求一份vxlan配置
- 0关注
- 0收藏，48浏览
你这是一个非常经典的“租用线路”替代方案，不过常规的配置思路确实走不通，我们可以直接点明关键问题，然后提供一套完整的 VXLAN overlay 方案。
1. 为什么直接路由模式行不通？
你可能希望终端能直接拿到 192.168.70.0/24 的地址，但这在路由器上很难实现：
DHCP 请求无法跨越三层路由：终端的 DHCP 广播请求在路由器的 LAN 接口上会被隔离，无法直接到达 ICG3000 上的 DHCP 服务器。
DHCP 中继的问题：虽然 DHCP 中继可以将广播转成单播，但它会把中继接口的地址（如
192.168.1.1）写入请求包，让 ICG3000 看到后，容易产生策略混淆。
正因为常规路由模式无法透明地延伸内网，所以需要引入 VXLAN（Virtual eXtensible LAN） 技术。
2. 解决方案：基于 L2TP 的 VXLAN 二层延伸
利用 VXLAN，可以基于你现已打通的 L2TP 逻辑链路（192.168.12.0/24 网段），建立一个二层隧道。这样两端的设备就在逻辑上处于同一个“大局域网”内，完成“MAC in IP”的封装，让广播帧在两个站点间自由传输。
部署逻辑：将 ICG3000 和 MSR810 分别配置成 VXLAN 隧道的两个端点（VTEP），把 MSR810 的 LAN 接口与 ICG3000 的 VLAN 70 接入同一个 VSI。这样任何终端到 MSR810 下，广播发现报文就会被封装并送到 ICG3000 侧解封，从而拿到 192.168.70.0/24 的地址。
详细配置步骤
配置概览
VNI：100 （两端必须一致）
本地VLAN：70 （两端均使用）
VTEP IP：ICG3000:
192.168.12.254，MSR810:192.168.12.88注意：ICG3000型号的特殊性在于，业务口是三层口还是交换口（含SVI），会导致关联方式不同。
服务端 (ICG3000) 配置
| 配置项 | 命令 |
|---|---|
| 创建VXLAN隧道 | [ICG3000] interface Tunnel0 mode vxlan[ICG3000-Tunnel0] source 192.168.12.254[ICG3000-Tunnel0] destination 192.168.12.88 |
| 创建VSI实例 | [ICG3000] vsi vxlan-100[ICG3000-vsi-vxlan-100] vxlan 100[ICG3000-vsi-vxlan-100-100] quit[ICG3000-vsi-vxlan-100] quit |
| 关联VXLAN隧道与VSI | [ICG3000] vsi vxlan-100[ICG3000-vsi-vxlan-100] tunnel 0 |
| 关联本地VLAN | [ICG3000] vlan 70[ICG3000-vlan70] quit[ICG3000] interface Vlan-interface70[ICG3000-Vlan-interface70] xconnect vsi vxlan-100 |
| 注意：也可能需使用子接口 | [ICG3000] interface GigabitEthernet0/5.70[ICG3000-GigabitEthernet0/5.70] vlan-type dot1q vid 70[ICG3000-GigabitEthernet0/5.70] xconnect vsi vxlan-100 |
客户端 (MSR810) 配置
| 配置项 | 命令 |
|---|---|
| 创建VXLAN隧道 | [MSR810] interface Tunnel0 mode vxlan[MSR810-Tunnel0] source 192.168.12.88[MSR810-Tunnel0] destination 192.168.12.254 |
| 创建VSI实例 | [MSR810] vsi vxlan-100[MSR810-vsi-vxlan-100] vxlan 100[MSR810-vsi-vxlan-100] quit |
| 关联VXLAN隧道与VSI | [MSR810] vsi vxlan-100[MSR810-vsi-vxlan-100] tunnel 0 |
| 关联本地VLAN | [MSR810] vlan 70[MSR810-vlan70] quit[MSR810] interface Vlan-interface70[MSR810-Vlan-interface70] xconnect vsi vxlan-100 |
| 注意：如用交换模块 | [MSR810] interface Bridge-Aggregation 1[MSR810-Bridge-Aggregation1] port trunk permit vlan 70[MSR810-Bridge-Aggregation1] xconnect vsi vxlan-100 |
重要配置调整
配置完 VXLAN 后，你还需要完成最后一步，才能让终端拿到地址：
停用MSR810上的DHCP服务：确保 MSR810 的 LAN 接口没有开启 DHCP 服务，防止它“抢答”。可以在接口下使用
undo dhcp select server命令。保留 ICG3000 的 DHCP 配置：ICG3000 上的 DHCP 服务需保持开启状态。
调整 VSI 广播模式(DHCP如不生效)：在两端设备的 VSI 视图下，都执行以下命令，确保 DHCP 广播请求能被 VXLAN 封装并转发：
[Device-vsi-vxlan-100] flood-proxy enable
ICG3000 + MSR810 L2TP over VXLAN 完整配置
- 服务端：ICG3000
- 外网口：G0/1，公网 IP
60.142.54.55 - 内网口：G0/5，
192.168.70.0/24 - L2TP 对端 IP：
192.168.12.88（MSR810） - VXLAN 目的：让分支机构终端拿到总部 192.168.70.0/24
- 外网口：G0/1，公网 IP
- 客户端：MSR810
- 家宽动态 IP，已拨 L2TP 上线
- 目标：下联终端获取总部 DHCP（192.168.70.0/24）
一、核心原理（一句话）
192.168.70.x IP。二、ICG3000 服务端配置（直接复制）
# 1. 启用 VXLAN 功能
vsi vxlan70
# VXLAN 网段对应 192.168.70.0
vnni 1070
# 2. 绑定内网口 G0/5 到 VXLAN
interface GigabitEthernet0/5
port link-mode bridge
port access vlan 70
# 把内网口加入 VSI
interface Vlan-interface70
port link-mode bridge
map vsi vxlan70
# 3. 创建 VXLAN 隧道接口（走 L2TP 对端 192.168.12.88）
interface Tunnel10
mode vxlan
source 192.168.12.254
destination 192.168.12.88
vxlan vni 1070 headend
# 4. 放开安全策略（必配）
security-policy
rule name vxlan-l2tp
source-zone trust
destination-zone trust
service ip
action permit
# 5. 开启 DHCP 中继（分支机构终端自动拿总部地址）
dhcp enable
interface Vlan-interface70
dhcp select relay
dhcp relay server-address 192.168.70.254 # 你的DHCP服务器
三、MSR810 客户端配置（直接复制）
# 1. 创建 VXLAN 隧道接口（对接 ICG3000）
interface Tunnel10
mode vxlan
source 192.168.12.88
destination 192.168.12.254
vxlan vni 1070 headend
# 2. 绑定内网口到 VXLAN
interface GigabitEthernet0/2
port link-mode bridge
port access vlan 70
interface Vlan-interface70
map vsi vxlan70
# 3. VSI 绑定
vsi vxlan70
vnni 1070
# 4. 关闭本地DHCP（必须关！）
undo dhcp enable
# 5. 内网口透传广播（拿总部DHCP）
interface Vlan-interface70
dhcp select relay
dhcp relay client-release
四、最终效果
- MSR810 下面的电脑 自动获取 192.168.70.x
- 电脑和总部服务器 同一局域网、互 ping 互通、网上邻居可访问
- L2TP 不断 → VXLAN 永远在线
- 真正 跨互联网大二层
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论