尧图网站建设 
简介这份华为智简园区WLAN二层GRE技术白皮书面向固网运营商网络规划与运维人员、WLAN解决方案工程师及通信专业学习者聚焦固网运营商在移动化与物联网趋势下被管道化、难以参与WiFi业务竞争的现实问题系统讲解如何借助二层GRE技术在不改动现网架构的前提下平滑开展WiFi业务。资源为1个PDF文档压缩包约894KB内容涵盖产生背景、技术实现、客户价值、二层GRE原理、报文转发、用户认证与漫游机制并深入对比SoftGRE与EoGRE隧道转发两种漫游方式最后给出宽带WiFi融合、Wholesale批发及访客接入三类典型组网应用。读者可借此掌握跨VLAN漫游、隧道封装转发与BRAS统一认证计费的关键设计思路理解如何复用现有接入与城域资源降低建网成本。目前已有115人学习适合需要方案选型与部署参考的从业者研读。1. 智简园区WLAN二层GRE为什么它成了跨站点漫游的隐形底座园区网络做大了最头疼的不是AP数量而是跨站点二层连通。总部和分支各有一套WLANSSID相同但用户从A楼走到B楼IP不变、业务不断这背后往往靠的就是二层GRE隧道。智简园区WLAN方案里二层GRE不是可选项而是把分散的AP和AC在逻辑上拉成一个统一广播域的关键手段。它解决的核心问题是让无线客户端在跨越三层网络边界时仍然感觉自己在一个二层网络里。适合谁正在做多园区WLAN融合、需要跨广域网漫游、又不想改客户端IP方案的网络工程师。这篇笔记不讲空理论只拆我实际配过、排过的二层GRE落地路径。2. 二层GRE在智简园区WLAN里到底怎么跑起来的2.1 先搞清楚为什么WLAN需要二层GRE而不是普通路由普通三层GRE能把私网路由打通但WLAN的漫游依赖的是同一广播域内的ARP和DHCP续租。客户端从AP1漫游到AP2如果AP2在另一个三层子网客户端不会重新发起DHCP它仍然用原IP发ARP找网关。三层GRE只转发单播路由广播帧过不去ARP请求就断了用户表现为“信号满格但上不了网”。二层GRE的做法是把GRE隧道接口桥接到同一个VLAN或桥域里。隧道两端封装的是完整的二层帧包括广播、组播和未知单播。这样AC或隧道端点看到的客户端MAC始终在同一个逻辑二层网络里漫游时不需要重新认证或重新获取IP。常见做法是在智简园区方案里AC旁挂或直连核心分支的AP通过CAPWAP隧道先到本地AC或直接到总部AC如果中间跨越三层就在AC和核心之间或者AC和AC之间建二层GRE。具体在哪建取决于你的流量模型——是数据本地转发还是集中转发。2.2 最小可复现拓扑与隧道参数我一般用这样的最小拓扑验证总部一台AC分支一台AC或交换机中间跑OSPF打通三层。在两端各建一个Tunnel接口绑定二层GRE然后把Tunnel接口加入同一个桥域或VLAN。以华为设备为例关键配置如下# 总部AC侧 interface Tunnel0/0/1 tunnel-protocol gre source 10.1.1.1 destination 10.2.2.2 gre key 100 bridge-domain 100 # interface GigabitEthernet0/0/1 bridge-domain 100 # # 分支侧 interface Tunnel0/0/1 tunnel-protocol gre source 10.2.2.2 destination 10.1.1.1 gre key 100 bridge-domain 100 # interface GigabitEthernet0/0/2 bridge-domain 100逻辑说明tunnel-protocol gre指定GRE封装source和destination是隧道两端的三层可达地址。gre key是可选的安全标识两端必须一致否则隧道起不来。bridge-domain把Tunnel接口和物理接口划到同一个广播域这样从物理口进来的二层帧会被GRE封装后从隧道发出去。参数说明gre key不是加密只是标识别把它当安全手段。bridge-domain的ID两端可以不同但同一台设备上必须和物理口一致。MTU是这里最容易翻车的地方——GRE封装会增加至少24字节开销物理口MTU建议调到1600以上否则大包分片会导致DHCP或EAP认证失败。2.3 隧道建立后WLAN流量怎么走隧道起来后WLAN的流量路径取决于转发模式。如果是集中转发AP的CAPWAP数据隧道先把用户帧送到ACAC再根据VLAN或桥域决定是否进二层GRE。如果是本地转发AP直接把用户帧打到本地网关这时候二层GRE通常建在AP上行交换机到总部核心之间。我实测下来集中转发加二层GRE的漫游切换最稳因为AC始终在路径上ARP和认证状态不会丢。本地转发虽然省带宽但跨站点漫游时容易因为本地网关不在同一广播域而断流。验证方法很简单在客户端连续ping网关然后拔掉AP1的网线看丢几个包。正常二层GRE方案丢1到2个包普通三层方案会丢几十个甚至直接断。3. 配好之后最容易翻车的五个地方3.1 隧道显示up但广播帧过不去现象display interface Tunnel显示up但客户端跨站点后ARP学不到网关MAC。原因GRE隧道两端虽然up但bridge-domain没把Tunnel接口和物理接口绑对或者绑了但VLAN转换没做。解决检查display bridge-domain确认Tunnel口和物理口在同一个域。如果物理口是trunk需要把对应VLAN的帧桥接进去而不是整个口。3.2 大包不通小包正常现象ping小包通ping大包不通DHCP获取失败EAP认证卡住。原因GRE封装后MTU超了中间链路分片或丢弃。解决把隧道两端物理口和中间链路的MTU调到1600同时tcp adjust-mss设成1400左右。别只调一端路径上所有设备都要一致。3.3 漫游时认证状态丢失现象客户端跨站点后需要重新输入密码或重新认证。原因二层GRE只通了二层但AC之间的漫游组没配或者AC不在同一个 mobility group。解决智简园区方案里AC间要配 mobility group 和漫游组确保客户端上下文同步。二层GRE只是通路状态同步靠AC间的协议。3.4 GRE key不一致导致隧道起不来现象两端配置看起来一样但隧道协议状态一直down。原因gre key一端配了一端没配或者值不同。解决要么两端都不配要么配成一样的。这个坑我踩过查了半天路由最后发现是key。3.5 广播风暴拖垮隧道现象隧道带宽跑满用户上网极慢。原因二层GRE把广播域拉大后ARP广播、DHCP广播、NetBIOS广播全走隧道分支越多越严重。解决在桥域上配广播抑制或者用ARP代理减少广播。智简园区方案里一般会开广播风暴抑制阈值设成pps的5%到10%。4. 怎么验证二层GRE真的在干活4.1 三个必看的命令行输出第一个display interface Tunnel看隧道状态和收发计数。如果input和output都在涨说明有流量。如果只有output没有input对端可能没回包。第二个display bridge-domain看桥域成员。Tunnel口和物理口必须都在里面而且状态up。第三个display arp看客户端ARP表项。跨站点后网关的ARP应该还在MAC不变。4.2 用抓包确认封装和解封装在隧道物理口抓包过滤proto gre。正常应该看到外层IP是隧道源和目的内层是完整的二层帧。如果只看到外层没有内层说明封装有问题。在桥域成员口抓包过滤客户端MAC。应该能看到ARP请求和回复而且TTL不变。4.3 漫游切换的量化指标我一般用连续ping加时间戳统计丢包数和切换时延。二层GRE方案下同AC内漫游丢0到1个包跨AC漫游丢1到3个包。如果丢包超过5个检查AC间隧道和mobility group。另一个指标是DHCP续租时间。客户端漫游后如果IP不变DHCP续租应该在T1时刻正常发起不会重新DISCOVER。5. 进阶把二层GRE和智简园区的自动化配置串起来5.1 用模板批量下发隧道配置智简园区方案通常带控制器可以在控制器上定义隧道模板然后批量推给分支设备。模板里把source、destination、gre key、bridge-domain做成变量分支上线时自动生成配置。我一般会留一个tunnel-id作为唯一标识避免多隧道场景下key冲突。模板里还要带MTU和MSS的调整不然每个分支都要手动改。5.2 隧道健康检查与自动切换二层GRE本身没有BFD但可以配keepalive或者用NQA探测对端。如果主隧道断了备隧道自动接管。智简园区里常用的是双隧道主备主隧道走MPLS备隧道走互联网靠NQA切换。配置示例nqa test-instance admin gre_check test-type icmp destination-address 10.2.2.2 frequency 5000 # interface Tunnel0/0/1 nqa gre_check #逻辑说明NQA每5秒探测一次对端如果连续失败隧道接口down路由切换到备隧道。参数frequency别设太小否则误报5000毫秒是我常用的值。5.3 一个我常用来判断值不值得做的标准如果园区站点少于3个且都在同一个三层子网内二层GRE是过度设计。如果站点超过3个跨广域网且业务要求IP不变、认证不重来那二层GRE就是必选项。我自己的习惯是先算广播域大小超过500个客户端就要考虑广播抑制再算漫游切换时间超过3个包就要上二层GRE加mobility group。希望帮到你。本文还有配套的精品资源点击获取 智简园区WLAN二层GRE：跨站点漫游的隐形底座与配置实战
简介这份华为智简园区WLAN二层GRE技术白皮书面向固网运营商网络规划与运维人员、WLAN解决方案工程师及通信专业学习者聚焦固网运营商在移动化与物联网趋势下被管道化、难以参与WiFi业务竞争的现实问题系统讲解如何借助二层GRE技术在不改动现网架构的前提下平滑开展WiFi业务。资源为1个PDF文档压缩包约894KB内容涵盖产生背景、技术实现、客户价值、二层GRE原理、报文转发、用户认证与漫游机制并深入对比SoftGRE与EoGRE隧道转发两种漫游方式最后给出宽带WiFi融合、Wholesale批发及访客接入三类典型组网应用。读者可借此掌握跨VLAN漫游、隧道封装转发与BRAS统一认证计费的关键设计思路理解如何复用现有接入与城域资源降低建网成本。目前已有115人学习适合需要方案选型与部署参考的从业者研读。1. 智简园区WLAN二层GRE为什么它成了跨站点漫游的隐形底座园区网络做大了最头疼的不是AP数量而是跨站点二层连通。总部和分支各有一套WLANSSID相同但用户从A楼走到B楼IP不变、业务不断这背后往往靠的就是二层GRE隧道。智简园区WLAN方案里二层GRE不是可选项而是把分散的AP和AC在逻辑上拉成一个统一广播域的关键手段。它解决的核心问题是让无线客户端在跨越三层网络边界时仍然感觉自己在一个二层网络里。适合谁正在做多园区WLAN融合、需要跨广域网漫游、又不想改客户端IP方案的网络工程师。这篇笔记不讲空理论只拆我实际配过、排过的二层GRE落地路径。2. 二层GRE在智简园区WLAN里到底怎么跑起来的2.1 先搞清楚为什么WLAN需要二层GRE而不是普通路由普通三层GRE能把私网路由打通但WLAN的漫游依赖的是同一广播域内的ARP和DHCP续租。客户端从AP1漫游到AP2如果AP2在另一个三层子网客户端不会重新发起DHCP它仍然用原IP发ARP找网关。三层GRE只转发单播路由广播帧过不去ARP请求就断了用户表现为“信号满格但上不了网”。二层GRE的做法是把GRE隧道接口桥接到同一个VLAN或桥域里。隧道两端封装的是完整的二层帧包括广播、组播和未知单播。这样AC或隧道端点看到的客户端MAC始终在同一个逻辑二层网络里漫游时不需要重新认证或重新获取IP。常见做法是在智简园区方案里AC旁挂或直连核心分支的AP通过CAPWAP隧道先到本地AC或直接到总部AC如果中间跨越三层就在AC和核心之间或者AC和AC之间建二层GRE。具体在哪建取决于你的流量模型——是数据本地转发还是集中转发。2.2 最小可复现拓扑与隧道参数我一般用这样的最小拓扑验证总部一台AC分支一台AC或交换机中间跑OSPF打通三层。在两端各建一个Tunnel接口绑定二层GRE然后把Tunnel接口加入同一个桥域或VLAN。以华为设备为例关键配置如下# 总部AC侧 interface Tunnel0/0/1 tunnel-protocol gre source 10.1.1.1 destination 10.2.2.2 gre key 100 bridge-domain 100 # interface GigabitEthernet0/0/1 bridge-domain 100 # # 分支侧 interface Tunnel0/0/1 tunnel-protocol gre source 10.2.2.2 destination 10.1.1.1 gre key 100 bridge-domain 100 # interface GigabitEthernet0/0/2 bridge-domain 100逻辑说明tunnel-protocol gre指定GRE封装source和destination是隧道两端的三层可达地址。gre key是可选的安全标识两端必须一致否则隧道起不来。bridge-domain把Tunnel接口和物理接口划到同一个广播域这样从物理口进来的二层帧会被GRE封装后从隧道发出去。参数说明gre key不是加密只是标识别把它当安全手段。bridge-domain的ID两端可以不同但同一台设备上必须和物理口一致。MTU是这里最容易翻车的地方——GRE封装会增加至少24字节开销物理口MTU建议调到1600以上否则大包分片会导致DHCP或EAP认证失败。2.3 隧道建立后WLAN流量怎么走隧道起来后WLAN的流量路径取决于转发模式。如果是集中转发AP的CAPWAP数据隧道先把用户帧送到ACAC再根据VLAN或桥域决定是否进二层GRE。如果是本地转发AP直接把用户帧打到本地网关这时候二层GRE通常建在AP上行交换机到总部核心之间。我实测下来集中转发加二层GRE的漫游切换最稳因为AC始终在路径上ARP和认证状态不会丢。本地转发虽然省带宽但跨站点漫游时容易因为本地网关不在同一广播域而断流。验证方法很简单在客户端连续ping网关然后拔掉AP1的网线看丢几个包。正常二层GRE方案丢1到2个包普通三层方案会丢几十个甚至直接断。3. 配好之后最容易翻车的五个地方3.1 隧道显示up但广播帧过不去现象display interface Tunnel显示up但客户端跨站点后ARP学不到网关MAC。原因GRE隧道两端虽然up但bridge-domain没把Tunnel接口和物理接口绑对或者绑了但VLAN转换没做。解决检查display bridge-domain确认Tunnel口和物理口在同一个域。如果物理口是trunk需要把对应VLAN的帧桥接进去而不是整个口。3.2 大包不通小包正常现象ping小包通ping大包不通DHCP获取失败EAP认证卡住。原因GRE封装后MTU超了中间链路分片或丢弃。解决把隧道两端物理口和中间链路的MTU调到1600同时tcp adjust-mss设成1400左右。别只调一端路径上所有设备都要一致。3.3 漫游时认证状态丢失现象客户端跨站点后需要重新输入密码或重新认证。原因二层GRE只通了二层但AC之间的漫游组没配或者AC不在同一个 mobility group。解决智简园区方案里AC间要配 mobility group 和漫游组确保客户端上下文同步。二层GRE只是通路状态同步靠AC间的协议。3.4 GRE key不一致导致隧道起不来现象两端配置看起来一样但隧道协议状态一直down。原因gre key一端配了一端没配或者值不同。解决要么两端都不配要么配成一样的。这个坑我踩过查了半天路由最后发现是key。3.5 广播风暴拖垮隧道现象隧道带宽跑满用户上网极慢。原因二层GRE把广播域拉大后ARP广播、DHCP广播、NetBIOS广播全走隧道分支越多越严重。解决在桥域上配广播抑制或者用ARP代理减少广播。智简园区方案里一般会开广播风暴抑制阈值设成pps的5%到10%。4. 怎么验证二层GRE真的在干活4.1 三个必看的命令行输出第一个display interface Tunnel看隧道状态和收发计数。如果input和output都在涨说明有流量。如果只有output没有input对端可能没回包。第二个display bridge-domain看桥域成员。Tunnel口和物理口必须都在里面而且状态up。第三个display arp看客户端ARP表项。跨站点后网关的ARP应该还在MAC不变。4.2 用抓包确认封装和解封装在隧道物理口抓包过滤proto gre。正常应该看到外层IP是隧道源和目的内层是完整的二层帧。如果只看到外层没有内层说明封装有问题。在桥域成员口抓包过滤客户端MAC。应该能看到ARP请求和回复而且TTL不变。4.3 漫游切换的量化指标我一般用连续ping加时间戳统计丢包数和切换时延。二层GRE方案下同AC内漫游丢0到1个包跨AC漫游丢1到3个包。如果丢包超过5个检查AC间隧道和mobility group。另一个指标是DHCP续租时间。客户端漫游后如果IP不变DHCP续租应该在T1时刻正常发起不会重新DISCOVER。5. 进阶把二层GRE和智简园区的自动化配置串起来5.1 用模板批量下发隧道配置智简园区方案通常带控制器可以在控制器上定义隧道模板然后批量推给分支设备。模板里把source、destination、gre key、bridge-domain做成变量分支上线时自动生成配置。我一般会留一个tunnel-id作为唯一标识避免多隧道场景下key冲突。模板里还要带MTU和MSS的调整不然每个分支都要手动改。5.2 隧道健康检查与自动切换二层GRE本身没有BFD但可以配keepalive或者用NQA探测对端。如果主隧道断了备隧道自动接管。智简园区里常用的是双隧道主备主隧道走MPLS备隧道走互联网靠NQA切换。配置示例nqa test-instance admin gre_check test-type icmp destination-address 10.2.2.2 frequency 5000 # interface Tunnel0/0/1 nqa gre_check #逻辑说明NQA每5秒探测一次对端如果连续失败隧道接口down路由切换到备隧道。参数frequency别设太小否则误报5000毫秒是我常用的值。5.3 一个我常用来判断值不值得做的标准如果园区站点少于3个且都在同一个三层子网内二层GRE是过度设计。如果站点超过3个跨广域网且业务要求IP不变、认证不重来那二层GRE就是必选项。我自己的习惯是先算广播域大小超过500个客户端就要考虑广播抑制再算漫游切换时间超过3个包就要上二层GRE加mobility group。希望帮到你。本文还有配套的精品资源点击获取