ipv6 nd

默认应该是开的

您好，默认是关闭的，参考

2.11  配置VLAN内的ND Snooping功能

2.11.1  功能简介

ND Snooping功能用于二层交换网络环境，设备通过侦听ND或者数据报文来创建ND Snooping表项，该表项内容包括报文的源IPv6地址、源MAC地址、所属VLAN和报文入端口等信息。

ND Snooping表项可以配合ND Detection功能使用。关于ND Detection功能的详细介绍，请参见“安全配置指导”的“ND攻击防御”。

ND Snooping表项可以配合IPv6 Source Guard功能使用。关于IPv6 Source Guard功能的详细介绍，请参见“安全配置指导”中的“IP Source Guard”。

下面具体介绍一下ND Snooping表项的建立、迁移和老化机制。（以ND报文为例）

1. 表项建立机制

当收到未知源地址的ND或者数据报文后，设备会新建一个ND Snooping表项，此时该表项处于INVALID状态，随后通过接收报文的接口所属VLAN内的ND信任端口（配置了ipv6 nd detection trust命令的端口）发送两次DAD NS报文进行探测，报文发送的时间间隔可以由ipv6 nd snooping dad retrans-timer命令配置。如果第一次报文发出后，在INVALID状态的超时时间（可以由ipv6 nd snooping lifetime invalid命令配置）内未收到对应的NA应答，则说明局域网中不存在冲突的地址，此时该ND Snooping表项进入VALID状态；如果第一次报文发出后，在INVALID状态的超时时间内收到对应的NA应答，则说明局域网中存在冲突的地址，此时设备删除该ND Snooping表项。

2. 表项迁移机制

表项迁移包括以下两种方式：

·     本设备迁移：当设备从相同VLAN内的其他ND非信任端口收到相同源地址的ND报文时，设备通过学习到ND Snooping表项的入端口发送两次DAD NS报文进行探测，报文发送的时间间隔可以由ipv6 nd snooping dad retrans-timer命令配置。如果第一次报文发出后，在INVALID状态的超时时间内未收到对应的NA应答，则说明原用户已经跟入端口断开，则设备把该ND Snooping表项的入端口修改为收到新报文的端口；如果第一次报文发出后，在INVALID状态的超时时间内收到对应的NA应答，则该ND Snooping表项不发生变化。

·     跨设备迁移：当设备从相同VLAN内的ND信任端口收到相同源地址的ND报文时，设备通过学习到ND Snooping表项的入端口发送两次DAD NS报文进行探测。如果第一次报文发出后，在INVALID状态的超时时间内未收到对应的NA应答，则说明原用户已经跟入端口断开，则设备删除对应的ND Snooping表项，而与该ND信任端口相连的设备会开启表项创建机制并建立ND Snooping表项，完成表项的跨设备迁移。如果第一次报文发出后，在INVALID状态的超时时间内收到对应的NA应答，则说明原用户未跟入端口断开，设备会保留对应的ND Snooping表项。

3. 表项老化机制

如果一个ND Snooping表项自最后一次更新后，在VALID状态超时时间（可以由ipv6 nd snooping lifetime valid命令配置）内未收到ND更新报文，则进入INVALID状态，随后设备通过学习到ND Snooping表项的入端口发送两次DAD NS报文进行探测。如果第一次报文发出后，在INVALID状态的超时时间内没有收到对应的NA应答，则说明原用户已经跟入端口断开，设备删除对应的ND Snooping表项；如果第一次报文发出后，在INVALID状态的超时时间内收到对应的NA应答，则说明原用户未跟入端口断开，设备会保留对应的ND Snooping表项，重新进入VALID状态。

2.11.2  配置步骤

(1)     进入系统视图。

system-view

(2)     进入VLAN视图。

vlan vlan-id

(3)     开启学习ND Snooping表项的功能。请至少选择其中一项进行配置。

¡     开启学习表项地址类型为全球单播地址的ND Snooping表项的功能。

ipv6 nd snooping enable global

¡     开启学习表项地址类型为链路本地地址的ND Snooping表项的功能。

ipv6 nd snooping enable link-local

缺省情况下，学习表项地址类型为全球单播地址或链路本地地址的ND Snooping功能处于关闭状态。

(4)     （可选）开启通过IPv6数据报文学习ND Snooping表项的功能。

ipv6 nd snooping glean source

缺省情况下，通过IPv6数据报文学习ND Snooping表项的功能处于关闭状态。

本命令开启前，VLAN内ND非信任端口必须开启IPv6 Source Guard功能，否则会导致该端口的报文不能正常转发。

(5)     退回系统视图。

quit

(6)     进入二层以太网接口视图或二层聚合接口视图。

interface interface-type interface-number

(7)     （可选）配置接口下学习ND Snooping表项的最大个数。

ipv6 nd snooping max-learning-num max-number

接口下学习ND Snooping表项的最大个数为8192。

(8)     （可选）配置接口为上行口，禁止接口学习ND Snooping表项。

ipv6 nd snooping uplink

缺省情况下，ND Snooping功能使能后，接口上允许学习ND Snooping表项。

(9)     退回系统视图。

quit

(10)     （可选）配置ND Snooping表项的超时时间。

ipv6 nd snooping lifetime { invalid invalid-lifetime | valid valid-lifetime }

缺省情况下，ND Snooping表项的INVALID状态（TENTATIVE、TESTING_TPLT和TESTING_VP状态）的超时时间为500毫秒，VALID状态的超时时间为300秒。

(11)     （可选）配置发送两次DAD NS报文进行探测的时间间隔。

ipv6 nd snooping dad retrans-timer interval

缺省情况下，发送两次DAD NS报文进行探测的时间间隔为250毫秒。