H3C交換機(jī)典型 h3c交換機(jī)的作用與功能
2024-04-06
更新時(shí)間:2024-04-06 00:15:08作者:未知
對(duì)于不是很常用的MAC VLAN,許多讀者都感到很陌生,讀者QQ群中也經(jīng)常見(jiàn)到有讀者提到這方面的問(wèn)題,希望我給予解答?,F(xiàn)從筆者編著,目前在全國(guó)熱銷(xiāo)的《Cisco/H3C交換機(jī)配置與管理完全手冊(cè)》(第二版)(與之配套的姊妹篇為《Cisco/H3C交換機(jī)高級(jí)配置與管理技術(shù)手冊(cè)》)一書(shū)中摘選一部分H3C交換機(jī)MAC VLAN內(nèi)容,希望對(duì)這些讀者有所幫助。如要全面了解Cisco和H3C交換機(jī)的MAC VLAN相關(guān)知識(shí)和配置方法,請(qǐng)參見(jiàn)Cisco/H3C交換機(jī)配置與管理完全手冊(cè)》(第二版)。
19.6 H3C交換機(jī)基于MAC地址VLAN配置 與Cisco IOS中的基于MAC地址VLAN一樣,H3C交換機(jī)中的基于MAC地址VLAN也是一種動(dòng)態(tài)VLAN劃分方式。它并不會(huì)把某個(gè)端口靜態(tài)地劃分到一個(gè)特定的VLAN,而是要根據(jù)所連主機(jī)的MAC地址來(lái)動(dòng)態(tài)選擇加入到對(duì)應(yīng)的VLAN中。
我們?cè)诘谝黄獙W(xué)習(xí)Cisco IOS交換機(jī)基于MAC地址劃分VLAN時(shí)已體會(huì)到,總體來(lái)說(shuō)還是比較麻煩的,要配置VMPS服務(wù)器,還要配置VPMS客戶(hù)端,而且VMPS服務(wù)器目前來(lái)說(shuō)只能由CatOS系統(tǒng)交換機(jī)擔(dān)當(dāng),所以要實(shí)現(xiàn)基于MAC地址來(lái)劃分VLAN網(wǎng)絡(luò)中必須同時(shí)有兩種操作系統(tǒng)的Cisco交換機(jī),條件也是比較比較苛刻的。相比之下,本節(jié)介紹的H3C交換機(jī)基于MAC地址的VLAN劃分就簡(jiǎn)單許多。它是按照?qǐng)?bào)文的源MAC地址來(lái)定義VLAN成員,將指定報(bào)文加入該VLAN的標(biāo)記后發(fā)送。但在H3C以太網(wǎng)交換機(jī)中,支持基于MAC地址的VLAN不多,與前面介紹的基于IP子網(wǎng)VLAN一樣,主要有S5500、S5510、S7500E等交換機(jī)系列。
與前面介紹的基于協(xié)議VLAN和基于IP子網(wǎng)VLAN一樣,基于MAC地址的VLAN功能也只能在Hybrid端口配置,而且也主要用于在用戶(hù)的接入設(shè)備的下行端口上進(jìn)行配置(基于協(xié)議VLAN和基于IP子網(wǎng)VLAN也僅在接入設(shè)備的下行端口上配置),因此不和聚合功能同時(shí)使用。
基于MAC地址VLAN的實(shí)現(xiàn)機(jī)制
在支持基于MAC地址劃分VLAN的H3C交換機(jī)中,劃分方式又有三種形式:手動(dòng)配置靜態(tài)MAC VLAN、動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN和動(dòng)態(tài)MAC VLAN。
1. 手動(dòng)配置靜態(tài)MAC VLAN
在手動(dòng)配置靜態(tài)MAC VLAN方式中,管理員需要手動(dòng)配置MAC VLAN表項(xiàng),啟動(dòng)基于MAC劃分VLAN的功能,然后手動(dòng)將對(duì)應(yīng)的端口加入MAC VLAN。這種方式顯然工作量比較大,常用于MAC VLAN中用戶(hù)相對(duì)較少的網(wǎng)絡(luò)環(huán)境。在該方式下,MAC VLAN的劃分原理如下:
l 當(dāng)端口收到的報(bào)文為不帶VLAN標(biāo)記的報(bào)文時(shí),會(huì)根據(jù)報(bào)文的源MAC匹配MAC VLAN表項(xiàng)。首先進(jìn)行模糊匹配,即查詢(xún)表中MASK(MAC地址掩碼)不是全為F(只比較非F的位)的表項(xiàng)。將源MAC和MASK進(jìn)行邏輯與運(yùn)算后再與MAC VLAN表項(xiàng)中的MAC地址匹配,如果完全相同,則匹配成功,給報(bào)文添加表項(xiàng)中指定的VLAN ID并轉(zhuǎn)發(fā)該報(bào)文;如果模糊匹配失敗,則進(jìn)行精確匹配,即查詢(xún)表中MASK為全F的表項(xiàng)。如果報(bào)文中的源MAC與MAC VLAN表項(xiàng)中的MAC地址完全相同,則匹配成功,給報(bào)文添加表項(xiàng)中指定的VLAN ID并轉(zhuǎn)發(fā)該報(bào)文;如果沒(méi)有找到匹配MAC VLAN表項(xiàng),則繼續(xù)按照基于IP子網(wǎng)VLAN、協(xié)議VLAN、端口VLAN的先后順序進(jìn)行匹配。
l 當(dāng)端口收到的報(bào)文為帶有VLAN標(biāo)記的報(bào)文時(shí),如果VLAN ID在端口中允許通過(guò)的VLAN ID列表里時(shí),則接收該報(bào)文;否則丟棄該報(bào)文。
2. 動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN
在手動(dòng)配置靜態(tài)MAC VLAN劃分方式中,管理員需要把端口一一加入相應(yīng)的MAC VLAN,但這里有一個(gè)問(wèn)題,那就是我們有時(shí)往往根本不能確定交換機(jī)從哪些端口收到屬于MAC VLAN的報(bào)文,這時(shí)我們就不能通過(guò)手動(dòng)方式把相應(yīng)端口加入到MAC VLAN。此時(shí),就需要借助另一種更加智能的MAC VLAN配置方式,使用動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN中。在這種MAC VLAN配置方式中,配置MAC VLAN表項(xiàng)后,管理員只需在端口上啟用基于MAC的VLAN劃分功能和MAC VLAN動(dòng)態(tài)觸發(fā)功能,在端口收到與MAC VLAN表項(xiàng)匹配的報(bào)文后,可以通過(guò)此報(bào)文動(dòng)態(tài)觸發(fā)端口加入MAC VLAN。其劃分原理如下:
l 當(dāng)端口收到的報(bào)文為不帶VLAN標(biāo)記的報(bào)文時(shí),按圖19-11所示流程進(jìn)行處理。
l 當(dāng)收到的報(bào)文為帶VLAN標(biāo)記的報(bào)文時(shí),處理方式和基于端口的VLAN一樣:如果端口允許攜帶該VLAN標(biāo)記的報(bào)文通過(guò),則正常轉(zhuǎn)發(fā);如果不允許,則丟棄該報(bào)文。
【說(shuō)明】如果用戶(hù)在同一端口上同時(shí)啟用了手動(dòng)配置靜態(tài)MAC VLAN和動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN,此時(shí)端口對(duì)收到的非精確匹配的報(bào)文將做丟棄處理。
圖19-11 在收到不帶VLAN標(biāo)記報(bào)文時(shí),動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN的處理流程
3. 動(dòng)態(tài)MAC VLAN
動(dòng)態(tài)MAC VLAN需要和接入認(rèn)證(比如基于MAC地址的802.1x認(rèn)證)配合使用,以實(shí)現(xiàn)終端的安全、靈活接入。用戶(hù)在交換機(jī)上配置動(dòng)態(tài)MAC VLAN功能以后,還需要在接入認(rèn)證服務(wù)器上配置MAC地址和VLAN的關(guān)聯(lián)關(guān)系,這種MAC VLAN的配置就比較麻煩了,本書(shū)不做介紹。
在動(dòng)態(tài)MAC VLAN中,用戶(hù)訪問(wèn)網(wǎng)絡(luò)時(shí),接入認(rèn)證服務(wù)器先對(duì)用戶(hù)進(jìn)行認(rèn)證,如果認(rèn)證通過(guò),服務(wù)器下發(fā)VLAN信息。交換機(jī)會(huì)根據(jù)用戶(hù)報(bào)文的源MAC地址和下發(fā)的VLAN信息生成MAC VLAN表項(xiàng),并將MAC VLAN添加到端口允許通過(guò)的VLAN列表中。用戶(hù)下線后,交換機(jī)自動(dòng)刪除MAC VLAN表項(xiàng),并將MAC VLAN從端口允許通過(guò)的VLAN列表中刪除。
19.6.2 手動(dòng)配置靜態(tài)MAC VLAN配置(略)
19.6.3 動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN配置(略)
19.6.4 手動(dòng)配置靜態(tài)MAC VLAN配置示例 本示例拓?fù)浣Y(jié)構(gòu)如圖19-11所示。SwitchA和SwitchB的GigabitEthernet1/0/1端口分別連接到兩個(gè)會(huì)議室,Laptop1和Laptop2是會(huì)議用筆記本電腦,會(huì)在兩個(gè)會(huì)議室間移動(dòng)使用。Laptop1和Laptop2的MAC地址分別為000d-88f8-4e71、0014-222c-aa69。
使用時(shí),Laptop1和Laptop2要分別用于兩個(gè)部門(mén)的員工,兩個(gè)部門(mén)間使用VLAN100和VLAN200進(jìn)行隔離?,F(xiàn)要求這兩臺(tái)筆記本電腦無(wú)論在哪個(gè)會(huì)議室使用,均只能訪問(wèn)自己部門(mén)的服務(wù)器,即Server1和Server2。
圖19-11 手動(dòng)配置靜態(tài)MAC VLAN示例拓?fù)浣Y(jié)構(gòu)
本示例配置所適用的H3C交換機(jī)系列和對(duì)應(yīng)的軟/硬件版本如表19-18所示。
表19-18 示例適用的H3C交換機(jī)系列及軟/硬件版本
H3C交換機(jī)系列
軟件版本
硬件版本
S5500-SI系列以太網(wǎng)交換機(jī)
Release 1207軟件版本
全系列硬件版本(除S5500-20TP-SI)
Release 1301軟件版本
S5500-20TP-SI
S5500-EI系列以太網(wǎng)交換機(jī)
Release 2102軟件版本
全系列硬件版本
S7500E系列以太網(wǎng)交換機(jī)
Release 6100,Release 6300軟件版本
全系列硬件版本
1. SwitchA的配置
(1)創(chuàng)建VLAN100和VLAN200,并將GigabitEthernet1/0/2配置為T(mén)runk端口,允許VLAN100和VLAN200的報(bào)文通過(guò)。
<SwitchA> system-view
[SwitchA] vlan 100
[SwitchA-vlan100] quit
[SwitchA] vlan 200
[SwitchA-vlan200] quit
[SwitchA] interface GigabitEthernet1/0/2
[SwitchA-GigabitEthernet1/0/2] port link-type trunk
[SwitchA-GigabitEthernet1/0/2] port trunk permit vlan 100 200
[SwitchA-GigabitEthernet1/0/2] quit
(2)將GigabitEthernet1/0/1配置為Hybrid端口,并使其在發(fā)送VLAN 100和VLAN 200的報(bào)文時(shí)去掉VLAN Tag。
[SwitchA] interface GigabitEthernet1/0/1
[SwitchA-GigabitEthernet1/0/1] port link-type hybrid
[SwitchA-GigabitEthernet1/0/1] port hybrid vlan 100 200 untagged
[SwitchA-GigabitEthernet1/0/1] quit
(3)創(chuàng)建Laptop1的MAC地址與VLAN 100的關(guān)聯(lián),創(chuàng)建Laptop2的MAC地址與VLAN 200的關(guān)聯(lián),開(kāi)啟GigabitEthernet1/0/1端口的MAC-VLAN功能。
[SwitchA] mac-vlan mac-address 000d-88f8-4e71 vlan 100
[SwitchA] mac-vlan mac-address 0014-222c-aa69 vlan 200
[SwitchA] interface GigabitEthernet 1/0/1
[SwitchA-GigabitEthernet1/0/1] mac-vlan enable
2. SwitchB的配置
SwitchB的配置與SwitchA完全一致,這里不再贅述。
3. Core Switch的配置
(1)創(chuàng)建VLAN100和VLAN200,并將GigabitEthernet1/0/13和GigabitVLANEthernet
1/0/14端口分別加入這兩個(gè)VLAN。
<CoreSwitch> system-view
[CoreSwitch] vlan 100
[CoreSwitch-vlan100] port gigabitethernet 1/0/13
[CoreSwitch-vlan100] quit
[CoreSwitch] vlan 200
[CoreSwitch-vlan200] port gigabitethernet 1/0/14
[CoreSwitch-vlan200] quit
(2)配置GigabitEthernet1/0/3和GigabitEthernet1/0/4端口為T(mén)runk端口,均允許VLAN100和VLAN200的報(bào)文通過(guò)。從這里也可以看出,同一個(gè)VLAN中可以基于多種VLAN劃分方式來(lái)添加端口,因?yàn)樵赩LAN 100和VLAN 200中,上一步已通過(guò)基于端口VLAN劃分方式添加了gigabitethernet 1/0/13和gigabitethernet 1/0/14兩個(gè)Access端口。而此處添加的了Trunk端口(在SwitchA和SwitchB中還通過(guò)基于MAC地址劃分方式添加了Hybird端口)。
[CoreSwitch] interface GigabitEthernet1/0/3
[CoreSwitch-GigabitEthernet1/0/3] port link-type trunk
[CoreSwitch-GigabitEthernet1/0/3] port trunk permit vlan 100 200
[CoreSwitch-GigabitEthernet1/0/3] quit
[CoreSwitch] interface GigabitEthernet1/0/4
[CoreSwitch-GigabitEthernet1/0/4] port link-type trunk
[CoreSwitch-GigabitEthernet1/0/4] port trunk permit vlan 100 200
[CoreSwitch-GigabitEthernet1/0/4] quit