• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

MAC VLAN配置举例

MAC VLAN配置举例

 

H3C_彩色.emf

 



简介

在移动办公或者无线接入的组网环境中,用户接入VLAN固定,但是接入端口不固定的情况下,通过MAC VLAN功能可以实现用户使用接入设备的任何端口接入网络时,均能划分到同一VLAN

MAC VLAN有静态配置和动态配置两种方式。其中静态配置通常用于VLAN中用户相对较少的网络环境,而动态配置需和接入认证方式配合使用,可灵活配置于大型网络中。

本文档介绍MAC VLAN功能的典型配置举例。

配置前提

本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解基于MACVLAN特性。

MAC VLAN静态配置举例

3.1  组网需求

·              1所示,Device ADevice CEthernet1/1端口分别连接到两个会议室,Laptop1Laptop2是会议用笔记本电脑,会在两个会议室间移动使用。

·              Laptop1属于部门1Laptop2属于部门2。两个部门间使用VLAN 100VLAN 200进行隔离。现要求基于MAC来划分VLAN,实现这两台笔记本电脑无论在哪个会议室使用,均只能访问自己部门的服务器,即Server1Server2

图1 MAC VLAN静态配置组网图

 

3.2  配置思路

MAC VLAN只能在Hybrid端口使能,所以在使能MAC VLAN前,需要将端口的链路类型配置为Hybrid

因为本例中只有两个接入终端,而且接入时不需要认证,所以采用静态配置的方式来划分MAC VLAN

3.3  配置注意事项

MAC VLAN有静态配置和动态配置两种方式,但是同一MAC地址只能绑定一个VLAN。因此,如果已进行了静态配置,而动态下发的绑定关系与静态配置不一致,则动态下发失败,用户不能通过认证;反之,如果动态下发已生效,而静态配置与动态下发的不一致,则静态配置失败。

3.4  配置步骤

3.4.1  Device A的配置

# 创建VLAN 100VLAN 200

<DeviceA> system-view

[DeviceA] vlan 100

[DeviceA-vlan100] quit

[DeviceA] vlan 200

[DeviceA-vlan200] quit

# 配置Laptop1MAC地址与VLAN 100关联,配置Laptop2MAC地址与VLAN 200关联。

[DeviceA] mac-vlan mac-address 000d-88f8-4e71 vlan 100

[DeviceA] mac-vlan mac-address 0014-222c-aa69 vlan 200

# 配置终端的接入端口:Laptop1Laptop2均可能从Ethernet1/1接入,将Ethernet1/1的端口类型配置为Hybrid,开启Ethernet1/1端口的MAC VLAN功能,并使其在发送VLAN 100VLAN 200的报文时去掉VLAN Tag

[DeviceA] interface ethernet 1/1

[DeviceA-Ethernet1/1] port link-type hybrid

[DeviceA-Ethernet1/1] mac-vlan enable

[DeviceA-Ethernet1/1] mac-vlan trigger enable

[DeviceA-Ethernet1/1] quit

# 为了终端能够访问Server1Server2,需要将上行端口Ethernet1/2的端口类型配置为Trunk,并允许VLAN 100VLAN 200的报文通过。

[DeviceA] interface ethernet1/2

[DeviceA-Ethernet1/2] port link-type trunk

[DeviceA-Ethernet1/2] port trunk permit vlan 100 200

[DeviceA-Ethernet1/2] quit

3.4.2  Device C的配置

# 创建VLAN 100VLAN 200

<DeviceC> system-view

[DeviceC] vlan 100

[DeviceC-vlan100] quit

[DeviceC] vlan 200

[DeviceC-vlan200] quit

# 配置Laptop1MAC地址与VLAN 100关联,配置Laptop2MAC地址与VLAN 200关联。

[DeviceC] mac-vlan mac-address 000d-88f8-4e71 vlan 100

[DeviceC] mac-vlan mac-address 0014-222c-aa69 vlan 200

# 配置终端的接入端口:Laptop1Laptop2均可能从Ethernet1/1接入,将Ethernet1/1的端口类型配置为Hybrid,开启Ethernet1/1端口的MAC VLAN功能,并使其在发送VLAN 100VLAN 200的报文时去掉VLAN Tag

[DeviceC] interface ethernet 1/1

[DeviceC-Ethernet1/1] port link-type hybrid

[DeviceC-Ethernet1/1] mac-vlan enable

[DeviceC-Ethernet1/1] mac-vlan trigger enable

[DeviceC-Ethernet1/1] quit

# 为了终端能够访问Server1Server2,需要将上行端口Ethernet1/2的端口类型配置为Trunk,并允许VLAN 100VLAN 200的报文通过。

[DeviceC] interface ethernet1/2

[DeviceC-Ethernet1/2] port link-type trunk

[DeviceC-Ethernet1/2] port trunk permit vlan 100 200

[DeviceC-Ethernet1/2] quit

3.4.3  Device B的配置

# 创建VLAN 100VLAN 200,并将Ethernet1/13加入VLAN 100Ethernet1/14加入VLAN 200

<DeviceB> system-view

[DeviceB] vlan 100

[DeviceB-vlan100] port ethernet 1/13

[DeviceB-vlan100] quit

[DeviceB] vlan 200

[DeviceB-vlan200] port ethernet 1/14

[DeviceB-vlan200] quit

# 配置Ethernet1/3Ethernet1/4端口为Trunk端口,均允许VLAN 100VLAN 200的报文通过。

[DeviceB] interface ethernet 1/3

[DeviceB-Ethernet1/3] port link-type trunk

[DeviceB-Ethernet1/3] port trunk permit vlan 100 200

[DeviceB-Ethernet1/3] quit

[DeviceB] interface ethernet 1/4

[DeviceB-Ethernet1/4] port link-type trunk

[DeviceB-Ethernet1/4] port trunk permit vlan 100 200

[DeviceB-Ethernet1/4] quit

3.5  验证配置

(1)      Laptop1只能访问Server1,不能访问Server2Laptop2只能访问Server2,不能访问Server1

(2)      Device ADevice C上可以查看到Laptop1VLAN 100Laptop2VLAN 200的静态MAC VLAN地址表项已经生成。以Device A为例

[DeviceA] display mac-vlan all

  The following MAC VLAN addresses exist:

  S:Static  D:Dynamic

  MAC ADDR         MASK             VLAN ID   PRIO   STATE

  --------------------------------------------------------

  000d-88f8-4e71   ffff-ffff-ffff   100       0      S

  0014-222c-aa69   ffff-ffff-ffff   200       0      S

 

  Total MAC VLAN address count:2

3.6  配置文件

·              Device A

#

 mac-vlan mac-address 000d-88f8-4e71 vlan 100 priority 0

 mac-vlan mac-address 0014-222c-aa69 vlan 200 priority 0

#

vlan 100

#

vlan 200

#

interface Ethernet1/1

 port link-mode bridge

 port link-type hybrid

 port hybrid vlan 1 100 200 untagged

 mac-vlan enable

 mac-vlan trigger enable

#

interface Ethernet1/2

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 100 200

#

·              Device C

#

 mac-vlan mac-address 000d-88f8-4e71 vlan 100 priority 0

 mac-vlan mac-address 0014-222c-aa69 vlan 200 priority 0

#

vlan 100

#

vlan 200

#

interface Ethernet1/1

 port link-mode bridge

 port link-type hybrid

 port hybrid vlan 1 100 200 untagged

 mac-vlan enable

 mac-vlan trigger enable

#

interface Ethernet1/2

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 100 200

#

·              Device B

#

vlan 100

#

vlan 200

#

interface Ethernet1/3

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 100 200

#

interface Ethernet1/4

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 100 200

#

interface Ethernet1/13

 port link-mode bridge

 port access vlan 100

#

interface Ethernet1/14

 port link-mode bridge

 port access vlan 200

#

MAC VLAN动态配置举例

4.1  组网需求

·              2所示,某公司为了实现通信安全以及隔离广播报文,给不同的部门指定了不同的VLAN。销售部属于VLAN 2;技术支持部属于VLAN 3;研发部属于VLAN 4

·              Meeting room为员工提供了临时办公场所。现要求基于MAC来划分VLAN,实现终端可以通过Switch的任意端口接入公司网络,但接入后只能划分到自己部门所在的VLANHost AHost BHost C分别归属于VLAN 2VLAN 3VLAN 4

·              为了通信安全,终端必须通过802.1X认证后才能接入网络。

图2 MAC VLAN动态配置组网图

 

4.2  配置思路

MAC VLAN只能在Hybrid端口使能,所以在使能MAC VLAN前,需要将端口的链路类型配置为Hybrid

因为本例要求接入终端必须通过802.1X认证,所以采用动态配置的方式来划分MAC VLAN。同时需要在RADIUS服务器上配置下发VLAN和接入用户等,并在Host上安装802.1X客户端。

4.3  配置注意事项

MAC VLAN有静态配置和动态配置两种方式,但是同一MAC地址只能绑定一个VLAN。因此,如果已进行了静态配置,而动态下发的绑定关系与静态配置不一致,则动态下发失败,用户不能通过认证;反之,如果动态下发已生效,而静态配置与动态下发的不一致,则静态配置失败。

4.4  配置步骤

4.4.1  Host A的配置

# 安装H3C iNode智能管理客户端。在iNode上创建一个新连接,选择接入认证协议类型为802.1X,选择连接类型为普通连接,用户名为usera,密码为aaa

图3 新建连接向导

 

 

# PCIP地址设定为1.1.2.2,子网掩码设定为255.255.255.0,默认网关的IP地址为1.1.2.1/24(也可以通过DHCP server动态分配IP地址和网关地址,其中IP地址在1.1.2.0/24网段即可)。

4.4.2  Host B的配置

# 安装H3C iNode智能管理客户端。在iNode上创建一个新连接,选择接入认证协议类型为802.1X,选择连接类型为普通连接,用户名为userb,密码为bbb

# PCIP地址设定为1.1.3.2,子网掩码设定为255.255.255.0,默认网关的IP地址为1.1.3.1/24(也可以通过DHCP server动态分配IP地址和网关地址,其中IP地址在1.1.3.0/24网段即可)。

4.4.3  Host C的配置

# 安装H3C iNode智能管理客户端。在iNode上创建一个新连接,选择接入认证协议类型为802.1X,选择连接类型为普通连接,用户名为userc,密码为ccc

# PCIP地址设定为1.1.4.2,子网掩码设定为255.255.255.0,默认网关的IP地址为1.1.4.1/24(也可以通过DHCP server动态分配IP地址和网关地址,其中IP地址在1.1.4.0/24网段即可)。

4.4.4  Switch的配置

(1)      配置AAA认证、授权

# 创建RADIUS认证方案macvlan,指定认证和计费服务器的IP地址均为192.168.1.15,密钥均为expert(该参数需要和iMC服务器上的配置保持一致),认证时不需要携带域名。

<Switch> system-view

[Switch] radius scheme macvlan

New Radius scheme

[Switch-radius-macvlan] server-type extended

[Switch-radius-macvlan] primary authentication 192.168.1.15

[Switch-radius-macvlan] primary accounting 192.168.1.15

[Switch-radius-macvlan] key authentication expert

[Switch-radius-macvlan] key accounting expert

[Switch-radius-macvlan] user-name-format without-domain

[Switch-radius-macvlan] quit

# 配置域参数。因为所有用户上线都需要进行认证,所以直接使用缺省域system,在system下进行配置。

[Switch] domain system

[Switch-isp-system] authentication lan-access radius-scheme macvlan

[Switch-isp-system] authorization lan-access radius-scheme macvlan

[Switch-isp-system] accounting lan-access radius-scheme macvlan

[Switch-isp-system] quit

(2)      配置802.1X功能

# 全局使能802.1X功能。

[Switch] undo port-security enable

[Switch] dot1x

# 使能接口Ethernet1/2Ethernet1/3Ethernet1/4802.1X功能。

[Switch] dot1x interface ethernet 1/2 to ethernet 1/4

(3)      配置MAC VLAN

# 分别在端口Ethernet1/2Ethernet1/3Ethernet1/4下进行如下配置:端口类型配置为Hybrid,使能MAC VLAN功能。

[Switch] interface ethernet 1/2

[Switch-Ethernet1/2] port link-type hybrid

[Switch-Ethernet1/2] mac-vlan enable

[Switch-Ethernet1/2] quit

[Switch] interface ethernet 1/3

[Switch-Ethernet1/3] port link-type hybrid

[Switch-Ethernet1/3] mac-vlan enable

[Switch-Ethernet1/3] quit

[Switch] interface ethernet 1/4

[Switch-Ethernet1/4] port link-type hybrid

[Switch-Ethernet1/4] mac-vlan enable

[Switch-Ethernet1/4] quit

# 将端口Ethernet1/5的端口类型配置为Trunk,允许VLAN 2VLAN 3VLAN 4通过。

[Switch] interface ethernet 1/5

[Switch-Ethernet1/5] port link-type trunk

[Switch-Ethernet1/5] port trunk permit vlan 2 to 4

[Switch-Ethernet1/5] quit

4.4.5  Device的配置

# Ethernet1/1是一个三层接口用于认证服务器的接入,IP地址为192.168.1.56

<Device> system-view

[Device] interface Ethernet 1/1

[Device-Ethernet1/1] ip address 192.168.1.56 24

[Device-Ethernet1/1] quit

# Ethernet1/2用于销售部的接入,属于VLAN 2Ethernet1/3用于技术支持部的接入,属于VLAN 3Ethernet1/4用于研发部的接入,属于VLAN 4

[Device] vlan 2

[Device-vlan2] port ethernet 1/2

[Device-vlan2] vlan 3

[Device-vlan3] port ethernet 1/3

[Device-vlan3] vlan 4

[Device-vlan4] port ethernet 1/4

[Device-vlan4] quit

# 创建VLAN接口2VLAN接口3VLAN接口4,并分别配置IP地址,用于实现不同VLAN之间报文的三层互通。

[Device] interface vlan-interface 2

[Device-Vlan-interface2] ip address 1.1.2.1 24

[Device-Vlan-interface2] interface vlan-interface 3

[Device-Vlan-interface3] ip address 1.1.3.1 24

[Device-Vlan-interface3] interface vlan-interface 4

[Device-Vlan-interface4] ip address 1.1.4.1 24

[Device-Vlan-interface4] quit

# 将端口Ethernet1/5的端口类型配置为Trunk,允许VLAN 2VLAN 3VLAN 4通过。

[Switch] interface ethernet 1/5

[Switch-Ethernet1/5] port link-type trunk

[Switch-Ethernet1/5] port trunk permit vlan 2 to 4

[Switch-Ethernet1/5] quit

4.4.6  RADIUS server的配置

(1)      增加接入设备

·              选择“业务”页签。

·              在界面左侧的导航栏中选择“用户接入管理 > 接入设备管理 > 接入设备配置”。

·              单击<增加>按钮,进入“增加接入设备”页面。

·              单击<选择>按钮,选择iMC平台中的设备。

·              使用查询功能快速定位设备,将符合条件的设备增加到“已选择的设备”区域。

·              选中设备,单击<确定>按钮。

图4 选取设备

 

·              配置共享密钥为expert,其它参数使用缺省值即可,单击<完成>按钮,接入设备增加成功。

(2)      增加接入规则

·              选择“业务”页签。

·              在界面左侧的导航栏中选择“用户接入管理 > 接入规则管理”。

·              单击<增加>按钮。

·              配置接入规则名为“下发VLAN 2”,下发VLANVLAN 2,其它参数使用缺省值即可。

·              单击<确定>按钮,接入规则增加成功。

图5 增加接入规则

 

·              参照以上步骤增加接入规则“下发VLAN 3”,下发VLANVLAN 3;增加接入规则“下发VLAN 4”,下发VLANVLAN 4

(3)      增加服务

·              选择“业务”页签。

·              在界面左侧的导航栏中选择“用户接入管理 > 服务配置管理”。

·              单击<增加>按钮。

·              配置服务名为serverA,缺省接入规则选择“下发VLAN 2”,其它参数使用缺省值即可,单击<确定>按钮,服务增加成功。

图6 增加服务配置

 

·              参照以上步骤增加服务增加服务serverB,缺省接入规则选择“下发VLAN 3”;增加服务serverC,缺省接入规则选择“下发VLAN 4”。

(4)      增加接入用户

·              选择“用户”页签。

·              在界面左侧的导航栏中选择“用户管理 > 增加用户”。

·              增加一个全新的用户。用户姓名可以是用户的代号,方便iMC管理员识别不同用户;证件号码可以输入用户的电话号码,方便iMC管理员联系用户,如下图所示。

·              单击<确定>按钮,用户增加成功。

图7 增加用户

 

·              在界面左侧的导航栏中选择“接入用户视图 > 所有接入用户”,单击<增加>按钮,进入“增加接入用户”页面。

·              单击<选择>按钮,在弹出的用户列表中根据“用户姓名”或“证件号码”查询用户,选择符合条件的用户,单击<确定>按钮完成接入用户选择。

·              设置帐号名(即用户上网用帐号)为usera、密码(即用户上网用密码)为aaa,选择关联的服务,其它参数使用缺省值,单击<确定>按钮,接入用户增加成功。

图8 增加接入用户

 

·              参照以上步骤增加帐号userb,密码为bbb;增加帐号userc,密码为ccc

4.5  验证配置

(1)      Host A上使用802.1X连接,用户名usera,密码aaa,上线成功;在Host B上使用802.1X连接,用户名userb,密码bbb,上线成功;在Host C上使用802.1X连接,用户名userc,密码ccc,上线成功。

(2)      查看MAC VLAN列表,可以看出Host AVLAN 2Host BVLAN 3Host CVLAN 4的表项已经动态生成。当Ethernet1/2收到Host A的报文时,会给它添加VLAN 2Tag;当Ethernet1/3收到Host B的报文时,会给它添加VLAN 3Tag;当Ethernet1/4收到Host C的报文时,会给它添加VLAN 4Tag

[Switch] display mac-vlan all

  The following MAC VLAN addresses exist:

  S:Static  D:Dynamic

  MAC ADDR         MASK             VLAN ID   PRIO   STATE

  --------------------------------------------------------

  0011-0020-0001   ffff-ffff-ffff   2         0      D

  0011-0020-0002   ffff-ffff-ffff   3         0      D

  0011-0020-0003   ffff-ffff-ffff   4         0      D

4.6  配置文件

·              Switch

#

 dot1x

#

radius scheme macvlan

 server-type extended

 primary authentication 192.168.1.15

 primary accounting 192.168.1.15

 key authentication expert

 key accounting expert

 user-name-format without-domain

#

domain system

 authentication lan-access radius-scheme macvlan

 authorization lan-access radius-scheme macvlan

 accounting lan-access radius-scheme macvlan

#

interface Ethernet1/2

 port link-type hybrid

 port hybrid vlan 1 to 2 untagged

 mac-vlan enable

 dot1x

#

interface Ethernet1/3

 port link-type hybrid

 port hybrid vlan 1 3 untagged

 mac-vlan enable

 dot1x

#

interface Ethernet1/4

 port link-type hybrid

 port hybrid vlan 1 4 untagged

 mac-vlan enable

 dot1x

#

interface Ethernet1/5

 port link-type trunk

 port trunk permit vlan 1 to 4

#

·              Device

#

vlan 2 to 4

#

interface Vlan-interface2

 ip address 1.1.2.1 255.255.255.0

#

interface Vlan-interface3

 ip address 1.1.3.1 255.255.255.0

#

interface Vlan-interface4

 ip address 1.1.4.1 255.255.255.0

#

interface Ethernet1/1

 ip address 192.168.1.56 255.255.255.0

#

interface Ethernet1/2

 port access vlan 2

#

interface Ethernet1/3

 port access vlan 3

#

interface Ethernet1/4

 port access vlan 4

#

interface Ethernet1/5

 port link-type trunk

 port trunk permit vlan 1 to 4

#

 

附件下载

新华三官网
联系我们