华为VLAN-VPN配置实例

华为路由器L2TPVPN配置案例

为了实现远程访问内部网络资源的需求，我们可以使用华为路由器的L2TPVPN功能。本文将提供一个简单的案例来演示如何配置L2TPVPN。以下是详细的步骤：

1. 首先，我们需要登录到华为路由器的Web管理界面。在浏览器中输入路由器的IP地址，并使用管理员账号和密码登录。

2.在管理界面中，找到“VPN”选项，并点击“VPN服务器”子选项。这将打开L2TPVPN服务器的配置页面。在这个页面上，可以配置L2TPVPN服务器的相关参数。

3.在配置页面中，我们首先需要启用L2TPVPN功能。找到“L2TPVPN服务开关”选项，在选项旁边的复选框中打勾以启用。然后，点击“应用”按钮保存更改。

4.接下来，我们要配置L2TPVPN服务器的IP地址池。找到“IP地址池”选项，在选项旁边的复选框中打勾以启用。然后，点击“添加”按钮添加一个新的IP地址池。

5.在添加IP地址池的界面中，输入一个名称来标识该IP地址池。在“首地址”和“末地址”字段中，输入IP地址的范围。然后，点击“应用”按钮保存更改。

7.在L2TPVPN服务器的配置页面上，还有其他一些可选的设置，如DNS服务器和MTU值。根据需要进行配置，并点击“应用”按钮保存更改。 8.配置完成后，我们需要为L2TPVPN服务器指定一个用户。找到“VPN用户信息”选项，在选项旁边的复选框中打勾以启用。然后，点击“添加”按钮添加一个新的VPN用户。

9.在添加VPN用户的界面中，输入一个用户名和密码来标识该用户。在“所在组”字段中，选择用户所属的用户组。然后，点击“应用”按钮保存更改。

10.配置完成后，我们需要重启L2TPVPN服务器以应用所有更改。找到“重启”选项，在选项旁边的复选框中打勾以启用。然后，点击“应用”按钮重启服务器。

11.配置完成后，我们可以使用L2TPVPN客户端来连接到服务器。将VPN客户端配置为使用服务器的IP地址、预共享密钥、用户名和密码等参数。

5

QinQ配置

关于本章

介绍QinQ的基本知识、配置方法和配置实例。

说明

S2700SI和S2710SI不支持QinQ。

5.1 QinQ概述

QinQ技术是一项扩展VLAN空间的技术，通过在802.1Q标签报文的基础上再增加一层

802.1Q的标签头来达到扩展VLAN空间的功能，可以使私网VLAN透传公网。

5.2 设备支持的QinQ特性

QinQ因为其自身简单灵活的特点，在各解决方案中扮演着重要的角色。

5.3 配置基本QinQ

配置基本QinQ功能后，对于从接口进来的报文，加上一层公网Tag，实现用户报文在

公网内转发。

5.4 配置灵活QinQ

配置二层灵活QinQ接口后，对于从接口进来的带有私网Tag的用户报文，统一加上公

网的Tag，实现用户报文在公网内转发。

5.5 配置外层VLAN Tag的TPID值

为了实现不同厂商的设备互通，需要配置外层VLAN Tag的TPID值。

5.6 配置VLANIF接口支持QinQ Stacking功能

当用户需要从本端设备远程登录到远端设备上进行远端管理时，可在远端设备上的管

理VLAN对应的VLANIF接口上部署QinQ Stacking功能实现。

5.7 配置举例

配置举例结合组网需求、配置思路来了解实际网络中QinQ的应用场景，并提供配置文

件。

5.1 QinQ概述

QinQ技术是一项扩展VLAN空间的技术，通过在802.1Q标签报文的基础上再增加一层

802.1Q的标签头来达到扩展VLAN空间的功能，可以使私网VLAN透传公网。S2700, S3700 系列以太网交换机

配置指南-以太网5 QinQ配置

文档版本 08 (2020-04-15)版权所有 © 华为技术有限公司92在基于传统的802.1Q协议的局域网互联模式中，当两个用户网络需要通过ISP互相访问

时，ISP必须为每个接入用户的不同VLAN分配不同的VLAN ID，如图5-1所示。假设用

户的网络1和网络2位于两个不同地点，并分别通过ISP的PE1、PE2接入骨干网。

QinQ配置

1.1QinQ简介

1.1.1QinQ原理介绍

QinQ是指将用户私网VLANTag封装在公网VLANTag中，使报文带着两层

VLANTag穿越运营商的骨干网络（公网）。在公网中报文只根据外层VLANTag

（即公网VLANTag）传播，用户的私网VLANTag被屏蔽。携带单层VLANTag的报文结构如图1-1所示：

图1-1携带单层VLANTag的报文结构

携带双层VLANTag的报文结构如图1-2所示：

图1-2携带双层VLANTag的报文结构

相对基于MPLS的二层VPN，QinQ具有如下特点：为用户提供了一种更为简单的

二层VPN隧道。不需要信令协议的支持，可以通过纯静态配置实现。QinQ主要

可以解决如下几个问题：缓解日益紧缺的公网VLANID资源问题。用户可以规划

自己的私网VLANID，不会导致和公网VLANID冲突。为小型城域网或企业网提

供一种较为简单的二层VPN解决方案。

1.1.2QinQ的实现方式

通过开启端口的QinQ特性功能，可以实现QinQ。开启端口的QinQ功能后，当

该端口接收到报文，无论报文是否带有VLANTag，交换机都会为该报文打上本

端口缺省VLAN的VLANTag。这样，如果接收到的是已经带有VLANTag的报文，

该报文就成为双Tag的报文；如果接收到的是不带VLANTag的报文，该报文就

成为带有端口缺省VLANTag的报文。

1.2配置端口的QinQ特性功能

1.2.1配置准备

端口的GVRP、GMRP、NTDP、STP、802.1x或VoiceVLAN功能均未启动。

注意：如果某端口的GVRP、GMRP、NTDP、STP、802.1x或VoiceVLAN功能中的

任一个已经启动，则不允许用户开启端口的QinQ特性。缺省情况下，设备的STP

和NTDP协议是开启的。需要在相应端口下应用stpdisable命令和undontdp

enable命令来关闭相应协议。

1.2.2配置过程

表1-1配置端口的QinQ特性配置步骤命令说明

# 进入系统视图。

system-view

[Quidway]

# 退出。

[Quidway] quit

# 显示配置信息。

[Quidway] display current-configuration

# 创建VLAN2、VLAN3、VLAN4。

system-view

[Quidway] vlan 2 3 4

[Quidway-vlan2] quit

# 将接口GigabitEthernet0/0/1的类型为Trunk，并加入到VLAN2 中。

[Quidway] interface gigabitethernet 0/0/1

[Quidway-GigabitEthernet0/0/1] port link-type trunk

[Quidway-GigabitEthernet0/0/1] port trunk allow-pass vlan 2

[Quidway-GigabitEthernet0/0/1] quit

# 在S-switch上配置接口GE0/0/1为Hybrid 类型，并加入VLAN100、VLAN200、

VLAN300。

[S-switch] interface GigabitEthernet 0/0/1

[S-switch-GigabitEthernet0/0/1] port link-type hybrid

[S-switch-GigabitEthernet0/0/1] port hybrid untagged vlan 100 200 300

[S-switch-GigabitEthernet0/0/1] quit

# 在S-switch上配置接口GE0/0/3加入VLAN100、VLAN200、VLAN300。

[S-switch] interface GigabitEthernet 0/0/3

[S-switch-GigabitEthernet0/0/3] port trunk allow-pass vlan 100 200 300