• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

H3C低端以太网交换机典型配置案例(V1.04)

07-VLAN典型配置案例

本章节下载  (405.17 KB)

07-VLAN典型配置案例


VLAN典型配置举例

关键词:VLAN,802.1Q,VLAN接口,协议VLAN

摘  要:本文主要介绍H3C系列以太网交换机的VLAN功能在具体组网中的应用配置,以及与协议VLAN的配合使用。

缩略语:VLAN(Vitrual LAN,虚拟局域网)

 


第1章  VLAN功能介绍

1.1  支持能力

1.1.1  H3C低端以太网交换机支持的VLAN功能列表

表1-1 H3C低端以太网交换机支持的VLAN功能列表

功能

产品型号

802.1Q VLAN

VLAN接口

协议VLAN

S3600-EI

l

l

l

S3600-SI

l

l

l

S5600

l

l

l

S5100-EI

l

¡

l

S3100-SI

l

¡

-

S3100-52P

l

l

-

E352/E328

l

l

l

E126

l

¡

-

E152

l

¡

-

 

&  说明:

l      上表中“l”表示完全支持该功能;“¡”表示部分支持,即该款设备只能配置一个VLAN接口,且该VLAN必须是管理VLAN;“-”表示不支持该功能。

l      各款交换机支持的VLAN功能的详细介绍,请参见各产品的用户手册。

 

1.2  配置指南

&  说明:

l      不同型号的设备,配置的方法会有差异,这里以S3600系列交换机作为举例。其它型号交换机的配置请参见产品的操作手册。

l      下文只列出了基本的配置步骤,有关各个功能的基本原理和作用,请参见各产品的操作、命令手册。

 

1.2.1  VLAN基本配置

H3C S3600系列交换机支持基于802.1Q协议的VLAN配置,用户可以通过创建VLAN并将以太网端口加入VLAN实现虚拟工作组的划分。

表1-2 创建VLAN及VLAN基本配置

操作

命令

说明

进入系统视图

system-view

-

批量创建多个VLAN

vlan { vlan-id1 to vlan-id2 | all }

可选

创建VLAN并进入VLAN视图

vlan vlan-id

必选

缺省情况下,系统只有一个缺省VLAN(VLAN1)

指定当前VLAN的名称

name text

可选

缺省情况下,VLAN的名称为该VLAN的VLAN ID,例如“VLAN 0001”

指定当前VLAN的描述字符串

description text

可选

缺省情况下,VLAN的描述字符串为该VLAN的VLAN ID,例如“VLAN 0001”

显示VLAN相关信息

display vlan [ vlan-id [ to vlan-id ] | all | dynamic | static ]

display命令可以在任意视图下执行

 

用户可以在VLAN视图或以太网端口视图下配置将端口加入VLAN。

表1-3 在VLAN视图下将端口加入VLAN

操作

命令

说明

进入系统视图

system-view

-

进入VLAN视图

vlan vlan-id

-

向当前VLAN中加入以太网端口

port interface-list

必选

缺省情况下,所有端口都已加入到系统缺省的VLAN(VLAN1)中

 

&  说明:

在VLAN视图下只能将Access端口加入到当前VLAN中,对于Trunk和Hybrid端口,只能在以太网端口视图下进行配置。

 

表1-4 在以太网端口视图下将当前端口加入VLAN

操作

命令

说明

进入系统视图

system-view

-

进入以太网端口视图

interface interface-type interface-number

-

配置端口的类型

port link-type { access | trunk | hybrid }

可选

缺省情况下,所有端口都是Access端口

将当前端口加入指定的VLAN

Access端口

port access vlan vlan-id

必选

缺省情况下,这三类端口都处在缺省VLAN(VLAN1)中

Trunk端口

port trunk permit vlan { vlan-id-list | all }

Hybrid端口

port hybrid vlan vlan-id-list { tagged | untagged }

为当前端口指定缺省VLAN

Trunk端口

port trunk pvid vlan vlan-id

可选

缺省情况下,所有端口的缺省VLAN都是VLAN1

对于Access端口,由于只能加入一个VLAN,所以这个VLAN就是该端口的缺省VLAN

Hybrid端口

port hybrid pvid vlan vlan-id

 

1.2.2  VLAN接口基本配置

用户可以通过配置VLAN接口并为其分配IP地址,实现交换机的三层转发功能。

表1-5 VLAN接口基本配置

操作

命令

说明

进入系统视图

system-view

-

创建VLAN接口并VLAN接口视图

interface Vlan-interface vlan-id

必选

缺省情况下,在交换机上不存在VLAN接口

配置当前VLAN接口的IP地址

ip address ip-address { mask | mask-length } [ sub ]

必选

缺省情况下,VLAN接口没有配置IP地址

指定当前VLAN接口的描述字符串

description text

可选

缺省情况下,VLAN接口的描述字符串为该VLAN接口的接口名,例如“Vlan-interface1 Interface”

将VLAN接口的管理状态设置为关闭

shutdown

可选

缺省情况下,VLAN接口的管理状态为打开,此时VLAN接口状态受VLAN中端口状态的影响,即:当VLAN中所有以太网端口状态为Down时,VLAN接口为Down状态,即关闭状态;当VLAN中有一个或一个以上的以太网端口处于Up状态时,则VLAN接口处于Up状态

如果将VLAN接口的管理状态设置为关闭,则VLAN接口的状态始终为Down,不受VLAN中端口状态的影响

将VLAN接口的管理状态设置为打开

undo shutdown

显示VLAN接口的相关信息

display interface Vlan-interface [ vlan-id ]

display命令可以在任意视图下执行

 

&  说明:

l      在创建VLAN接口之前,对应的VLAN必须已经存在。

l      部分H3C交换机只支持创建一个VLAN接口,并且在创建VLAN接口之前需要使用management-vlan命令将对应的VLAN设置为缺省VLAN。具体操作请参见相关产品的用户手册。

 

1.2.3  协议VLAN配置

用户可以通过配置协议VLAN,使交换机对接收的untag报文根据用户设定的协议模板进行匹配,根据报文所属的协议将其划分到指定的VLAN内传输。协议VLAN的配置包括两部分:一是创建协议模板,同时即启动了协议VLAN功能;二是将以太网端口与协议VLAN进行绑定。

表1-6 协议VLAN配置

操作

命令

说明

进入系统视图

system-view

-

进入VLAN视图

vlan vlan-id

-

配置协议VLAN的协议模板

protocol-vlan [ protocol-index ] { at | ip | ipx { ethernetii | llc | raw | snap } | mode { ethernetii etype etype-id | llc { dsap dsap-id ssap ssap-id } | snap etype etype-id } }

必选

缺省情况下,没有配置协议VLAN的协议模板

退出至系统视图

quit

-

进入以太网端口视图

interface interface-type interface-number

-

配置端口为Hybrid类型

port link-type hybrid

必选

缺省情况下,所有端口均为Access类型

配置端口加入协议VLAN,并在发送该VLAN报文时去掉VLAN Tag

port hybrid vlan vlan-id untagged

必选

缺省情况下,所有端口都只加入了VLAN1

配置端口与协议VLAN关联

port hybrid protocol-vlan vlan vlan-id { protocol-index [ to protocol-index-end ] | all }

必选

缺省情况下,端口没有与协议VLAN关联

显示指定VLAN上配置的协议信息及协议的索引

display protocol-vlan vlan { vlan-id [ to vlan-id ] | all }

display命令可以在任意视图执行

显示指定端口上配置的协议信息及协议的索引

display protocol-vlan interface { interface-type interface-number [ to interface-type interface-number ] | all }

 


第2章  配置举例

2.1  VLAN综合配置举例

2.1.1  组网需求

某研发公司下有三个部分,分别为研发部、市场部、设计部。三个部门共处一个办公楼内,研发部和市场部办公区域分开;因工作需要,设计部和研发部部分员工使用混合办公区域。除设计部的员工使用Apple主机外,其余部门员工均使用Windows系统主机。要求利用VLAN技术管理各部门的网络权限,实现以下的访问需求:

l              各部门内部的员工之间均可以互相通信,部门间不能进行通信。

l              研发和市场部分处不同的IP网段,由Core-SwitchA自动分配地址。

l              研发和市场部都可以访问公共服务器,但研发专用服务器和设计部专用服务器只能由各自部门的员工访问,其他部门无法访问。

l              研发部和设计部的工作站和服务器不能访问Internet,市场部和设计部的工作站和服务器不能访问研发部的VPN网络。

2.1.2  组网图

图2-1 VLAN综合配置举例组网图

2.1.3  配置思路

1. SwitchA的配置

图2-2 SwitchA组网示意

SwitchA接入的研发部和市场部单独办公区域可以通过将端口配置到不同的VLAN中实现二个区域间的隔离。

对于混合办公区域,由于两个部门通过一个端口接入,因此无法简单的通过配置端口加入VLAN来实现部门间的隔离。考虑到工业设计部和研发部的员工使用不同的操作系统,可以使用协议VLAN的功能,将使用Apple主机的员工(网络协议为Appletalk)和使用Windows主机的员工(网络协议为IP)通过其使用网络协议将各自的报文划分到不同VLAN。

SwitchA连接到SwitchB的端口要求允许所有VLAN的报文通过,而且保留VLAN Tag,以区分该报文所属的VLAN。

2. SwitchB的配置

图2-3 SwitchB组网示意

SwitchB接入的网络比较简单,只需要将市场部和研发部接入的端口划分到不同VLAN即可(注意要与SwitchA上配置的VLAN编号相同)。上连至Core-SwitchA的端口要允许所有VLAN的报文携带VLAN Tag通过。

3. Core-SwitchA的配置

图2-4 Core-SwitchA组网示意

Core-SwitchA连接SwitchB的端口应允许研发、市场、设计部门的报文通过。

由于Core-SwitchA是接入VPN网络的出口,因此在为研发部分配IP地址时,需要将网关设置为自己的接口地址,并且在连接VPN的端口只允许研发部所在VLAN的报文通过。

在Core-SwitchA为市场部分配IP地址时,需要同时指定网关为Core-SwitchB上市场部VLAN对应的接口,使市场部访问Internet的数据能够被正常转发。

4. Core-SwitchB的配置

图2-5 Core-SwitchB组网示意

Core-SwitchB上连接了各个服务器,需要将各服务器的接入端口加入到不同的VLAN,保证只有特定部门才可以访问。

由于公共服务器需要研发和市场部门的主机都能访问,因此为其单独划分为一个VLAN,在客户端与服务器之间进行三层转发。同时注意在Core-SwitchB和Core-SwitchA之间的链路除允许三个部门报文通过外,还需要允许服务器群所在VLAN的报文通过(因为研发部和服务器群之间的三层转发需要由Core-SwitchA来进行)。

由于Core-SwitchB是接入Internet的出口,因此需要在市场部所在VLAN的接口上配置一个IP地址,使该接口能够作为网关正常转发市场部访问Internet的数据。

5. 总结

综上所述,现需要将研发、市场、设计部的工作站和服务器分别划分到VLAN100、VLAN200、VLAN300内,研发和市场分别使用192.168.30.0和192.168.40.0的网段。公共服务器使用VLAN500,IP地址为192.168.50.0的网段。规划后的VLAN分布图如图2-6所示:

图2-6 VLAN分布示意图

2.1.4  配置步骤

1. 使用的设备及版本

本举例中使用的设备为S3600系列以太网交换机,软件版本为Release 1510。

2. 配置过程

l              配置SwitchA

# 创建VLAN100、VLAN200、VLAN300。

<SwitchA> system-view

[SwitchA] vlan 100

[SwitchA-vlan100] quit

[SwitchA] vlan 200

[SwitchA-vlan200] quit

[SwitchA] vlan 300

[SwitchA-vlan300]

[SwitchA-vlan300] quit

# 将接入研发区域的端口Ethernet1/0/5加入VLAN100。

[SwitchA] interface Ethernet 1/0/5

[SwitchA-Ethernet1/0/5] port access vlan 100

[SwitchA-Ethernet1/0/5] quit

# 将接入市场区域的端口Ethernet1/0/7加入VLAN200。

[SwitchA] interface Ethernet 1/0/7

[SwitchA-Ethernet1/0/7] port access vlan 200

[SwitchA-Ethernet1/0/7] quit

# 配置VLAN100和VLAN300的协议VLAN模板,分别匹配IP协议报文和Appletalk协议报文。

[SwtichA] vlan 100

[SwitchA-vlan100] protocol-vlan ip

[SwitchA-vlan100] quit

[SwitchA] vlan 300

[SwitchA-vlan300] protocol-vlan at

[SwitchA-vlan300] quit

# 这里需要特别注意,在配置基于IP协议的协议模板时,同时配置基于ARP协议的模板,这里以EthernetII封装举例。

[SwitchA] vlan 100

[SwitchA-vlan100] protocol-vlan mode ethernetii etype 0806

# 配置接入混合办公区域的端口Ethernet1/0/10为Hybrid端口,使其可以转发VLAN100和VLAN300的报文,并且在发送时均去掉VLAN Tag,使工作站可以正常处理报文。

[SwitchA] interface Ethernet 1/0/10

[SwitchA-Ethernet1/0/10] port link hybrid

[SwitchA-Ethernet1/0/10] port hybrid vlan 100 300 untagged

# 将该端口于VLAN100和VLAN300的协议模板相绑定,使其可以按照该模板对接收的报文进行匹配,并将匹配的报文在指定的VLAN中发送。

[SwitchA-Ethernet1/0/10] port hybrid protocol-vlan vlan 100 all

[SwitchA-Ethernet1/0/10] port hybrid protocol-vlan vlan 300 all

[SwitchA-Ethernet1/0/10] quit

# 配置与SwitchB连接的端口GigabitEthernet1/1/1为Trunk端口,并使其允许VLAN100/200/300的报文携带VLAN Tag通过。

[SwitchA] interface GigabitEthernet 1/1/1

[SwitchA-GigabitEthernet1/1/1] port link-type trunk

[SwitchA-GigabitEthernet1/1/1] port trunk permit vlan 100 200 300

l              配置SwitchB

# 在SwitchB上创建VLAN100、VLAN200、VLAN300,方法与SwitchA相同,这里不再赘述。

# 配置端口Ethernet1/0/2和Ethernet1/0/3分别加入VLAN200和VLAN100。

<SwitchB> system-view

[SwitchB] interface Ethernet 1/0/2

[SwitchB-Ethernet1/0/2] port access vlan 200

[SwitchB-Ethernet1/0/2] quit

[SwitchB] interface Ethernet 1/0/3

[SwitchB-Ethernet1/0/3] port access vlan 100

[SwitchB-Ethernet1/0/3] quit

# 配置端口GigabitEthernet1/1/1和GigabitEthernet1/1/2,并使其允许VLAN100/200/300的报文携带VLAN Tag通过。

[SwitchB] interface GigabitEthernet 1/1/1

[SwitchB-GigabitEthernet1/1/1] port link-type trunk

[SwitchB-GigabitEthernet1/1/1] port trunk permit vlan 100 200 300

[SwitchB-GigabitEthernet1/1/1] quit

[SwitchB] interface GigabitEthernet 1/1/2

[SwitchB-GigabitEthernet1/1/2] port link-type trunk

[SwitchB-GigabitEthernet1/1/2] port trunk permit vlan 100 200 300

[SwitchB-GigabitEthernet1/1/2] quit

l              配置Core-SwitchA

# 在Core-SwitchA上创建VLAN100、VLAN200和VLAN300,配置方法与SwitchA的相同,这里不再赘述。

# 配置GigabitEthernet1/1/1和GigabitEthernet1/1/2为Trunk端口,允许VLAN100/200/300的报文携带VLAN Tag通过,配置方法与SwitchB相同,这里不再赘述。

# 创建VLAN100的接口,并配置地址为192.168.30.1,为研发部的工作站分配192.168.30.0/24网段的地址,同时客户端的网关将自动指向自己。

[Core-SwitchA] dhcp enable

[Core-SwitchA] interface Vlan-interface 100

[Core-SwitchA-Vlan-interface100] ip address 192.168.30.1 24

[Core-SwitchA-Vlan-interface100] dhcp select interface

[Core-SwitchA-Vlan-interface100] quit

# 创建全局地址池,为市场部的工作站分配192.168.40.0/24网段的地址,同时客户端的网关指向Core-SwitchB(192.168.40.1)。

[Core-SwitchA] dhcp server ip-pool mk

[Core-SwitchA-dhcp-pool-mk] network 192.168.40.0 mask 255.255.255.0

[Core-SwitchA-dhcp-pool-mk] gateway-list 192.168.40.1

&  说明:

有关DHCP配置的详细介绍,请参见S3600系列以太网交换机的操作、命令手册。

 

# 为正常转发研发部访问公共服务器的报文,在Core-SwitchA上还应该创建VLAN500及其对应的接口地址,并配置端口GigabitEthernet1/1/1允许该VLAN的报文带VLAN Tag通过。

[Core-SwitchA] vlan 500

[Core-SwitchA-vlan500] quit

[Core-SwitchA] interface Vlan-interface 500

[Core-SwitchA-Vlan-interface500] ip address 192.168.50.1 24

[Core-SwitchA-Vlan-interface500] quit

[Core-SwitchA] interface GigabitEthernet 1/1/1

[Core-SwitchA-GigabitEthernet1/1/1] port trunk permit vlan 500

# 为正常转发研发部访问VPN的报文,需要在Core-SwitchA上创建一个连接VPN的接口,并配置相应的IP地址,将端口Ethernet1/0/20加入该接口对应的VLAN,配置过程这里不再赘述。

l              配置Core-SwitchB

# 在Core-SwitchB上创建VLAN100、VLAN200、VLAN300和VLAN500,配置方法这里不再赘述。

# 配置GigabitEthernet1/1/1为Trunk端口,允许VLAN100/200/300/500的报文携带VLAN Tag通过,配置方法这里不再赘述。

# 为正常转发市场部访问Internet的报文,需要在Core-SwitchB上创建一个连接Internet的接口,并配置相应的IP地址,将端口Ethernet1/0/15加入该VLAN,配置过程这里不再赘述。

# 配置端口GigabitEthernet1/1/3和GigabitEthernet1/1/4分别只允许VLAN300和VLAN100的报文通过,配置方法这里不再赘述。

# 配置端口GigabitEthernet1/1/2只允许VLAN500的报文通过,配置方法这里不再赘述。

# 配置VLAN200接口的IP地址为192.168.40.1,配置方法这里不再赘述。

3. 配置说明

经过上述配置,各部门间通过VLAN进行了隔离,部门间的主机间在数据链路层无法互通。

由于研发部和市场部分别将网关指向Core-SwitchA和Core-SwitchB,而Core-SwitchA上没有配置VLAN200和连接Internet的VLAN接口的地址,因此研发部无法通过三层转发访问市场部和Internet;同样,市场部也无法通过Core-SwitchB进行三层转发访问研发部和VPN网络。

至此,各部门之间在数据链路层和网络层均实现了隔离。

&  说明:

为避免用户手工改变工作站的IP地址和网关,非法访问网络资源,建议在SwitchA和SwitchB上启动DHCP-Snooping功能,监控客户端的IP地址使用情况。配置方法请参见S3600系列交换机的操作、命令手册。

 

2.2  注意事项

l              由于IP协议与ARP协议关系密切,用户在VLAN下配置IP协议类型时,请同时配置ARP协议类型,并将这两种协议类型关联到相同的端口,避免因ARP报文与IP报文未划分到同一VLAN,而造成无法解析IP地址的情况。

l              每个端口最多可以绑定的协议模板数量与产品型号有关,请参见各产品的用户手册。

 


第3章  相关资料

3.1  相关协议和标准

IEEE 802.1Q Virtual Bridged Local Area Networks

 

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们