03-VLAN配置
本章节下载: 03-VLAN配置 (418.03 KB)
以太网是一种基于CSMA/CD(Carrier Sense Multiple Access/Collision Detect,带冲突检测的载波侦听多路访问)技术的共享通讯介质。采用以太网技术构建的局域网,既是一个冲突域,又是一个广播域,当网络中主机数目较多时会导致冲突严重,广播泛滥、性能显著下降,甚至网络不可用等问题。通过在以太网中部署网桥或二层交换机,可以解决冲突严重的问题,但仍然不能隔离广播报文。在这种情况下出现了VLAN(Virtual Local Area Network,虚拟局域网)技术,这种技术可以把一个物理LAN划分成多个逻辑的LAN——VLAN。处于同一VLAN的主机能直接互通,而处于不同VLAN的主机则不能直接互通。这样,广播报文被限制在同一个VLAN内,即每个VLAN是一个广播域。如图1-1所示,VLAN 2内的主机可以互通,但与VLAN 5内的主机不能互通。
图1-1 VLAN示意图
VLAN的划分不受物理位置的限制:不在同一物理位置范围的主机可以属于同一个VLAN;一个VLAN包含的用户可以连接在同一个交换机上,也可以跨越交换机,甚至可以跨越路由器。
VLAN的优点如下:
· 限制广播域。广播域被限制在一个VLAN内,节省了带宽,提高了网络处理能力。
· 增强局域网的安全性。VLAN间的二层报文是相互隔离的,即一个VLAN内的用户不能和其它VLAN内的用户直接通信,如果不同VLAN要进行通信,则需通过路由器或三层交换机等三层设备。
· 灵活构建虚拟工作组。通过VLAN可以将不同的主机划分到不同的工作组,同一工作组的主机可以位于不同的物理位置,网络构建和维护更方便灵活。
要使网络设备能够分辨不同VLAN的报文,需要在报文中添加标识VLAN的字段。由于二层交换机工作在OSI模型的数据链路层,只能对报文的数据链路层封装进行识别。因此,如果添加识别字段,也需要添加到数据链路层封装中。
IEEE(Institute of Electrical and Electronics Engineers,电气和电子工程师学会)于1999年颁布了用以标准化VLAN实现方案的IEEE 802.1Q协议标准草案,对带有VLAN标识的报文结构进行了统一规定。
传统的以太网报文在目的MAC地址和源MAC地址之后封装的是上层协议的类型字段,如图1-2所示,其中DA表示目的MAC地址,SA表示源MAC地址,Type表示上层协议的类型。
IEEE 802.1Q协议规定,在以太网报文的目的MAC地址和源MAC地址之后、协议类型字段之前加入4个字节的VLAN Tag,用以标识VLAN的相关信息,如图1-3所示。
图1-3 VLAN Tag的组成字段
如图1-3所示,VLAN Tag包含四个字段,分别是TPID(Tag Protocol Identifier,标签协议标识符)、Priority、CFI(Canonical Format Indicator,标准格式指示位)和VLAN ID。
· TPID用来表示报文是否带有VLAN Tag,长度为16比特,缺省情况下,TPID取值为0x8100,表示数据帧中包括VLAN Tag。但各设备厂商可以自定义该字段的值。当邻居设备将TPID值配置为非0x8100时,为了能够识别这样的报文,实现互通,必须在本设备上修改TPID值,确保和邻居设备的TPID值配置一致。如果报文的TPID值为配置值或0x8100,则该报文被认为带有VLAN Tag。
· Priority用来表示报文的802.1p优先级,长度为3比特,相关内容请参见“ACL和QoS配置指导”中的“QoS”。
· CFI用来表示MAC地址在不同的传输介质中是否以标准格式进行封装,长度为1比特。取值为0表示MAC地址以标准格式进行封装,为1表示以非标准格式封装,缺省取值为0。
· VLAN ID用来表示该报文所属VLAN的编号,长度为12比特,取值范围为0~4095。由于0和4095为协议保留取值,所以VLAN ID的取值范围为1~4094。
网络设备根据报文是否携带VLAN Tag以及携带的VLAN Tag信息,来对报文进行处理,利用VLAN ID来识别报文所属的VLAN。详细的处理方式请参见“1.4.1 基于端口的VLAN简介”。
· 以太网支持Ethernet II、802.3/802.2 LLC、802.3/802.2 SNAP和802.3 raw封装格式,本文以Ethernet II型封装为例。802.3/802.2 LLC、802.3/802.2 SNAP和802.3 raw封装格式添加VLAN Tag字段的方式请参见相关协议规范。
· 对于带有多层VLAN Tag的报文,设备会根据其最外层VLAN Tag进行处理,而内层VLAN Tag会被视为报文的普通数据部分。
VLAN根据划分方式不同可以分为不同类型,下面列出了几种最常见的VLAN类型:
· 基于MAC地址的VLAN
· 基于IP子网的VLAN
设备目前仅支持基于端口和基于MAC地址的VLAN。本章将分别介绍基于端口的VLAN、基于MAC地址的VLAN。如果某个接口下同时使能以上两种VLAN,则缺省情况下VLAN的匹配将按照MAC VLAN、端口VLAN的先后顺序进行。
与VLAN相关的协议规范有:
· IEEE 802.1Q:IEEE Standard for Local and Metropolitan Area Networks: Virtual Bridged Local Area Networks
表1-1 配置VLAN基本属性
创建一个VLAN并进入VLAN视图,或批量创建VLAN |
缺省情况下,系统只有一个缺省VLAN(VLAN 1) |
|
进入VLAN视图 |
批量创建VLAN时,为必选;否则,无需执行本命令 |
|
指定当前VLAN的名称 |
缺省情况下,VLAN的名称为“VLAN vlan-id”,其中vlan-id为该VLAN的编号。例如,VLAN 100的名称为“VLAN 0100” |
|
配置当前VLAN的描述信息 |
缺省情况下,VLAN的描述信息为“VLAN vlan-id”,其中vlan-id为该VLAN的编号。例如,VLAN 100的描述信息为“VLAN 0100” |
· VLAN 1为系统缺省VLAN,用户不能手工创建和删除。
· 保留VLAN是系统为实现特定功能预留的VLAN,用户也不能手工创建和删除。
· 协议保留的VLAN、管理VLAN、动态学习到的VLAN、配置有QoS策略的VLAN,都不能使用undo vlan命令直接删除。只有将相关配置删除之后,才能删除相应的VLAN。
不同VLAN间的主机不能直接通信,通过在设备上配置VLAN接口,可以实现VLAN间的三层互通。
VLAN接口是一种三层的虚拟接口,它不作为物理实体存在于设备上。每个VLAN对应一个VLAN接口,在为VLAN接口配置了IP地址后,该IP地址即可作为本VLAN内网络设备的网关地址,对需要跨网段的报文进行基于IP地址的三层转发。
表1-2 配置VLAN接口基本属性
创建VLAN接口并进入VLAN接口视图 |
如果该VLAN接口已经存在,则直接进入该VLAN接口视图 |
|
配置VLAN接口的IP地址 |
缺省情况下,没有配置VLAN接口的IP地址 |
|
配置当前VLAN接口的描述信息 |
缺省情况下,VLAN接口的描述信息为该VLAN接口的接口名,如“Vlan-interface1 Interface” |
|
配置VLAN接口的MTU值 |
缺省情况下,VLAN接口的MTU值为1500字节 |
|
恢复VLAN接口的缺省配置 |
||
缺省情况下,未手工关闭VLAN接口。此时VLAN接口状态受VLAN中端口状态的影响,即:当VLAN中所有以太网端口状态均为down时,VLAN接口为down状态,即关闭状态;当VLAN中有一个或一个以上的以太网端口处于up状态时,则VLAN接口处于up状态 |
在创建VLAN接口之前,对应的VLAN必须已经存在,否则将不能创建指定的VLAN接口。
l 该配置举例中对于AC设备的以太网接口的配置,请参见表1-3。实际使用中会有XGE口和GE口的情况,本配置举例以GigabitEthernet接口为例,实际使用中请以设备的实际情况为准。
表1-3 AC以太网接口配置说明
LSUM1WCME0 |
||
WX3510E WX3540E |
||
WX5510E |
||
WX2540E |
对于无线相关的特性,请直接在设备的LAN口上配置 对于路由相关的特性,比如PPPoE、RIP等,请直接在设备的WAN口配置 |
|
WAC360 WAC361 |
||
WX6100E(包括EWPXM2WCMD0、EWPXM3WCMD0、EWPXM1WCME0) |
请直接在WX6100E的无线控制器业务板与交换板相连的内部以太网接口上配置(无线控制器业务板插在WX6100E无线控制器的扩展插槽上) |
如图1-4所示,PC A、PC B与AC组网。其中PC A、PC B分别属于VLAN 5、VLAN 10,且处于不同网段,不能直接通信。通过在AC上创建并配置VLAN接口,实现不同网段的PC A与PC B跨VLAN三层互通。
图1-4 通过VLAN接口实现VLAN间互通
# 创建VLAN 5,并向VLAN 5中添加端口GE1/0/1。
[AC] vlan 5
[AC-vlan5] port GigabitEthernet 1/0/1
# 创建VLAN 10,并向VLAN 10中添加端口GE1/0/2。
[AC-vlan10] port GigabitEthernet 1/0/2
[AC-vlan10] quit
# 创建Vlan-interface5,并配置其IP地址为192.168.0.10/24。
[AC] interface vlan-interface 5
[AC-Vlan-interface5] ip address 192.168.0.10 24
[AC-Vlan-interface5] quit
# 创建Vlan-interface10,并配置其IP地址为192.168.1.20/24。
[AC] interface vlan-interface 10
[AC-Vlan-interface10] ip address 192.168.1.20 24
[AC-Vlan-interface10] return
# 将其默认网关配为192.168.0.10。
# 将其默认网关配为192.168.1.20。
(1) PC A与PC B可以相互ping通。
# 查看AC上三层接口的IP基本配置信息,验证以上配置是否生效。
<AC> display ip interface brief
*down: administratively down
(s): spoofing (l): loopback
Interface Physical Protocol IP Address Description
M-GE1/0/0 up up -- --
Vlan5 up up 192.168.0.10 Vlan-inte...
Vlan10 up up 192.168.1.20 Vlan-inte...
基于端口划分VLAN是最简单、最有效的VLAN划分方法。它按照设备端口来定义VLAN成员,将指定端口加入到指定VLAN中之后,端口就可以转发该VLAN的报文。
根据端口在转发报文时对VLAN Tag的不同处理方式,可将端口的链路类型分为三种:
· Access连接:端口发出去的报文不带VLAN Tag。一般用于和不能识别VLAN Tag的终端设备相连,或者不需要区分不同VLAN成员时使用。如图1-5所示,Device A和普通的PC相连,PC不能识别带VLAN Tag的报文,所以需要将Device A和PC相连端口的链路类型设置为Access。
· Trunk连接:端口发出去的报文,端口缺省VLAN内的报文不带Tag,其它VLAN内的报文都必须带Tag。通常用于网络传输设备之间的互连。如图1-5所示,Device A和Device B之间需要传输VLAN 2和VLAN 3的报文,所以,需要将Device A和Device B相连端口的链路类型设置为Trunk,并允许VLAN 2和VLAN 3通过。
· Hybrid连接:端口发出去的报文可根据需要配置某些VLAN内的报文带Tag,某些VLAN内的报文不带Tag。通常在不确定相连的设备是否支持VLAN Tag(即是否可以识别携带VLAN Tag的报文)时,配置某些VLAN内的报文不带Tag。如图1-5所示,Device C与一个小局域网相连,局域网中有些PC属于VLAN 2,有些PC属于VLAN 3,此时Device B不确定Device C是否支持VLAN Tag,需要将与Device C相连端口的链路类型设置为Hybrid,并允许VLAN 2和VLAN 3的报文不带Tag通过。
除了可以设置端口允许通过的VLAN外,还可以设置端口的缺省VLAN,即PVID(Port VLAN ID,端口VLAN ID)。在缺省情况下,所有端口的缺省VLAN均为VLAN 1,但用户可以根据需要进行配置。
· Access端口的缺省VLAN就是它所在的VLAN。
· Trunk端口和Hybrid端口可以允许多个VLAN通过,能够配置缺省VLAN。
· 当执行undo vlan命令删除的VLAN是某个端口的缺省VLAN时,对Access端口,端口的缺省VLAN会恢复到VLAN 1;对Trunk或Hybrid端口,端口的缺省VLAN配置不会改变,即它们可以使用已经不存在的VLAN作为缺省VLAN。
· 建议本端设备端口的缺省VLAN ID和相连的对端设备端口的缺省VLAN ID保持一致。
· 建议保证端口的缺省VLAN为端口允许通过的VLAN。如果端口不允许某VLAN通过,但是端口的缺省VLAN为该VLAN,则端口会丢弃收到的该VLAN的报文或者不带VLAN Tag的报文。
在配置了端口链路类型和缺省VLAN后,端口对报文的接收和发送的处理有几种不同情况,具体情况请参看表1-4。
Access端口 |
为报文添加缺省VLAN的Tag |
· 当VLAN ID与缺省VLAN ID相同时,接收该报文 · 当VLAN ID与缺省VLAN ID不同时,丢弃该报文 |
去掉Tag,发送该报文 |
Trunk端口 |
· 当缺省VLAN ID在端口允许通过的VLAN ID列表里时,接收该报文,给报文添加缺省VLAN的Tag · 当缺省VLAN ID不在端口允许通过的VLAN ID列表里时,丢弃该报文 |
· 当VLAN ID在端口允许通过的VLAN ID列表里时,接收该报文 · 当VLAN ID不在端口允许通过的VLAN ID列表里时,丢弃该报文 |
· 当VLAN ID与缺省VLAN ID相同,且是该端口允许通过的VLAN ID时:去掉Tag,发送该报文 · 当VLAN ID与缺省VLAN ID不同,且是该端口允许通过的VLAN ID时:保持原有Tag,发送该报文 |
Hybrid端口 |
当报文中携带的VLAN ID是该端口允许通过的VLAN ID时,发送该报文,并可以通过port hybrid vlan命令配置端口在发送该VLAN(包括缺省VLAN)的报文时是否携带Tag |
配置基于Access端口的VLAN有两种方法:一种是在VLAN视图下进行配置,另一种是在接口视图下进行配置。
表1-5 配置基于Access端口的VLAN(在VLAN视图下)
进入VLAN视图 |
||
向当前VLAN中添加一个或一组Access端口 |
表1-6 配置基于Access端口的VLAN(在接口视图下)
· WLAN-ESS接口和二层以太网接口视图下的配置都只对当前接口生效 · 二层聚合接口视图下的配置对当前二层聚合接口及其所有成员端口都生效,若配置二层聚合接口时失败,则不再配置其成员端口,若配置某成员端口时失败,系统会自动跳过该成员端口继续配置其它成员端口 |
|||
将当前Access端口加入到指定VLAN |
port access vlan vlan-id |
缺省情况下,所有Access端口都属于且只属于VLAN 1 |
· 在将Access端口加入到指定VLAN之前,要加入的VLAN必须已经存在。
· 在VLAN视图下向VLAN中添加端口时,只能添加二层以太网端口。
Trunk端口可以允许多个VLAN通过,只能在接口视图下进行配置。
表1-7 配置基于Trunk端口的VLAN
· 二层聚合接口视图下的配置对当前二层聚合接口及其所有成员端口都生效,若配置二层聚合接口时失败,则不再配置其成员端口,若配置某成员端口时失败,系统会自动跳过该成员端口继续配置其它成员端口 |
|||
允许指定的VLAN通过当前Trunk端口 |
port trunk permit vlan { vlan-list | all } |
缺省情况下,Trunk端口只允许VLAN 1的报文通过 |
|
设置Trunk端口的缺省VLAN |
port trunk pvid vlan vlan-id |
缺省情况下,Trunk端口的缺省VLAN为VLAN 1 |
· Trunk端口和Hybrid端口之间不能直接切换,只能先设为Access端口,再设置为其它类型端口。
· 配置缺省VLAN后,必须使用port trunk permit vlan命令配置允许缺省VLAN的报文通过,出接口才能转发缺省VLAN的报文。
Hybrid端口可以允许多个VLAN通过,只能在接口视图下进行配置。
表1-8 配置基于Hybrid端口的VLAN
· WLAN-ESS接口和二层以太网接口视图下的配置都只对当前端口生效 · 二层聚合接口视图下的配置对当前二层聚合接口及其所有成员端口都生效,若配置二层聚合接口时失败,则不再配置其成员端口,若配置某成员端口时失败,系统会自动跳过该成员端口继续配置其它成员端口 |
|||
允许指定的VLAN通过当前Hybrid端口 |
缺省情况下,Hybrid端口只允许VLAN 1的报文以Untagged方式通过(即VLAN 1的报文从该端口发送出去后不携带VLAN Tag) |
||
设置Hybrid端口的缺省VLAN |
port hybrid pvid vlan vlan-id |
缺省情况下,Hybrid端口的缺省VLAN为VLAN 1 |
· Trunk端口和Hybrid端口之间不能直接切换,只能先设为Access端口,再设置为其它类型端口。
· 在设置允许指定的VLAN通过Hybrid端口之前,允许通过的VLAN必须已经存在。
· 配置缺省VLAN后,必须使用port hybrid vlan命令配置允许缺省VLAN的报文通过,出接口才能转发缺省VLAN的报文。
l 该配置举例中对于AC设备的以太网接口的配置,请参见表1-9。实际使用中会有XGE口和GE口的情况,本配置举例以GigabitEthernet接口为例,实际使用中请以设备的实际情况为准。
表1-9 AC以太网接口配置说明
LSUM1WCME0 |
||
WX3510E WX3540E |
||
WX5510E |
||
WX2540E |
对于无线相关的特性,请直接在设备的LAN口上配置 对于路由相关的特性,比如PPPoE、RIP等,请直接在设备的WAN口配置 |
|
WAC360 WAC361 |
||
WX6100E(包括EWPXM2WCMD0、EWPXM3WCMD0、EWPXM1WCME0) |
请直接在WX6100E的无线控制器业务板与交换板相连的内部以太网接口上配置(无线控制器业务板插在WX6100E无线控制器的扩展插槽上) |
· Host A和Host C属于部门A,但是通过不同的设备接入公司网络;Host B和Host D属于部门B,也通过不同的设备接入公司网络。
· 为了通信的安全性,也为了避免广播报文泛滥,公司网络中使用VLAN技术来隔离部门间的二层流量。其中部门A使用VLAN 100,部门B使用VLAN 200。
· 现要求不管是否使用相同的设备接入公司网络,同一VLAN内的主机能够互通。即Host A和Host C能够互通,Host B和Host D能够互通。
# 创建VLAN 100,并将GE1/0/2加入VLAN 100。
[AC1] vlan 100
[AC1-vlan100] port Gigabitethernet 1/0/2
[AC1-vlan100] quit
# 创建VLAN 200,并将GE1/0/3加入VLAN 200。
[AC1-vlan200] port GigabitEthernet 1/0/3
[AC1-vlan200] quit
# 为了使AC 1上VLAN 100和VLAN 200的报文能发送给AC 2,将GE1/0/4的链路类型配置为Trunk,并允许VLAN 100和VLAN 200的报文通过。
[AC1] interface GigabitEthernet 1/0/4
[AC1-GigabitEthernet1/0/4] port link-type trunk
[AC1-GigabitEthernet1/0/4] port trunk permit vlan 100 200
Please wait... Done.
(2) AC 2上的配置与AC 1上的配置完全一样,不再赘述。
(3) 将Host A和Host C配置在一个网段,比如192.168.100.0/24;将Host B和Host D配置在一个网段,比如192.168.200.0/24。
(1) Host A和Host C能够互相ping通,但是均不能ping通Host B。Host B和Host D能够互相ping通,但是均不能ping通Host A。
# 查看AC 1上VLAN 100和VLAN 200的配置信息,验证以上配置是否生效。
[AC1-GigabitEthernet1/0/4] display vlan 100
VLAN ID: 100
VLAN Type: static
Route Interface: not configured
Description: VLAN 0100
Name: VLAN 0100
Broadcast MAX-ratio: 100%
Tagged Ports:
GigabitEthernet1/0/4
Untagged Ports:
GigabitEthernet1/0/2
[AC1-GigabitEthernet1/0/4] display vlan 200
VLAN ID: 200
VLAN Type: static
Route Interface: not configured
Description: VLAN 0200
Name: VLAN 0200
Broadcast MAX-ratio: 100%
Tagged Ports:
GigabitEthernet1/0/4
Untagged Ports:
GigabitEthernet1/0/3
基于MAC划分VLAN是VLAN的另一种划分方法。它按照报文的源MAC地址来定义VLAN成员,将指定报文加入该VLAN的Tag后发送。该功能通常会和安全(比如802.1X)技术联合使用,以实现终端的安全、灵活接入。
手动配置静态MAC VLAN常用于VLAN中用户相对较少的网络环境。在该方式下,用户需要手动配置MAC VLAN表项,使能基于MAC地址的VLAN功能,并将端口加入MAC VLAN。其原理为:
· 当端口收到的报文为Untagged报文时,根据报文的源MAC匹配MAC VLAN表项。首先进行模糊匹配,即查询表中MASK不是全F的表项,将源MAC和MASK相与后与MAC VLAN表项中的MAC地址匹配,如果完全相同,则模糊匹配成功,给报文添加表项中指定的VLAN ID并转发该报文;如果模糊匹配失败,则进行精确匹配,即查询表中MASK为全F的表项。如果报文中的源MAC与MAC VLAN表项中的MAC地址完全相同,则精确匹配成功,给报文添加表项中指定的VLAN ID并转发该报文;在对与MAC VLAN表项匹配成功的报文进行转发时,根据MAC VLAN的优先级(MAC地址对应VLAN的802.1p优先级)高低来决定报文的转发策略。如果没有找到匹配MAC VLAN表项,则继续按照其它原则(如IP子网、协议等)进行匹配。如果匹配成功,则转发报文;如果匹配均失败,则给报文添加端口的缺省VLAN ID并转发该报文。
· 当端口收到的报文为Tagged报文时,如果报文的VLAN ID在该端口允许通过的VLAN ID列表里,则转发该报文;如果报文的VLAN ID不在端口允许通过的VLAN ID列表里,则丢弃该报文。
· 在端口加入MAC VLAN表项中相应的VLAN时,若端口未配置允许该VLAN通过,则端口自动以Untagged方式加入该VLAN。
· 当端口收到的报文与MAC VLAN表项匹配,对该报文进行转发时,根据MAC VLAN的优先级(MAC地址对应VLAN的802.1p优先级)高低来决定报文的转发策略。
动态MAC VLAN需要和接入认证(比如基于MAC地址的802.1X认证)配合使用,以实现终端的安全、灵活接入。用户在设备上配置动态MAC VLAN功能以后,还需要在接入认证服务器上配置用户名和VLAN的绑定关系。
如果用户发起认证请求,接入认证服务器先对用户名和密码进行验证,如果验证通过,服务器下发VLAN信息。此时设备根据请求报文的源MAC地址和下发的VLAN信息生成MAC VLAN表项,并将MAC VLAN添加到端口允许通过的VLAN列表中。用户下线后,设备自动删除MAC VLAN表项,并将MAC VLAN从端口允许通过的VLAN列表中删除。
接入认证的相关内容请参见“安全配置指导”中的“802.1X”、“MAC地址认证”和“Portal”。
配置MAC地址与VLAN关联 |
mac-vlan mac-address mac-address [ mask mac-mask ] vlan vlan-id [ priority priority ] |
||
· WLAN-ESS接口和以太网接口视图下的配置只对当前端口生效 |
|||
允许基于MAC的VLAN通过当前Hybrid端口 |
缺省情况下,所有Hybrid端口只允许VLAN 1通过 |
||
使能基于MAC地址划分VLAN的功能 |
缺省情况下,未使能基于MAC地址划分VLAN的功能 |
· WLAN-ESS接口和以太网接口视图下的配置只对当前端口生效 |
|||
允许基于MAC的VLAN通过当前Hybrid端口 |
缺省情况下,所有Hybrid端口只允许VLAN 1通过 |
||
使能基于MAC地址划分VLAN的功能 |
缺省情况下,未使能基于MAC地址划分VLAN的功能 |
||
配置MAC地址认证 |
请参见“安全命令参考”中的“MAC地址认证” |
||
l 该配置举例中对于AC设备的以太网接口的配置,请参见表1-12。实际使用中会有XGE口和GE口的情况,本配置举例以GigabitEthernet接口为例,实际使用中请以设备的实际情况为准。
表1-12 AC以太网接口配置说明
LSUM1WCME0 |
||
WX3510E WX3540E |
||
WX5510E |
||
WX2540E |
对于无线相关的特性,请直接在设备的LAN口上配置 对于路由相关的特性,比如PPPoE、RIP等,请直接在设备的WAN口配置 |
|
WAC360 WAC361 |
||
WX6100E(包括EWPXM2WCMD0、EWPXM3WCMD0、EWPXM1WCME0) |
请直接在WX6100E的无线控制器业务板与交换板相连的内部以太网接口上配置(无线控制器业务板插在WX6100E无线控制器的扩展插槽上) |
· 如图1-7所示,AC 1和AC 2的WLAN-ESS 1端口分别连接到两个会议室,Client1和Client 2是会议用笔记本电脑,会在两个会议室间移动使用。
· Client 1和Client 2分别属于两个部门,两个部门间使用VLAN 100和VLAN 200进行隔离。现要求这两台笔记本电脑无论在哪个会议室使用,均只能访问自己部门的服务器,即Server1和Server2。
· Client 1和Client 2的MAC地址分别为000d-88F8-4E71和0014-222C-AA69。
图1-7 基于MAC的VLAN组网图
· 创建VLAN 100、VLAN 200。
· 配置AC 1和AC 2的上行端口为Trunk端口,并允许VLAN 100和VLAN 200的报文通过。
· 配置 Device 的下行端口为Trunk端口,并允许VLAN 100和VLAN 200的报文通过;上行端口分别加入VLAN 100、VLAN 200。
· Client 1和Client 2的MAC地址分别与VLAN 100、VLAN 200关联。
(1) AC 1的配置
# 创建VLAN 100和VLAN 200。
[AC1] vlan 100
[AC1-vlan100] quit
[AC1] vlan 200
[AC1-vlan200] quit
# 将Client1的MAC地址与VLAN 100关联,Client2的MAC地址与VLAN 200关联。
[AC1] mac-vlan mac-address 000d-88f8-4e71 vlan 100
[AC1] mac-vlan mac-address 0014-222c-aa69 vlan 200
# 配置终端的接入端口:Client 1和Client 2均可能从WLAN-ESS 1接入,将WLAN-ESS 1的端口类型配置为Hybrid,并使其在发送VLAN 100和VLAN 200的报文时去掉VLAN Tag;开启WLAN-ESS 1端口的MAC-VLAN功能。
[AC1-WLAN-ESS1] port link-type hybrid
[AC1-WLAN-ESS1] port hybrid vlan 100 200 untagged
Please wait... Done.
[AC1-WLAN-ESS1] mac-vlan enable
[AC1-WLAN-ESS1] quit
# 创建服务配置模板,配置SSID为vlan100
[AC1]wlan service-template 2 clear
[AC1-wlan-st-2]ssid vlan100
[AC1-wlan-st-2]bind wlan-ess 1
[AC1-wlan-st-2]authentication-method open-system
[AC1-wlan-st-2]service-template enable
[AC1-wlan-st-2]quit
# 创建ap1模板,
[AC1]wlan ap ap1 model wa1208e-gnp
[AC1-wlan-ap-ap1]serial-id 210235A0C509B001138
[AC1-wlan-ap-ap1]radio 1
# 将服务模板2绑定到ap1的radio1口
[AC1-wlan-ap-ap1]service-template 2
[AC1-wlan-ap-ap1]radio enable
[AC1-wlan-ap-ap1]quit
# 为了终端能够访问Server1和Server2,需要将上行端口GE1/0/2的端口类型配置为Trunk,并允许VLAN 100和VLAN 200的报文通过。
[AC1] interface GigabitEthernet 1/0/2
[AC1-GigabitEthernet1/0/2] port link-type trunk
[AC1-GigabitEthernet1/0/2] port trunk permit vlan 100 200
[AC1-GigabitEthernet1/0/2] quit
(2) Device的配置
# 创建VLAN 100和VLAN 200,并将Ethernet1/13加入VLAN 100,Ethernet1/14加入VLAN 200。
[Device] vlan 100
[Device-vlan100] port ethernet 1/13
[Device-vlan100] quit
[Device] vlan 200
[Device-vlan200] port ethernet 1/14
[Device-vlan200] quit
# 配置Ethernet1/3和Ethernet1/4端口为Trunk端口,均允许VLAN 100和VLAN 200的报文通过。
[Device] interface ethernet 1/3
[Device-Ethernet1/3] port link-type trunk
[Device-Ethernet1/3] port trunk permit vlan 100 200
[Device-Ethernet1/3] quit
[Device] interface ethernet 1/4
[Device-Ethernet1/4] port link-type trunk
[Device-Ethernet1/4] port trunk permit vlan 100 200
[Device-Ethernet1/4] quit
(3) AC 2的配置
AC 2的配置与AC 1完全一致,这里不再赘述。
(1) Client 1只能访问Server1,不能访问Server2;Client 2只能访问Server2,不能访问Server1。
(2) 在AC 1和AC 2上可以查看到Client1和VLAN 100、Client2和VLAN 200的静态MAC VLAN地址表项已经生成。
The following MAC VLAN addresses exist:
S:Static D:Dynamic
MAC ADDR MASK VLAN ID PRIO STATE
--------------------------------------------------------
000d-88f8-4e71 ffff-ffff-ffff 100 0 S
0014-222c-aa69 ffff-ffff-ffff 200 0 S
Total MAC VLAN address count:2
· 基于MAC的VLAN只能在Hybrid端口上配置。
· 基于MAC的VLAN的配置主要用于在用户的接入设备的下行端口上进行配置,因此不能与聚合功能同时使用。
在完成上述配置后,在任意视图下执行display命令可以显示配置后VLAN的运行情况,通过查看显示信息验证配置的效果。
在用户视图下执行reset命令可以清除接口统计信息。
表1-13 VLAN显示和维护
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!