目  录

第1章 VLAN配置

1.1 VLAN简介

1.2 VLAN公共配置

1.2.1 创建/删除VLAN

1.2.2 为VLAN或VLAN接口指定描述字符

1.2.3 为当前VLAN命名

1.2.4 打开VLAN接口

1.2.5 基于端口的VLAN配置

1.3 VLAN显示

1.4 协议VLAN、IP子网VLAN的简介

1.5 基于协议的VLAN配置

1.5.1 协议VLAN配置任务简介

1.5.2 配置协议VLAN

1.5.3 将协议VLAN下发端口

1.6 协议VLAN配置显示

1.7 IP子网VLAN配置

1.7.1 IP子网VLAN配置任务简介

1.7.2 配置IP子网VLAN

1.7.3 将IP子网VLAN下发端口

1.8 IP子网VLAN配置显示

1.9 VLAN典型配置举例

1.9.1 VLAN典型配置举例

1.9.2 协议VLAN、IP子网VLAN的配置举例

第2章 Super VLAN配置

2.1 Super VLAN简介

2.2 Super VLAN配置

2.3 Super VLAN的配置举例

第3章 Isolate-user-VLAN配置

3.1 Isolate-user-VLAN简介

3.2 Isolate-user-VLAN配置任务

3.2.1 Isolate-user-VLAN配置任务简介

3.2.2 配置Isolate-user-VLAN

3.2.3 配置Secondary VLAN

3.2.4 配置Isolate-user-VLAN和Secondary VLAN间的映射关系

3.3 Isolate-user-VLAN显示

3.4 Isolate-user-VLAN典型配置举例

第1章  VLAN配置

下表列出了本章所包含的内容。

1.1  VLAN简介

VLAN（Virtual Local Area Network，虚拟局域网），是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的技术。IEEE于1999年颁布了用以标准化VLAN实现方案的IEEE 802.1Q协议标准草案。

VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播域（或称虚拟LAN，即VLAN），每一个VLAN都包含一组有着相同需求的计算机，由于VLAN是逻辑地而不是物理地划分，所以同一个VLAN内的各个计算机无须被放置在同一个物理空间里，即这些计算机不一定属于同一个物理LAN网段。

VLAN在交换机上的实现方法，有基于端口划分的VLAN；基于MAC地址划分的VLAN；基于IP组播划分的VLAN，即一个组播组就是一个VLAN；基于网络层划分的VLAN，根据每个主机的网络层地址或协议类型来划分。

VLAN的优势在于VLAN内部的广播和单播流量不会被转发到其它VLAN中，从而有助于控制网络流量、减少设备投资、简化网络管理、提高网络安全性。

1.2  VLAN公共配置

对VLAN进行配置时，首先应根据需求创建VLAN。

VLAN公共配置包括：

l              创建/删除VLAN

l              为VLAN或VLAN接口指定描述字符

l              为当前VLAN命名

l              打开VLAN接口

l              基于端口的VLAN配置

1.2.1  创建/删除VLAN

可以使用下面的命令来创建/删除VLAN。创建单个VLAN时，如果该VLAN已存在，则直接进入该VLAN视图；如果该VLAN不存在，则此配置任务将首先创建VLAN，然后进入VLAN视图。

请在系统视图下进行下列配置。

表1-1 创建/删除VLAN

1.2.2  为VLAN或VLAN接口指定描述字符

可以使用下面的命令来指定VLAN或VLAN接口的描述字符。

请在VLAN或VLAN接口视图下进行下列配置。

表1-2 为VLAN或VLAN接口指定描述字符

缺省情况下，VLAN缺省描述字符串为该VLAN的VLAN ID，例如“VLAN 0001”。VLAN接口缺省描述字符串为该VLAN接口的接口名，例如“Vlan-interface1 Interface”。

1.2.3  为当前VLAN命名

可以使用下面的命令来为当前的VLAN命名。

请在VLAN视图下进行下列配置。

表1-3 为当前VLAN命名

缺省情况下，当前VLAN的名称为该VLAN的VLAN ID。

1.2.4  打开VLAN接口

可以使用下面的命令来打开VLAN接口。

请在VLAN接口视图下进行下列配置。

表1-4 打开VLAN接口

需要注意的是，关闭和打开VLAN接口不影响属于这个VLAN的任何一个以太网端口的状态。

缺省情况下，当VLAN内所有以太网端口状态为Down时，VLAN接口为Down状态，即关闭状态；当VLAN内有一个或一个以上的以太网端口处于UP状态，VLAN接口处于UP状态，即打开状态。

1.2.5  基于端口的VLAN配置

可以使用下面的命令为VLAN指定以太网端口。

请在VLAN视图下进行下列配置。

表1-5 为VLAN指定端口

缺省情况下，系统将所有端口都加入到一个缺省的VLAN中，该VLAN的ID为1。

需要注意的是，Trunk和Hybrid端口只能通过以太网端口视图下的port和undo port命令加入VLAN或从VLAN中删除，而不能通过本命令实现。

1.3  VLAN显示

在完成上述配置后，在任意视图下执行display命令可以显示配置后VLAN的运行情况，通过查看显示信息验证配置的效果。

表1-6 VLAN的显示和调试

1.4  协议VLAN、IP子网VLAN的简介

协议VLAN和IP子网VLAN是对基于端口的VLAN报文转发方式的一种补充。

l              协议VLAN可以根据用户接收到的无标签报文的类型和封装格式决定报文所属VLAN

l              IP子网VLAN则是通过所接收的无标签的IPv4报文的源IP决定报文所属VLAN

协议VLAN和IP子网VLAN增加了无标签报文的分拣的粒度。对于带标签的报文仍按照基于端口划分VLAN的方式进行转发；对于不带标签的报文处理如下：

如果接收到的是IPv4报文，并且在该端口使能了IP子网VLAN功能，那么首先用报文源IP与所有下发的IP子网协议进行匹配：如果匹配成功，该报文将在所匹配IP子网协议所在的VLAN中转发。

当收到的不是IPv4报文时或者当端口下没有使能IP子网VLAN功能时，则不进行IP子网协议匹配。

在不进行匹配或者匹配不成功的情况下：

l              如果端口使能了协议VLAN，则将接收报文的协议、封装类型与端口所下发的所有协议进行匹配：如果匹配成功，该报文将在所匹配的协议所属VLAN中转发；

l              如果端口没有使能协议VLAN或者匹配不成功，则该报文在接收端口的缺省VLAN中转发。

1.5  基于协议的VLAN配置

1.5.1  协议VLAN配置任务简介

表1-7 协议VLAN配置任务简介

1.5.2  配置协议VLAN

表1-8 配置协议VLAN

1.5.3  将协议VLAN下发端口

表1-9 将协议VLAN下发端口

1.6  协议VLAN配置显示

在完成上述配置后，在任意视图下执行display命令可以显示协议VLAN配置后的运行情况，通过查看显示信息验证配置的效果。

表1-10 协议VLAN显示和维护

1.7  IP子网VLAN配置

1.7.1  IP子网VLAN配置任务简介

表1-11 IP子网VLAN配置任务简介

1.7.2  配置IP子网VLAN

表1-12 配置IP子网VLAN

1.7.3  将IP子网VLAN下发端口

表1-13 将IP子网VLAN下发端口

1.8  IP子网VLAN配置显示

在完成上述配置后，在任意视图下执行display命令可以显示IP子网VLAN配置后的运行情况，通过查看显示信息验证配置的效果。

表1-14 IP子网VLAN显示和维护

1.9  VLAN典型配置举例

1.9.1  VLAN典型配置举例

1. 组网需求

l              创建VLAN 2、VLAN 3；

l              将端口Ethernet3/1/1和Ethernet4/1/1加入到VLAN 2中；

l              将端口Ethernet3/1/2和Ethernet4/1/2加入到VLAN 3中。

2. 组网图

略。

3. 配置步骤

# 创建VLAN 2并进入其视图。

<H3C> system-view

[H3C] vlan 2

# 向VLAN 2中加入端口Ethernet3/1/1和Ethernet4/1/1。

[H3C-vlan2] port ethernet3/1/1 ethernet4/1/1

# 创建VLAN 3并进入其视图。

[H3C-vlan2] vlan 3

# 向VLAN 3中加入端口Ethernet3/1/2和Ethernet4/1/2。

[H3C-vlan3] port ethernet3/1/2 ethernet4/1/2

1.9.2  协议VLAN、IP子网VLAN的配置举例

1. 组网需求

从端口Ethernet2/1/48进入的都是无标签报文。

通过以下配置后，实现：

l              从端口Ethernet2/1/48进入的10.11.113.0/24网段的报文从端口Ethernet2/1/1出去；

l              从端口Ethernet2/1/48进入的其他网段的IP报文从端口Ethernet2/1/5出去；

l              从端口Ethernet2/1/48进入的其他非IP报文从端口Ethernet2/1/3出去。

2. 组网图

图1-1 协议VLAN、IP子网VLAN的配置组网图

3. 配置步骤

# 配置IP子网VLAN。

<H3C> system-view

[H3C] vlan 10

[H3C-vlan10] ip-subnet-vlan ip 10.11.113.0 24

[H3C-vlan10] port ethernet 2/1/1

[H3C-vlan10] quit

# 配置协议VLAN。

[H3C] vlan 20

[H3C-vlan20] protocol-vlan ip

[H3C-vlan20] port ethernet 2/1/3

[H3C-vlan20] quit

# 配置出端口。

[H3C] vlan 30

[H3C-vlan30] port ethernet 2/1/5

[H3C-vlan30] quit

# 配置入端口。

[H3C] interface ethernet 2/1/48

[H3C-Ethernet2/1/48] port link-type hybrid

[H3C-Ethernet2/1/48] port hybrid vlan 10 20 30 untagged

[H3C-Ethernet2/1/48] port hybrid pvid vlan 30

# 将协议下发到端口。

[H3C-Ethernet2/1/48] port hybrid ip-subnet-vlan vlan 10

[H3C-Ethernet2/1/48] port hybrid protocol-vlan vlan 20 all

第2章  Super VLAN配置

下表列出了本章所包含的内容。

2.1  Super VLAN简介

Super VLAN又称为VLAN聚合（VLAN Aggregation），其原理是一个Super VLAN包含多个Sub VLAN，Super VLAN可配置虚接口的IP地址。每个Sub VLAN是一个广播域，不同Sub VLAN之间二层相互隔离，Sub VLAN不能配置虚接口IP地址。当Sub VLAN内的用户需要进行三层通信时，将使用Super VLAN的虚接口的IP地址作为网关地址，这样多个VLAN共享一个IP地址，从而节省了IP地址资源。同时，为了实现不同Sub VLAN间的三层互通及Sub VLAN与其他网络的互通，需要利用ARP代理功能。通过ARP代理可以进行ARP请求和响应报文的转发与处理，从而实现了二层隔离端口间的三层互通。缺省状态下，Sub VLAN下的ARP代理功能是关闭的。

2.2  Super VLAN配置

Super VLAN的主要配置包括：

l              配置VLAN类型为Super VLAN

l              配置Sub VLAN

l              配置Super VLAN和Sub VLAN之间的映射关系

l              使能Sub VLAN的 ARP代理功能

Super VLAN的配置过程如下：

表2-1 Super VLAN的配置

2.3  Super VLAN的配置举例

1. 组网需求

(1)        创建Super VLAN 10

(2)        创建Sub VLAN：VLAN 2、VLAN 3、VLAN 5

l              VLAN 2包括端口Ethernet3/1/1和端口Ethernet3/1/2；

l              VLAN 3包括端口Ethernet3/1/3和端口Ethernet3/1/4；

l              VLAN 5包括端口Ethernet3/1/5和端口Ethernet3/1/6。

要求通过配置使得各Sub VLAN的用户之间能够满足二层隔离和三层互通。

2. 组网图

图2-1 Super VLAN配置组网图

3. 配置步骤

<H3C> system-view

System View: return to User View with Ctrl+Z.

[H3C] vlan 10

[H3C-vlan10] supervlan

[H3C-vlan10] vlan 2

[H3C-vlan2] port ethernet3/1/1 ethernet3/1/2

[H3C-vlan2] arp proxy enable

[H3C-vlan2] vlan 3

[H3C-vlan3] port ethernet3/1/3 ethernet3/1/4

[H3C-vlan3] arp proxy enable

[H3C-vlan3] vlan 5

[H3C-vlan5] port ethernet3/1/5 ethernet3/1/6

[H3C-vlan5] arp proxy enable

[H3C-vlan5] vlan 10

[H3C-vlan10] subvlan 2 3 5

[H3C-vlan10] interface vlan-interface 10

[H3C-Vlan-interface10] ip address 10.110.1.1 255.255.255.0

[H3C-Vlan-interface10] quit

第3章  Isolate-user-VLAN配置

下表列出了本章所包含的内容。

3.1  Isolate-user-VLAN简介

Isolate-user-vlan采用二层VLAN结构，它在同一台设备上配置Isolate-user-vlan

和Secondary VLAN两类VLAN。

(1)        Isolate-user-vlan用于上行，不同的Secondary VLAN关联到同一个Isolate-user-vlan。上行连接的设备只知道Isolate-user-vlan，而不知道Secondary VLAN，简化了网络配置，节省了VLAN资源；

(2)        Secondary VLAN用于连接用户，Secondary VLAN之间二层报文互相隔离；

(3)        一个Isolate-user-vlan可以和多个Secondary VLAN相对应。Isolate-user-vlan下面的Secondary VLAN对上行设备不可见。

如图3-1所示，Switch B上启动了Isolated-user-VLAN功能。其中VLAN 10是Isolated-user-VLAN；VLAN 2、VLAN 5和VLAN 8是Secondary VLAN；VLAN 2、VLAN 5和VLAN 8都映射到VLAN 10；VLAN 2、VLAN 5和VLAN 8对Switch A不可见。

图3-1 Isolate-user-VLAN和Secondary VLAN示意图

3.2  Isolate-user-VLAN配置任务

3.2.1  Isolate-user-VLAN配置任务简介

表3-1 Isolate-user-VLAN配置任务简介

3.2.2  配置Isolate-user-VLAN

表3-2 配置Isolate-user-VLAN

3.2.3  配置Secondary VLAN

表3-3 配置Secondary VLAN

3.2.4  配置Isolate-user-VLAN和Secondary VLAN间的映射关系

表3-4 配置Isolate-user-VLAN和Secondary VLAN间的映射关系

1. 配置Isolate-user-VLAN和Secondary VLAN间的映射关系时

(1)        如果Isolate-user-VLAN内包含端口

l              对于Hybrid端口，如果端口的缺省的VLAN ID与Isolate-user-VLAN一致，且端口以Untagged方式属于Isolate-user-VLAN，则符合该条件的所有Hybrid端口系统会做配置同步：端口会以Untagged方式加入Secondary VLAN；如果不符合该条件的Hybrid端口，则不做处理。

l              对于Access端口，系统会做配置同步：将端口类型设为Hybrid端口，设置端口缺省的VLAN ID与Isolate-user-VLAN一致，且以Untagged方式加入Isolate-user-VLAN和Secondary VLAN。

(2)        如果Secondary VLAN内包含端口

l              对于Hybrid端口，如果端口的缺省的VLAN ID与Secondary VLAN一致，且端口以Untagged方式属于Secondary VLAN，则符合该条件的所有Hybrid端口系统会做配置同步：端口会以Untagged方式加入Isolate-user-VLAN；如果不符合该条件，则不做处理。

l              对于Access端口，系统会做配置同步：将端口类型设为Hybrid口，设置端口缺省的VLAN ID与Secondary VLAN一致，且以Untagged方式加入Isolate-user-VLAN和Secondary VLAN。

2. 建立Isolate-user-VLAN和Secondary VLAN映射关系后

l              Access端口不能加入Isolate-user-VLAN以及Secondary VLAN；

l              Hybrid端口可以加入或者退出Isolate-user-VLAN以及Secondary VLAN。但是，在映射关系建立后加入Isolate-user-VLAN或Secondary VLAN的Hybrid端口，系统不会再做配置同步。

3.3  Isolate-user-VLAN显示

在完成上述配置后，在所有视图下执行display命令可以显示配置后Isolate-user-VLAN的运行情况，通过查看显示信息验证配置的效果。

表3-5 Isolate-user-VLAN的显示

3.4  Isolate-user-VLAN典型配置举例

1. 组网需求

Switch A交换机连接Switch B、Switch C交换机。

(1)        Switch B上

VLAN 5为Isolate-user-VLAN，包含上行端口Ethernet2/1/1和两个Secondary VLAN：VLAN 2和VLAN 3，VLAN 2包含端口Ethernet2/1/2，VLAN 3包含端口Ethernet2/1/3；

(2)        Switch C上

VLAN 6为Isolate-user-VLAN，包含上行端口Ethernet2/1/1和两个Secondary VLAN：VLAN 3和VLAN 4，VLAN 3包含端口Ethernet2/1/3，VLAN 4包含端口Ethernet2/1/4。

通过以上配置，从Switch A上看，下接的Switch B、Switch C都只有一个VLAN：VLAN 5和VLAN 6。

2. 组网图

图3-2 Isolate-user-VLAN配置组网图

3. 配置步骤

下面只列出Switch B和Switch C的配置过程。

(1)        配置Switch B

# 配置Isolate-user-VLAN。

<H3C> system-view

[H3C] vlan 5

[H3C-vlan5] isolate-user-vlan enable

[H3C-vlan5] port ethernet2/1/1

# 配置Secondary VLAN。

[H3C-vlan5] vlan 3

[H3C-vlan3] port ethernet2/1/3

[H3C-vlan3] vlan 2

[H3C-vlan2] port ethernet2/1/2

# 配置Isolate-user-VLAN和Secondary VLAN间的映射关系。

[H3C-vlan2] quit

[H3C] isolate-user-vlan 5 secondary 2 to 3

(2)        配置Switch C

# 配置Isolate-user-VLAN。

<H3C> system-view

[H3C] vlan 6

[H3C-vlan6] isolate-user-vlan enable

[H3C-vlan6] port ethernet2/1/1

# 配置Secondary VLAN。

[H3C-vlan6] vlan 3

[H3C-vlan3] port ethernet2/1/3

[H3C-vlan3] vlan 4

[H3C-vlan4] port ethernet2/1/4

# 配置Isolate-user-VLAN和Secondary VLAN间的映射关系。

[H3C-vlan4] quit

[H3C] isolate-user-vlan 6 secondary 3 to 4