您好，歡迎訪問飛暢科技官網！
全國服務熱線:+086 0571-87007055/56/57 EN
飛暢科技官網-服務支持

我們只專注于傳輸與接入

WE ONLY FOCUS ON TRANSMISSION AND ACCESS

聯系我們CONTACT US

全國咨詢熱線

0571-87007055/56/57/75

傳真：0571-87007140

手機：15306818230（微信）

QQ ：2355416925

定制設計:18072828031(微信)

或給我們留言

在線留言

QinQ封裝及終結詳解

瀏覽次數：發(fā)布時間：2019-10-14

 

       QinQ最初主要是為擴展VLAN ID空間而產生的，但隨著城域以太網的發(fā)展以及運營商精細化運作的要求，QinQ的雙層標簽又有了進一步的使用場景。它的內、外層標簽可以代表不同的信息，如內層標簽代表用戶，外層標簽代表業(yè)務。另外，QinQ數據幀帶著兩層標簽穿越運營商網絡，內層標簽透明傳送，也可以看作是一種簡單、實用的VPN技術。因此它又可以作為核心MPLS VPN在城域以太網VPN的延伸，最終形成端到端的VPN技術。由于QinQ方便易用的特點，現在已經在各運營商中得到了廣泛的應用，如QinQ技術在城域以太網解決方案中和多種業(yè)務相結合。特別是靈活QinQ（Selective QinQ/VLAN Stacking）的出現，使得QinQ業(yè)務更加受到了運營商的推崇和青睞。

       我們知道，普通VLAN中的一個VLAN標簽是用來區(qū)分用戶的，但如果想要同時區(qū)分用戶和業(yè)務類型，那么怎么辦呢？如圖7-11是一個總公司下面連接了兩個分支子公司，而各分支子公司中已對不同部門的員工采用了VLAN進行區(qū)分，但兩個子公司的部門VLAN ID規(guī)劃是重疊的。這樣如果數據幀中只采用一層VLAN標簽，總公司就無法區(qū)分數據是來自哪個子公司的也就無法針對不同子公司的數據進行任何處理了。

圖7-11 QinQ典型應用示例

圖7-11 QinQ典型應用示例

       為了解決這個問題，我們可以設想在總公司的交換機上為各子公司創(chuàng)建了不同的VLAN。這樣當連接對應子公司的總公司交換機端口收到數據幀后再在數據幀外面添加一層VLAN標簽（此時數據幀中就有兩層VLAN標簽了，原來的VLAN標簽稱之為內層VLAN標簽，新添加的稱之為外層VLAN標簽），如為子公司1和子公司2的數據幀分別添加的外層VLAN標簽為VLAN 10和VLAN 20，這樣就可實現在總公司中對來自不同子公司的數據進行區(qū)分了，也可以對來自這兩個子公司的數據提供不同的服務，即差分服務了。

       另外，在基于傳統(tǒng)的802.1Q協(xié)議的二層局域網互聯模式中，當兩個用戶網絡需要通過服務提供商（ISP）互相訪問時（如在城域以太網中），ISP必須為每個接入用戶創(chuàng)建不同的VLAN。這種配置方法一方面使得用戶的VLAN在骨干網絡上可見，存在一定的安全隱患，同時因為一一對應的VLAN ID，也消耗了大量服務提供商的VLAN ID資源。這對較大的ISP來說是無法承受的，因為只有4094個VLAN ID可用），當接入的用戶數目很多時可能使ISP網絡的VLAN ID不夠用。另外，采用這種普通VLAN部署方式下，不同的ISP接入用戶就不能使用相同的VLAN ID，否則就無法實現不同接入用戶間的隔離，這時用戶的VLAN ID只能由ISP統(tǒng)一規(guī)劃，導致用戶沒有自己規(guī)劃VLAN的權利。

       通過QinQ技術可以有效地解決以上問題，因為它可以為許多不同內層VLAN標簽用戶使用同一個外層VLAN標簽進行封裝，解決了ISP的VLAN ID資源不足的問題。另外，通過外層VLAN標簽對內層VLAN標簽的屏蔽作用，使得用戶自己的內層VLAN ID部署可以由用戶自己作主，而不必由ISP來統(tǒng)一部署。

        這個雙層VLAN標簽可以當作單層VLAN標簽使用，即僅使用新添加的外層公網VLAN標簽，內層私網VLAN可以作為數據來傳輸，如在本章后面將要介紹的2 to 1的VLAN映射中；當然也可以作為雙層VLAN標簽來使用（如在本章后面將要介紹的2 to 2的VLAN映射中），整個數據幀中的VLAN標簽由內、外雙層VLAN標簽共同決定，這樣一來，就相當于可以使用的VLAN ID數量達到了4094×4094個了，以此來達到擴展VLAN空間的目的。通過這樣的雙層VLAN標簽封裝，可以使私網VLAN ID可以在公網上透傳，既解決了用戶VLAN ID的安全性問題和由用戶自己規(guī)劃私網VLAN ID的需求問題，又解決了ISP的VLAN ID空間不足的問題，因為在ISP中可以為需要相互訪問的用戶配置相同的外層VLAN，也只需為來自同一用戶網絡的不同VLAN提供一個VLAN ID。

7.3.2 QinQ封裝和終結

QinQ是在傳統(tǒng)802.1Q VLAN標簽頭基礎上再增加一層新的802.1Q VLAN標簽頭，如圖7-12所示。由此可知，QinQ幀比傳統(tǒng)的802.1Q幀多了四個字節(jié)，即新增的802.1Q VLAN標簽。

圖7-12 傳統(tǒng)802.1Q幀和QinQ幀格式比較

圖7-12 傳統(tǒng)802.1Q幀和QinQ幀格式比較

     QinQ幀封裝的過程就是把單層802.1Q標簽的數據幀轉換成雙層802.1Q標簽的數據幀。封裝過程主要發(fā)生在城域網側連接用戶的交換機端口上進行的。根據不同的VLAN標簽封裝依據，QinQ可以分為“基本QinQ”和“靈活QinQ”兩種類型。具體說明如下。

1.    基本QinQ封裝

     “基本QinQ封裝”是將進入一個端口的所有流量全部封裝一個相同的外層VLAN標簽，是一種基于端口的QinQ封裝方式，也稱“QinQ二層隧道”。開啟端口的基本QinQ功能后，當該端口接收到已經帶有VLAN標簽的數據幀時，則該數據幀就將封裝成雙層標簽的幀；如果接收到的是不帶VLAN標簽的數據幀，則該數據幀將封裝成為帶有端口缺省VLAN的一層標簽的幀。

      從以上介紹可以看出，基本QinQ的VLAN標簽封裝不夠靈活，很難有效地區(qū)分不同的用戶業(yè)務，因為它對進入同一個交換機端口的所有數據幀都封裝相同的外層VLAN標簽。但在需要較多的VLAN時，可以使用這個基本QinQ功能，這樣可以減少對VLAN ID的需求，因為進入同一個端口的所有數據幀都封裝同一個外層VLAN標簽。

      如在圖7-13所示的網絡中，企業(yè)部門1（Department1）有兩個辦公地，部門2（Department2）有三個辦公地，兩個部門的各辦公地分別和網絡中的PE1、PE2相連，部門1和部門2可以任意規(guī)劃自己的VLAN。這樣，可在PE1和PE2上通過如下思路配置QinQ二層隧道功能，使得每個部門的各個辦公地網絡可以互通，但兩個部門之間不能互通。

      在PE1上，對于進入端口Port1和Port2的用戶（都屬于部門1）數據幀都封裝外層VLAN 10，對于進入端口Port3中用戶（屬于部門2）數據幀都封裝外層VLAN 20。

      在PE2上，對于進入端口Port1和Port2的用戶（都屬于部門2）數據幀都封裝外層VLAN 20。

      PE1上的端口Port4和PE2上的端口Port3允許VLAN 20的用戶數據幀通過，以便實現連接在PE1的Port3上部門2的用戶與連接在PE2的Port1和Port2上部門2的用戶互通。

     這種基本QinQ封裝就相當于用一個外層的VLAN標簽映射同類用戶的多個內層VLAN標簽，以減少ISP端設備VLAN ID的使用量。

圖7-13 基本QinQ典型應用示例

圖7-13 基本QinQ典型應用示例

2.    靈活QinQ封裝

      “靈活QinQ”是對QinQ的一種更靈活的實現，是基于端口封裝與基于VLAN封裝的結合方式。除了能實現所有基本QinQ的功能外，靈活QinQ對于同一個端口接收的數據幀還可以根據不同的內層VLAN標簽執(zhí)行不同的外層標簽封裝。它又可分為以下三個子類：

       基于VLAN ID的靈活QinQ：它是基于數據幀中不同的內層標簽的VLAN ID來添加不同的外層標簽。即具有相同內層標簽的幀添加相同的外層VLAN標簽，具有不同內層標簽的幀添加不同的外層VLAN標簽。這就要求不同用戶的內層VLAN ID或VLAN ID范圍絕對不能重疊或交叉。華為S系列交換機中的S2700、S3700、S5700、S6700僅支持基于VLAN ID的靈活QinQ功能。

       基于802.1p優(yōu)先級的靈活QinQ：它是基于數據幀中不同的內層標簽的802.1p優(yōu)先級來添加不同的外層標簽。即具有相同內層VLAN 802.1p優(yōu)先級的幀添加相同的外層標簽，具有不同內層VLAN 802.1p優(yōu)先級的幀添加不同的外層標簽。這就要求不同用戶的內層VLAN的802.1p優(yōu)先級或802.1p優(yōu)先級范圍絕對不能重疊或交叉。基于802.1p優(yōu)先級的靈活QinQ在華為S系列交換機中僅S7700、S9300和S9700系列支持。

       基于流策略的靈活QinQ：它是根據所定義的QoS策略為不同的數據幀添加不同的外層標簽?；诹鞑呗缘撵`活QinQ是基于端口與VLAN相結合的方式實現的，能夠針對業(yè)務類型提供差別服務?；诹鞑呗缘撵`活QinQ在華為S系列交換機中僅S7700、S9300和S9700系列支持。

      以上三種靈活QinQ的配置方法將在本章后面具體介紹。

      當同一用戶的不同業(yè)務需要使用不同的VLAN ID時，可以根據VLAN ID區(qū)間進行分流?，F假設PC上網的VLAN ID范圍是101~200；IPTV的VLAN ID范圍是201~300；大客戶的VLAN ID范圍是301~400。面向用戶的端口在收到用戶數據后根據用戶VLAN ID范圍，對PC上網業(yè)務封裝上外層標簽100，對IPTV封裝上外層標簽300，對大客戶封裝上外層標簽500。

     【說明】QinQ封裝一般在交換式端口上進行，但也可以在路由子接口上進行（QinQ終結只能在路由子接口上進行）。此種方法可以通過一個子接口來透傳多個標識用戶的VLAN ID，這種子接口也叫QinQ Stacking子接口。這種封裝方式也是基于流的QinQ封裝方式，但QinQ Stacking子接口只能和L2VPN業(yè)務結合起來才有意義，不支持三層轉發(fā)功能。

      在如圖7-14所示的網絡中，企業(yè)的部門1有多個辦公地，部門2也有多個辦公地。部門1的網絡中使用VLAN 2~VLAN 500；部門2的網絡中使用VLAN 500~VLAN 4094。PE1的Port1端口會同時收到兩個部門不同VLAN區(qū)間的用戶數據幀。

圖7-14 靈活QinQ典型應用示例

圖7-14 靈活QinQ典型應用示例

          此時可根據圖中標識的各辦公地的用戶VLAN ID范圍在PE1和PE2上通過如下思路配置基于VLAN的靈活QinQ功能，使得每個部門的各個辦公地網絡可以互通，但兩個部門之間不能互通。具體配置思路如下：

對于進入PE1的Port1端口的用戶數據幀，依據其VLAN ID的不同添加對應的外層VLAN標簽。如VLAN ID在2~500之間，則封裝VLAN ID為10的外層標簽；如VLAN ID在1000~2000之間，則封裝VLAN ID為20的外層標簽；

對于進入PE1的Port2端口的用戶數據幀，如果VLAN ID在100~500之間，則封裝VLAN ID為10的外層標簽；

對于進入PE2的Port1端口的用戶數據幀，如VLAN ID在1000~4094之間，則封裝VLAN ID為20的外層標簽；

對于進入PE2的Port2端口的用戶數據幀，如果VLAN ID在500~2500之間，則封裝VLAN ID為20的外層標簽；

在PE1和PE2的Port3端口上允許VLAN 20的幀通過，以便實現連接在PE1的Port1端口下連接的部門2用戶與連接在PE2的Port1和Port2的部門2的用戶互通。

      從以上可以看出，靈活QinQ比基本QinQ的外層標簽封裝更加靈活，可可以根據用戶數據幀中的原來的VLAN ID范圍來確定封裝不同的外層標簽，這樣更有方便了對相同網絡中不同業(yè)務的用戶數據流提供差分服務。

3.    QinQ/Dot1q終結子接口

      QinQ/Dot1q終結是指設備對數據幀的雙層或者單層VLAN標簽進行識別，根據后續(xù)的轉發(fā)行為對幀中的雙層或者單層VLAN標簽進行剝離，然后繼續(xù)傳送。也就是這些VLAN標簽僅在此之前生效，后面的數據傳輸和處理不再依據幀中的這些VLAN標簽。
     【經驗之談】VLAN終結的實質包括兩個方面：
       對接口收到的VLAN報文，去除VLAN標簽后進行三層轉發(fā)或其他處理。從設備其它接口轉發(fā)出去的報文是否帶有VLAN標簽由對應的端口類型及其數據發(fā)送規(guī)則決定。
       對接口發(fā)送的報文，又將相應的VLAN標簽信息添加到報文中后再發(fā)送。

      終結一般在路由子接口上執(zhí)行，即終結子接口，如我們在單臂路由中就要配置路由子接口的802.1Q的VLAN終結。如果路由子接口是對數據幀的單層VLAN標簽終結，那么該子接口稱為Dot1q 終結子接口；如果路由子接口是對數據幀的雙層VLAN標簽終結，那么該子接口稱為QinQ終結子接口。QinQ終結子接口根據終結的用戶VLAN標簽的類型，通常分為兩種子接口：

      明確的QinQ終結子接口：兩層VLAN標簽為固定的值。

      模糊的QinQ終結子接口：兩層VLAN標簽為范圍值，即：終結的內、外層標簽都為一個VLAN ID范圍值。
EN