Zwei Bridge-Domains in einer IOS XR-Gruppe sind kein gemeinsames LAN
Zwei Bridge-Domains unter einer Bridge-Gruppe zu verschachteln, führt ihre Weiterleitung nicht zusammen. Lesen Sie Gruppe, Domain und jede Anbindung als getrennte Ebenen.
Zwei Hosts auf demselben IOS XR-Router können sich nicht gegenseitig anpingen, obwohl die Konfiguration so aussieht, als müssten sie es können. Beide Subinterfaces erscheinen unter derselben Bridge-Gruppe, die Namen unterscheiden sich um einen Buchstaben, und der Commit lief ohne Beanstandung durch. Es fehlt eine Ebene der Hierarchie: Die Bridge-Gruppe ist ein Container, und jede Bridge-Domain darin ist ihre eigene Broadcast-Domain mit eigener Mitgliedschaft. Fügen Sie einen dritten Host hinzu, wird das Bild meist schlechter statt klarer.
| Object | Owns | Does not own |
|---|---|---|
| Bridge group | a named container for domains | any forwarding or MAC learning |
| Bridge domain | one broadcast domain, MAC table, flooding scope | the VLAN match on an ingress port |
| Attachment | which frames from which interface and tag enter the domain | which other domains they can reach |
Beim Symptom anfangen und nach oben lesen
Hosts, die innerhalb eines Subnetzes scheitern, während die Interfaces up melden und die ARP-Einträge nie gefüllt werden, sind das Kennzeichen eines Problems mit der Domain-Mitgliedschaft, nicht der Weiterleitung. Routing-Probleme liefern meist eine ICMP-Meldung über Unerreichbarkeit oder einen existierenden Next Hop; eine fehlende Broadcast-Domain liefert Stille auf Ebene zwei. Prüfen Sie, ob beide Anbindungen in derselben Bridge-Domain liegen, bevor Sie auch nur eine IP-Adresse ansehen. Sind sie es nicht, verbindet sie keine Adressierungsarbeit.
Die Bridge-Gruppe ist ein Container und sonst nichts
In der Layer-2-VPN-Hierarchie von IOS XR enthält eine Bridge-Gruppe eine oder mehrere Bridge-Domains, und die Gruppe selbst vermittelt nichts. Zwei Domains unter einer Gruppe sind Geschwister, keine Mitglieder eines LANs, auch wenn die Konfiguration sich liest, als wären sie verschachtelt. Diese Anordnung ist Absicht: Die Gruppe ist der Ort, an dem Sie Dienste organisieren, und die Domain ist der Ort, an dem Weiterleitung tatsächlich stattfindet.
Ciscos Leitfaden für Multipoint-Layer-2-Dienste beschreibt eine Bridge-Domain als Broadcast-Domain, die physische oder virtuelle Ports hält, nach Ziel-MAC vermittelt, Quelladressen lernt und unbekanntes Unicast, Broadcast und Multicast nur innerhalb dieser Domain flutet. Lesen Sie die Hierarchie in diesem Leitfaden, bevor Sie Ihre eigene Konfiguration lesen.
Die Bridge-Domain besitzt Weiterleitung und Lernen
MAC-Lernen ist auf die Domain begrenzt, eine in einer Domain gelernte Station ist in ihrer Schwester unsichtbar. Flooding folgt derselben Grenze, deshalb erreicht ein von einem Host gesendeter Broadcast nie einen Host in der anderen Domain. Split-Horizon-Gruppen innerhalb einer Domain, Mitgliedsstatus und etwaige konfigurierte Weiterleitungssteuerungen verengen dann die zulässigen Ausgänge weiter.
Eine Pseudowire oder eine virtuelle Weiterleitungsinstanz ist eine Dienstanbindung an eine Domain. Sie ist kein Synonym für die übergeordnete Bridge-Gruppe, und genau diese Gleichsetzung lässt einen Provider Edge mit zwei Diensten enden, die getrennt sein sollten, es aber nicht sind.
Die Anbindung entscheidet, welche Frames überhaupt ankommen
Unter der Domain sitzt die Anbindung: das Interface oder Subinterface, die passende Kapselung, eine eventuelle Tag-Operation und die Domain, der es beitritt. Ein Subinterface, dessen Nummer zufällig wie das VLAN aussieht, ist kein Frame-Vertrag, und derselbe physische Port kann zwei Domains mit zwei verschiedenen Übereinstimmungen speisen. Notieren Sie Eingangsinterface, passendes Tag, Tag-Aktion und Zieldomain, und schreiben Sie dann die Ausgangsseite getrennt auf.
Vergleichen Sie diesen Vertrag zwischen den beiden Diensten, bevor Sie Konfiguration verschieben. Wenn beide Domains unter einer Gruppe liegen und nur eine von ihnen Verkehr trägt, liegt der Unterschied fast immer in der Anbindung und nicht in der Domain.
Wenn das Design auch zwischen Subnetzen routet, ist die Layer-3-Anbindung ein weiteres Objekt mit eigener Gateway-Adresse und Politik. Ein Bridge-Domain-Name erklärt nichts darüber, welches Gateway sie bedient.
Mit dem eingesetzten Release prüfen, bevor Sie umbauen
Nutzen Sie die eigenen Betriebskommandos des Releases, um die Domain anzusehen statt die laufende Konfiguration. show l2vpn bridge-domain detail meldet die Domains und ihren Anbindungsstatus, und show l2vpn forwarding bridge-domain mit den MAC-Optionen zeigt, was wo gelernt wurde. Erscheint eine MAC-Adresse in einer Domain und nicht in ihrer Schwester, tut die Hierarchie genau das, wofür sie konfiguriert ist.
Erfassen Sie dann jede Domain und jede Anbindung unter der Gruppe, bevor Sie etwas ändern, und bewahren Sie die bestehende Konfiguration zum Vergleich auf. Ein vertrauter Objektname ist kein Beweis dafür, dass jeder verschachtelte Dienst seinen Bereich teilt.