路由器子接口与vlan数据流程分析

路由器子接口及交换机vlan数据处理流程分析目录1、路由器子接口介绍12、网络环境及试验目的 33、网络拓扑图34、初始配置45、问题的出现56、问题分析及解决61、路由器子接口介绍子接口用于在单个的物理端口上建立并保持多条逻辑连接，通常应用在FR、X25以及快 速以太网中。应用在X.25/FR网络X.25/FR都是采用虚电路连接终端，适用于点对多点的拓朴结构，因此对于中心的路由 器上往往一个物理端口要同时通过多条虚电路连接多个终端，那么在路由的过程中会出现“水平分割”的问题。这时因为路由协议中为了避免路由环路，采用水平分割的原理：从一 个邻居学到的关于某个网络的路由将不再向这个邻居广播该网络的路由信息。这样，会导致 中心路由器学不到连接的多个终端中的网络路由信息。于是，通过在一个物理端口上创建多 个子端口分别与不同的终端建立连接，在路由协议中对多个逻辑端口是作为类似多个物理端 口来处理的，也就是说，不会受到水平分割的限制。如下面的例子：10.17.0.1S1/0.2S1/0.310.18.0.110.17.0.210.18.0.2路由器A通过在S1/0端口上设置两个1及120与路由器B以及路由器C相连。具体路由器A的配置如下:S1/0.2和Sl/0.3分别用虚电路110以interface Serial1/0息/父端口只需封装FR协议，不需配置任何其它信no ip addressencapsulation frame-relay!interface Serial1/0.2 point-to-point /设置 S1/0 的一个点到点方式的子端口S1/0.2ip address 10.17.0.1 255.255.255.0frame-relay local-dlci 110!interface Serial1/0.3 point-to-point /设置 S1/0 的一个点到点方式的子端口S1/0.3ip address 10.18.0.1 255.255.255.0frame-relay local-dlci 120!两个子端口配置不同网段的IP地址，采用point-to-point的子端口连接方式，在逻辑 上建立了两个端口分别与不同的终端连接，路由协议将通过两个逻辑端口分别广播路由信 息，这样就完全避免了路由协议中水平分割在X.25/FR网络中的限制。应用在以太网中在路由器通过快速以太网端口连接快速以太网的不同VLAN时，需要将快速以太网端口 划分为多个子端口，分别接不同的V LAN。例子：路由器A通过F0/0与交换机A相连，交换机A的端口 1和端口 2分别连接PC1和PC2, 并且这两台PC分别处于VlAN1和VLAN2中，需要通过路由器实现VLAN1与VLAN2的通信。 具体的路由上的配置如下：PC2PC1interface FastEthernetO/O no ip directedbroadcast/创建父端口，不需任何配置int erface Fas tEt herne t0/0.1/创建子端口 1ip address 111.1.1.1 255.255.255.0/配置 VLAN 1 的 IP 地址no ip directed-broadcastencapsulation dot1Q 1/配置 VLAN 1 标识bandwidth 100000delay 1!interface FastEthernet0/0.2/创建子端口 2ip address 112.1.1.1 255.255.255.0/配置 VLAN2 的 IP 地址no ip directed-broadcastencapsulation dot1Q 2/配置 VLAN2 标识bandwidth 100000delay 12、网络环境及试验目的典型的路由+交换网络，在交换机上划分不同的vlan，终端用户网关指向路由器，并在 交换机上启用各自的vlan虚拟接口，通过这些接口地址来管理交换机。3、网络拓扑图FO/0F0/O.1FO/O.2 2.2.2AFO/1PC1PC2Ip:2.2.2.1DGw:2.2+Zl/上联口作trunk/默认使其属于vlanl/使 fO/3 口属于 vlan2/生成子接口 fo/o.i/封装802.1Q，使其标识vlanl/生成子接口 fO/O. 2/封装802.1Q，使其标识vlan24、初始配置交换机interface FastEthernet0/1switchport mode trunk!interface FastEthernet0/2!interface FastEthernet0/3switchport pvid 2!interface VLAN1ip address 1.1.1.2 255.255.255.0 no ip directed-broadcast!interface VLAN2ip address 2.2.2.2 255.255.255.0no ip directed-broadcast!vlan 1-2!路由器interface FastEthernet0/0no ip addressno ip directed-broadcast!interface FastEthernet0/0.1ip address 1.1.1.1 255.255.255.0 no ip directed-broadcast encapsulation dot1Q 1bandwidth 100000delay 1!interface FastEthernet0/0.2ip address 2.2.2.1 255.255.255.0 no ip directed-broadcast encapsulation dot1Q 2bandwidth 100000delay 15、问题的出现1) pc2能ping通网关2.2.2.1,能ping通交换机vlan2的地址22 2.2； PCI能ping通 交换机vlanl的地址1.1.1.2，但是PC1不能ping通网关1.1.1.1。PC2ping 网关 2.2.2.1:C: Documents and Sett iiigrs Admin istratcrping 2 .2.2.1Ringing 2.2.2.1 with 32 bytes of data：Beplp from 2.2.2.1 ： ffteplv from 2.2.2.1 ：from f 5!”T.:Vteplif from 2.2.2.1 ：bytes=32 bytes=32 bytes=32 bytes=32 t i fie =1 ms t i fie =1 ns tine=1ms t ifie=lmsTTL=25STTL=255TTL=5?55TTL=255Ping statistics for 2.2.2.1 * Packets: Sent = 4, Received = 4, Lost =尅 ,Approximate round trip times in inilli-seconds；Ninimum = Ims, Maxinum = Ims, Auerage = 1msPC2ping 交换机 vlan2 的地址 2.2.2.2:C: Documents and Sett ingsfidministratorping 2.2.2.2Ringing 2.2.2.2 with 32 bytes ：jF data-Keplu from 2.2.2.2： Vteplu from 2.2.2.2 ： neply iom 2-2 “2-2,Reply from 2.2.2.2：bytes =32 ti(nelns 11L=2S5 bytes =32 ti(nelns TTL=2SS bi/tec =22 timelne TTL=25E bytes=32 timelns TTL=25SFing statistics for 2.2.2.2-Packets: Sent = 4, Received = 4l；ost = 0 ,Appruxinirtte round trip t Iric in riilli .secunds :Minimum = 認ms, Maximum = 0ms, fiueyage = SusPClping 交换机 vlanl 的地址 1.1.1.2:Connectio-specific DNS Suffix -:Description3 Con 3CS2Q Integrated Fast EthernetCuiitrollep Physical Address-00-0B-DB-DB-2A-61Dhcp Enabled-NoIP Address * - - = - =1.1.1.10Subnet Mask * - . - - : 2S5.255,255.3Default Gateuaij -C: Dccuments and Sett iiigs Ml du in istratorping 1.1.1.2Pinging 1.1.1.2 with 32 bytes of data：fron jeplv front iepljj fvoii ieplji f ron1.1,1.2：1.1,1.2：1.1,1.2：1.1.1.2：bytes=32 timelms TTL=255 Jbytes=32 tinelms TTL=255 bytes=32 tinelms TTL=255 bi/tes =32 timeliis TTL=255Ping statistics f1.1.1.2 ： Packets : Sent - 4, Rccc ived 4, Lost -融 ,Approximate round trip times in milli-secoiids；Ninimuii = 0ns F Maxinum = 3ms, fiuerage = 0msPClping 网关 l.l.l.l:C： XDocuments and Sett insfssAdministratorping 1-1.1 -1Pinging 1.1.1.1 with 32 bytes of data：Request timed out.ftequest tin Ed out.Eetfuest timed out.Bequest timed out.Ping statistics for 1.1.1.1 -Packets: Sent = 4, Eeceiued = 0. Lost = 4 .2）交换机vlan2和路由器子接口 f0/0.2可以互通，但是vlanl和子接口 f0/0.1不同互通。 交换机vlan2的地址2.2.2.2ping路由器子接口 f0/0.2的地址2.2.2.1:witchttpingr 2.2.2.1 -i 2.2.2.2ING 2.2.2.1 ： 56 data bytesZ .2.2.1 ping statist!cs：5 packets transmittedj. 5 packets received, 0誥 packet loss round-trip nin/aucf/max = 0/2/10 ms交换机vlanl的地址1.1.1.2ping路由器子接口 f0/0.1的地址l.l.l.l:Bwitchttping 1.1.1.1 -i 1.1.1.2ING 1.1.1.156 data bytes1.1.1.1 ping statistics5 packets transmittEd” 3 packets receiued,packet 1. ssSuitchtt6、问题分析及解决对于问题1PC2既能ping通网关2.2.2.1,也能ping通交换机vlan地址2.2.2.2,首先来分析下 PC2数据包在ping这两个地址时的流程：PC2ping 网关 2.2.2.11. PC2发出一个目的地地址是2.2.2.1的数据帧进入交换机的F0/3 口，交换机检查 此帧是无Tag标记的帧，故根据F0/3 口的PVID给进入数据帧加上Tag标记2。2. 交换机根据数据帧的Tag标记检查自己的VLAN表。发现V LAN2包含了端口 F0/1 , F0/3。3 .交换机再检查VLAN2的MAC地址表。由于2.2.2.1的数据帧进入端口 F0/1时的标记是Tag2,所以2.2.2.1对应的MAC地址将被VLAN2的MAC表所共享。故此时根据 VLAN2的MAC表，将只转发此数据帧给F0/1端口。4 当端口 F0/1收到带有Tag标记2的数据帧时，检查自身端口的配置，发现F0/1 口的Un tag表只包含了 Tag1，没有包含Tag2，所以保留数据帧的标记，从端口送出。5 .路由器收到这个包含Tag2的数据帧后，发现子接口 f0/0.2正是封装的802.1Q 2,因此将数据交由子接口 f0/0.2处理。经过上述的5个过程，PC2数据帧终于顺利到达了路由器子接口 f0/0.2截图：丁 Pallet Info Flags:& Status: Packet Length: fj Tinestanp:_ 丁 EtluernEt Meaderoxoaoxoa8Z15:11:06-115L34400 36/L5/2007交换机从fO/1 口送出的数据桢带有tag2标记: User Priority:woo(J CFI:0 ifZ-BJF uot present J VLW TO-皿MMVLAN& Prot-Dcol Tjpe:oxoaooI?-丁 IT Keader - Internet Protocol Diat-agram Vetsian:4tj Header Length:5(20 bytes.；白 丁 Dif f erentiated Serrices: 10 D0000 GO00. Default.if Reserved Total length;60tj IdEJitifieT：10716白 丁 Eranent at ion Flags :ooo&0.0O：BD：OJ：7：C5：Ca垃曲鮎 Bawd 2 td： Z7 CD00：aB:DB:DB:Zl: 61 JJe22 Ssgr ?-=2m Tst:DB?2A: 61 OkBIDO JiJ2_ZQ割 Uestliiatioii:觀 Sourde:0 Prot-ODol Tjpe:Ml 2. IQ Itt说nal Bridg“ LM路由器回应PC21 .路由器子接口 f0/0.2发出一个目的地址是2.2.2.10的数据帧，根据f0/0.2的封装了 802.1Q 2的属性，路由器将此数据包打上tag2标记后由f0/0.2送出。2 .交换机从端口 F0/1收到这个从路由器子接口 f0/0.2送来的这个数据帧时，发现这个帧是带有Tag标记2的，所以不再对这个帧进行Tag方面的处理。3 .交换机根据数据帧的Tag标记检查自己的VLAN表，发现VLAN2包含了端口 F0/1,F0/3。4 交换机再检查VLAN2的MAC地址表，只将数据帧转发到F0/3接口（因为F0/3 口的PVID值就是2，而进入F0/3端口的数据帧又是不带标记的，所以F0/1 口学习到的 MAC地址在默认情况下就被VLAN2的物理地址表包含）。5.交换机的F0/3 口接收到这个Tag标记为2的帧后，检查自身端口的配置，发现F0/3 口的Untag表包含了 Tag1和Tag2。所以去处帧的标记，从端口送出。经过上述的5个过程，路由器子接口 f0/0.2的数据帧终于顺利到达了 PC2 至此，PC2ping 通了 2.2.2.1截图：路由器子接口 f0/0.2返回给PC2的数据桢带有tag2标记：5-r0 Flags:oxoa St ar-U5：oxoa Packet- Length:106 linestamp:15:27:54.680994400 06/15/20070 丁1 Ethernet- Header舌9 Destinatioii:00:QE：)B:DE:21: 61 DU丄 Esg Fcba Test:DB:2Jl: 61謝 Soni-ce:00:EO: 0F:27:C5: DU Shansi Baud Ehsti： 27:C5:Ci) Protocol Tjpe:OxSlOO BOZ.IQ TViKtiial BridgedLilNtiJ User Priority:4000 CEI:%0 fK-RIF n&t- pres eat J曲 VISN ID:OkOOOZ Protocal Type:0x0300 IFs-r口 ite也Iee - IiiLtefJiet Protticul Bat細ram曲 Ucision:1 Header Lenath:5 fFD bytesJQ-Differentiated SEiiaces:%QOOODOOO0000 DO. DefawZtw.nBeset?ved经交换机处理后，由f0/3 口送出给PC2,已经去处了标记:& TlBgs:Dioa Status:DioaQ Packet Length.:1020 liiiestsup:15:23:47.37797320D 06gZ007白丁 Ethernet KeadeE鬱 Destination:D0:QB：)B：)B:2A:61 D&U Jsff Jc2m rastrlffi:2flr61鬱 Source:D0:BD:0r：E7:C5:C0 Shanai 3罰 Db:2?:C57C0 Titatocol TypE：DxOSDD I?白丁 IP Meader - Interiiet PEatocol I) at a gran Version;4& Header Lengt-l:5(2d bytes)-TiffetentiaUd Services:： ：00C200WO D0-. Defaultj.feserredk2?eserrsd Total Length:B4& Tdewtifier:6499-rragnentatioii Slags:feOOQD. Eesezfved.C1. 加了 FrdgiieniPC2ping 交换机 vlan2 地址 2.2.2.2此过程较上面相比更为简单，在此不再阐述熟悉了这个转发流程后，再来分析为何PC1不能ping通网关1.1.1.1?既然PC2能ping通网关2.2.2.1, PC1在ping网关1.1.1.1时的流程应该是一样的， 那么问题肯定出在上面数据流程分析的几个步骤中的一个上。PC1发往网关1.1.1.1的数据在进交换机f0/2端口时，根据端口默认的pvid 1会给数 据加上tag1标记，到了这一步，仔细分析下，就能知道问题肯定出在数据出交换机f0/1 口的时候。再来看下交换机f0/l 口的配置：interface FastEthernet0/lswitchport mode trunk根据交换机的处理机制，可以知道此端口属于交换机旗下所有vlan,并且没有配置任 何去标记的命令，那么默认就是如果数据桢带有vlanl的标记，那么在出端口时将去处tagl, 如下所示：Switch_config#sh vlan int f0/lInterfaceVLANNameProperty PVID Vlan-MapuTagg-VLan-MapFastEthernet0/lTrunk l l-2l因此PC1发出的数据包在达到路由器时已经没有任何标记了，路由器的子接口无法识 别，所以PClping不通网关1.1. 1.1 To解决办法：让交换机的fO/1 口在向外转发tagl标记的数据时不去标签配置如下：Switch_config#int fO/1 Switch_config_fO/1#switchport trunk vlan-untaggednone再来看 fO/1 的 untag-vlan-map：Switch_config#sh vlan int fO/1InterfaceVLANNameProperty PVID Vlan-MapuTagg-VLan-MapFastEthernetO/1 Trunk 11-2none此时再在PC1 上 ping网关1.1.1.1,可以通了此时PC1到网关1.1.1.1的数据流程如下：1. PC1发出一个目的地地址是1.1.1.1的数据帧进入交换机的F0/2 口，交换机检查 此帧是无Tag标记的帧，F0/2 口的默认PVID为1,因此给进入数据帧加上Tag标 记 1o2. 交换机根据数据帧的Tag标记检查自己的VLAN表。发现V LAN 1包含了端口 F0/1 , F0/2o3 .交换机再检查VLAN1的MAC地址表。由于1.1.1.1的数据帧进入端口 F0/1时的标记是Tag1，所以1.1.1.1对应的MAC地址将被VLAN1的MAC表所共享。故此时根据 VLAN1的MAC表，将只转发此数据帧给F0/1端口。4 当端口 F0/1收到带有Tag标记1的数据帧时，检查自身端口的配置，发现F0/1 口的Untag表没有包含任何内容，所以保留数据帧的标记，从端口送出。5 .路由器收到这个包含Tag1的数据帧后，发现子接口 f0/0.1正是封装的802.1Q 1，因此将数据交由子接口 f0/0.1处理。经过上述的5个过程，PC1数据帧终于顺利到达了路由器子接口 f0/0.1截图：PC1发出的数据帧在出交换机时仍然保留有tag1标记:Teaket- Length:QxOO oxoa 0212:1B:23.2Z3602BOO06/1E/ZD01Destination.:QO:ED:OF:27:C5:COi21 :CS;C0Source :00:LB:24:09:E3: 083fxotocGl Type:0XB1D0 tfQZ.IQ沪 002 . IQ Virtual Eiridcd带百 802.1Qlii0Vser Tnoritjr_% 000C1I:%0 (Z-F.IF netprt!se?2b JVMN IB:QKpOD丄VLAN IDJlfEotocal Type:OkOSDO IFTIPReader - Internet. Protocol BaT-ajgrarLVeatsicu:目Header Lmiugrth:5(20 bytes) 7 ime 5t amp:一:厂 Ethernet- Meader|寸Xif Eei-entiated Services: %ODOQOOOO曲DOOO 0D-. DafduitReserved曲N ReservedP-acket Xnfa Slags：(J Status :路由器子接口 f0/0.1回应给PCI的数据桢流程与上述同理截图:路由器发出的源地址为f0/0.1接口地址1.1.1.1的数据帧带有tag1标记:sTPacKEt- LniGOstOOo：DODO Od.T 丁 Diftemtiated SeruioBS: 000 00 DOO QjrRasEfViad这样PC1和PC2都能和各自的网关互通了。其实要实现这样一个效果，还有另外一种解决方法，无需在交换机f0/1 口上作switchport trunk vlanuntagged none 的配置即删除子接口 f0/0.1，在路由器上将物理接口 f0/0作为交换机下vlanl的网关： 路由器配置：interface FastEthernet0/0ip address 1.1.1.1 255.255.255.0!interface FastEthernet0/0.2ip address 2.2.2.1 255.255.255.0encapsulation dot1Q 2交换机配置：interface FastEthernet0/1 switchport mode trunkinterface FastEthernet0/2!interface FastEthernet0/3switchport pvid 2!interface VLAN1ip address 1.1.1.2 255.255.255.0!interface VLAN2ip address 2.2.2.2 255.255.255.0!vlan 1-2对于问题2问题2：交换机vlan2和路由器子接口 f0/0.2可以互通，但是vlanl和子接口 fO/O.l不能互 通交换机vlan2的地址2.2.2.2可以ping通子接口 f0/0.2的地址2.2.2.1，先来分析下 数据流程：1. 交换机内部生成发往目的地址是2.2.2.1的数据帧2. 交换机检查VLAN2的MAC地址表。由于2.2.2.1的数据帧进入端口 F0/1时的标记 是Tag2，所以2.2.2.1对应的MAC地址将被VLAN2的MAC表所共享。故此时根据 VLAN2的MAC表，将只转发此数据帧给F0/1端口。3. 当端口 F0/1收到带有Tag标记2的数据帧时，检查自身端口的配置，发现F0/1 口的Untag表只包含了 Tag1,没有包含Tag2,所以保留数据帧的标记，从端口送 出。4. 路由器收到这个包含Tag2的数据帧后，发现子接口 f0/0.2正是封装的802.1Q2, 因此将数据交由子接口 f0/0.2处理。截图：交换机发往2.2.2.1的数据桢带有tag2标记：-iTeeeeTPackat InfaFlags;Status:Packe七 Lenijrth：Tiiiiestaiip:Ethernet Headai1鬱 DestinaLtioji: 掰 Source: Prfltflrol Type!OiiOOOkOO10615=40:40.253769800Ofl:EO:OT:27:C5:COOQ=EO:OI:5I:7B:9COneiOO S02.2Q06/15/E007hud Da id： 57r ffir CCShanghai BducI Ddtd：5F: ?B:3C-302.10Bridged LBNee即空UEer Priority:cn：VLAN ID:Protocol Type:Headex 一 Intefnet% 000i 0 (S-R1F p-eseritJOliOOOEOnOSOO IFProtocol Da.tagram5(20 ys；i由 Version: tjl Kader Length!日Differentiated ServlGes:%DOOOOOOQDOOD 00.DefaultBeserzed经过上述的4个过程，源地址为交换机vlan2地址2.2.2.2的数据帧终于顺利到 达了路由器子接口 f0/0.2数据返回的过程同理，此处不再阐述。截图：路由器子接口 f0/0.2回应给交换机vlan2的数据帧同样带有tag2标记：r-ackct Tnfo7Lags:Statue:7 ack ec Lensth:TLuiEm 匸曰dqDmQOQsrOO106L5：4D：O.Z543Q6SOO06/15reoa7CFI:yx财 id：Time f1C VlxtuaJ.也1“Et-Ajexnc七 llradrizir蔓” De-zt iivat ion:日G ,畑M用Edkiirca:VrotocolOD: ED: 口班 P:7B:9C0D:ID:0F:2TrC:CD03T5L0CI ffCZ uShanghai jud DatjiLRNoootC Z! J?ZF zot pniE：ej2i.jOmOODS口丈口呂口口 工芦Heaaet日Tntetiiet- Prot-ocol Sat-MrdinYeHCli印由 & &r= .*03口000口dODfl DLL” Dafjult.-.氛 TSeserred：hJttiserrecE现在交换机vlanl地址1.1.1.2不能ping通路由器f0/0.1的地址l.l.l.l,会不会是 和问题1的原因一样:交换机在将此数据帧转发出f0/1 口时去掉了 tag1标记,导致f0/0.1 子接口不能识别？从逻辑分析上看，此推断完全可能，那么解决方法照旧，将交换机f0/1 口设置为不去 任何标记Switch_config#int f0/1Switch_config_f0/1#switchport trunk vlan-untagged none如此配置之后，问题仍然存在。因此又推断:会不会是交换机vlanl虚拟接口发出的数据帧根本就没有带任何标记呢? 为了证实这个推断，抓包分析：0yias:0x00Status:0x00Pat Longth.:1D2T LlhGSt ZILp：1E:48:2. D26679fi口口 口/丄占/)? 1f Efchairikct- Me zidci:Detd.IL-CLkXEMl.：QO:EO:OF: 7: C5:C口 Sha:鼻4BaudDaia-27-C.-COScuxce :Q0:EO:OF: 5F: 7B:9C 跖世3强a壬Baud7Br9CTypt.0x0600 ZF-计口- Intefnet Protocol Hataigrani.3Tension:3deader LeiUTtH:5 tzo tytes?a-rJJi f iereitt-iated Sernces: %000000DD0000 DO. Pefaultjt. Reserved.x0Total.S4IdcTLti f iec:34077E3TE i-nt -at- i_ o n. FL 0.9-1?:% 0000. . Bsserved-0. JJrf y Ffd gon erst事实果然如此，交换机fO/1 口已经设置为不去任何tag标记，但发送给路由器子接口 f0/0.1的数据帧仍然没有任何vlan标记。这会不会是我们交换机的一个bug呢？实际上交换机的这个处理机制是正常的。2条有用的规则：1：交换机发出的报文和上联端口如果属于同一个PVID，则不带TAG出去。2：交换机发出的报文和上联端口不属于同一个PVID，则带TAG出去。实际上在本文所阐述的这个简单应用中，如果按照上面问题1的另外一个解决方法：即 在路由器上将物理接口 f0/0作为交换机下vlanl的网关，那么问题1和问题2将都不复存 在。