问
AD Campus 组网中，怎么利旧交换机使用
13小时前提问
- 0关注
- 0收藏，45浏览
zhiliao_Gixe
九段
在AD Campus组网中利旧第三方（如思科）交换机，核心思路是将利旧交换机作为SDN接入交换机的“扩展线卡”，通过VLAN到VXLAN的映射（QinQ或Access/Trunk逻辑）将流量引入SDN fabric。第三方交换机无需配置VXLAN，仅需配置传统VLAN。
配置逻辑与关键步骤：
1. 规划与 mapping 配置（在 AD-Campus Director 上配置）
原理：在 SDN 接入交换机（连接思科的那台 H3C 设备）上，把思科过来的 VLAN 对应到具体的 VS（Virtual Switch，即租户）和 Segment ID（VXLAN ID）。
操作：
1. 在 Director 中，将该 H3C 接入端口设为 “网络侧-扩展模式” (或自定义端口角色为连接下游利旧设备)。
2. 创建 VLAN-VXLAN 映射表。
3. 举例：
设定 VLAN 10 映射到 租户A 的 VXLAN 10010（上网+打印机）。
设定 VLAN 20 映射到 租户B 的 VXLAN 10020（监控）。
2. 思科交换机配置（传统 VLAN 划分）
思科交换机无需感知 VXLAN，只需做好_access或trunk_配置：
cisco
/* 示例配置 */
vlan 10,20
! 用户和打印机
interface range GigabitEthernet0/1-4
switchport access vlan 10
switchport mode access
! 打印机（假设同属一个VLAN或不同VLAN但同属一个VS，这里以VLAN10为例）
interface range GigabitEthernet0/5-8
switchport access vlan 10
switchport mode access
! 监控
interface range GigabitEthernet0/9-12
switchport access vlan 20
switchport mode access
! 上联H3C SDN交换机
interface GigabitEthernet0/24
switchport trunk encapsulation dot1q
switchport mode trunk
switchport trunk allowed vlan 10,20
3. H3C SDN 接入交换机配置（Director 下发或手动配合）
该接口通常配置为 Hybrid 或 Trunk，由 Director 负责终结 VLAN 并封装进对应的 VXLAN。
关键验证命令：
display l2vpn vsi 查看 VSI 是否动态 learns 到
配置逻辑与关键步骤：
1. 规划与 mapping 配置（在 AD-Campus Director 上配置）
原理：在 SDN 接入交换机（连接思科的那台 H3C 设备）上，把思科过来的 VLAN 对应到具体的 VS（Virtual Switch，即租户）和 Segment ID（VXLAN ID）。
操作：
1. 在 Director 中，将该 H3C 接入端口设为 “网络侧-扩展模式” (或自定义端口角色为连接下游利旧设备)。
2. 创建 VLAN-VXLAN 映射表。
3. 举例：
设定 VLAN 10 映射到 租户A 的 VXLAN 10010（上网+打印机）。
设定 VLAN 20 映射到 租户B 的 VXLAN 10020（监控）。
2. 思科交换机配置（传统 VLAN 划分）
思科交换机无需感知 VXLAN，只需做好_access或trunk_配置：
cisco
/* 示例配置 */
vlan 10,20
! 用户和打印机
interface range GigabitEthernet0/1-4
switchport access vlan 10
switchport mode access
! 打印机（假设同属一个VLAN或不同VLAN但同属一个VS，这里以VLAN10为例）
interface range GigabitEthernet0/5-8
switchport access vlan 10
switchport mode access
! 监控
interface range GigabitEthernet0/9-12
switchport access vlan 20
switchport mode access
! 上联H3C SDN交换机
interface GigabitEthernet0/24
switchport trunk encapsulation dot1q
switchport mode trunk
switchport trunk allowed vlan 10,20
3. H3C SDN 接入交换机配置（Director 下发或手动配合）
该接口通常配置为 Hybrid 或 Trunk，由 Director 负责终结 VLAN 并封装进对应的 VXLAN。
关键验证命令：
display l2vpn vsi 查看 VSI 是否动态 learns 到
暂无评论
整体逻辑
- 思科交换机只做传统二层，划分业务 VLAN：
- VLAN 10：用户、打印机（租户 A 业务）
- VLAN 20：监控（租户 B 业务）
- 思科上行 Trunk 透传 VLAN10、VLAN20 标签给到 H3C SDN‑Access；
- H3C SDN‑Access 对接端口设置为【网络侧‑扩展模式】，Campus 控制器配置 VLAN‑VSI（VLAN‑VNI）映射：VLAN10 映射租户 A 的 VNI，VLAN20 映射租户 B 的 VNI；由 H3C 设备完成 VLAN 标签封装进对应 VXLAN 隧道，思科完全不感知 VXLAN。
❗不要把这个对接端口配置成普通终端接入模式（终端模式会做 802.1X、Portal、下发接入 VLAN，会覆盖 trunk 配置），必须选扩展模式。
步骤 1：SeerEngine‑Campus 控制器配置（H3C SDN‑Access 对接思科的端口）
- 进入自动化‑园区网络‑设备接口，找到这台 H3C‑Access 连接思科的物理接口
- 接口角色改为：网络侧‑扩展模式（下游接非 SDN 传统交换机）
扩展模式下控制器不会向该端口下发终端接入策略，允许手工 / 控制器配置 Trunk 透传多业务 VLAN 标签。
- 在业务编排里做 VLAN‑VSI 映射：
- VLAN 10 → 绑定租户 A 的 VSI 实例（对应 L2‑VNI，用户 + 打印机业务）
- VLAN 20 → 绑定租户 B 的 VSI 实例（对应 L2‑VNI，监控业务）
- 下发配置到 H3C SDN‑Access 设备，该接口会生成 Trunk 配置，放行 VLAN10、20。
H3C Access 上实际下发的等效命令参考：
interface GigabitEthernet 1/0/24 //对接思科上行口
port link‑mode bridge
port link‑type trunk
port trunk permit vlan 10 20
#下面是控制器下发的VLAN‑VSI映射
vlan 10
vsi‑binding vsi Tenant‑A‑VSI
vlan 20
vsi‑binding vsi Tenant‑B‑VSI
步骤 2：思科利旧交换机配置（传统二层，不需要任何 VXLAN/EVPN）
思科只负责把不同业务分到不同 access‑vlan，上行 Trunk 打标签透传给 H3C，不需要认识 VNI/VSI。
vlan 10,20
!1‑4 用户接口 属于租户A VLAN10
interface range GigabitEthernet0/1‑4
switchport mode access
switchport access vlan 10
!5‑8打印机，同样租户A，VLAN10
interface range GigabitEthernet0/5‑8
switchport mode access
switchport access vlan 10
!9‑12监控，租户B VLAN20
interface range GigabitEthernet0/9‑12
switchport mode access
switchport access vlan 20
!上行对接H3C SDN‑Access的Trunk口
interface GigabitEthernet0/24
switchport mode trunk
switchport trunk allowed vlan 10,20
switchport nonegotiate
exit
!STP建议：思科下联终端端口配置portfast，避免收敛问题
spanning‑tree portfast default
步骤 3：关键约束与坑点（高频踩坑）
-
该利旧思科交换机无法被 SeerEngine‑Campus 纳管 只能手工 CLI 维护；控制器只能管理上面的 H3C SDN‑Access；认证（802.1X/Portal）不能放在思科，认证全部在 H3C SDN‑Access 上完成。
终端直接接思科，802.1X/Portal 无法触发，因为认证点在 H3C 设备。 如果用户需要账号认证，有两个方案：
- 方案 A：用户终端直接网线接 H3C SDN‑Access；
- 方案 B：思科作为纯二层透传，802.1X/Portal 认证不支持，只能做哑终端（打印机、监控）。 ✅你的场景：打印机、监控属于哑终端没问题；如果 1‑4 是 PC 要做 802.1X/Portal，则这套利旧方式不能完成终端认证。
- 接口角色千万不能选错 如果 H3C 对接口选 “终端接入模式”，控制器会自动把接口改成 access 口，覆盖 trunk 配置，多 VLAN 透传失效，业务不通。必须是网络侧‑扩展模式。
- 租户隔离保障
- VLAN10 流量在 H3C 设备上被映射进租户 A 的 VXLAN 隧道；
- VLAN20 映射租户 B 的 VXLAN 隧道； 不同 VLAN 标签天然隔离，实现两个租户业务隔离。
- MSTP/PVST 对接 思科默认 PVST+，H3C 是 MSTP，互联 Trunk 接口注意 STP 兼容；建议把思科下联终端开启 portfast，互联 Trunk 接口关闭 portfast，防止二层环路。
可选进阶方案（如果思科设备性能足够，做三层对接）
思科做三层网关，每个业务网段子接口，三层上联 H3C Fabric Border Leaf；通过 VRF 做租户隔离。
- 适用场景：利旧思科要做本地网关；
- 缺点：配置复杂度高，每个租户需要独立三层互联；不适合大量终端接入场景，优先推荐上面二层透传方案。
排错检查清单
- 在 H3C SDN‑Access 查看 VLAN‑VSI 绑定：
display vsi‑binding，确认 VLAN10、20 已经绑定对应租户 VSI。 - 查看对接接口：
display interface GigabitEthernet x/x/x确认 trunk 允许 vlan10、20 通过。 - 在思科侧看 trunk：
show interfaces trunk，确认 VLAN10、20 在上行 Trunk。 - 测试：用户终端（1‑4）获取租户 A 网段 IP；监控（9‑12）获取租户 B 网段 IP。
补充：AD‑Campus 官方利旧传统交换机标准做法就是上面的【网络侧‑扩展模式 + VLAN‑VSI 映射】，第三方交换机仅做二层标签透传，VTEP 封装全部交给 H3C SDN 接入设备，第三方设备完全不用懂 VXLAN/EVPN。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论