Huawei QinQ vers VSI : vérifiez la pile de balises avant de configurer

Deux échecs représentent la plupart des transferts QinQ interrompus vers un VSI, et aucun n'apparaît comme une interface indisponible. Soit le port d'entrée consomme l'étiquette client avant que la classification ne puisse la voir, soit le circuit de rattachement est lié à un VSI que l'extrémité distante n'a jamais rejoint. Du côté du client, les deux semblent identiques : le circuit signale et aucune trame ne se croise. Effectuez les quatre vérifications ci-dessous dans l'ordre et arrêtez-vous à la première où l'image que vous observez diffère de celle que vous avez notée.

Notez la pile d'étiquettes avant de toucher l'appareil

Choisissez un service représentatif et décrivez-le sous forme de cadres et non de configuration. Pour un service qui maintient les VLAN client 100 et 200 dans le VLAN 900 du fournisseur, le contrat est court : les trames d'entrée portent une balise client, le fournisseur ajoute une balise de service et la propre balise du client survit intacte en dessous.

customer to provider:  [ C-tag 100 | payload ]
provider inside:       [ S-tag 900 ][ C-tag 100 | payload ]
provider to customer:  [ C-tag 100 | payload ]

Écrivez également la direction de retour, car un contrat qui décrit uniquement l'entrée réussira un test unidirectionnel et échouera en production. L'extrémité distante doit fournir au client la trame qu'il attend, ce qui signifie que sa propre opération pop doit être exactement l'inverse de votre poussée. Tout ce qui n'est pas symétrique dans cette description est une décision de conception que vous n'avez pas encore prise.

Vérifiez d'abord la correspondance d'entrée

La classification a lieu avant toute opération de balise et ne peut correspondre qu'à ce qui arrive. Confirmez si le port est configuré comme accès, joncteur réseau ou hybride, quels types de trames il accepte et ce que l'identifiant VLAN du port fait à une trame non balisée. Sur un port d'accès, la balise client est supprimée à l'arrivée, de sorte qu'une règle ultérieure qui correspond à la balise C 100 n'a plus rien à correspondre et le service rejoint le mauvais domaine de diffusion sans aucune erreur.

Une capture du côté du fournisseur règle ce problème en quelques secondes : une trame QinQ correctement classée affiche deux balises, et une trame à balise unique signifie que la balise interne a été consommée.

Vérifiez ce que fait réellement l'action de balise

L'empilement et la traduction sont des opérations différentes et les plates-formes les exposent comme des objets différents. L'empilement pousse une balise externe et laisse la balise intérieure seule, ce dont le contrat ci-dessus a besoin. La traduction réécrit une balise dans une autre, ce qui constitue une conception valide mais produit un cadre différent sur le fil. Certaines familles nécessitent également que QinQ soit activé explicitement sur le port avant qu'une règle d'empilement ne prenne effet, et le TPID externe peut être configurable entre les valeurs 802.1Q et 802.1ad.

Le chemin du retour mérite la même attention. Si la règle de sortie fait apparaître la balise externe sur une sous-interface mais qu'une sous-interface différente transporte la réponse sans règle de correspondance, le client voit la transmission fonctionner et la réception morte.

Vérifiez la liaison de service, pas le numéro d'interface

Un VSI est identifié par ses propres identifiants de service et de circuit virtuel, et l'homologue doit utiliser des valeurs correspondantes avant qu'un pseudowire ne se forme. Le circuit de rattachement lie ensuite ce VSI à un port et à un VLAN spécifiques, ce qui constitue une instruction distincte de la règle qui a classifié la trame. Un numéro de sous-interface qui semble correct ne prouve rien sur l'une ou l'autre liaison.

Vérifiez séparément l’état du pseudowire et l’état du circuit de rattachement, et vérifiez la session de signalisation qui transporte le pseudowire. Deux de ces trois peuvent être sains alors que le troisième ne l’est pas, et celui qui est en panne vous indique de quel côté réparer.

L'isolement est une promesse distincte. Garder les balises client intactes dans un VSI ne segmente pas les clients les uns des autres, car l'apprentissage MAC s'étend sur l'ensemble de l'instance ; si le contrat indique l'isolement, il nécessite des instances distinctes ou une politique explicite par VLAN.

Vérifiez le budget de taille puis prouvez le contrat

La balise externe ajoute quatre octets et l'encapsulation pseudowire ajoute une pile d'étiquettes et éventuellement un mot de contrôle en plus. Mettez tout cela dans le budget MTU et MRU sur les deux appareils périphériques du fournisseur, et ne désactivez pas un mot de contrôle uniquement pour faire taire un avertissement de taille, car l'extrémité distante peut l'exiger. Gardez un chemin de gestion qui ne dépend pas du service que vous modifiez.

Testez ensuite trois cas au niveau du rattachement du client : le premier C-VLAN admis dans les deux sens, le second C-VLAN admis et un VLAN qui, selon le contrat, doit être refusé. Observez les images plutôt que de lire les états de l'interface et répétez après toute modification de la règle de balise.

Un VSI up indique seulement que le pseudowire s'est formé. Cela ne dit rien quant à savoir si le cadre qui le traverse est celui pour lequel le client a payé.