目  录

第1章 VLAN简介

1.1 VLAN简介

1.1.1 VLAN概述

1.1.2 VLAN原理

1.2 基于端口的VLAN

1.2.1 以太网端口的链路类型

1.2.2 将端口加入指定VLAN

1.2.3 配置端口的缺省VLAN ID

1.3 基于协议的VLAN

1.3.1 协议VLAN概述

1.3.2 以太网数据的封装格式

1.3.3 交换机对报文协议的判断过程

1.3.4 各种协议支持的封装格式

1.3.5 协议VLAN的实现方式

第2章 VLAN配置

2.1 VLAN配置

2.1.1 VLAN的基本配置

2.1.2 设置VLAN广播风暴抑制

2.1.3 VLAN接口的基本配置

2.1.4 VLAN配置显示

2.2 配置基于端口的VLAN

2.2.1 配置基于Access端口的VLAN

2.2.2 配置基于Trunk端口的VLAN

2.2.3 配置基于Hybrid端口的VLAN

2.2.4 基于端口的VLAN典型配置举例

2.3 配置基于协议的VLAN

2.3.1 创建协议VLAN的协议模板

2.3.2 创建端口与基于协议VLAN的关联

2.3.3 创建单板与基于协议VLAN的关联

2.3.4 协议VLAN配置显示

2.3.5 基于协议的VLAN典型配置举例

第1章  VLAN简介

1.1  VLAN简介

1.1.1  VLAN概述

传统的以太网是一个平面网络，网络中的所有主机通过HUB或交换机相连，处在同一个广播域中。HUB是物理层设备，没有交换功能，接收的报文会向所有端口转发；交换机是链路层设备，具备根据报文的目的MAC地址进行转发的能力，但在收到广播报文或未知单播报文（报文的目的MAC地址不在交换机MAC地址表中）时，也会向除报文入端口之外的所有端口转发。

上述情况使网络中的主机会收到大量并非以自身为目的地的报文，在浪费大量带宽资源的同时，也造成了严重的安全隐患。

隔离广播域的传统方法是使用路由器，但是路由器成本较高，而且端口较少，无法划分细致的网络。

为解决以太网交换机在LAN中无法限制广播的问题，出现了VLAN（Virtual Local Area Network，虚拟局域网）技术。

如图1-1所示，VLAN把一个物理上的LAN划分成多个逻辑上的LAN，每个VLAN是一个广播域。VLAN内的主机间通信就和在一个LAN内一样，而不同VLAN内的主机不能直接通信。

图1-1 VLAN示例

VLAN的组成不受物理位置的限制。一个VLAN可以在一个交换机内，也可以跨越交换机，甚至可以跨越路由器。同一VLAN内的各台计算机无须被放置在同一物理空间里，即这些计算机不一定属于同一个物理网段。

与传统以太网相比，VLAN具有如下的优点：

l              广播被限制在一个VLAN内，节省了带宽，提高了网络处理能力。

l              增强了LAN的安全性。VLAN间不能直接通信，即一个VLAN内的主机无法直接访问另一个VLAN内的资源，如果要访问需要通过路由器或三层交换机等三层设备。

l              减少了用户端的网络配置。使用VLAN可以划分不同的用户到不同的虚拟工作组中，当用户的物理位置在VLAN覆盖范围内移动时，不需要改变其网络的配置。

1.1.2  VLAN原理

要使交换机能够分辨不同VLAN的报文，需要在报文中添加标识VLAN的字段。由于交换机工作在第二层（三层交换机不在本章节讨论范围内），只能对报文的数据链路层封装进行识别。因此，如果添加识别字段，也需要添加到数据链路层封装中。

IEEE于1999年颁布了用以标准化VLAN实现方案的IEEE 802.1Q协议标准草案，对带有VLAN标识的报文结构进行了统一规定。

传统的以太网数据帧在目的MAC地址和源MAC地址之后封装上层协议的类型字段。如图1-2所示

图1-2 传统以太网帧封装格式

其中DA表示目的MAC地址，SA表示源MAC地址，Type表示报文所属协议类型。

IEEE 802.1Q协议规定在目的MAC地址和源MAC地址之后封装4个字节的VLAN Tag，用以标识VLAN的相关信息。

图1-3 VLAN Tag的组成字段

如图1-3所示，VLAN Tag包含四个字段，分别是TPID，Priority，CFI和VLAN ID。

l              TPID用来标识本数据帧是带有VLAN Tag的数据，长度为16bit，在H3C系列以太网交换机上默认取值为0x8100。

l              Priority表示802.1P的优先级，长度为3bit，相关内容请参见“QoS”部分的介绍。

l              CFI字段标识MAC地址在不同的传输介质中是否以标准格式进行封装，在本章中不进行具体描述，长度1bit。

l              VLAN ID标识该报文所属VLAN的编号，长度为12bit，取值范围为0～4095。由于0和4095通常不使用，所以VLAN ID的取值范围一般为1～4094。

交换机利用VLAN ID来识别报文所属的VLAN，当接收到的报文不携带VLAN Tag时，交换机会为该报文封装带有接收端口缺省VLAN ID的VLAN Tag，将报文划分到接收端口的缺省VLAN中传输。有关端口缺省VLAN设置的内容，请参见《H3C S7500 系列以太网交换机  操作手册》“端口基本配置”部分的介绍。

1.2  基于端口的VLAN

基于端口的VLAN是最简单的一种VLAN划分方法。通过将设备上连接用户的端口划分到不同VLAN，实现用户间的隔离和虚拟工作组的划分。

这种划分方法具有实现简单，易于管理的优点，适用于连接位置比较固定的用户。

1.2.1  以太网端口的链路类型

S7500系列以太网交换机支持的以太网端口链路类型有三种：

l              Access类型：端口只能属于1个VLAN，一般用于连接计算机；

l              Trunk类型：端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，一般用于交换机之间的连接；

l              Hybrid类型：端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。

三种类型的端口可以共存在一台设备上，但Trunk端口和Hybrid端口之间不能直接切换，只能先设为Access端口，再设置为其他类型端口。例如：Trunk端口不能直接被设置为Hybrid端口，只能先设为Access端口，再设置为Hybrid端口。

1.2.2  将端口加入指定VLAN

用户可以将以太网端口加入到指定的VLAN中。执行该配置以后，以太网端口就可以转发指定VLAN的报文，从而实现本交换机上的VLAN与对端交换机上相同VLAN的互通。

Access端口只能加入到1个VLAN中，Hybrid端口和Trunk端口可以加入到多个VLAN中。

1.2.3  配置端口的缺省VLAN ID

Access端口只能属于1个VLAN，所以它的缺省VLAN就是它所在的VLAN，不用设置；Hybrid端口和Trunk端口可以属于多个VLAN，所以需要设置端口的缺省VLAN ID。

将端口加入VLAN并指定了端口的缺省VLAN后，三类端口对报文的接收和发送会有不同的处理方式，具体描述请参见表1-1、表1-2和表1-3。

表1-1 Access端口收发报文的处理

表1-2 Trunk端口收发报文的处理

表1-3 Hybrid端口收发报文的处理

1.3  基于协议的VLAN

1.3.1  协议VLAN概述

基于协议的VLAN也称为协议VLAN，是区别于基于端口的VLAN的另一种VLAN划分方法。通过配置基于协议的VLAN，交换机可以分析端口上收到的不携带VLAN Tag的报文，根据不同的封装格式及特殊字段的数值将报文与用户设定的协议模板相匹配，自动为匹配成功的报文添加相应的VLAN Tag，实现将属于指定协议的数据自动分发到相应的VLAN中传输。

此特性主要用于将网络中提供的服务类型与VLAN相绑定，方便管理和维护。

1.3.2  以太网数据的封装格式

为清楚的了解交换机对报文协议的识别过程，先简要介绍一下以太网常用的数据封装格式。

1. Ethernet II与802.2/802.3封装

目前链路层的报文封装主要有两种类型，分别为Ethernet II型和802.2/802.3型。两种报文的封装格式如下：

Ethernet II型

图1-4 Ethernet II型报文封装格式

802.2/802.3型

图1-5 802.2/802.3型报文封装格式

DA、SA分别表示报文的目的MAC地址和源MAC地址，括号中的数字表示此字段的长度，单位为字节。

由于以太网报文的最大长度为1500字节，转换成16进制数字为5DC，所以802.2/802.3型封装的Length字段取值范围为0x0000～0x05DC。

而Ethernet II型封装中的Type字段取值范围为0x0600～0xFFFF。

交换机根据这两个字段的取值范围的不同来区分Ethernet II型和802.2/802.3型报文。

2. 802.2/802.3封装的几种格式

802.2/802.3封装分为3种封装格式：

l              802.3 raw封装：在源、目的地址后只封装Length字段，之后即是上层数据，没有类型字段。

图1-6 802.3 raw封装格式

目前只有IPX协议支持802.3 raw封装，用Length字段之后两个字节的取值为0xFFFF作为标识。

l              802.2 LLC（Logic Link Control，逻辑链路控制）封装：在源、目的地址后封装Length、DSAP（Destination Service Access Point，目的服务访问点）、SSAP（Source Service Access Point，源服务访问点）和Control字段。

图1-7 802.2 LLC封装格式

LLC部分中的DSAP和SSAP用来标识上层协议的字段。例如这两个字节取值均为0xE0，则表示上层协议为IPX。

l              802.2 SNAP（Sub-Network Access Protocol，子网接入协议）封装：按802.2/802.3型报文进行封装，包含Length、DSAP、SSAP、Control、OUI及PID字段。

图1-8 802.2 SNAP封装格式

在802.2 SNAP封装中，DSAP和SSAP字段的取值均固定为AA，Control字段取值固定为3。

交换机根据DSAP和SSAP字段的取值区分802.2 LLC和802.2 SNAP封装

1.3.3  交换机对报文协议的判断过程

图1-9 交换机对报文协议的判断过程

1.3.4  各种协议支持的封装格式

表1-4 各种协议支持的封装格式

1.3.5  协议VLAN的实现方式

S7500系列以太网交换机通过协议模板来匹配报文，实现根据协议将报文划分到VLAN中。

协议模板是用来匹配报文所属协议类型的标准，协议模板分为标准模板和自定义模板两种：

l              标准模板是指以RFC标准规定的报文封装格式和特殊字段数值作为匹配条件的模板。

l              自定义模板是指以用户在命令中指定的封装格式和特殊字段数值作为匹配条件的模板。

配置协议模板完成后，需要为协议VLAN添加端口并建立该端口与协议模板的关联。由于协议VLAN内的端口需要连接到客户端，普通客户端无法处理携带VLAN Tag的报文，而且根据用户的报文协议不同，该端口将为各种报文添加多个VLAN的VLAN Tag。为使客户端能正常处理此端口发出的报文，需要将协议VLAN内的端口配置为Hybrid端口，并配置该端口在转发所有VLAN的报文时采取去除VLAN Tag的操作。

第2章  VLAN配置

2.1  VLAN配置

2.1.1  VLAN的基本配置

表2-1 VLAN的基本配置

2.1.2  设置VLAN广播风暴抑制

可以使用以下的命令限制VLAN上允许通过的广播流量的大小，当广播流量超过用户设置的值后，系统将对超出广播流量限制的报文作丢弃处理，使广播所占的流量比例降低到合理的范围，从而有效地抑制广播风暴，避免网络拥塞，保证网络业务的正常运行。

表2-2 设置VLAN广播风暴抑制

一个VLAN同一时刻只支持一种广播风暴抑制方式。如果对一个VLAN多次进行广播风暴抑制方式的配置，后配置的方式会覆盖前面的配置。

S7500系列交换机各种类型的单板支持的广播风暴抑制方式不同，如表2-3所示。

表2-3 各个单板支持的广播风暴抑制方式

2.1.3  VLAN接口的基本配置

1. 配置准备

配置VLAN接口之前，首先要创建VLAN。

2. 配置步骤

表2-4 VLAN接口的基本配置

需要注意的是，打开/关闭VLAN接口的操作对属于该VLAN的以太网端口的打开/关闭状态没有影响。

缺省情况下，VLAN接口的管理状态为打开，此时VLAN接口物理状态受VLAN中端口状态的影响，即：当VLAN中所有以太网端口状态为DOWN时，VLAN接口为DOWN状态，即关闭状态；当VLAN中有一个或一个以上的以太网端口处于UP状态，则VLAN接口处于UP状态。

如果将VLAN接口的管理状态设置为关闭，则VLAN接口的物理状态始终为DOWN，不受VLAN中端口状态的影响。

2.1.4  VLAN配置显示

完成上述配置后，在任意视图下执行display命令，可以显示配置VLAN后的运行情况。通过查看显示信息，用户可以验证配置的效果。

表2-5 VLAN配置显示

2.2  配置基于端口的VLAN

2.2.1  配置基于Access端口的VLAN

配置基于Access端口的VLAN有两种方法：一种是在VLAN视图下进行配置，一种是在以太网端口视图下进行配置。

表2-6 配置基于Access端口的VLAN（在VLAN视图下）

表2-7 配置基于Access端口的VLAN（在以太网端口视图下）

2.2.2  配置基于Trunk端口的VLAN

Trunk端口可以允许多个VLAN通过，只能在以太网端口视图下进行配置。

表2-8 配置基于Trunk端口的VLAN

2.2.3  配置基于Hybrid端口的VLAN

Hybrid端口可以允许多个VLAN通过，只能在以太网端口视图下进行配置。

表2-9 配置基于Hybrid端口的VLAN

2.2.4  基于端口的VLAN典型配置举例

1. 组网需求

l              创建VLAN2、VLAN3，指定VLAN2的描述字符串为home；

l              通过配置将端口Ethernet2/0/1和Ethernet2/0/2加入到VLAN2中，将端口Ethernet2/0/3和Ethernet2/0/4加入到VLAN3中。

2. 组网图

图2-1 VLAN配置示例图

3. 配置步骤

# 创建VLAN2并进入其视图。

<H3C> system-view

[H3C] vlan 2

# 指定VLAN2的描述字符串为home。

[H3C-vlan2] description home

# 向VLAN2中加入端口Ethernet2/0/1和Ethernet2/0/2。

[H3C-vlan2] port Ethernet 2/0/1 Ethernet 2/0/2

# 创建VLAN3并进入其视图。

[H3C-vlan2] vlan 3

# 向VLAN3中加入端口Ethernet2/0/3和Ethernet2/0/4。

[H3C-vlan3] port Ethernet 2/0/3 Ethernet 2/0/4

2.3  配置基于协议的VLAN

2.3.1  创建协议VLAN的协议模板

1. 配置准备

配置基于协议的VLAN之前，首先要创建VLAN。

2. 配置步骤

表2-10 创建VLAN的协议类型

在创建协议VLAN的协议模板命令中，使用at、ip、ipx参数来创建标准模板；使用mode参数创建自定义模板。

2.3.2  创建端口与基于协议VLAN的关联

1. 配置准备

l              已经创建协议VLAN的协议模板。

l              将端口配置为Hybrid类型，并配置在转发协议VLAN的报文时去除VLAN Tag。

2. 配置步骤

表2-11 创建端口与基于协议VLAN的关联

2.3.3  创建单板与基于协议VLAN的关联

请在系统视图下进行下列配置。

表2-12 在指定单板上创建基于协议的VLAN

关于创建基于协议的VLAN的命令与单板类型之间的对应关系，请参见表2-13。

表2-13 命令与单板类型之间的对应关系

2.3.4  协议VLAN配置显示

完成上述配置后，在任意视图下执行display命令，可以显示配置协议VLAN后的运行情况。通过查看显示信息，用户可以验证配置的效果。

表2-14 协议VLAN配置显示

2.3.5  基于协议的VLAN典型配置举例

1. 基于标准模板的协议VLAN配置举例

(1)        组网需求

l              创建VLAN 5，并配置为基于协议的VLAN。创建索引值1，协议类型为IP。

l              配置Ethernet2/0/5端口与协议VLAN相关联，由此端口进入的IP数据流自动加上VLAN 5的VLAN标识，在VLAN 5中传输。

(2)        配置步骤

# 创建VLAN 5并进入其视图。

<H3C> system-view

[H3C] vlan 5

[H3C-vlan5]

# 配置VLAN 5的索引值1关联的协议类型为IP。

[H3C-vlan5] protocol-vlan 1 ip

# 进入Ethernet2/0/5的端口视图。

[H3C-vlan5] interface Ethernet 2/0/5

# 配置端口为Hybrid端口。

[H3C-Ethernet2/0/5] port link-type hybrid

# 将端口加入VLAN 5，并将VLAN 5添加到端口允许通过的untagged VLAN列表。

[H3C-Ethernet2/0/5] port hybrid vlan 5 untagged

# 将端口与协议VLAN的索引值1相关联。

[H3C-Ethernet2/0/5] port hybrid protocol-vlan vlan 5 1

2. 基于自定义模板的协议VLAN配置举例

(1)        组网需求

l              创建VLAN 7为协议VLAN。

l              在VLAN 7中创建2个索引。索引1用来匹配802.2 LLC封装中DSAP与SSAP字段取值分别为01和ac的报文；索引2用来匹配802.2 SNAP封装中Type字段取值为0xabcd的报文。

l              将端口Ethernet2/0/7与协议VLAN 7的两个索引关联。当符合其中一个索引的报文从此端口进入时，自动添加VLAN 7的VLAN Tag。

(2)        配置步骤

# 创建VLAN 7并进入其视图。

<H3C> system-view

[H3C] vlan 7

[H3C-vlan7]

# 根据组网需求配置VLAN 7的索引值1。

[H3C-vlan7] protocol-vlan 1 mode llc dsap 01 ssap ac

# 根据组网需求配置VLAN 7的索引值2。

[H3C-vlan7] protocol-vlan 2 mode snap etype abcd

# 进入Ethernet2/0/7的端口视图。

[H3C-vlan7] interface Ethernet 2/0/7

# 配置端口为Hybrid端口。

[H3C-Ethernet2/0/7] port link-type hybrid

# 将端口加入VLAN 7，并将VLAN 7添加到端口允许通过的untagged VLAN列表。

[H3C-Ethernet2/0/7] port hybrid vlan 7 untagged

# 将端口与协议VLAN 7的两个索引相关联。

[H3C-Ethernet2/0/7] port hybrid protocol-vlan vlan 7 1 to 2