Два мостовых домена в одной мостовой группе IOS XR — не одна сеть LAN
Вложение двух мостовых доменов в одну мостовую группу не объединяет их пересылку. Читайте группу, домен и каждое присоединение как отдельные уровни.
Два хоста на одном маршрутизаторе IOS XR не могут пинговать друг друга, а конфигурация выглядит так, будто должны. Оба субинтерфейса видны в одной мостовой группе, имена отличаются одной буквой, а коммит прошёл без единой жалобы. Не хватает одного уровня иерархии: мостовая группа — это контейнер, а каждый мостовой домен внутри неё — отдельный широковещательный домен со своим членством. Добавьте третий хост, и картина обычно становится хуже, а не яснее.
| Object | Owns | Does not own |
|---|---|---|
| Bridge group | a named container for domains | any forwarding or MAC learning |
| Bridge domain | one broadcast domain, MAC table, flooding scope | the VLAN match on an ingress port |
| Attachment | which frames from which interface and tag enter the domain | which other domains they can reach |
Начните с симптома и читайте вверх
Хосты, которые не работают внутри одной подсети, хотя интерфейсы показывают up, а записи ARP так и не заполняются, — это признак проблемы членства в домене, а не маршрутизации. Проблемы маршрутизации обычно дают ICMP unreachable или существующий next hop; отсутствующий широковещательный домен даёт тишину на втором уровне. Проверьте, находятся ли оба присоединения в одном мостовом домене, прежде чем смотреть хотя бы на один IP-адрес. Если нет, никакая работа с адресами их не соединит.
Мостовая группа — это контейнер, и ничего больше
В иерархии VPN слоя 2 IOS XR мостовая группа содержит один или несколько мостовых доменов, а сама группа ничего не коммутирует. Два домена в одной группе — братья, а не члены одной сети LAN, хотя конфигурация читается так, будто они вложены. Такая схема намеренна: группа — это место, где вы организуете сервисы, а домен — место, где пересылка действительно происходит.
Руководство Cisco по многоточечным сервисам слоя 2 описывает мостовой домен как широковещательный домен, содержащий физические или виртуальные порты, который коммутирует по MAC назначения, изучает адреса источника и заливает неизвестный юникаст, широковещательный и многоадресный трафик только внутри этого домена. Прочитайте иерархию в этом руководстве, прежде чем читать собственную конфигурацию.
Мостовой домен владеет пересылкой и обучением
Обучение MAC ограничено доменом, поэтому станция, изученная в одном домене, невидима в соседнем домене-брате. Заливка следует той же границе, поэтому широковещательный кадр, отправленный одним хостом, никогда не доходит до хоста в другом домене. Группы split-horizon внутри домена, состояние членов и любые настроенные средства управления пересылкой затем ещё сильнее сужают допустимые выходы.
Псевдопровод или виртуальный экземпляр пересылки — это присоединение сервиса к домену. Это не синоним родительской мостовой группы, и обращение с ним как с синонимом — это то, как граничное устройство провайдера остаётся с двумя сервисами, которые должны были быть изолированы и при этом не изолированы.
Присоединение решает, какие кадры вообще прибудут
Ниже домена находится присоединение: интерфейс или субинтерфейс, инкапсуляция, которую он сопоставляет, любая операция с тегом и домен, в который он входит. Субинтерфейс, номер которого случайно похож на VLAN, не является контрактом на кадры, и один и тот же физический порт может питать два домена двумя разными сопоставлениями. Запишите входной интерфейс, сопоставленный тег, действие с тегом и целевой домен, а затем отдельно запишите исходящую сторону.
Сравните этот контракт между двумя сервисами, прежде чем перемещать конфигурацию. Когда оба домена находятся в одной группе и только один из них несёт трафик, разница почти всегда в присоединении, а не в домене.
Если проект также маршрутизирует между подсетями, присоединение слоя 3 — это отдельный объект со своим адресом шлюза и политикой. Имя мостового домена ничего не объясняет о том, какой шлюз его обслуживает.
Проверьте на развёрнутой версии, прежде чем перестраивать
Используйте собственные операционные команды версии, чтобы смотреть на домен, а не на текущую конфигурацию. show l2vpn bridge-domain detail сообщает домены и состояние их присоединений, а show l2vpn forwarding bridge-domain с параметрами MAC показывает, что и где изучено. Если MAC-адрес появляется в одном домене и не появляется в соседнем, иерархия делает именно то, для чего была настроена.
Затем составьте опись каждого домена и присоединения в группе, прежде чем что-либо менять, и сохраните существующую конфигурацию для сравнения. Одно знакомое имя объекта не доказывает, что каждый вложенный сервис разделяет его область действия.