华为85交换机QinQ配置的下行口MAC学习

lwjzjut

QinQ是指将用户私网VLAN Tag封装在公网VLAN Tag中，使报文带着两层VLAN Tag穿越运营商的骨干网络（公网）。在公网中报文只根据外层VLAN Tag（即公网VLAN Tag）传播，用户的私网VLAN Tag被屏蔽。
        华为85系列交换机的配置方法如下。
        acl number 4000
         rule 0 permit ingress 1000 to 2999 egress any        #
        interface GigabitEthernet2/1/1
         port link-type hybrid
         port hybrid vlan 3000 tagged
         port hybrid vlan 10 untagged
         vlan filter disable
         traffic-redirect inbound link-group 4000 rule 0 nested-vlan 10
        本节主要讲述85交换机下行口的地址学习。
        由于入报文首先进入MAC地址学习流程，然后再匹配ACL进行添加TAG或者换TAG的操作，因此，在配置灵活QinQ的端口上，入报文的源MAC不会学在外层VLAN上，也不会学在内层VLAN上（配置了vlan filter disable，没有允许内层VLAN通过时）。
在上例中，带着VLAN 1000的单层TAG报文进入端口后，首先进入MAC地址学习流程，由于GigabitEthernet2/1/1上并未配置允许1000通过，因此MAC地址无法学习到VLAN 1000；随后报文匹配ACL规则4000的rule 0，打上外层TAG 10，即在VLAN 10内进行转发，不再进行MAC学习，因此MAC地址也无法学习到VLAN 10。
        modified-vlan的情况与nested-vlan类似。
        如果GigabitEthernet2/1/1上配置允许内层VLAN，例如VLAN 1000通过，那么带着单层TAG 1000、源MAC为Mac-1的报文进入端口后，进入MAC地址学习流程，GigabitEthernet2/1/1上会将Mac-1学习到VLAN 1000；随后报文匹配ACL规则4000的rule 0，打上外层TAG 10，在VLAN 10内进行转发。但下行报文是带着外层TAG也就是VLAN 10进入上行口的，查询MAC时，只会查询VLAN 10内是否有学习目的MAC地址Mac-1，VLAN 10中没有匹配记录，因此还是在VLAN 10中广播转发。也就是说，内层TAG上学习MAC对于转发是没有意义的，因此我们通常在QinQ端口上都不配置内层VLAN通过。这样就不用学习MAC；而且对内层TAG不可感知，设备上就可以配置内层VLAN ID用作其他用途，提高了VLAN的复用性。