视频不能跨VLAN

作者:孙高峰　2005年09月07日

最近公司的两个部门的局域网要互连互通，两个部门使用的主交换机都是华为的6506三层交换机，其中，一个部门出于安全起见，不但划分了VLAN（Virtual Local Area Network），而且做了访问控制，于是把另一个部门划分为其中的一个VLAN，但是连通后，却无法看到那个部门的视频点播。

系统简介

我们首先看了一下那个部门的视频点播系统的配置，它主要采用的Cisco的IP/TV，是Cisco公司基于计算机网络的视讯系统，包括三部分：系统管理部分（Content Manager），客户浏览器部分（Viewer）和服务器部分（Server）。 主要用于在各种计算机网络上传送 H.261、MPEG-1、MPEG-2、MPEG-4等每秒30帧高质量全动态的视频图像、话音和数据。其采用了RTP(实时传输协议)，RTCP(实时传输控制协议)，RSVP(资源预留协议)，MULTICAST(多播协议)，在现有的计算机网络上，以软件为核心，实现了视频资料的共享。它的主要传输方式并没有采用传统的单播（unicast）或广播(broadcast)，而是采用多播(multicast)，这种方式即不像单播效率低，也不是和广播一样浪费大量的带宽，而是将数据包传送到网络中的一个逻辑的组播组中，组播组中所有的接收者都可以收到同样的数据拷贝，主机可以随时加入和退出组，这样不但能有效地节约网络带宽和资源，而且延时小，提高发送信息的性能。

跨普通VLAN的配置

公司使用的主交换机是华为的6506三层交换机，可以运行组播协议，我们暂且称划分了VLAN的交换机为A，连接视频点播的服务器的交换机为B，我们先按真实的情况做了个实验，拓扑图如下：

图1 网络拓扑图

SwitchA上的配置如下：

1、使能多播路由

[SwitchA]multicast routing-enable

2、创建（进入）VLAN5的虚接口

[SwitchA]int VLAN 5

3、给VLAN5的虚接口配置IP地址

[SwitchA-Vlan-interface5]IP add 172.16.1.1 255.255.255.0

[SwitchA-Vlan-interface5]quit

4、创建（进入）VLAN6的虚接口

[SwitchA]int VLAN 6

5、给VLAN6的虚接口配置IP地址

[SwitchA-Vlan-interface6]IP add 172.16.2.254 255.255.255.0

[SwitchA-Vlan-interface6]quit

6、配置静态路由

[SwitchA]IP route 172.16.1.0 255.255.255.0 172.16.2.0

7、在接口上启动PIM SM和IGMP，注意一定要在两个接口上都要启动。PIM-SM（Protocol Independent Multicast，Sparse Mode）即与协议无关的组播稀疏模式，这是一种稀疏模式的组播路由协议。这种稀疏模式与密集模式不同，它先假定所有的主机都不需要接收组播数据包，只有主机明确指定需要时，不停的向交换机发送嫁接消息，交换机才向它转发数据包；IGMP(Internet Group Management Protocol)是TCP/IP协议族中负责IP组播成员管理的协议。它用来在IP主机与其直接相邻的交换机之间建立、维护组播组成员关系。要使两个VLAN之间能够传递IP/TV的信息，必须要使用这个协议。

[SwitchA]interface Vlan-interface 5

[SwitchA-Vlan-interface5]pim sm

[SwitchA-Vlan-interface5]igmp enable

[SwitchA-Vlan-interface5]quit

[SwitchA]interface Vlan-interface 6

[SwitchA-Vlan-interface6]pim SM

[SwitchA-Vlan-interface6]igmp enable

[SwitchA-Vlan-interface6]quit

8、进入PIM视图

[SwitchA]pim

9、配置候选BSR，VLAN6是有媒体播放服务器的虚拟工作组。在一个网络中，只能有一个BSR，但是可以有多个候选BSR，BSR(Bootstrap Router)负责收集并发布RP信息，向所有的PIM－SM的路由器通告组播信息，并建立起共享树。

[SwitchA-pim]c-bsr VLAN 6 24

10、配置候选RP（Rendezvous Point）汇聚点，基于此建立起共享树。这些都是PIM-SM的工作过程中需要用到的。

[SwitchA-pim]c-rp VLAN 6

[SwitchA-pim]quit

保存，再退出。打开IP/TV的Viewer.，双击一个电视节目，电视播放窗口打开了，新闻播音员正在播新闻，有了（如图2）！

图2 IP/TV窗口

具有访问控制列表的配置

实验成功，我们兴致勃勃地登陆到实际工作中用到的6506上，开始配置。配置完后打开客户端的Viewer，节目单列出来的倒是有，但是双击后打开的窗口却没有任何反应。这是怎么回事呢？我们不得不查看IP组播路由表信息。

[SwitchA]disp multicast routing

显示出来的多播路由表的数据量却是为零。看来还是没有成功，那么问题究竟出现在哪里呢。我们仔细查看了交换机的配置。发现这台交换机上做了访问控制。配置如下：

acl name accessitself advanced

rule 0 permit IP source 172.16.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

rule 1 permit IP source 172.16.2.0 0.0.0.255 destination 172.16.2.0 0.0.0.255

acl name accessIPtv advanced

rule 0 permit IP source 172.16.2.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

rule 1 permit IP source 172.16.1.0 0.0.0.255 destination 172.16.2.0 0.0.0.255

acl name denyall advanced

rule 0 deny IP

…………….

#

interface GigabitEthernet1/0/1

qos

packet-filter inbound IP-group denyall rule 0 not-care-for-interface

packet-filter inbound IP-group accessitself rule 0 not-care-for-interface

packet-filter inbound IP-group accessitself rule 1 not-care-for-interface

packet-filter inbound IP-group accessIPtv rule 0 not-care-for-interface

packet-filter inbound IP-group accessIPtv rule 1 not-care-for-interface

为了提高系统的安全性，部门的网管员在访问控制列表里禁掉了所有的IP，然后再一条一条地允许需要访问的IP地址。问题可能就出在这里，可是应该怎样修改才能达到看到视频点播的目的呢？

我们查阅了大量的资料，发现要观看IP/TV播放的节目，只有刚打开IP/TV客户端的Viewer时，客户机才直接和媒体服务器相连，读取媒体服务器的播放列表，当节目信息可以正确读取时，就证明两个网段的连接是好的。

但是电视节目内容之所以打不开是由于在传送中，支持IGMP接收者主机给交换机发送一个成员活动报告，如加入或离开组，交换机使用这个信息有选择的传送数据到有关主机所在网络。源发送一个单独的报文到一个组地址，这个组地址就是D类地址，其中D类地址范围在224.0.0.0~239.255.255.255之间，用于组播。

组地址有两种类型，永久的和临时的。224.0.0.0被保留，不分配给任何组；从224.0.0.1到224.0.0.255范围的组播地址分配给路由选择协议和其它低级布局与维护协议，其中有名的是224.0.0.1和224.0.0.2，前者用来编址直接连接在网络上的所有IP多路广播主机，后者是给一个子网上所有路由器的地址；中间范围从224.0.1.0到238.255.255.255被组播用来在组、内部网和Internet中终端应用程序中使用；从239.0.0.0到239.255.255.255指定给本地组播应用程序。媒体服务器不断地向这个组播地址发送数据包，接收者主机不时向组播地址发一两个确认包，如路径在一个交换机上分支，也只给加入组的分支产生一个报文。源主机不发送报文的多个拷贝，减少了用于多目标数据传送所消耗的带宽和资源。

由于在我们的交换机的设置中可以发现规则rule 0禁止了所有的IP，其中包括D类的组地址，因此，只要再加上如下规则，就可以正常观看电视节目了。

acl name accessIPtv advanced

rule 2 permit IP source 172.16.1.0 0.0.0.255 destination 224.0.0.0 31.255.255.255

rule 3 permit IP source 224.0.0.0 31.255.255.255 destination 172.16.1.0 0.0.0.255

rule 4 permit IP source 172.16.2.0 0.0.0.255 destination 224.0.0.0 31.255.255.255

…………………

interface GigabitEthernet1/0/1

qos

packet-filter inbound IP-group accessIPtv rule 2 not-care-for-interface

packet-filter inbound IP-group accessIPtv rule 3 not-care-for-interface

packet-filter inbound IP-group accessIPtv rule 4 not-care-for-interface

quit

这个部门终于能够在即保证安全的前提下，又能够看到多媒体的节目了。随着网络技术的飞速发展，多媒体和VLAN技术会运用的越来越多，因此，只有不断地学习各方面的知道，不但要知其然，还要知其所以然，才能快速地排除故障，解决问题。