什么时候*不*为L2 VLAN创建SVI?


16

当仅在交换机上为L2创建VLAN时-路由将由该VLAN中的设备(例如负载均衡器)处理- 无需创建VLAN接口。作为一种习惯,无论如何我总是创建接口-没有IP地址-因此我在“ sh interface”中获取所有接口位和数据包统计信息。

我认为创建L2接口的最佳实践是否有负面影响?

什么时候创建或创建L2 VLAN的接口?

我正在寻找仅讨论L2 VLAN而不是L3 VLAN SVI的优点和用例的答案。

思科在我的6500上报告L2接口为EtherSVI-没有IP地址。尽管我们都知道通常的用例是拥有用于路由的IP地址,但仍将L2接口视为SVI是正确还是不正确的?问题仅在于我是否首先应该具有此L2接口。您可以看到只有L2计数器增加了,但仍给出了一些值。

s-oc4-n2-agg1#sh int vl281
Vlan281 is up, line protocol is up
  Hardware is EtherSVI, address is 0019.a925.2000 (bia 0019.a925.2000)
  Description: svi.SLB-FE-Web-Servers
  MTU 1500 bytes, BW 1000000 Kbit, DLY 10 usec,
     reliability 255/255, txload 1/255, rxload 1/255
  Encapsulation ARPA, loopback not set
  Keepalive not supported
  ARP type: ARPA, ARP Timeout 04:00:00
  Last input 00:00:02, output 00:00:10, output hang never
  Last clearing of "show interface" counters 1d12h
  Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
  Queueing strategy: fifo
  Output queue: 0/40 (size/max)
  5 minute input rate 0 bits/sec, 0 packets/sec
  5 minute output rate 0 bits/sec, 0 packets/sec
  L2 Switched: ucast: 1138722618 pkt, 1070173012274 bytes - mcast: 76471 pkt, 8482399 bytes
  L3 in Switched: ucast: 0 pkt, 0 bytes - mcast: 0 pkt, 0 bytes mcast
  L3 out Switched: ucast: 0 pkt, 0 bytes mcast: 0 pkt, 0 bytes
     74604 packets input, 8350307 bytes, 0 no buffer
     Received 74604 broadcasts (0 IP multicasts)
     0 runts, 0 giants, 0 throttles
     0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
     218 packets output, 17658 bytes, 0 underruns
     0 output errors, 0 interface resets
     0 output buffer failures, 0 output buffers swapped out

1
我知道大多数人都认为SVI意味着我们有一个带有IP地址的接口。思科(EtherSVI)仍将L2接口报告为SVI。我对L3和L2接口都使用术语SVI是错误的吗?
generalnetworkerror

1
您为什么首先要创建L2 SVI(出于好奇)?如果此设备在该VLAN中没有L3接口,那么sh int vl281上面命令输出中的统计信息从何而来?您所质疑的该设备是否已处理74604VLAN中所有第2层端口上的以太网帧?您可以从输出中看出什么?我假设您创建这些L2 SVI用于统计信息收集和调试/故障排除。您是否创建了它们以用于伪线,桥接和xconnects?
jwbensley

2
我主要创建L2 SVI,用于统计报告(尽管有其局限性),交换机的可见性以及Cacti的SNMP接口遍历(RRDTool图)。L3下的74604数据包仅是下一行“接收到的74604广播”所示的广播。除了轻松定义所有接口(无论是L2还是L3)之外,没有其他理由来创建它们。
generalnetworkerror

Answers:


11

如果使用VTP修剪,则可能不希望创建L2 SVI。如果进行修剪,则将从中继线中修剪掉未使用的VLAN,从而减少不必要的广播/洪泛流量。但是,创建SVI会在交换机上创建一个“活动”接口。快速检查GNS3可得到以下内容:

R1#show vlan-switch

VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1    default                          active    Fa1/1, Fa1/2, Fa1/3, Fa1/4
                                                Fa1/5, Fa1/6, Fa1/7, Fa1/8
                                                Fa1/9, Fa1/10, Fa1/11, Fa1/12
                                                Fa1/13, Fa1/14, Fa1/15
3    VLAN0003                         active
4    VLAN0004                         active
[output omitted]

R1#show interfaces trunk

Port      Mode         Encapsulation  Status        Native vlan
Fa1/0     on           802.1q         trunking      1

Port      Vlans allowed on trunk
Fa1/0     1-4094

Port      Vlans allowed and active in management domain
Fa1/0     1,3-4

Port      Vlans in spanning tree forwarding state and not pruned
Fa1/0     1

现在,如果我转到连接到Fa1 / 0的R2并键入R2(config)#int vlan 3,我们将看到以下内容:

R2#show run interface vlan 3
Building configuration...

Current configuration : 38 bytes
!
interface Vlan3
 no ip address
end
R2#show run | include vlan 3
R2#

如您所见,除了SVI,VLAN 3中没有接口。回到R1:

R1#show interfaces trunk

Port      Mode         Encapsulation  Status        Native vlan
Fa1/0     on           802.1q         trunking      1

Port      Vlans allowed on trunk
Fa1/0     1-4094

Port      Vlans allowed and active in management domain
Fa1/0     1,3-4

Port      Vlans in spanning tree forwarding state and not pruned
Fa1/0     1,3

如您所见,VLAN 3刚出现在中继线上,从而增加了中继上的流量级别。


8

我不会说创建SVI是最佳实践。但是,如果您创建它,我认为不会有太大的问题。例如,Catalyst 3750支持1000个SVI,您不太可能会碰到它。

问:在Cisco Catalyst 3750系列交换机上可以创建多少个SVI?答:最多可以创建1000个SVI。但是,SVI的最大数量取决于路由和多播条目的数量。例如,交换机可以支持具有8000条路由和250个多播条目的64个SVI。

根据我的经验,SVI上的计数器真的不能被信任。


没有SVI和IP的要求。这将创建一个路由表条目,并确实使负载平衡器的路由混乱。我了解计数器只有在未进行硬件切换时才会增加。
generalnetworkerror

抱歉,我的意思是我认为创建SVI并不是最佳实践,但我也认为这样做不会有任何危害。编辑了我的答案。
Daniel Dib

1
翻译:占用了tcam / fib / idb / etc空间,可用于其他所需功能。
Ricky Beam

6

当没有特殊要求时,我永远不会创建SVI。我认为没有缺点,但是无需添加无用的行,就可以使设备配置保持干净。这可以在故障排除会话期间提供帮助。


5

当您必须为连接的以太网交换机端口提供Layer3服务时,SVI很有用。

SVI提供了一种将IP路由服务附加到交换机上已经存在的以太网Vlan的有效方法。它有效地使您不必为了购买HSRP或动态路由协议而购买外部路由器。

何时不为L2 VLAN创建SVI?

当您不希望用户使用这些功能时,或者您不想使配置复杂化时。这只是一个问题。我从来没有定义一个SVI,除非我需要Vlan上的IP路由服务...但是我更喜欢尽可能的最小配置。


我澄清了问题...不寻找L3答案。
generalnetworkerror

4

我不会认为这是最佳实践,因为您不希望该开关提供L3功能,则不需要它也没有用。现在,我想作为其余部分的序言,说除非我想要L3功能,否则我绝不会这样做,所以我可能是错的。

您提到了计数器,但是除非流量从接口“流入”或“流出”,否则计数器不应递增。我怀疑如果您跨度使用了SVI,您将看不到预期的流量。

我也会担心该开关将使用某些功能,并且自己对测试它们感到不自在。例如,如果您还没有在SVI上禁用proxy-arp,它是否仍会以SVI MAC地址响应其他VLAN中的主机?我怀疑它可以,如果可以,它将把该流量路由到另一个VLAN吗?


2

从安全的角度来看,为VLAN添加可访问的IP有潜在的危险。

从稳定性的角度来看,这也是一种威胁,因为流向IP(包括ARP,IPv6 ND等)的流量到达了CPU队列。如果您只有带有L2的简单VLAN,那么除了L2协议(haha)之外,没有什么会影响交换机及其控制平面的情况。如果添加了L3可达性信息,那么您突然就在处理L3所提供的功能,包括路由协议,黑洞,有限的FIB条目,以及在处理L2与L3时可能还可能使用不同的QoS模型。

无论如何,您都在增加网络的复杂性。复杂性不好。

正如KISS规则所述,您不要“自动”将SVI添加到L2 VLAN。如果仅用于L2操作,我什至将其添加到界面的“描述”中。


每个人都在SVI中挂接到L3。也许我使用的术语不正确。我问的是在创建vlan x之后,进入创建vlan接口且未配置IP的接口vlan x的优缺点。
generalnetworkerror

3
从这个意义上讲,这完全取决于您所给盒子的体系结构。使用Cisco Catalysts,您要向IDB添加逻辑接口,但不添加路由条目(以及TCAM空间请求)。无论如何,操作上的好处是您可以通过这种方式“稳定” SNMP索引,并且缺点是,某人可能会急于通过在看到一个不带IP地址的接口后添加IP来“修复”某些服务的配置。 。
卢卡斯Bromirski

0

有些平台,例如我的“收藏夹” 6500,可能会对某些类型或某些流量产生强烈的负面反应,只要创建SVI,完全通过路由器交换就可以了。通常,这将是非IP流量,但是很难预测。


0

如果所讨论的VLAN是“私有”的,并且没有L3路由到任何地方(例如群集心跳),则第2层交换机上的SVI将使您的NOC能够ping接口,并获得ARP表,这对于故障排除很有帮助。如果您要讨论的VLAN已路由,则除了作为临时措施通过从交换机对该VLAN的默认网关执行ping操作来证明VLAN中继到该交换机(某些服务器专家需要证明)以外,没有什么其他好处。

By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.