vxlan专题---第三章 华为vxlan不同租户访问

已于 2022-07-07 16:25:15 修改
阅读量1k 收藏 4
点赞数 1
分类专栏： 网络运维 文章标签： 华为 网络 linux
于 2022-07-07 16:09:09 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/XiaoMa_Ge2019/article/details/125661084
版权

上接vxlan专题—第二章的内容。本章主要讲不通租户之间的隔离及业务互访，租户之间的隔离一般采用防火墙虚拟系统实行。

1、拓扑图

在这里插入图片描述

2、配置

配置vrf及三次vni

ip vpn-instance A
 ipv4-family
  route-distinguisher 1:1
  vpn-target 10:10 export-extcommunity evpn
  vpn-target 10:10 import-extcommunity evpn
 vxlan vni 99

vpn-target必须是evpn，并且启用三层vni用于传递tpye 3路由。

整体配置

sysname CE01
#
device board 17 board-type CE-MPUB
device board 1 board-type CE-LPUE
#
evpn-overlay enable
#
ip vpn-instance A
 ipv4-family
  route-distinguisher 1:1
  vpn-target 10:10 export-extcommunity
  vpn-target 10:10 export-extcommunity evpn
  vpn-target 10:10 import-extcommunity
  vpn-target 10:10 import-extcommunity evpn
 vxlan vni 99
#
bridge-domain 10
 vxlan vni 10
 evpn
  route-distinguisher 1:10
  vpn-target 10:10 export-extcommunity
  vpn-target 10:10 import-extcommunity
#
bridge-domain 20
 vxlan vni 20
 evpn
  route-distinguisher 1:20
  vpn-target 20:20 export-extcommunity
  vpn-target 20:20 import-extcommunity
#
aaa
 #
 authentication-scheme default
 #
 authorization-scheme default
 #
 accounting-scheme default
 #
 domain default
 #
 domain default_admin
#
interface Vbdif10
 ip binding vpn-instance A
 ip address 192.168.1.254 255.255.255.0
 mac-address 0000-5e00-0001
 vxlan anycast-gateway enable
 arp collect host enable
#
interface Vbdif20
 ip binding vpn-instance A
 ip address 172.16.1.254 255.255.255.0
 mac-address 0000-5e00-0002
 vxlan anycast-gateway enable
 arp collect host enable
#
interface MEth0/0/0
 undo shutdown
#
interface GE1/0/0
 undo portswitch
 undo shutdown
#
interface GE1/0/0.10 mode l2
 encapsulation dot1q vid 10
 bridge-domain 10
#
interface GE1/0/0.20 mode l2
 encapsulation dot1q vid 20
 bridge-domain 20
#
interface GE1/0/1
 undo portswitch
 undo shutdown
 ip address 13.1.1.1 255.255.255.0
#
interface GE1/0/2
 undo shutdown
#
interface GE1/0/3
 undo shutdown
#
interface GE1/0/4
 undo shutdown
#
interface GE1/0/5
 undo shutdown
#
interface GE1/0/6
 undo shutdown
#
interface GE1/0/7
 undo shutdown
#
interface GE1/0/8
 undo shutdown
#
interface GE1/0/9
 undo shutdown
#
interface LoopBack0
 ip address 1.1.1.1 255.255.255.255
#
interface Nve1
 source 1.1.1.1
 vni 10 head-end peer-list protocol bgp
 vni 20 head-end peer-list protocol bgp
#
interface NULL0
#
bgp 100 instance evpn1
 router-id 1.1.1.1
 peer 3.3.3.3 as-number 100
 peer 3.3.3.3 connect-interface LoopBack0
 #
 l2vpn-family evpn
  policy vpn-target
  peer 3.3.3.3 enable
  peer 3.3.3.3 advertise irb
#
ospf 10 router-id 1.1.1.1
 area 0.0.0.0
  network 1.1.1.1 0.0.0.0
  network 13.1.1.1 0.0.0.0

2、业务隔离

在这里插入图片描述

2、虚拟防火墙配置：

在这里插入图片描述

配置思路

采用如下思路配置两个虚拟系统直接互访：1.开启虚拟系统功能，分别创建虚拟系统vsysa和vsysb并为其分配资源。
2.在根系统、虚拟系统vsysa和vsysb下分别配置接口，并将接口加人安全区域。
3.在根系统下配置路由，对网络A和网络B之间互访的流量进行引流。
4.在虚拟系统vsysa和vsysb下分别配置路由，对设备发往网络A和网络B的流量进行引流。
5.在虚拟系统vsysa和vsysb下分别配置安全策略，放行网络A和网络B之间互访的流量。

操作步骤
1.开启虚拟系统功能。

<HUAWEI> system-view
[HUAWEI] sysname Device
[Device] vsys enable

2.创建虚拟系统并为其分配资源。

创建虚拟系统vsysa并为其分配资源。

[Device] vsys name vsysa
[Device-vsys-vsysa] assign interface 10ge 0/0/2
[Device-vsys-vsysa] quit

创建虚拟系统vsysb并为其分配资源。

[Device] vsys name vsysb
[Device-vsys-vsysb] assign interface 10ge 0/0/1
[Device-vsys-vsysb] quit

3.配置根系统下的接口Virtual-if0，并将接口加入安全区域。

[Device] interface Virtual-if 0
[Device-Virtual-if0] ip address 172.16.0.1 24
[Device-Virtual-if0] quit
[Device] firewall zone trust
[Device-zone-trust] add interface Virtual-if 0
[Device-zone-trust] quit

4.配置根系统下的路由。

配置虚拟系统vsysa到虚拟系统vsysb的路由，将网络A中的用户主动访问网络B的去程流量引入虚拟系统vsysb。

[Device] ip route-static vpn-instance vsysa 10.3.1.0 255.255.255.0 vpn-instance vsysb

配置虚拟系统vsysb到虚拟系统vsysa的路由，将网络B中的用户主动访问网络A的去程流量引入虚拟系统vsysa。

[Device] ip route-static vpn-instance vsysb 10.3.0.0 255.255.255.0 vpn-instance vsysa

5.切换到虚拟系统vsysa的系统视图。

[Device] switch vsys vsysa
<Device-vsysa> system-view

6.配置虚拟系统vsysa下的接口并将接口加入安全区域。

[Device-vsysa] interface 10ge 0/0/2
[Device-vsysa-10GE0/0/2] ip address 10.3.0.1 24
[Device-vsysa-10GE0/0/2] quit
[Device-vsysa] interface Virtual-if 1
[Device-vsysa-Virtual-if1] ip address 172.16.1.1 24
[Device-vsysa-Virtual-if1] quit
[Device-vsysa] firewall zone trust
[Device-vsysa-zone-trust] add interface 10ge 0/0/2
[Device-vsysa-zone-trust] quit
[Device-vsysa] firewall zone untrust
[Device-vsysa-zone-untrust] add interface Virtual-if 1
[Device-vsysa-zone-untrust] quit

7.配置虚拟系统vsysa下的路由。

配置虚拟系统vsysa到网络A的路由，将网络A中的用户主动访问网络B的回程流量，或网络B中的用户主动访问网络A的去程流量引入网络A。其中，10.3.0.254是虚拟系统vsysa到网络A的下一跳。

[Device-vsysa] ip route-static 10.3.0.0 255.255.255.0 10.3.0.254

8.配置虚拟系统vsysa下的安全策略。

配置trust到untrust的安全策略，放行网络A中的用户主动访问网络B的流量。

[Device-vsysa] security-policy
[Device-vsysa-policy-security] rule name vsysa_trust_to_untrust      
[Device-vsysa-policy-security-rule-vsysa_trust_to_untrust] source-zone trust   
[Device-vsysa-policy-security-rule-vsysa_trust_to_untrust] destination-zone untrust    
[Device-vsysa-policy-security-rule-vsysa_trust_to_untrust] source-address 10.3.0.0 24
[Device-vsysa-policy-security-rule-vsysa_trust_to_untrust] destination-address 10.3.1.0 24
[Device-vsysa-policy-security-rule-vsysa_trust_to_untrust] action permit    
[Device-vsysa-policy-security-rule-vsysa_trust_to_untrust] quit

配置untrust到trust的安全策略，放行网络B中的用户主动访问网络A的流量。

[Device-vsysa-policy-security] rule name vsysa_untrust_to_trust      
[Device-vsysa-policy-security-rule-vsysa_untrust_to_trust] source-zone untrust   
[Device-vsysa-policy-security-rule-vsysa_untrust_to_trust] destination-zone trust
[Device-vsysa-policy-security-rule-vsysa_untrust_to_trust] source-address 10.3.1.0 24   
[Device-vsysa-policy-security-rule-vsysa_untrust_to_trust] destination-address 10.3.0.0 24
[Device-vsysa-policy-security-rule-vsysa_untrust_to_trust] action permit    
[Device-vsysa-policy-security-rule-vsysa_untrust_to_trust] quit    
[Device-vsysa-policy-security] quit

9.切换到虚拟系统vsysb的系统视图。

[Device-vsysa] quit
<Device-vsysa> quit  
[Device] switch vsys vsysb
<Device-vsysb> system-view

10.配置虚拟系统vsysb下的接口并将接口加入安全区域。

[Device-vsysb] interface 10ge 0/0/1
[Device-vsysb-10GE0/0/1] ip address 10.3.1.1 24
[Device-vsysb-10GE0/0/1] quit
[Device-vsysb] interface Virtual-if 2
[Device-vsysb-Virtual-if2] ip address 172.16.2.1 24
[Device-vsysb-Virtual-if2] quit
[Device-vsysb] firewall zone trust
[Device-vsysb-zone-trust] add interface 10ge 0/0/1
[Device-vsysb-zone-trust] quit
[Device-vsysb] firewall zone untrust
[Device-vsysb-zone-untrust] add interface Virtual-if 2
[Device-vsysb-zone-untrust] quit

11.配置虚拟系统vsysb下的路由。

配置虚拟系统vsysb到网络B的路由，将网络A中的用户主动访问网络B的去程流量，或网络B中的用户主动访问网络A的回程流量引入网络B。其中，10.3.1.254是虚拟系统vsysb到网络B的下一跳。

[Device-vsysb] ip route-static 10.3.1.0 255.255.255.0 10.3.1.254

12.配置虚拟系统vsysb下的安全策略。

配置trust到untrust的安全策略，放行网络B中的用户主动访问网络A的流量。

[Device-vsysb] security-policy
[Device-vsysb-policy-security] rule name vsysb_trust_to_untrust      
[Device-vsysb-policy-security-rule-vsysb_trust_to_untrust] source-zone trust   
[Device-vsysb-policy-security-rule-vsysb_trust_to_untrust] destination-zone untrust    
[Device-vsysb-policy-security-rule-vsysb_trust_to_untrust] source-address 10.3.1.0 24
[Device-vsysb-policy-security-rule-vsysb_trust_to_untrust] destination-address 10.3.0.0 24
[Device-vsysb-policy-security-rule-vsysb_trust_to_untrust] action permit    
[Device-vsysb-policy-security-rule-vsysb_trust_to_untrust] quit

配置untrust到trust的安全策略，放行网络A中的用户主动访问网络B的流量。

[Device-vsysb-policy-security] rule name vsysb_untrust_to_trust      
[Device-vsysb-policy-security-rule-vsysb_untrust_to_trust] source-zone untrust   
[Device-vsysb-policy-security-rule-vsysb_untrust_to_trust] destination-zone trust
[Device-vsysb-policy-security-rule-vsysb_untrust_to_trust] source-address 10.3.0.0 24   
[Device-vsysb-policy-security-rule-vsysb_untrust_to_trust] destination-address 10.3.1.0 24
[Device-vsysb-policy-security-rule-vsysb_untrust_to_trust] action permit    
[Device-vsysb-policy-security-rule-vsysb_untrust_to_trust] quit    
[Device-vsysb-policy-security] quit

检查配置结果
•网络A中的用户可以主动访问网络B，同时，虚拟系统vsysa和虚拟系统vsysb中分别建立如下会话。

10.3.1.3是网络A中的用户访问的网络B中服务器的IP地址；10.3.0.2是网络A中用户主机的IP地址。

虚拟系统vsysa中的会话：

<Device> display firewall session table verbose vsys vsysa destination global 10.3.1.3
 Current Total Sessions : 1
 icmp  VPN: vsysa --> vsysb  ID: xxxxxxxxxxxxxxxxxxxxxx 
 Zone: trust --> untrust  TTL: xx:xx:xx  Left: xx:xx:xx 
 Interface: Virtual-if1  NextHop: 0.0.0.0  MAC: xxxx-xxxx-xxxx 
 <--packets: xxx bytes: xxx --> packets: xxx bytes: xxx 
 10.3.0.2:43999 --> 10.3.1.3:2048 PolicyName: vsysa_trust_to_untrust
一名CCIE如何做运维
关注
  • 1
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
2022年真题 -19 - 网桥 VXLAN 服务
weixin_62668932的博客
07-07 155
CentOS7.9 - 网桥 VXLAN 服务
HCIE-DC之VxLAN技术
03-27
HCIE-DC之VxLAN技术，VXLAN技术原理，封装方式，组网方式等。
vxlan专题---第二章 使用evpn作为华为vxlan的控制平台相关配置（同一个bridge domain互通）
XiaoMa_Ge2019的博客
06-27 1599
EVPN是下一代全业务承载的VPN解决方案，它颠覆了传统二层VPN通过转发面来学习MAC地址的机制，引入了控制面，利用BGP扩展协议来传递MAC信息。EVPN基于MP-BGP，定义了一系列新的BGP EVPN路由类型，从而使EVPN网络中的不同站点间可以相互学习MAC地址信息。 1、访问流量模型 2、二层 mac vrf 单个网桥域映射到单个网桥域 EVPN虚拟实例(EVI)。 EVI提供Route Distinguisher (RD)，并通过。控制相关前缀的导入和导出 Route Targets (R
系统服务（22年国赛）—— nmcli命令部署VXLAN
最新发布
m0_74367891的博客
04-28 801
原文在我的博客网站中，持续更新数通、系统方面的知识，欢迎来访！系统服务（22年国赛）—— VXLAN服务部署。
动态建立Vxlan隧道实现租户访问外网实验配置（分布式网关单租户多子网场景）
m0_49864110的博客
07-06 2409
绿色为需要注意的配置（相比于不需要访问外网的场景需要注意的配置）根据图配置相应的Vlan与接口IP地址，并通过路由协议使得VTEP地址互通根据图配置FW1相应的安全区域与安全策略CE1、CE3为Leaf、CE2为Spine实现外网互访可以在Leaf上引入路由，也可以在Spine上引入路由。思想是差不多的。本次是在Spine上将外网路由引入EVPN实例中所以需要Spine与Leaf之间也建立三层Vxlan隧道，通过传递Type5路由来实现路由引入如果是在Leaf上做路由引入，则不需要与Spin建立三层Vxla
动态VXLAN配置（不同子网互访）
2202_76111829的博客
08-14 408
注：配置Vxlan实验需要用到CE设备，模拟器版本必须为2019版，且需要导入设备包注：CE设备进入系统视图下，需要敲system-view immediately进入系统视图（立即生效模式），而system-view进入的是两阶段生效模式。
VXLAN配置实例（四）——VXLAN多租户网络隔离
永远是少年
08-07 4081
今天给大家介绍VXLAN的相关内容。本文以华为eNSP模拟器为工具，设计并实现了一个典型的VXLAN的应用场景，并完成了相应的配置。主要是VXLAN应用场景下，集中式双活网关的配置方式。 阅读本文，您需要对VXLAN等基础理论知识有基本的了解。 推荐阅读文章： VXLAN详解（一） VXLAN详解（二） VXLAN配置实例（一）——VXLAN基本配置 VXLAN配置实例（二）——VXLAN跨子网互通 VXLAN配置实例（三）——VXLAN集中式双活网关 一、实验拓扑及目的 实验拓扑如上所示，现在网络中同时
动态建立Vxlan隧道实现跨子网互访实验配置（分布式网关单租户多子网场景）
m0_49864110的博客
07-06 2406
目录基础配置配置E V P N在CE1、CE3开启E V P N功能建立CE1、CE3的E V P N对等体配置二层广播域，并在其下配置二层VNI配置Vxlan业务接入点配置VTEP接口为不同租户创建三层L3VPN实例将L3VPN实例绑定到BD域创建Vbdif接口并绑定L3VPN实例查看命令查看L3VPN实例学习到的路由绿色是CE1的配置蓝色是CE2的配置根据图配置相应的Vlan与接口IP地址，并通过路由协议使得VTEP地址互通CE1、CE3为Leaf、CE2为Spine分布式网关：二层网关和三层网关都在L
VXLAN间通信
openlab网工之路
06-30 719
VXLAN间通信
Vxlan工作原理解析
weixin_34253539的博客
11-21 306
标题索引追朔原因知识总结网络拓扑项目应用 转载于:https://blog.51cto.com/weiboxue/1983708
Vxlan学习笔记——原理
mywolfking的专栏
03-15 2162
1. 为什么需要Vxlan 　　普通的VLAN数量只有4096个，无法满足大规模云计算IDC的需求，而IDC为何需求那么多VLAN呢，因为目前大部分IDC内部结构主要分为两种L2，L3。L2结构里面，所有的服务器都在一个大的局域网里面，TOR透明L2，不同交换机上的服务器互通靠MAC地址，通信隔离和广播隔离靠的vlan，网关在内网核心上。而L3结构这是从TOR级别上就开始用协议进行互联，网关在T...
华为vxlan技术详解及配置手册
03-19
华为官方vxlan技术详解及配置手册，涵盖了vxlan的所有配置模式与配置方法，详细解读VXLan
VXLAN配置实例（五）——云计算数据中心访问公司外部站点典型配置实例（超级超级难的网络配置！！！）
永远是少年
08-10 4038
今天给大家介绍VXLAN的相关内容。本文以华为eNSP模拟器为工具，设计并实现了一个典型的VXLAN的应用场景，并完成了相应的配置。主要是VXLAN应用场景下，在实现网络虚拟化之后用户访问外网的场景。 本文章属于一篇综合性很强的文章，设计到多种技术场景，主要包括：VPN技术、VXLAN技术、防火墙虚拟系统技术等等。阅读本文，您需要又相当强的网络基础，因此算是一篇网工进阶与云计算网络基础的文章。 推荐阅读文章： VXLAN详解（一） VXLAN详解（二） VXLAN配置实例（一）——VXLAN基本配置 VXL
VXLAN和外部连接
qq_43691045的博客
12-18 1986
本文将介绍以下内容： VXLAN 二层和三层外部连接方式； VXLAN 外部网络和共享业务； 1 VXLAN外部连接方式 VXLAN通过边界节点和外部连接，边界节点负责对VXLAN进行解封装，和外部交换路由，边界节点有两种选择： 使用spine作为边界节点。在使用spine作为边界节点时，为了使spine上路由的一致性，建议所有的spine都和外部连接。如图： 图中spine还承担了RR,...
网络概念- VXLAN技术详解
鬼刺
02-27 2280
引言：工作中一直用VLAN和VXLAN，但是没有形成知识体系，百度一下大神们的文章，在此整理成学习笔记。感谢大神们的无私分享，参照的主要文章链接如下： http://network.51cto.com/art/201902/592347.htm https://blog.csdn.net/dylloveyou/article/details/80107792 https://blog.51c...
VXLAN详解（三）
永远是少年
08-07 6277
今天给大家介绍VXLAN技术。本文主要介绍了VXLAN技术与网络虚拟化的关系、VXLAN的主要优点和VXLAN的网关配置 一、VXLAN技术与网络虚拟化 VXLAN技术的本质是实现二层VPN，即实现跨三层网络实现二层底层网络互通。VXLAN的实现存在两次虚拟化： 第一次虚拟化： 利用隧道技术将边缘设备互联透传二层报文，整网抽线理解成一台端口数目扩展的超大VLAN。 第二次虚拟化： 利用VNI特性将这个超大的交换机虚拟出多个二层的广播域，和VLNA本质是一样的，VNI类比VLANID，并通过定义VXLAN H
同网段互访VXLAN实验
weixin_45457085的博客
02-08 584
bright-domain仅为华为私有，不是标准协议，不可以在以太网中传输，仅在本地有效，需要与vni进行关联，vni是标准协议，可以在以太网传输，也就是说两端leaf上的同一租户的bright-domain可以不一致，但是VNI必须一致。leaf1上：ARP请求报文进入BD1000，然后通过VNI500进入VXLAN隧道中，泛洪到leaf2的VNI500，进入到与VNI500绑定的BD1000，最终到达PC2，PC2收到了泛洪的ARP请求报文，向PC1回复ARP应答报文。内层IP头（两端PC的IP地址）
内网服务器结合vxlan和iptables-snat实现内网服务器上网——筑梦之路
筑梦之路
01-28 862
以上配置完成后，Server 2与Server 1之间通过vxlan实现通讯，Server 2默认路由走vxlan dev，然后指向Server 1，Server 1配置了iptable snat转发，所以Server 2到公网的所有请求都被Server 1转发出去，至此，Server 2实现公网访问。如上图，有这样一种场景，我们经常遇到，局域网内有两台服务器，Server 1和Server 2,Server 1可以通通网，Server 2只能通内网，无法直接访问公网。今天介绍一种简单又好用的方法，
VXLAN 基本概述
小白渣的博客
03-04 2840
VXLAN简介 定义： RFC7348定义了VLA...
华为二层Vxlan和三层Vxlan,配置案列
07-15
下面是华为二层Vxlan和三层Vxlan的配置示例： 1. 二层Vxlan配置案例： （1）创建Vxlan实例： ``` vxlan instance 10 vxlan instance-name Vxlan10 ``` （2）配置隧道接口： ``` interface GigabitEthernet1/0/1 port link-type access port default vlan 10 ip address 192.168.1.1 24 ``` （3）配置Vxlan隧道： ``` vxlan instance 10 vni 10000 peer-list 192.168.2.1 ``` （4）配置Vxlan转发： ``` interface Vxlan10 tunnel-protocol vxlan source GigabitEthernet1/0/1 ``` 2. 三层Vxlan配置案例： （1）创建Vxlan实例： ``` vxlan instance 20 vxlan instance-name Vxlan20 ``` （2）配置隧道接口： ``` interface GigabitEthernet2/0/1 ip address 192.168.2.1 24 ``` （3）配置Vxlan隧道： ``` vxlan instance 20 vni 20000 peer-list 192.168.1.1 ``` （4）配置三层转发： ``` interface Vxlan20 tunnel-protocol vxlan source GigabitEthernet2/0/1 ``` 以上是简化的配置示例，实际配置中可能还需要考虑更多的因素，如路由配置、安全策略等。具体配置应根据实际网络环境和需求进行调整。请确保在进行配置操作前，详细了解华为设备的命令和配置规范，并根据实际情况进行适当的修改。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值