配置IGMP Snooping
配置IGMP Snooping
查看IGMP Snooping信息
配置IGMP Snooping的其它限制
概述
我们将从以下几个方面描述Igmp snooping
理解IGMP
理解IGMP Snooping
理解路由连接口
理解IGMP Snooping的各种工作模式
理解源端口检查
典型应用
理解IGMP
什么是组播及组播的作用IP IP
在Internet上,诸如视频会议和视频点播等单点发送多点接收的多媒体业务正在成为信息传送的
重要组成部分.点对点的单播传输方式不能适应这一类业务传输特性,因为服务器必须为每一个接
收者提供一个相同内容的报文拷贝,同时网络上也重复地传输相同内容的报文,占用了大量资源IP
,如下图所示.广播同样不能满足该要求,虽然广播允许一个主机把一个IP IP IP报文发送给同一个
网络的所有主机,但是由于不是所有的主机都需要这些报文,因而浪费了网络资源.在这种情况下
组播(multicast)应运而生,它的出现解决了一个主机向特定的多个接收者发送消息的方法.
组播是指一个报文向一个主机组的传送,这个包含零个或多个主机的主机组由一个单独的IP IP " " IP
地址标识.
主机组地址也称为组播地址,或者类地址,即从" " D 224.0.0.0 ~
.239.255.255.255属于保留地址,其中:224.0.0.0~224.0.0.255
-网段中所有支持组播的主机224.0.0.1
-网段中所有支持组播的路由器224.0.0.2
第层的组播地址(组播地址)是从组播地址映2MACIP射来的.把组播的后位同IP 23 01-00-5e-00-00-
进行或运算得到的结果便是组播地址.如:组播地址为,其十六进制表示为00 MAC IP 224.255.1.1 e0-
ff-01-,后位为01 23 7f-01-,与01 01-00-5e-00-00-进行或操作的结果为:00 01-00-5e-7f-01-.01 01-00-5
e-7f-01-即为组的组播地址.01 224.255.1.1 MAC
IGMP(Internet Group Management Protocol)
主机通过协议向临近的路由IP IGMP器申请加入(或离开)组播组.目前有三
个版本的:在中说明,在中说明IGMP IGMPv1 rfc 1112 IGMPv2 rfc 2236 ,IGMPv3在rfc3376中说
明.下面,我们将分别简要介绍在,主机是如何加入或离开某一组播的(假设加入IGMPv1 IGMPv2
).224.1.1.1
IGMPv1中,主机向路由器上的某个接口发送224.1.1.1的IGMP report报文,要求加入该组中. 路
由器收到该请求,则认为接收到请求的接口下存在组播成员,因而该接口转发对应组播组的报文.
路由器的接口定时发送224.0.0.1(所有主机)的IGMP Query报文,若主机要继续接收该组报文,则
应回应IGMP Report报文,如果某个接口收不到任何主机的IGMP Report报文,则认为该接口下不存
在任何组播成员,因而不向该接口转发对应组的报文.
向下兼容,它对报文进行扩展IGMPv2 v1 ——增加了IGMP
报文,以使主机可以主动要求离开组播组.在中,主机加入组中的过程同一致,主Leave IGMPv2 v1
机发一个报文请求加入到某一组中.路由器定时发送的IGMP Report 224.0.0.1 IGMP
报文,若主Query机要接收该组报文,则应回应报文,若路由器收不到任何主机的IGMP Report IGMP
报文,将把该组注销.在中,主机还可以主动离开某一组.当主机不在需要某一组播Report IGMPv2
流时,它主动朝路由器发送IGMP
报文主动从该组中注销.路由器收到该报文后,发出该组的Leave IGMP
报文,若其它主机需要该组播,则将回应Query IGMP
报文,若路由器收不到任何主机的回应,将把该组注销.Report
在的基础上,IGMPV1/V2提供了额外的源过滤IGMPV3多播功能 ,S2026G/F交换机不支持改功
能.同路由器的交互过程同相同.但是IGMPv3 IGMPv2在IGMP
中,主机只根据组地址来决定加入某个组并从任何一个源接收发给该组地址的V1/V2组播流.而使
用的主机通告该主机所希望加入的IGMP V3 多播组,同时还通告该主机所希望接收的多播源的地
址.主机可以通过一个包括列表或一个排除列表来指明希望从哪些源能接收多播流.同时IGMP
带来的另外一个好处是节省带宽,避免不需要的,非法的组播数据流占用网络带宽,这尤其在多v3
个多播源共用一个多播地址的网络环境中表现明显.
同IGMPv2对比,IGMPv的规定了以下3两种报文类型:
Membership Query
Version 3 Membership Report
其中分为三种:Membership Query
:General Query
用于查询接口下所有多播成员信息;
Group-Specific Query:
用于查询接口下指定组的成员信息;
Group-and-Source-Specific Query:
该类型为中新增加的,用于查询接口下是否有成员需要接收指定源列表IGMPv3中的源所发出的
特定组的多播流.
IGMP Versio能够向下兼容和.n3 IGMP Version1 IGMP Version2
要了解更多组播的相关知识,请查阅IP RFC 1112 ,RFC 2236以及RFC 3376.
理解IGMP Snooping
在二层(Layer2)设备下,组播帧是作为广播转发的,这样容易造成组播流风暴,浪费网络带宽.
网络上典型的组播帧是视频流,在某个VLAN中,如果有个用户注册了某组视频流,那么该VLAN中的
所有成员都能收到这个视频流,无论他们是否想要.
IGMP Snooping的作用便是解决这个问题的,它能使视频流只朝注册用户所在的端口转发,从而
不会影响到其它的用户.
Snooping的中文含义是"窥探",从这个词的含义我们就很容易理解它的工作过程:交换机"窥
探"用户主机与路由器之间的交互报文,跟踪组信息及申请的端口.当交换机"窥探"到主机朝路
由器发出的IGMP report(请求)报文,交换机便把该端口加入组播转发表中;当交换机"窥探"到IGMP
Leave(离开)报文时,交换机便把该端口从表中删除.路由器会定时发IGMP Query报文,在收到IGMP
Query报文后,如果在一定的时间段内没有收到主机的IGMP Report报文,便把该端口从表中删除.
理解路由连接口
路由连接口就是连接组播路由器的端口,如下图所示.
主机发出的IGMP Report,IGMP Leave等报文将从该口转发向路由器.只有从该端口收到的IGMP
Query报文才被视为合法的报文转发向主机端口,从非路由连接口收到的IGMP Query报文将被丢弃.
如何配置及查看路由连接口请看配置IGMP Snooping章节.
注意,在某些网络环境中,只要网络中不存在组播路由器,就无需配置路由连接口,IGMP snooping
依然能正常运行.如下图:
在这个网络环境中,没有组播路由器,而这四台PC既可能是组播流的发送者,也可能是组播流的
接收者,这时,中间的交换机其实只要打开IGMP snooping就可满足需求,不必设置任何一个端口为
路由连接口.
另外,路由连接口缺省就是要成为该VLAN内组播数据的接收者,如下图:
支持IGMP snooping的交换机不但要把组播数据转发给组播流的接收者,也要把组播数据转发给
路由连接口,以便让组播路由器将组播数据流转发给其他网络.但是有可能管理员不想把某一批组
播数据让上级的组播路由器知道,我们的交换机可以配置路由连接口需要转发哪些组播数据,过滤
哪些组播数据,以满足网络管理员的多种需求.
上图的网络拓朴中,如果没有"组播流接收者",我们也会自动的创建一条组播转发
表项到组播路由器,但这种由"组播数据流"产生的组播转发表项可能是不稳定的,
建议管理员直接配置一条静态的组播转发表项到路由连接口(请参见配置IGMP
snooping的静态成员),以保证组播流的稳定转发.
理解IGMP Snooping的各种工作模式
DISABLE模式:在该模式下,IGMP Snooping不起作用,即交换机不"窥探"主机与路由器之间的
IGMP报文,组播帧当广播在VLAN内转发.
IVGL工作模式:在该模式下,各VLAN间的组播流是相互独立的.主机只能朝与自己处于同一个VLAN
的路由连接口请求组播.
SVGL工作模式:在该模式下,各VLAN的主机共享一组播流.主机可以跨VLAN申请组播流.指定一
个Multicast VLAN,在该VLAN收到的组播数据流可以向跨VLAN的其他主机转发.如下图所示:
只要组播数据流的VID是Multicast VLAN的(或者UNTAG的数据流,接收端口的native vlan为
Multicast VLAN),都将转发给该组播地址的成员端口,无论该成员端口是不是这个VLAN内的.所
形成的组播转发表的VID将是Multicast VLAN的.在SVGL模式下,除了路由连接口,其它端口只有
有处于Multicast VLAN中,其发送的多播在才会VLAN中转发.
IVGL和SVGL两种模式可以同时存在,您可以为划分一批组播地址范围给SVGL,在这批组播地址内
组播转发表(GDA表)都是跨VLAN转发的,而其他的组播地址则使用 IVGL模式.
锐捷网络公司实现的IGMP Snooping提供的 IVGL模式与SVGL模式,增强了网络应用的灵活性,使
之能适应不同的网络环境.
理解源端口检查
本公司推出的交换机中,部分产品支持IGMP源端口检查功能,提高了网络的安全性.
IGMP源端口检查指严格限定IGMP组播流的进入端口.当IGMP源端口检查关闭时,从任何端口进入
的视频流均是合法的,交换机会把它们转发到已注册的端口.当IGMP源端口检查打开时,只有从路
由连接口进入的视频流才是合法的,交换机把它们转发向已注册的端口;而从非路由连接口进入的
视频流被视为是非法的,将被丢弃.
典型应用
组播的应用越来越大,最主要的是被应用于校园网与小区网中.组播技术可以应用于天气预报,
新闻传送,视频点播等服务,目前最常见的是视频点播.
1,普通的网络拓扑
对设备的要求:
1,交换机支持IGMP Snooping
需要的设置:
1,打开IGMP Snooping功能
2,设置上链为路由连接口
特点:
1,配置简单
2, 能有效地减少广播风暴,提高网络带宽利用率
配置IGMP Snooping
我们将从以下几个章节描述如何配置igmp snooping
Igmp snooping的默认值
配置IGMP Profiles
配置路由连接口
配置路由连接口转发组播帧的范围
配置 IVGL模式
配置SVGL模式
配置 IVGL,SVGL并存模式
配置DISABLE模式
配置Query报文的最长响应时间
配置IGMP snooping的静态成员
Igmp snooping的默认值
Igmp snooping状态 DISABLE状态
路由连接口 所有的口均不是路由连接口,不进行动
态学习.
IGMP Profile 表项为空,缺省行为是deny
SVGL的multicast vlan VLAN 1
IGMP filtering 无
IGMP snooping静态成员 无
配置前的注意点:
您最好在配置好VLAN,端口的access,trunk,AP属性后再进行IGMP snooping的配置,否则就可
能达不到您所预期的要求.因为以上这些属性都是交换机的基本配置属性,如果在生成组播转发表
后去修改这些属性,之后可能产生异常的转发效果.
配置IGMP Profiles
这里要先介绍一个IGMP Profile表项,它可以定义一系列的组播地址范围,定义permit/deny动
作,以提供后面的"SVGL模式应用的组播地址范围","路由连接口过滤组播数据范围","IGMP
Filtering范围"各项功能使用.注意如果已经把一个IGMP Profile关联到一个功能应用上,再去修
改它,会影响到该功能生成的组播转发表.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp profile profile number 进入IGMP Profile模式,分配一个数字以供
标识,该数字范围为1-65535.
步骤3 permit | deny (可选)配置是要permit还是deny这一批
组播地址范围,缺省值是deny.这个行为
表示:允许/禁止以下range内的这些组播
地址,并禁止/允许其他的组播地址.
步骤4 range ip multicast address 添加组播地址范围,可添加多个.
步骤5 end 退回到特权模式.
步骤5 show ip igmp profile profile
number
(可选)查看IGMP profile的配置.
如果要删除其中一个IGMP profile,可以用no ip igmp profile profile number来执行.
如果要删除profile里的一个range,可以用no range ip multicast address来执行.
以下有个例子是表示profile的配置过程:
Switch(config)# ip igmp profile 1
Switch(config-igmp-profile)# permit
Switch(config-igmp-profile)# range 224.1.1.1 225.1.1.1
Switch(config-igmp-profile)# range 226.1.1.1
Switch(config-igmp-profile)# end
Switch# show ip igmp profile 1
IGMP Profile 1
permit
range 224.1.1.1 225.1.1.1
range 226.1.1.1
按以上配置,这个IGMP Profile的规则就是permit 224.1.1.1到225.1.1.1的组播地址,以及
226.1.1.1这个组播地址,其他的组播地址都被deny.
配置路由连接口
路由连接口是组播路由器连接交换机的端口(并不是指和视频流服务器连接的端口).您可以静
态地配置路由连接口,也可配置让交换机动态的侦听IGMP query/dvmrp或PIM报文,以自动识别路由
连接口.
在特权模式下,按如下步骤设置一个路由连接口
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping vlan vlan-id
mrouter {interface interface-id|
learn pim-dvmrp}
设置接口为路由连接口,使用该命令的no
选项删除一个路由连接口.您也可以配置让
交换机动态学习路由连接口;用相应的no
命令来关闭动态学习,并清空所有动态学习
到的路由连接口.缺省是不进行动态学习
的.
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping mrouter
[vlan vlan-id] [learn]
查看路由连接口配置以及该VLAN是否打开
动态学习路由连接口.
以下例子是设置以太网接口1/1为路由连接口,并配置自动学习路由连接口:
Switch#configure terminal
Switch(config)#ip igmp snooping vlan 1 mrouter interface fast 1/1
Switch(config)#ip igmp snooping vlan 1 mrouter learn pim-dvmrp
Switch(config)#end
Switch# show ip igmp snooping mrouter
Vlan Interface State IGMP profile
---- --------- ------ -------------
1 Fa0/1 static 1
Fa0/12 dynamic 0
Switch# show ip igmp snooping mrouter learn
Vlan learn method
---- ------------------
1 pim-dvmrp
配置路由连接口转发组播帧的范围
由于路由连接口缺省就要做为该VLAN内所有组播地址的成员,而转发组播数据流.但是有可能某
些组播数据不希望转发给组播路由器,管理员可以用IGMP Profile来过滤该路由连接口转发组播数
据的范围.
以下是配置路由连接口转发组播帧的范围的实例:
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping vlan vlan-id
mrouter interface
interface-id profile
profile name
设置该端口为这个路由连接口,并关联的
profile.符合该profile的组播流才会被
转发到这个路由连接口上.
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping mroute 查看IGMP Snooping配置.
您可以通过no ip igmp snooping vlan vlan-id mrouter interface interface-id profile来删除
与profile的关联.
以下是配置路由连接口转发组播帧的范围的实例:
Switch#configure terminal
Switch(config)#ip igmp snooping vlan 1 mrouter interface fast 1/1 profile 1
Switch(config)#end
Switch#show ip igmp snooping mrouter
Vlan Interface State IGMP profile
---- --------- ------ -------------
1 Fa0/1 static 1
Fa0/12 dynamic
配置 IVGL模式
在特权模式下,按如下步骤打开并设置IGMP Snooping为 IVGL模式, IVGL模式的详细描述请见IGMP
Snooping概述.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping ivgl 打开并设置IGMP Snooping为 IVGL模式.
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping 查看IGMP Snooping配置.
以下例子是打开并设置IGMP Snooping为 IVGL模式:
Switch#configure Terminal
Switch(config)#IP igmp snooping ivgl
Switch(config)#end
配置SVGL模式
.
打开SVGL模式时,还可以配置一个Multicast Vlan,表示组播数据流可被接收的VLAN.注意,如
果修改Multicast Vlan,原先属于Multicast Vlan的组将被删除.
相关igmp snooping SVGL模式的说明请看《理解IGMP Snooping的各种工作模式》这一章节.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping svgl 打开SVGL模式
步骤2 ip igmp snooping svgl vlan vid 设置Multicast Vlan,缺省值为vlan 1
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping 查看IGMP Snooping配置.
以下例子是打开并设置IGMP Snooping为SVGL模式.并设置Multicast Vlan为2:
Switch#configure Terminal
Switch(config)#ip igmp snooping svgl vlan 2
Switch(config)#end
在IGMP snooping运行中修改svgl vlan会导致修改前后的两个Vlan
中所有组清除一遍,以便按新规则重新生成组播转发表.
您还要指定应用SVGL模式的组播地址范围,不指定这个组播地址范围,SVGL模式将无法运行.可
以利用IGMP profile来指定组播地址范围,注意IGMP profile中的规则必须是permit.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping svgl profile
profile number
设置应用SVGL模式的组播地址范围
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping svgl 查看IGMP Snooping配置.
以下是配置IGMP模式的实例:
Switch# configure terminal
Switch(config)# ip igmp snooping svgl
Switch(config)# ip igmp snooping svgl profile 1
Switch(config)# end
Switch#show ip igmp snooping
Igmp-snooping mode : svgl
SVGL vlan-id : 1
SVGL profile number : 1
Source check port : Disabled
Query max respone time : 10(Seconds)
在SVGL模式运行中修改svgl profile会可能会导致Multicast Vlan
中所有组清除一遍,以便按新规则重新生成组播转发表.
配置 IVGL,SVGL并存模式
在特权模式下,按如下步骤配置 IVGL,SVGL并存模式.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping ivgl-svgl 设置 IVGL,SVGL并存模式..
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping 查看IGMP Snooping配置.
以下例子是关闭IGMP Snooping功能:
Switch#configure Terminal
Switch(config)#no ip igmp snooping
Switch(config)#end
配置DISABLE模式
在特权模式下,按如下步骤关闭IGMP Snooping.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 no ip igmp snooping 设置IGMP Snooping的模式为DISABLE
模式,即关闭IGMP Snooping功能.
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping 查看IGMP Snooping配置.
以下例子是关闭IGMP Snooping功能:
Switch#configure Terminal
Switch(config)#no ip igmp snooping
Switch(config)#end
配置Query报文的最长响应时间
组播路由器会定时发送IGMP Query报文来查询组播成员存不存在,如果在发出Query报文的一定
时间内没有收到主机的IGMP Report报文,则会认为该端口不再接收组播流,交换机会把该端口从组
播转发表中删除.缺省时间为10秒
在特权模式下,按如下步骤设置Query报文的最长响应时间
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping
query-max-respone-time seconds
设置Query报文的最长响应时间,范围为
1-65535,缺省时长为10秒
步骤3 End 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping 查看IGMP Snooping配置.
使用no ip igmp snooping query-max-respone-time 命令恢复它的缺省值.
配置IGMP snooping的静态成员
您可以在igmp snooping打开的情况下,静态的配置一个端口接收某个组播流,不受各种IGMP
报文的影响.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 Ip igmp snooping ivgl 打开IGMP snooping
步骤3 ip igmp snooping vlan vlan-id
static ip-addr interface
interface-id
静态的配置一个端口接收某个组播流.
vlan-id 组播流的vid
ip-addr 组播地址
interface-id 端口号
步骤4 End 退回到特权模式.
步骤5 write memory 保存配置.
步骤6 show ip igmp snooping gda 查看IGMP Snooping配置.
您可以用no ip igmp snooping vlan vlan-id static ip-addr interface interface-id删除组播成员的
静态配置.
以下为配置IGMP snooping静态成员的实例:
Switch#configure Terminal
Switch(config)#ip igmp snooping vlan 1 static 224.1.1.1 interface f 0/1
Switch(config)#end
Switch(config)#show ip igmp snooping gda
Abbr: M - mrouter
D - dynamic
S - static
VLAN Address Member ports
----- -------------------- ---------------------------------------------------
1 224.1.1.1 Fa0/1(S)
查看IGMP Snooping信息
我们提供的可查看的相关IGMP snooping的信息如下:
查看当前模式
查看路由连接口信息
查看动态转发表
查看IGMP Profile
查看当前模式
查看IGMP Snooping当前的工作模式及全局配置.
命令 含义
步骤1 show ip igmp snooping 查看IGMP Snooping当前的工作模式及全局配置
使用show ip igmp snooping命令查看IGMP Snooping配置信息:
Switch#show ip igmp snooping
Igmp-snooping mode : svgl
SVGL vlan-id : 1
SVGL profile number : 0
Source check port : Disabled
Query max respone time : 10(Seconds)
查看路由连接口信息
查看路由连接口信息
命令 含义
步骤1 show ip igmp snooping mrouter 查看路由连接口信息
使用show ip igmp snooping mrouter命令查看路由连接口配置信息:
Switch#show ip igmp snooping mrouter
-
Switch#show ip igmp snooping mrouter
Vlan Interface State IGMP profile number
---- -------- ------- -------------------
1 Fa0/2 static 1
Fa0/12 dynamic 0
2 Fa0/2 static 0
查看动态转发表
在特权模式下,查看各端口在组播组中的转发规则,即查看GDA表.
命令 含义
步骤1 show ip igmp snooping gda-table 查看GDA表的各组播组信息,包括vid,转
发地址和状态信息,但是不包括组播组的成
员端口.
以下例子是查看GDA表的各组播组信息以及一个组播组的所有成员端口的信息:
-
Abbr: M - mrouter
D - dynamic
S - static
VLAN Address Member ports
----- -------------------- ---------------------------------------------------
2 229.1.1.2 Fa0/2(M), Fa0/11(D), Fa0/13(D)
查看IGMP Profile
查看IGMP Profile信息
命令 含义
步骤1 show ip igmp profile
profile number
查看IGMP profile的配置.
配置IGMP Snooping的其它限制
IGMP Snooping的源端口检查要使用过滤域模板(masks),过滤域模板的定义详细参见《配置安全
ACLs》章节.地址绑定,源端口检查和acl这三种应用共享过滤域模板,可用的总模板数为8个.
由于过滤域模板数量有限,所以这三种功能会相互影响.启用地址绑定功能需要占用两个模板,启
用源端口检查占用两个模板,ACL可用的模板取决于这两种功能是否启动.ACL在缺省情况可使用
8个模板,如果启用地址绑定和源端口检查其中任何一个功能,则ACL可以得模板减少两个.如果
同时启动地址绑定和源端口检查,则ACL可使用的模板数减少4个,只剩下4个.反过来,如果ACL
使用了多个模板而使剩余模板数达不到这两种应用的要求时,则启用地址绑定,源端口检查功能时,
系统会提示模板资源耗尽信息.当这三种功能的某个功能因为模板限制而无法正常运用时,可以通
过减少其它两种功能的模板占用来实现该功能的正常应用.如三种功能同时启用时,打开源端口检
查提示模板耗尽,则可以关闭地址绑定功能(删除所有地址绑定)或者删除占用多个模板的ACL的
ACE,源端口检查则可以正常启用.
在打开IGMP Snooping或者设置路由口时,如果打开源端口检查是打开的,则可能由于模板资源
不足导致源端口检查功能失效,这时后系统提示:ource port check applying failed for hardware out of
resources.这时候应该释放其它占用模板的应用所占用的模板资源,重新关闭,然后打开源端口检查.
配置IGMP Snooping的其它限制
概述
我们将从以下几个方面描述Igmp snooping
理解IGMP
理解IGMP Snooping
理解路由连接口
理解IGMP Snooping的各种工作模式
理解源端口检查
典型应用
理解IGMP
什么是组播及组播的作用IP IP
在Internet上,诸如视频会议和视频点播等单点发送多点接收的多媒体业务正在成为信息传送的
重要组成部分.点对点的单播传输方式不能适应这一类业务传输特性,因为服务器必须为每一个接
收者提供一个相同内容的报文拷贝,同时网络上也重复地传输相同内容的报文,占用了大量资源IP
,如下图所示.广播同样不能满足该要求,虽然广播允许一个主机把一个IP IP IP报文发送给同一个
网络的所有主机,但是由于不是所有的主机都需要这些报文,因而浪费了网络资源.在这种情况下
组播(multicast)应运而生,它的出现解决了一个主机向特定的多个接收者发送消息的方法.
组播是指一个报文向一个主机组的传送,这个包含零个或多个主机的主机组由一个单独的IP IP " " IP
地址标识.
主机组地址也称为组播地址,或者类地址,即从" " D 224.0.0.0 ~
.239.255.255.255属于保留地址,其中:224.0.0.0~224.0.0.255
-网段中所有支持组播的主机224.0.0.1
-网段中所有支持组播的路由器224.0.0.2
第层的组播地址(组播地址)是从组播地址映2MACIP射来的.把组播的后位同IP 23 01-00-5e-00-00-
进行或运算得到的结果便是组播地址.如:组播地址为,其十六进制表示为00 MAC IP 224.255.1.1 e0-
ff-01-,后位为01 23 7f-01-,与01 01-00-5e-00-00-进行或操作的结果为:00 01-00-5e-7f-01-.01 01-00-5
e-7f-01-即为组的组播地址.01 224.255.1.1 MAC
IGMP(Internet Group Management Protocol)
主机通过协议向临近的路由IP IGMP器申请加入(或离开)组播组.目前有三
个版本的:在中说明,在中说明IGMP IGMPv1 rfc 1112 IGMPv2 rfc 2236 ,IGMPv3在rfc3376中说
明.下面,我们将分别简要介绍在,主机是如何加入或离开某一组播的(假设加入IGMPv1 IGMPv2
).224.1.1.1
IGMPv1中,主机向路由器上的某个接口发送224.1.1.1的IGMP report报文,要求加入该组中. 路
由器收到该请求,则认为接收到请求的接口下存在组播成员,因而该接口转发对应组播组的报文.
路由器的接口定时发送224.0.0.1(所有主机)的IGMP Query报文,若主机要继续接收该组报文,则
应回应IGMP Report报文,如果某个接口收不到任何主机的IGMP Report报文,则认为该接口下不存
在任何组播成员,因而不向该接口转发对应组的报文.
向下兼容,它对报文进行扩展IGMPv2 v1 ——增加了IGMP
报文,以使主机可以主动要求离开组播组.在中,主机加入组中的过程同一致,主Leave IGMPv2 v1
机发一个报文请求加入到某一组中.路由器定时发送的IGMP Report 224.0.0.1 IGMP
报文,若主Query机要接收该组报文,则应回应报文,若路由器收不到任何主机的IGMP Report IGMP
报文,将把该组注销.在中,主机还可以主动离开某一组.当主机不在需要某一组播Report IGMPv2
流时,它主动朝路由器发送IGMP
报文主动从该组中注销.路由器收到该报文后,发出该组的Leave IGMP
报文,若其它主机需要该组播,则将回应Query IGMP
报文,若路由器收不到任何主机的回应,将把该组注销.Report
在的基础上,IGMPV1/V2提供了额外的源过滤IGMPV3多播功能 ,S2026G/F交换机不支持改功
能.同路由器的交互过程同相同.但是IGMPv3 IGMPv2在IGMP
中,主机只根据组地址来决定加入某个组并从任何一个源接收发给该组地址的V1/V2组播流.而使
用的主机通告该主机所希望加入的IGMP V3 多播组,同时还通告该主机所希望接收的多播源的地
址.主机可以通过一个包括列表或一个排除列表来指明希望从哪些源能接收多播流.同时IGMP
带来的另外一个好处是节省带宽,避免不需要的,非法的组播数据流占用网络带宽,这尤其在多v3
个多播源共用一个多播地址的网络环境中表现明显.
同IGMPv2对比,IGMPv的规定了以下3两种报文类型:
Membership Query
Version 3 Membership Report
其中分为三种:Membership Query
:General Query
用于查询接口下所有多播成员信息;
Group-Specific Query:
用于查询接口下指定组的成员信息;
Group-and-Source-Specific Query:
该类型为中新增加的,用于查询接口下是否有成员需要接收指定源列表IGMPv3中的源所发出的
特定组的多播流.
IGMP Versio能够向下兼容和.n3 IGMP Version1 IGMP Version2
要了解更多组播的相关知识,请查阅IP RFC 1112 ,RFC 2236以及RFC 3376.
理解IGMP Snooping
在二层(Layer2)设备下,组播帧是作为广播转发的,这样容易造成组播流风暴,浪费网络带宽.
网络上典型的组播帧是视频流,在某个VLAN中,如果有个用户注册了某组视频流,那么该VLAN中的
所有成员都能收到这个视频流,无论他们是否想要.
IGMP Snooping的作用便是解决这个问题的,它能使视频流只朝注册用户所在的端口转发,从而
不会影响到其它的用户.
Snooping的中文含义是"窥探",从这个词的含义我们就很容易理解它的工作过程:交换机"窥
探"用户主机与路由器之间的交互报文,跟踪组信息及申请的端口.当交换机"窥探"到主机朝路
由器发出的IGMP report(请求)报文,交换机便把该端口加入组播转发表中;当交换机"窥探"到IGMP
Leave(离开)报文时,交换机便把该端口从表中删除.路由器会定时发IGMP Query报文,在收到IGMP
Query报文后,如果在一定的时间段内没有收到主机的IGMP Report报文,便把该端口从表中删除.
理解路由连接口
路由连接口就是连接组播路由器的端口,如下图所示.
主机发出的IGMP Report,IGMP Leave等报文将从该口转发向路由器.只有从该端口收到的IGMP
Query报文才被视为合法的报文转发向主机端口,从非路由连接口收到的IGMP Query报文将被丢弃.
如何配置及查看路由连接口请看配置IGMP Snooping章节.
注意,在某些网络环境中,只要网络中不存在组播路由器,就无需配置路由连接口,IGMP snooping
依然能正常运行.如下图:
在这个网络环境中,没有组播路由器,而这四台PC既可能是组播流的发送者,也可能是组播流的
接收者,这时,中间的交换机其实只要打开IGMP snooping就可满足需求,不必设置任何一个端口为
路由连接口.
另外,路由连接口缺省就是要成为该VLAN内组播数据的接收者,如下图:
支持IGMP snooping的交换机不但要把组播数据转发给组播流的接收者,也要把组播数据转发给
路由连接口,以便让组播路由器将组播数据流转发给其他网络.但是有可能管理员不想把某一批组
播数据让上级的组播路由器知道,我们的交换机可以配置路由连接口需要转发哪些组播数据,过滤
哪些组播数据,以满足网络管理员的多种需求.
上图的网络拓朴中,如果没有"组播流接收者",我们也会自动的创建一条组播转发
表项到组播路由器,但这种由"组播数据流"产生的组播转发表项可能是不稳定的,
建议管理员直接配置一条静态的组播转发表项到路由连接口(请参见配置IGMP
snooping的静态成员),以保证组播流的稳定转发.
理解IGMP Snooping的各种工作模式
DISABLE模式:在该模式下,IGMP Snooping不起作用,即交换机不"窥探"主机与路由器之间的
IGMP报文,组播帧当广播在VLAN内转发.
IVGL工作模式:在该模式下,各VLAN间的组播流是相互独立的.主机只能朝与自己处于同一个VLAN
的路由连接口请求组播.
SVGL工作模式:在该模式下,各VLAN的主机共享一组播流.主机可以跨VLAN申请组播流.指定一
个Multicast VLAN,在该VLAN收到的组播数据流可以向跨VLAN的其他主机转发.如下图所示:
只要组播数据流的VID是Multicast VLAN的(或者UNTAG的数据流,接收端口的native vlan为
Multicast VLAN),都将转发给该组播地址的成员端口,无论该成员端口是不是这个VLAN内的.所
形成的组播转发表的VID将是Multicast VLAN的.在SVGL模式下,除了路由连接口,其它端口只有
有处于Multicast VLAN中,其发送的多播在才会VLAN中转发.
IVGL和SVGL两种模式可以同时存在,您可以为划分一批组播地址范围给SVGL,在这批组播地址内
组播转发表(GDA表)都是跨VLAN转发的,而其他的组播地址则使用 IVGL模式.
锐捷网络公司实现的IGMP Snooping提供的 IVGL模式与SVGL模式,增强了网络应用的灵活性,使
之能适应不同的网络环境.
理解源端口检查
本公司推出的交换机中,部分产品支持IGMP源端口检查功能,提高了网络的安全性.
IGMP源端口检查指严格限定IGMP组播流的进入端口.当IGMP源端口检查关闭时,从任何端口进入
的视频流均是合法的,交换机会把它们转发到已注册的端口.当IGMP源端口检查打开时,只有从路
由连接口进入的视频流才是合法的,交换机把它们转发向已注册的端口;而从非路由连接口进入的
视频流被视为是非法的,将被丢弃.
典型应用
组播的应用越来越大,最主要的是被应用于校园网与小区网中.组播技术可以应用于天气预报,
新闻传送,视频点播等服务,目前最常见的是视频点播.
1,普通的网络拓扑
对设备的要求:
1,交换机支持IGMP Snooping
需要的设置:
1,打开IGMP Snooping功能
2,设置上链为路由连接口
特点:
1,配置简单
2, 能有效地减少广播风暴,提高网络带宽利用率
配置IGMP Snooping
我们将从以下几个章节描述如何配置igmp snooping
Igmp snooping的默认值
配置IGMP Profiles
配置路由连接口
配置路由连接口转发组播帧的范围
配置 IVGL模式
配置SVGL模式
配置 IVGL,SVGL并存模式
配置DISABLE模式
配置Query报文的最长响应时间
配置IGMP snooping的静态成员
Igmp snooping的默认值
Igmp snooping状态 DISABLE状态
路由连接口 所有的口均不是路由连接口,不进行动
态学习.
IGMP Profile 表项为空,缺省行为是deny
SVGL的multicast vlan VLAN 1
IGMP filtering 无
IGMP snooping静态成员 无
配置前的注意点:
您最好在配置好VLAN,端口的access,trunk,AP属性后再进行IGMP snooping的配置,否则就可
能达不到您所预期的要求.因为以上这些属性都是交换机的基本配置属性,如果在生成组播转发表
后去修改这些属性,之后可能产生异常的转发效果.
配置IGMP Profiles
这里要先介绍一个IGMP Profile表项,它可以定义一系列的组播地址范围,定义permit/deny动
作,以提供后面的"SVGL模式应用的组播地址范围","路由连接口过滤组播数据范围","IGMP
Filtering范围"各项功能使用.注意如果已经把一个IGMP Profile关联到一个功能应用上,再去修
改它,会影响到该功能生成的组播转发表.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp profile profile number 进入IGMP Profile模式,分配一个数字以供
标识,该数字范围为1-65535.
步骤3 permit | deny (可选)配置是要permit还是deny这一批
组播地址范围,缺省值是deny.这个行为
表示:允许/禁止以下range内的这些组播
地址,并禁止/允许其他的组播地址.
步骤4 range ip multicast address 添加组播地址范围,可添加多个.
步骤5 end 退回到特权模式.
步骤5 show ip igmp profile profile
number
(可选)查看IGMP profile的配置.
如果要删除其中一个IGMP profile,可以用no ip igmp profile profile number来执行.
如果要删除profile里的一个range,可以用no range ip multicast address来执行.
以下有个例子是表示profile的配置过程:
Switch(config)# ip igmp profile 1
Switch(config-igmp-profile)# permit
Switch(config-igmp-profile)# range 224.1.1.1 225.1.1.1
Switch(config-igmp-profile)# range 226.1.1.1
Switch(config-igmp-profile)# end
Switch# show ip igmp profile 1
IGMP Profile 1
permit
range 224.1.1.1 225.1.1.1
range 226.1.1.1
按以上配置,这个IGMP Profile的规则就是permit 224.1.1.1到225.1.1.1的组播地址,以及
226.1.1.1这个组播地址,其他的组播地址都被deny.
配置路由连接口
路由连接口是组播路由器连接交换机的端口(并不是指和视频流服务器连接的端口).您可以静
态地配置路由连接口,也可配置让交换机动态的侦听IGMP query/dvmrp或PIM报文,以自动识别路由
连接口.
在特权模式下,按如下步骤设置一个路由连接口
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping vlan vlan-id
mrouter {interface interface-id|
learn pim-dvmrp}
设置接口为路由连接口,使用该命令的no
选项删除一个路由连接口.您也可以配置让
交换机动态学习路由连接口;用相应的no
命令来关闭动态学习,并清空所有动态学习
到的路由连接口.缺省是不进行动态学习
的.
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping mrouter
[vlan vlan-id] [learn]
查看路由连接口配置以及该VLAN是否打开
动态学习路由连接口.
以下例子是设置以太网接口1/1为路由连接口,并配置自动学习路由连接口:
Switch#configure terminal
Switch(config)#ip igmp snooping vlan 1 mrouter interface fast 1/1
Switch(config)#ip igmp snooping vlan 1 mrouter learn pim-dvmrp
Switch(config)#end
Switch# show ip igmp snooping mrouter
Vlan Interface State IGMP profile
---- --------- ------ -------------
1 Fa0/1 static 1
Fa0/12 dynamic 0
Switch# show ip igmp snooping mrouter learn
Vlan learn method
---- ------------------
1 pim-dvmrp
配置路由连接口转发组播帧的范围
由于路由连接口缺省就要做为该VLAN内所有组播地址的成员,而转发组播数据流.但是有可能某
些组播数据不希望转发给组播路由器,管理员可以用IGMP Profile来过滤该路由连接口转发组播数
据的范围.
以下是配置路由连接口转发组播帧的范围的实例:
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping vlan vlan-id
mrouter interface
interface-id profile
profile name
设置该端口为这个路由连接口,并关联的
profile.符合该profile的组播流才会被
转发到这个路由连接口上.
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping mroute 查看IGMP Snooping配置.
您可以通过no ip igmp snooping vlan vlan-id mrouter interface interface-id profile来删除
与profile的关联.
以下是配置路由连接口转发组播帧的范围的实例:
Switch#configure terminal
Switch(config)#ip igmp snooping vlan 1 mrouter interface fast 1/1 profile 1
Switch(config)#end
Switch#show ip igmp snooping mrouter
Vlan Interface State IGMP profile
---- --------- ------ -------------
1 Fa0/1 static 1
Fa0/12 dynamic
配置 IVGL模式
在特权模式下,按如下步骤打开并设置IGMP Snooping为 IVGL模式, IVGL模式的详细描述请见IGMP
Snooping概述.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping ivgl 打开并设置IGMP Snooping为 IVGL模式.
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping 查看IGMP Snooping配置.
以下例子是打开并设置IGMP Snooping为 IVGL模式:
Switch#configure Terminal
Switch(config)#IP igmp snooping ivgl
Switch(config)#end
配置SVGL模式
.
打开SVGL模式时,还可以配置一个Multicast Vlan,表示组播数据流可被接收的VLAN.注意,如
果修改Multicast Vlan,原先属于Multicast Vlan的组将被删除.
相关igmp snooping SVGL模式的说明请看《理解IGMP Snooping的各种工作模式》这一章节.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping svgl 打开SVGL模式
步骤2 ip igmp snooping svgl vlan vid 设置Multicast Vlan,缺省值为vlan 1
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping 查看IGMP Snooping配置.
以下例子是打开并设置IGMP Snooping为SVGL模式.并设置Multicast Vlan为2:
Switch#configure Terminal
Switch(config)#ip igmp snooping svgl vlan 2
Switch(config)#end
在IGMP snooping运行中修改svgl vlan会导致修改前后的两个Vlan
中所有组清除一遍,以便按新规则重新生成组播转发表.
您还要指定应用SVGL模式的组播地址范围,不指定这个组播地址范围,SVGL模式将无法运行.可
以利用IGMP profile来指定组播地址范围,注意IGMP profile中的规则必须是permit.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping svgl profile
profile number
设置应用SVGL模式的组播地址范围
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping svgl 查看IGMP Snooping配置.
以下是配置IGMP模式的实例:
Switch# configure terminal
Switch(config)# ip igmp snooping svgl
Switch(config)# ip igmp snooping svgl profile 1
Switch(config)# end
Switch#show ip igmp snooping
Igmp-snooping mode : svgl
SVGL vlan-id : 1
SVGL profile number : 1
Source check port : Disabled
Query max respone time : 10(Seconds)
在SVGL模式运行中修改svgl profile会可能会导致Multicast Vlan
中所有组清除一遍,以便按新规则重新生成组播转发表.
配置 IVGL,SVGL并存模式
在特权模式下,按如下步骤配置 IVGL,SVGL并存模式.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping ivgl-svgl 设置 IVGL,SVGL并存模式..
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping 查看IGMP Snooping配置.
以下例子是关闭IGMP Snooping功能:
Switch#configure Terminal
Switch(config)#no ip igmp snooping
Switch(config)#end
配置DISABLE模式
在特权模式下,按如下步骤关闭IGMP Snooping.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 no ip igmp snooping 设置IGMP Snooping的模式为DISABLE
模式,即关闭IGMP Snooping功能.
步骤3 end 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping 查看IGMP Snooping配置.
以下例子是关闭IGMP Snooping功能:
Switch#configure Terminal
Switch(config)#no ip igmp snooping
Switch(config)#end
配置Query报文的最长响应时间
组播路由器会定时发送IGMP Query报文来查询组播成员存不存在,如果在发出Query报文的一定
时间内没有收到主机的IGMP Report报文,则会认为该端口不再接收组播流,交换机会把该端口从组
播转发表中删除.缺省时间为10秒
在特权模式下,按如下步骤设置Query报文的最长响应时间
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 ip igmp snooping
query-max-respone-time seconds
设置Query报文的最长响应时间,范围为
1-65535,缺省时长为10秒
步骤3 End 退回到特权模式.
步骤4 write memory 保存配置.
步骤5 show ip igmp snooping 查看IGMP Snooping配置.
使用no ip igmp snooping query-max-respone-time 命令恢复它的缺省值.
配置IGMP snooping的静态成员
您可以在igmp snooping打开的情况下,静态的配置一个端口接收某个组播流,不受各种IGMP
报文的影响.
命令 含义
步骤1 configure terminal 进入全局配置模式.
步骤2 Ip igmp snooping ivgl 打开IGMP snooping
步骤3 ip igmp snooping vlan vlan-id
static ip-addr interface
interface-id
静态的配置一个端口接收某个组播流.
vlan-id 组播流的vid
ip-addr 组播地址
interface-id 端口号
步骤4 End 退回到特权模式.
步骤5 write memory 保存配置.
步骤6 show ip igmp snooping gda 查看IGMP Snooping配置.
您可以用no ip igmp snooping vlan vlan-id static ip-addr interface interface-id删除组播成员的
静态配置.
以下为配置IGMP snooping静态成员的实例:
Switch#configure Terminal
Switch(config)#ip igmp snooping vlan 1 static 224.1.1.1 interface f 0/1
Switch(config)#end
Switch(config)#show ip igmp snooping gda
Abbr: M - mrouter
D - dynamic
S - static
VLAN Address Member ports
----- -------------------- ---------------------------------------------------
1 224.1.1.1 Fa0/1(S)
查看IGMP Snooping信息
我们提供的可查看的相关IGMP snooping的信息如下:
查看当前模式
查看路由连接口信息
查看动态转发表
查看IGMP Profile
查看当前模式
查看IGMP Snooping当前的工作模式及全局配置.
命令 含义
步骤1 show ip igmp snooping 查看IGMP Snooping当前的工作模式及全局配置
使用show ip igmp snooping命令查看IGMP Snooping配置信息:
Switch#show ip igmp snooping
Igmp-snooping mode : svgl
SVGL vlan-id : 1
SVGL profile number : 0
Source check port : Disabled
Query max respone time : 10(Seconds)
查看路由连接口信息
查看路由连接口信息
命令 含义
步骤1 show ip igmp snooping mrouter 查看路由连接口信息
使用show ip igmp snooping mrouter命令查看路由连接口配置信息:
Switch#show ip igmp snooping mrouter
-
Switch#show ip igmp snooping mrouter
Vlan Interface State IGMP profile number
---- -------- ------- -------------------
1 Fa0/2 static 1
Fa0/12 dynamic 0
2 Fa0/2 static 0
查看动态转发表
在特权模式下,查看各端口在组播组中的转发规则,即查看GDA表.
命令 含义
步骤1 show ip igmp snooping gda-table 查看GDA表的各组播组信息,包括vid,转
发地址和状态信息,但是不包括组播组的成
员端口.
以下例子是查看GDA表的各组播组信息以及一个组播组的所有成员端口的信息:
-
Abbr: M - mrouter
D - dynamic
S - static
VLAN Address Member ports
----- -------------------- ---------------------------------------------------
2 229.1.1.2 Fa0/2(M), Fa0/11(D), Fa0/13(D)
查看IGMP Profile
查看IGMP Profile信息
命令 含义
步骤1 show ip igmp profile
profile number
查看IGMP profile的配置.
配置IGMP Snooping的其它限制
IGMP Snooping的源端口检查要使用过滤域模板(masks),过滤域模板的定义详细参见《配置安全
ACLs》章节.地址绑定,源端口检查和acl这三种应用共享过滤域模板,可用的总模板数为8个.
由于过滤域模板数量有限,所以这三种功能会相互影响.启用地址绑定功能需要占用两个模板,启
用源端口检查占用两个模板,ACL可用的模板取决于这两种功能是否启动.ACL在缺省情况可使用
8个模板,如果启用地址绑定和源端口检查其中任何一个功能,则ACL可以得模板减少两个.如果
同时启动地址绑定和源端口检查,则ACL可使用的模板数减少4个,只剩下4个.反过来,如果ACL
使用了多个模板而使剩余模板数达不到这两种应用的要求时,则启用地址绑定,源端口检查功能时,
系统会提示模板资源耗尽信息.当这三种功能的某个功能因为模板限制而无法正常运用时,可以通
过减少其它两种功能的模板占用来实现该功能的正常应用.如三种功能同时启用时,打开源端口检
查提示模板耗尽,则可以关闭地址绑定功能(删除所有地址绑定)或者删除占用多个模板的ACL的
ACE,源端口检查则可以正常启用.
在打开IGMP Snooping或者设置路由口时,如果打开源端口检查是打开的,则可能由于模板资源
不足导致源端口检查功能失效,这时后系统提示:ource port check applying failed for hardware out of
resources.这时候应该释放其它占用模板的应用所占用的模板资源,重新关闭,然后打开源端口检查.