目  录

1 VLAN简介

1.1 VLAN简介

1.1.1 VLAN概述

1.1.2 VLAN的优点

1.1.3 VLAN原理

1.1.4 VLAN接口

1.1.5 VLAN类型

1.2 基于端口的VLAN

1.3 基于协议的VLAN

1.3.1 基于协议的VLAN概述

1.3.2 以太网数据的封装格式

1.3.3 交换机对报文协议的判断过程

1.3.4 各种协议支持的封装格式

1.3.5 协议VLAN的实现方式

2 VLAN配置

2.1 VLAN配置

2.1.1 VLAN配置任务简介

2.1.2 VLAN的基本配置

2.1.3 VLAN接口的基本配置

2.1.4 VLAN配置显示

2.2 配置基于端口的VLAN

2.2.1 配置基于端口的VLAN

2.2.2 基于端口的VLAN典型配置举例

2.3 配置协议VLAN

2.3.1 协议VLAN配置任务简介

2.3.2 配置协议VLAN的协议模板

2.3.3 配置端口与协议VLAN的关联

2.3.4 协议VLAN配置显示

2.3.5 协议VLAN典型配置举例

1 VLAN简介

1.1  VLAN简介

1.1.1  VLAN概述

传统的以太网是广播型网络，网络中的所有主机通过HUB或交换机相连，处在同一个广播域中。HUB和交换机作为网络连接的基本设备，在转发功能方面具有一定的局限性：

l              HUB是物理层设备，没有交换功能，接收到的报文会向除接收端口外的所有端口转发；

l              交换机是数据链路层设备，具备根据报文的目的MAC地址进行转发的能力，但在收到广播报文或未知单播报文（报文的目的MAC地址不在交换机MAC地址表中）时，也会向除接收端口之外的所有端口转发。

上述情况会造成以下的网络问题：

l              网络中可能存在着大量广播和未知单播报文，浪费网络资源。

l              网络中的主机收到大量并非以自身为目的地的报文，造成了严重的安全隐患。

解决以上网络问题的根本方法就是隔离广播域。传统的方法是使用路由器，因为路由器是依据目的IP地址对报文进行转发，不会转发链路层的广播报文。但是路由器的成本较高，而且端口较少，无法细致地划分网络，所以使用路由器隔离广播域有很大的局限性。

为了解决设备在局域网中无法限制广播的问题，VLAN（Virtual Local Area Network，虚拟局域网）技术应运而生。

VLAN的组成不受物理位置的限制，因此同一VLAN内的主机也无须放置在同一物理空间里。

如图1-1所示，VLAN把一个物理上的LAN划分成多个逻辑上的LAN，每个VLAN是一个广播域。VLAN内的主机间通过传统的以太网通信方式即可进行报文的交互，而处在不同VLAN内的主机之间如果需要通信，则必须通过路由器或三层交换机等网络层设备才能够实现。

图1-1 VLAN组网示意图

1.1.2  VLAN的优点

与传统以太网相比，VLAN具有如下的优点：

l              控制广播域的范围：局域网内的广播报文被限制在一个VLAN内，节省了带宽，提高了网络处理能力。

l              增强了LAN的安全性：由于报文在数据链路层被VLAN划分的广播域所隔离，因此各个VLAN内的主机间不能直接通信，需要通过路由器或三层交换机等网络层设备对报文进行三层转发。

l              灵活创建虚拟工作组：使用VLAN可以创建跨物理网络范围的虚拟工作组，当用户的物理位置在虚拟工作组范围内移动时，不需要更改网络配置即可以正常访问网络。

1.1.3  VLAN原理

1. VLAN Tag

为使交换机能够分辨不同VLAN的报文，需要在报文中添加标识VLAN的字段。由于交换机工作在OSI模型的数据链路层（三层交换机不在本章节讨论范围内），只能对报文的数据链路层封装进行识别。因此，识别字段需要添加到数据链路层封装中。

IEEE于1999年颁布了用以标准化VLAN实现方案的IEEE 802.1Q协议标准草案，对带有VLAN Tag的报文结构进行了统一规定。

传统的以太网数据帧在目的MAC地址和源MAC地址之后封装上层协议的类型字段。如图1-2所示。

图1-2 传统以太网帧封装格式

其中DA表示目的MAC地址，SA表示源MAC地址，Type表示上层协议的类型字段。

IEEE 802.1Q协议规定，在目的MAC地址和源MAC地址之后封装4个字节的VLAN Tag，用以标识VLAN的相关信息。

图1-3 VLAN Tag的组成字段

如图1-3所示，VLAN Tag包含四个字段，分别是TPID（Tag Protocol Identifier，标签协议标识符）、Priority、CFI（Canonical Format Indicator，标准格式指示位）和VLAN ID。

l              TPID：用来标识本数据帧是带有VLAN Tag的数据。该字段长度为16bit，在设备上缺省取值为协议规定的0x8100。

l              Priority：用来表示802.1P的优先级。该字段长度为3bit，相关介绍和应用请参见本手册“QoS-QoS Profile”部分的介绍。

l              CFI：用来标识MAC地址是否以标准格式进行封装。该字段长度为1bit，取值为0表示MAC地址以标准格式进行封装，为1表示以非标准格式封装，缺省取值为0。

l              VLAN ID：用来标识该报文所属VLAN的编号。该字段长度为12bit，取值范围为0～4095。由于0和4095通常不使用，所以VLAN ID的取值范围一般为1～4094。

交换机利用VLAN ID来识别报文所属的VLAN，当接收到的报文不携带VLAN Tag时，交换机会为该报文封装带有接收端口缺省VLAN ID的VLAN Tag，将报文在接收端口的缺省VLAN中进行传输。有关端口缺省VLAN设置的内容，请参见本手册“端口基本配置”中配置以太网端口的缺省VLAN ID部分的介绍。

2. VLAN的MAC地址学习机制

交换机是根据报文的目的MAC地址对报文进行转发的，因此交换机维护了一种记录MAC地址与端口对应关系的转发表来指导交换机进行转发，这个表称为MAC地址转发表。交换机将接收到的报文的源MAC地址以及接收端口记录到该表中，供后续报文转发使用，这个记录过程称为MAC地址的学习过程。

在配置了VLAN后，交换机的MAC地址学习方式分为两种：

l              SVL（Shared VLAN Learning，共享VLAN学习）：交换机将所有VLAN中的端口学习到的MAC地址表项全部记录到一张共享的MAC地址转发表内，从任意VLAN内的任意端口接收的报文都参照此表中的信息进行转发。

l              IVL（Independent VLAN Learning，独立VLAN学习）：交换机为每个VLAN维护独立的MAC地址转发表。由某个VLAN内的端口接收的报文，其源MAC地址只被记录到该VLAN的MAC地址转发表中，且报文的转发只以该表中的信息作为依据。

设备目前只采用IVL方式进行MAC地址学习。有关MAC地址转发表的更多内容，请参见本手册“MAC地址转发表管理”部分的介绍。

1.1.4  VLAN接口

不同VLAN间的主机不能直接通信，需要通过路由器或三层交换机等网络层设备进行转发，设备支持通过配置VLAN接口实现对报文进行三层转发的功能。

VLAN接口是一种三层模式下的虚拟接口，主要用于实现VLAN间的三层互通，它不作为物理实体存在于交换机上。每个VLAN对应一个VLAN接口，该接口可以为本VLAN内端口收到的报文根据其目的IP地址在网络层进行转发。通常情况下，由于VLAN能够隔离广播域，因此每个VLAN也对应一个IP网段，VLAN接口将作为该网段的网关对需要跨网段转发的报文进行基于IP地址的三层转发。

1.1.5  VLAN类型

根据划分方式的不同，可以将VLAN分为不同类型，下面列出了6种最常见的VLAN类型：

l              基于端口的VLAN

l              基于MAC地址的VLAN

l              基于协议的VLAN

l              基于IP子网的VLAN

l              基于策略的VLAN

l              其它VLAN

1.2  基于端口的VLAN

基于端口的VLAN是最简单的一种VLAN划分方法。用户可以将设备上的端口划分到不同的VLAN中，此后从某个端口接收的报文将只能在相应的VLAN内进行传输，从而实现广播域的隔离和虚拟工作组的划分。

设备的端口链路类型可以分为三种：Access、Trunk、Hybrid。这三种端口在加入VLAN和对报文进行转发时会进行不同的处理，详细介绍请参见本手册“端口基本配置”中配置以太网端口部分的介绍。

基于端口的VLAN具有实现简单，易于管理的优点，适用于连接位置比较固定的用户。

1.3  基于协议的VLAN

1.3.1  基于协议的VLAN概述

基于协议的VLAN也称为协议VLAN（为方便描述，下文将统称为协议VLAN），是另一种VLAN划分方法。通过配置协议VLAN，交换机可以对端口上收到的未携带VLAN Tag的报文进行分析，根据不同的封装格式及特殊字段的数值将报文与用户设定的协议模板相匹配，为匹配成功的报文添加相应的VLAN Tag，实现将属于指定协议的数据自动分发到特定的VLAN中传输的功能。

此特性主要用于将网络中提供的服务类型与VLAN相绑定，方便管理和维护。

1.3.2  以太网数据的封装格式

为清楚地了解交换机对报文协议的识别过程，先简要介绍一下以太网常用的数据封装格式。

1. Ethernet II与802.2/802.3封装

目前以太网的报文封装主要有两种类型，分别为Ethernet II型和802.2/802.3型，分别由RFC894和RFC1042规定。两种报文的封装格式如下：

l              Ethernet II型

图1-4 Ethernet II型报文封装格式

l              802.2/802.3型

图1-5 802.2/802.3型报文封装格式

DA、SA分别表示报文的目的MAC地址和源MAC地址，括号中的数字表示此字段的长度，单位为字节。

由于以太网报文的最大长度为1500字节，转换成16进制数字为0x05DC，所以802.2/802.3封装的Length字段取值范围为0x0000～0x05DC。

而Ethernet II型封装中的Type字段取值范围为0x0600～0xFFFF。

Type或Length字段取值为0x05DD～0x05FF的报文将被认为是非法报文，交换机将直接丢弃。

交换机根据这两个字段的取值范围的不同来区分Ethernet II型和802.2/802.3型报文。

2. 802.2/802.3封装的几种扩展格式

802.2/802.3封装有3种扩展封装格式：

l              802.3 raw封装：在源地址和目的地址之后只封装Length字段，之后即是上层数据，没有其他字段。

图1-6 802.3 raw封装格式

目前只有IPX协议支持802.3 raw封装，特点是Length字段之后两个字节的取值固定为0xFFFF。

l              802.2 LLC（Logic Link Control，逻辑链路控制）封装：在源、目的地址后封装Length、DSAP（Destination Service Access Point，目的服务访问点）、SSAP（Source Service Access Point，源服务访问点）和Control字段，其中Control字段的取值固定为3。

图1-7 802.2 LLC封装格式

802.2 LLC封装中的DSAP和SSAP是用来标识上层协议类型的字段。例如，当两个字段同时取值为0xE0时，表示上层协议为IPX。

l              802.2 SNAP（Sub-Network Access Protocol，子网接入协议）封装：按802.3标准型报文进行封装，包含Length、DSAP、SSAP、Control、OUI（Organizationally Unique Identifier，全球统一标识符）及PID（Protocol-ID，协议类型）字段。

图1-8 802.2 SNAP封装格式

在802.2 SNAP封装中，DSAP和SSAP字段的取值均固定为0xAA，Control字段取值固定为3。

交换机根据DSAP和SSAP字段的取值区分802.2 LLC和802.2 SNAP封装。

1.3.3  交换机对报文协议的判断过程

图1-9 交换机对报文协议的判断过程

1.3.4  各种协议支持的封装格式

表1-1列出了各种协议所支持的封装格式，括号中为该协议的协议类型值。

表1-1 各种协议支持的封装格式

1.3.5  协议VLAN的实现方式

设备交换引擎通过协议模板来匹配报文，实现根据协议在指定的VLAN中传输报文的功能。

协议模板是用来匹配报文所属协议类型的标准，协议模版由“封装格式+协议类型”组成，分为标准模板和自定义模板两种：

l              标准模板是指以RFC标准规定的协议封装格式和类型字段取值作为匹配条件的模板。

l              自定义模板是指以用户在命令中指定的封装格式和标识类型字段的取值作为匹配条件的模板。

配置协议模板完成后，需要为协议VLAN添加端口并建立该端口与协议模板的关联。协议VLAN内的端口需要根据报文协议的不同，为各种报文封装不同VLAN的Tag，即该端口需要属于多个VLAN。而且，由于该端口连接客户端，普通客户端无法处理携带VLAN Tag的报文，所以需要该端口在发送所有报文时去掉VLAN Tag。综上所述，在向协议VLAN内添加端口并建立端口与协议模板的关联之前，需要将端口配置为Hybrid端口，并配置该端口在转发来自所有协议VLAN的报文时采取去除VLAN Tag的操作。

2 VLAN配置

2.1  VLAN配置

2.1.1  VLAN配置任务简介

表2-1 VLAN配置任务简介

2.1.2  VLAN的基本配置

表2-2 VLAN的基本配置

2.1.3  VLAN接口的基本配置

1. 配置准备

配置VLAN接口之前，首先要创建对应的VLAN。

2. 配置步骤

表2-3 VLAN接口的基本配置

2.1.4  VLAN配置显示

完成上述配置后，在任意视图下执行display命令，可以显示配置VLAN后的运行情况。通过查看显示信息，用户可以验证配置的效果。

表2-4 VLAN配置显示

2.2  配置基于端口的VLAN

2.2.1  配置基于端口的VLAN

1. 配置准备

配置基于端口的VLAN之前，首先要创建VLAN。

2. 配置步骤

表2-5 配置基于端口的VLAN

2.2.2  基于端口的VLAN典型配置举例

1. 组网需求

l              如图2-1所示，Switch A和Switch B各自连接了一台服务器和一台工作站。

l              为保证服务器的数据安全，需要将两台服务器划分到VLAN101中，并配置描述字符为“DMZ”，工作站划分到VLAN201中。

l              各VLAN内的设备之间可以互相通信，但跨VLAN的工作站与服务器之间不能直接通信。

2. 组网图

图2-1 VLAN配置示例图

3. 配置步骤

l              配置Switch A

# 创建VLAN101，并配置VLAN101的描述字符串为“DMZ”，将端口GigabitEthernet1/0/1加入到VLAN101。

<SwitchA> system-view

[SwitchA] vlan 101

[SwitchA-vlan101] description DMZ

[SwitchA-vlan101] port GigabitEthernet 1/0/1

[SwitchA-vlan101] quit

# 创建VLAN201，将端口GigabitEthernet1/0/2加入到VLAN201。

[SwitchA] vlan 201

[SwitchA-vlan201] port GigabitEthernet 1/0/2

[SwitchA-vlan201] quit

l              配置Switch B

# 创建VLAN101，并配置VLAN101的描述字符串为“DMZ”，将端口GigabitEthernet1/0/11加入到VLAN101。

<SwitchB> system-view

[SwitchB] vlan 101

[SwitchB-vlan101] description DMZ

[SwitchB-vlan101] port GigabitEthernet 1/0/11

[SwitchB-vlan101] quit

# 创建VLAN201，将端口GigabitEthernet1/0/12加入到VLAN201。

[SwitchB] vlan 201

[SwitchB-vlan201] port GigabitEthernet 1/0/12

[SwitchB-vlan201] quit

l              配置Switch A和Switch B之间的链路

由于Switch A和Switch B之间的链路需要同时传输VLAN101和VLAN201的数据，所以可以配置两端的端口为Trunk端口，且允许这两个VLAN的报文通过。

# 配置Switch A的GigabitEthernet1/0/3端口

[SwitchA] interface GigabitEthernet 1/0/3

[SwitchA-GigabitEthernet1/0/3] port link-type trunk

[SwitchA-GigabitEthernet1/0/3] port trunk permit vlan 101

[SwitchA-GigabitEthernet1/0/3] port trunk permit vlan 201

# 配置Switch B的GigabitEthernet1/0/10端口

[SwitchB] interface GigabitEthernet 1/0/10

[SwitchB-GigabitEthernet1/0/10] port link-type trunk

[SwitchB-GigabitEthernet1/0/10] port trunk permit vlan 101

[SwitchB-GigabitEthernet1/0/10] port trunk permit vlan 201

2.3  配置协议VLAN

2.3.1  协议VLAN配置任务简介

表2-6 协议VLAN配置任务简介

2.3.2  配置协议VLAN的协议模板

1. 配置准备

配置协议VLAN之前，首先要创建VLAN。

2. 配置步骤

表2-7 配置VLAN的协议模板

在配置协议VLAN的协议模板命令中，使用at、ip、ipx参数来配置标准模板，分别匹配AppleTalk、IP、IPX协议的报文；使用mode参数配置自定义模板。

2.3.3  配置端口与协议VLAN的关联

1. 配置准备

l              已经配置协议VLAN的协议模板

l              将端口配置为Hybrid类型，并配置在转发协议VLAN的报文时去除VLAN Tag。

2. 配置步骤

表2-8 配置端口与基于协议VLAN的关联

2.3.4  协议VLAN配置显示

完成上述配置后，在任意视图下执行display命令，可以显示配置协议VLAN后的运行情况。通过查看显示信息，用户可以验证配置的效果。

表2-9 协议VLAN配置显示

2.3.5  协议VLAN典型配置举例

1. 组网需求

l              如图2-2所示，工作室Workroom通过交换机的GigabitEthernet1/0/10端口连接到局域网内。

l              工作室中使用IP网络和AppleTalk网络的工作站共存。

l              交换机通过GigabitEthernet1/0/11和GigabitEthernet1/0/12端口分别连接到使用IP网络的VLAN100和使用AppleTalk网络的VLAN200。

l              配置交换机将工作室中使用IP网络和AppleTalk网络的报文自动划分到指定的VLAN内进行传输，以保证工作站与服务器的正常连接。

2. 组网图

图2-2 协议VLAN典型配置举例组网示意图

3. 配置步骤

# 创建VLAN100和VLAN200，并将端口GigabitEthernet1/0/11和GigabitEthernet1/0/12加入到指定VLAN中。

<device> system-view

[device] vlan 100

[device-vlan100] port GigabitEthernet 1/0/11

[device-vlan100] quit

[device] vlan 200

[device-vlan200] port GigabitEthernet 1/0/12

# 创建VLAN200和VLAN100的协议模板，分别匹配AppleTalk和IP协议。

[device-vlan200] protocol-vlan at

[device-vlan200] quit

[device] vlan 100

[device-vlan100] protocol-vlan ip

# 为保证IP网络正常通信，还需要创建VLAN100的自定义协议模板来匹配ARP协议，这里假设使用Ethernet II型封装。

[device-vlan100] protocol-vlan mode ethernetii etype 0806

# 显示当前已经创建的协议VLAN及其模板。

[device-vlan100] display protocol-vlan vlan all

 VLAN ID: 100

 VLAN Type: Protocol-based VLAN

      Protocol Index        Protocol Type

             0                  ip

             1                  ethernetii etype 0x0806

 VLAN ID: 200

 VLAN Type: Protocol-based VLAN

      Protocol Index        Protocol Type

             0                  at          

# 配置端口GigabitEthernet1/0/10为Hybrid端口，并在转发VLAN100和VLAN200的报文时去掉VLAN Tag。

[device-vlan100] quit

[device] interface GigabitEthernet 1/0/10

[device-GigabitEthernet1/0/10] port link-type hybrid

[device-GigabitEthernet1/0/10] port hybrid vlan 100 200 untagged

# 配置端口GigabitEthernet1/0/10分别与VLAN100的协议模板0和1，VLAN200的协议模板0进行绑定。

[device-GigabitEthernet1/0/10] port hybrid protocol-vlan vlan 100 0 to 1

[device-GigabitEthernet1/0/10] port hybrid protocol-vlan vlan 200 0

# 显示端口GigabitEthernet1/0/10与各协议VLAN的协议模板的绑定情况，以确认配置结果。

[device-GigabitEthernet1/0/10] display protocol-vlan interface GigabitEthernet 1/0/10

 Interface:GigabitEthernet1/0/10

     VLAN ID      Protocol-Index     Protocol-Type

         100             0                ip

         100             1                ethernetii etype 0x0806

         200             0                at 

上述显示信息表示，端口GigabitEthernet1/0/10已经与VLAN100和VLAN200的相应协议模板进行了绑定，此后IP工作站和AppleTalk工作站发送的报文，通过匹配协议模板，即可自动划分到指定的VLAN中进行传输，实现工作站与服务器的正常通信。