问题[vlan](unix)

我使用命令创建了可识别 VLAN 的网桥并添加了相关接口：

% ip link add br0 type bridge vlan_filtering 1
% ip link set dev eth0 master br0
...

（并对 eth1、eth2、eth3 重复此操作）

现在，我希望桥接端口能够处理具有多个标签的帧，并将这些帧从标签上剥离并传递到端口br0，我有一个监听守护进程：

% bridge vlan del dev eth0 vid 1
% bridge vlan add dev eth0 vid 2-4094
...

（并对 eth1、eth2、eth3 重复此操作）

完成所有命令后，网桥设置如下所示：

% bridge -c vlan sh
port    vlan ids
br0      1 PVID Egress Untagged

eth3     2-4094

eth2     2-4094

eth1     2-4094

eth0     2-4094

br1      1 PVID Egress Untagged

现在，当我从接口ping后面的主机发送到（具有 IP 192.168.1.1）时，我看到eth0 确实在接收标记帧（在我的情况下 ID 是 10），但是 br0 没有收到任何东西。我错过了什么？eth0br0tcpdump

我有以下路由规则（使用 显示route -n）：

Kernel IP routing table
Destination  Gateway    Genmask         Flags Metric Ref Use Iface
0.0.0.0      10.0.2.1   0.0.0.0         UG    100    0     0 enp0s3
10.0.2.0     0.0.0.0    255.255.255.192 U     100    0     0 enp0s3.100
10.0.2.0     0.0.0.0    255.255.255.0   U     100    0     0 enp0s3
169.254.0.0  0.0.0.0    255.255.0.0     U     1000   0     0 enp0s3

该接口enp0s3.100是 VLAN id 为 100 的接口。

如果我尝试获取 10.0.2.70 的路由，我希望它使用 VLAN 接口，但它没有：

# ip route get 10.0.2.70
10.0.2.70 dev enp0s3  src 10.0.2.11 
    cache

有谁知道为什么这里没有使用最长的前缀匹配？

我的 linux 家用路由器位于我的 ISP（橙色）和我的家庭网络之间。在 WAN 端，Orange 在标记为 832 的 VLAN 中提供互联网。

某些控制消息（ARP、DHCP、ICMPv6“路由器发现”类型、DHCPv6）需要通过以下方式回复 Orange： - VLAN 优先级 = 6 - IPv4 或 IPv6 DSCP =“CS6”（6 位 0x30，或十进制表示法的 48）

第一个问题，对于引导序列 DHCP v4 消息，isc-dhclient 需要使用原始以太网数据包套接字，它通过设计绕过 linux 内核 IP 堆栈。所以不能使用 netfilter 来分配 IPv4 DSCP 或 Meta Class，但我们暂时将其搁置一旁。

这是我的 nftables 配置的转储，与 IP DSCP 和元优先级的更改相关：me@debox:~$ sudo /usr/sbin/nft list ruleset

table inet fltr46 {
    chain assign-orange-prio {
        ip version 4 udp sport { bootps, bootpc} ip dscp set cs6 meta priority set 0:6 counter packets 0 bytes 0 comment "isc-dhclient LPF socket bypass netfilter"
        icmpv6 type { nd-neighbor-solicit, nd-router-solicit} ip6 dscp set cs6 meta priority set 0:6 counter packets 8 bytes 480
        udp sport { dhcpv6-client, dhcpv6-server} ip6 dscp set cs6 meta priority set 0:6 counter packets 4 bytes 1180
    }

    chain postrouting {
        type filter hook postrouting priority 0; policy accept;
        oifname vmap { "enp1s0.832" : goto assign-orange-prio}
    }

    chain output {
        type filter hook output priority 0; policy accept;
        oifname vmap { "enp1s0.832" : goto assign-orange-prio }
    }
}
table arp arp4 {
    chain output {
        type filter hook output priority 0; policy accept;
        oifname ! "enp1s0.832" accept
        meta priority set 0:6 counter packets 851 bytes 35742
    }
}

我的vlan 832配置如下：

me@debox:~$ sudo cat /proc/net/vlan/enp1s0.832 
enp1s0.832  VID: 832     REORDER_HDR: 1  dev->priv_flags: 1001
Device: enp1s0
INGRESS priority mappings: 0:0  1:0  2:0  3:0  4:0  5:0  6:0 7:0
 EGRESS priority mappings: 6:6

这意味着，对于出口，6 类数据包 -> VLAN prio 6。

DHCPv6、ICMPv6“路由器”和 ARP 的 nftables 计数器按预期递增。但是，我注意到 wire shark 捕获中的问题（通过 swich 端口镜像完成）：

• DHCPv6：好的。DSCP = CS6 和 VLAN 优先级 = 6
• ICMPv6：不行。DSCP = CS6 但 VLAN 优先级 = 0
• ARP：不行。VLAN 优先级 = 0
• 通过常规 UDP 套接字发送的 IPv4 DHCP 租约更新数据包也可以（DSCP + VLAN prio）。

VLAN 优先级未正确应用于 ARP 和 ICMPv6 数据包。对于 Linux 内核生成的 ARP 和 ICMPv6 消息，有没有办法进一步调试为什么元类不能正确转换为 VLAN prio？

您认为以下配置有意义吗？BONDTING_OPTVLAN接口是否支持？我想确保我的接口在上游设备关闭时故障转移。

ifcfg-债券0

$ cat /etc/sysconfig/network-scripts/ifcfg-bond0
NAME=bond0
DEVICE=bond0
BOOTPROTO=none
ONBOOT=yes
BONDING_OPTS="mode=1 miimon=500 downdelay=1000 primary=eno1 primary_reselect=always"

ifcfg-bond0.10

$ cat /etc/sysconfig/network-scripts/ifcfg-bond0.10
NAME=bond0.10
DEVICE=bond0.10
ONPARENT=yes
BOOTPROTO=dhcp
VLAN=yes
BONDING_OPTS="mode=1 arp_interval=1000 arp_ip_target=10.10.0.1 miimon=500 downdelay=1000 primary=eno1 primary_reselect=always"
NM_CONTROLLED=no

ifcfg-bond0.20

$ cat /etc/sysconfig/network-scripts/ifcfg-bond0.20
NAME=bond0.20
DEVICE=bond0.20
ONPARENT=yes
BOOTPROTO=dhcp
VLAN=yes
BONDING_OPTS="mode=1 arp_interval=1000 arp_ip_target=74.xx.xx.1 miimon=500 downdelay=1000 primary=eno1 primary_reselect=always"
NM_CONTROLLED=no