fā)。A客戶數(shù)據(jù)離開Tunnel端口，外層標(biāo)簽會(huì)被剝離掉，剩下內(nèi)層客戶VLAN標(biāo)簽，到達(dá)客戶側(cè)交換機(jī)按正常的Tag報(bào)文在客戶網(wǎng)絡(luò)中轉(zhuǎn)發(fā)。MAC學(xué)習(xí)：客戶數(shù)據(jù)到達(dá)Tunnel端口，其MAC學(xué)習(xí)在運(yùn)營(yíng)商分配給客戶的VLAN中（A客戶的數(shù)據(jù)MAC學(xué)習(xí)在VLAN20）；數(shù)據(jù)到達(dá)客戶側(cè)，MAC學(xué)習(xí)在內(nèi)層客戶VLAN標(biāo)簽標(biāo)注的VLAN中QinQ功能對(duì)客戶側(cè)交換機(jī)不可見，運(yùn)營(yíng)商網(wǎng)絡(luò)對(duì)客戶透明。102024/5/12QinQ優(yōu)點(diǎn)QinQ可以簡(jiǎn)單認(rèn)為是報(bào)文攜帶了兩層8021QTag。QinQ技術(shù)的出現(xiàn)讓運(yùn)營(yíng)商可以以較低成本為客戶提供二層VPN。QinQ完全在運(yùn)營(yíng)商網(wǎng)絡(luò)上實(shí)施，用戶對(duì)QinQ不感知。在運(yùn)營(yíng)商網(wǎng)絡(luò)中的報(bào)文，內(nèi)層Tag為客戶私有VLAN標(biāo)識(shí)，外層Tag為運(yùn)營(yíng)商分配給客戶的VLAN?？蛻艨梢元?dú)立規(guī)劃自己的VLANID，運(yùn)營(yíng)商網(wǎng)絡(luò)的變化不影響客戶網(wǎng)絡(luò)。QinQ不需要單獨(dú)的信令協(xié)議，只需要靜態(tài)配置，簡(jiǎn)潔穩(wěn)定。QinQ擴(kuò)展了VLAN資源,為運(yùn)營(yíng)商按VLAN區(qū)分接入用戶提供了可能112024/5/12P以上介紹的QinQ為基于端口的QinQ，其實(shí)現(xiàn)機(jī)理如下：當(dāng)該設(shè)備端口接收到報(bào)文，無(wú)論報(bào)文是否帶有VLANTag，交換機(jī)都會(huì)為該報(bào)文打上本端口缺省VLAN的VLANTag。這樣，如果接收到的是已經(jīng)帶有VLANTag的報(bào)文，該報(bào)文就成為雙Tag的報(bào)文；如果接收到的是untagged的報(bào)文，該報(bào)文就成為帶有端口缺省VLANTag的報(bào)文新的挑戰(zhàn)QinQ網(wǎng)絡(luò)中，運(yùn)營(yíng)商網(wǎng)絡(luò)對(duì)客戶透明，當(dāng)客戶和運(yùn)營(yíng)商網(wǎng)絡(luò)之間的連接有冗余時(shí)必然導(dǎo)致環(huán)路問(wèn)題。（QinQ應(yīng)用示意圖中的A客戶。）這一挑戰(zhàn)要求運(yùn)營(yíng)商網(wǎng)絡(luò)能透明傳輸STP/RSTP/MSTP報(bào)文，這樣客戶可以跨運(yùn)營(yíng)商網(wǎng)絡(luò)構(gòu)建自己的STP樹，切斷冗余鏈路

BPDU-Tunnel運(yùn)營(yíng)商提出了新的要求,不按用戶接入端口來(lái)劃分VLAN，而是按其用戶的VID或其他特征來(lái)對(duì)用戶進(jìn)行分組靈活QinQQinQ技術(shù)的挑戰(zhàn)12PQinQBPDUTunnel二層協(xié)議報(bào)文，也稱BPDU報(bào)文在運(yùn)營(yíng)商網(wǎng)絡(luò)的透?jìng)?，我們稱為L(zhǎng)ayer2Protocoltunnel或者BPDUtunnel。BPDU報(bào)文在運(yùn)營(yíng)商QinQ網(wǎng)絡(luò)中的透?jìng)?，必須達(dá)到以下要求：同一個(gè)客戶網(wǎng)絡(luò)的所有分支必須都能收到自己的BPDU報(bào)文。不同客戶網(wǎng)絡(luò)中的BPDU必須隔離，不能互相影響。兩個(gè)問(wèn)題可以一起解決：在Tunnel端口收到BPDU時(shí)，給BPDU打上運(yùn)營(yíng)商分配給客戶的一個(gè)標(biāo)識(shí)，根據(jù)這個(gè)標(biāo)識(shí)來(lái)區(qū)分不同VPN的BPDU，同時(shí)在運(yùn)營(yíng)商網(wǎng)絡(luò)中BPDU報(bào)文按正常的數(shù)據(jù)報(bào)文進(jìn)行轉(zhuǎn)發(fā)為了避免客戶BPDU報(bào)文被運(yùn)營(yíng)商網(wǎng)絡(luò)設(shè)備處理，需要給封裝的BPDU賦一個(gè)特殊的組播MAC作為目的MAC，這一方面可以保證報(bào)文能在運(yùn)營(yíng)商分配給客戶的VLAN中被發(fā)送到各個(gè)分支，在出Tunnel端口時(shí)，去掉VLANtag并把目的MAC改回BPDU的MAC。BPDUTunnel原理13PQinQBPDUTunnelTunnel端口收到BPDU后，把目的MAC修改為一個(gè)組播MAC（01-00-0c-cd-cd-d0），在FCS前插入用戶信息等相關(guān)標(biāo)識(shí),組播MAC保證報(bào)文在VLAN內(nèi)廣播，同時(shí)標(biāo)識(shí)這個(gè)報(bào)文是個(gè)BPDU-Tunnel報(bào)文，交換機(jī)在收到這個(gè)報(bào)文時(shí)上送CPU處理，還原其BPDU身份，并根據(jù)報(bào)文中的用戶信息標(biāo)識(shí)部分的內(nèi)容，把報(bào)文送到相應(yīng)的客戶網(wǎng)絡(luò)。BPDU-TunnelPacketDSAP(1)0x42SSAP(1)0x42Control(1)0x03Length(2)ProtocolDataDA01-80-C2-00-00-00SA00-0F-E2-07-F2-E0FCSDSAP(1)0x42SSAP(1)0x42Control(1)0x03Length(2)ProtocolDataDA01-00-0C-CD-CD-D0SA00-0F-E2-07-F2-E0FCSUser_InfoBPDUPacket修改了BPDU的目的地址為多播MAC增加了該字段用來(lái)區(qū)分是那一個(gè)用戶網(wǎng)絡(luò)BPDUTunnel的實(shí)現(xiàn)14城域以太網(wǎng)QinQ應(yīng)用案例152024/5/12城域以太網(wǎng)QinQ應(yīng)用案例某運(yùn)營(yíng)商新建城域以太網(wǎng)如上圖所示，用戶A和用戶B各地市通過(guò)接入城域以太網(wǎng)絡(luò)實(shí)現(xiàn)遠(yuǎn)程互訪。受早期網(wǎng)絡(luò)規(guī)劃的影響，用戶A和用戶B接入VLAN（C-VLAN）都為VLAN20。業(yè)務(wù)接入城域以太網(wǎng)后，要求在用戶接入VLAN不變的情況下，實(shí)現(xiàn)Q地市的用戶A1和M地市的用戶A2、以及Q地市的用戶B1和M地市的用戶B2間業(yè)務(wù)互訪；同時(shí)，還要保證用戶A和用戶B業(yè)務(wù)相互隔離。162024/5/12城域以太網(wǎng)QinQ應(yīng)用案例技術(shù)關(guān)鍵點(diǎn)：不同用戶攜帶相同C-VLAN接入城域以太網(wǎng)，為保證業(yè)務(wù)相互隔離，可以通過(guò)在CE設(shè)備上配置QinQ，使不同用戶的業(yè)務(wù)數(shù)據(jù)報(bào)文打上不同的外層VLANtag（S-VLAN），PE上配置根據(jù)外層VLAN映射至不同的VPLS專線，從而實(shí)現(xiàn)相同用戶業(yè)務(wù)的遠(yuǎn)程互訪，不同用戶的業(yè)務(wù)隔離，如下圖所示。172024/5/12城域以太網(wǎng)QinQ應(yīng)用案例182024/5/12靈活QinQ在前面所講的QinQ中，只能以物理端口來(lái)劃分用戶，當(dāng)多個(gè)不同用戶以不同的VLAN接入到同一個(gè)端口時(shí)無(wú)法區(qū)分用戶；前面的QinQ是一種簡(jiǎn)單二層VPN的應(yīng)用，在運(yùn)行營(yíng)商接入環(huán)境中往往需要根據(jù)用戶的應(yīng)用或接入地點(diǎn)（設(shè)備）來(lái)區(qū)分用戶；靈活QinQ，即基于流封裝的QINQ的出現(xiàn)為以上應(yīng)用提功了解決方案；192024/5/12基于流的QinQ封裝可以對(duì)進(jìn)入端口的數(shù)據(jù)首先進(jìn)行流分類，然后對(duì)于不同的數(shù)據(jù)流選擇是否打外層TAG，打何種外層TAG，因此也叫靈活QinQ，靈活QinQ根據(jù)流分類的方法又可細(xì)分如下：根據(jù)報(bào)文中的VLANID區(qū)間分流當(dāng)同一用戶的不同業(yè)務(wù)使用不同的VLANID時(shí)，可以根據(jù)VLANID區(qū)間進(jìn)行分流，比如PC上網(wǎng)的VLANID范圍是101～200，IPTV的VLANID范圍是201～300，大客戶的VLAN范圍是301～400，面向用戶的設(shè)備收到用戶數(shù)據(jù)后，根據(jù)VLANID范圍，對(duì)PC上網(wǎng)業(yè)務(wù)打上100的外層標(biāo)簽，對(duì)IPTV打上300的外層標(biāo)簽，對(duì)大客戶打上500的外層標(biāo)簽。靈活QinQ202024/5/12靈活QinQ根據(jù)報(bào)文中的VLANID＋Priority進(jìn)行分流不同的業(yè)務(wù)有不同的優(yōu)先級(jí)，當(dāng)同一用戶的多種業(yè)務(wù)使用相同的VLANID時(shí)，可以根據(jù)不同業(yè)務(wù)的Priority進(jìn)行區(qū)分，然后打上不同的外層標(biāo)簽。根據(jù)目的IP進(jìn)行QinQ封裝當(dāng)同一臺(tái)PC既包括上網(wǎng)業(yè)務(wù)，又包括語(yǔ)音業(yè)務(wù)時(shí)，不同業(yè)務(wù)的目的IP不同，可以對(duì)目的IP進(jìn)行分流，然后打上不同的外層標(biāo)簽。根據(jù)ETYPE進(jìn)行QinQ封裝當(dāng)同一用戶既包括PPPOE的上網(wǎng)業(yè)務(wù)，又包括IPOE的IPTV業(yè)務(wù)時(shí)，可以根據(jù)ETYPE進(jìn)行數(shù)據(jù)分流，IPOE的協(xié)議號(hào)為0x0800，PPPOE的協(xié)議號(hào)為0x8863/8864，這樣，上網(wǎng)業(yè)務(wù)和IPTV業(yè)務(wù)就能打上不同的外層標(biāo)簽。212024/5/12P靈活QinQ原理與應(yīng)用根據(jù)端口的VLAN區(qū)間分流：比如普通上網(wǎng)用戶PC的VLAN范圍1～1K，IPTV用戶的VLAN范圍1K～2K，大客戶互聯(lián)網(wǎng)接入的VLAN范圍2K～3K...靈活QinQ應(yīng)用場(chǎng)景一城域網(wǎng)VLAN10VLAN1-XXXVLAN20VLAN1XXXVLAN30VLAN2XXXVLAN2VLAN1001VLAN2001VLAN3VLAN1002VLAN2002TrunkTrunk22P靈活QinQ原理與應(yīng)用根據(jù)報(bào)文的協(xié)議號(hào)分流：比如普通上網(wǎng)PC采用PPPoE、IPTV采用IPoE，這些終端都通過(guò)一個(gè)VLAN上行，可以根據(jù)PPPoE和IPoE報(bào)文不同的協(xié)議號(hào)作為QinQ的分流依據(jù)靈活QinQ應(yīng)用場(chǎng)景二城域網(wǎng)VLAN10PPPOEVLAN20IPOEVLAN3VLAN223P靈活QinQ原理與應(yīng)用根據(jù)報(bào)文的目標(biāo)IP地址分流：對(duì)于相同源IP地址，相同報(bào)文封裝的不同的業(yè)務(wù)應(yīng)用報(bào)文，比如PC上的SoftPhone產(chǎn)生的報(bào)文，需要根據(jù)報(bào)文的目的IP地址實(shí)施靈活QinQ進(jìn)行業(yè)務(wù)分流；靈活QinQ應(yīng)用場(chǎng)景三城域網(wǎng)VLAN10DAIPVLAN20DAVOIPService控制24P靈活QinQ原理與應(yīng)用靈活QinQ典型應(yīng)用internetBRASVLAN1001-1003組播路由器DHCP服務(wù)器VLAN302VLAN303S8500VLAN101-301園區(qū)接入交換機(jī)DSLAM每個(gè)用戶一個(gè)VLAN（內(nèi)層tag），實(shí)現(xiàn)用戶的隔離。按應(yīng)用的不同把用戶劃分到不同的VLAN（外層tag）中去,實(shí)現(xiàn)不同應(yīng)用的隔離。25P靈活QinQ原理與應(yīng)用組網(wǎng)需求園區(qū)接入的用戶VLAN101-200是屬于普通用戶接入，85給它分配使用的公網(wǎng)VLAN是1001。VLAN201-300的用戶為園區(qū)接入的VIP用戶，85給它分配的公網(wǎng)VLAN是1002。這些用戶對(duì)網(wǎng)絡(luò)的性能要求高，因此需要通過(guò)QOS保