端口trunk端口

i目录1VLAN1-11.
1VLAN简介·1-11.
1.
1VLAN概述1-11.
1.
2VLAN报文封装1-21.
1.
3协议规范·1-21.
2配置VLAN·1-31.
3配置VLAN基本属性·1-31.
4配置VLAN接口·1-31.
5配置基于端口的VLAN·1-41.
5.
1基于端口的VLAN简介1-41.
5.
2配置基于Access端口的VLAN·1-61.
5.
3配置基于Trunk端口的VLAN1-71.
5.
4配置基于Hybrid端口的VLAN1-71.
6配置基于MAC的VLAN1-81.
6.
1基于MAC的VLAN简介1-81.
6.
2配置基于MAC的VLAN1-111.
7配置基于IP子网的VLAN1-131.
7.
1基于IP子网的VLAN简介1-131.
7.
2配置基于IP子网的VLAN1-131.
8配置基于协议的VLAN·1-141.
8.
1基于协议的VLAN简介1-141.
8.
2配置基于协议的VLAN1-141.
9配置VLAN组·1-151.
10配置VLAN流量统计功能1-151.
11VLAN显示和维护1-161.
12基于端口的VLAN典型配置举例1-171.
13基于MAC的VLAN典型配置举例·1-181.
14基于IP子网的VLAN典型配置举例1-201.
15基于协议的VLAN典型配置举例1-222SuperVLAN2-12.
1SuperVLAN简介·2-12.
2配置SuperVLAN·2-1ii2.
3SuperVLAN显示和维护2-32.
4SuperVLAN典型配置举例2-33PrivateVLAN·3-13.
1PrivateVLAN简介·3-13.
2PrivateVLAN配置限制和指导·3-23.
3配置PrivateVLAN·3-23.
4PrivateVLAN显示和维护·3-43.
5PrivateVLAN典型配置举例(promiscuous模式)3-53.
6PrivateVLAN典型配置举例(trunkpromiscuous模式)3-73.
7PrivateVLAN典型配置举例(trunkpromiscuous&trunksecondary模式)3-103.
8SecondaryVLAN间三层互通配置举例·3-144VoiceVLAN·4-14.
1VoiceVLAN简介4-14.
2设备识别IP电话·4-14.
2.
1OUI地址4-14.
2.
2通过LLDP自动识别IP电话·4-24.
3设备将VoiceVLAN信息通告给IP电话·4-24.
4IP电话的接入方式·4-34.
5VoiceVLAN的工作模式4-34.
5.
1VoiceVLAN的自动模式和手动模式·4-34.
5.
2VoiceVLAN的安全模式和普通模式·4-54.
6VoiceVLAN配置限制和指导·4-64.
7VoiceVLAN配置任务简介·4-64.
8配置VoiceVLAN4-64.
8.
1配置语音报文的QoS优先级4-64.
8.
2配置自动模式下的VoiceVLAN·4-74.
8.
3配置手动模式下的VoiceVLAN·4-84.
8.
4配置通过LLDP自动发现IP电话功能·4-94.
8.
5配置通过LLDP通告VoiceVLAN信息4-94.
8.
6配置通过CDP通告VoiceVLAN信息·4-104.
9VoiceVLAN显示和维护4-104.
10VoiceVLAN典型配置举例·4-114.
10.
1自动模式下VoiceVLAN的配置举例4-114.
10.
2手动模式下VoiceVLAN的配置举例4-131-11VLAN1.
1VLAN简介1.
1.
1VLAN概述以太网是一种基于CSMA/CD(CarrierSenseMultipleAccess/CollisionDetect,带冲突检测的载波侦听多路访问)技术的共享通讯介质.
采用以太网技术构建的局域网,既是一个冲突域,又是一个广播域.
当网络中主机数目较多时会导致冲突严重、广播泛滥、性能显著下降,甚至网络不可用等问题.
通过在以太网中部署网桥或二层交换机,可以解决冲突严重的问题,但仍然不能隔离广播报文.
在这种情况下出现了VLAN(VirtualLocalAreaNetwork,虚拟局域网)技术,这种技术可以把一个物理LAN划分成多个逻辑的LAN——VLAN.
处于同一VLAN的主机能直接互通,而处于不同VLAN的主机则不能直接互通.
这样,广播报文被限制在同一个VLAN内,即每个VLAN是一个广播域.
如图1-1所示,VLAN2内的主机可以互通,但与VLAN5内的主机不能互通.
图1-1VLAN示意图VLAN的划分不受物理位置的限制:物理位置不在同一范围的主机可以属于同一个VLAN;一个VLAN包含的主机可以连接在同一个交换机上,也可以跨越交换机,甚至可以跨越路由器.
VLAN根据划分方式不同可以分为不同类型.
基于端口划分VLAN是其中最简单、最有效的VLAN划分方式.
它按照设备端口来定义VLAN成员,将指定端口加入到指定VLAN中之后,端口就可以转发该VLAN的报文.
本章将介绍基于端口的VLAN.
VLAN的优点如下:限制广播域.
广播域被限制在一个VLAN内,节省了带宽,提高了网络处理能力.
增强局域网的安全性.
VLAN间的二层报文是相互隔离的,即一个VLAN内的主机不能和其他VLAN内的主机直接通信,如果不同VLAN要进行通信,则需通过路由器或三层交换机等三层设备.
灵活构建虚拟工作组.
通过VLAN可以将不同的主机划分到不同的工作组,同一工作组的主机可以位于不同的物理位置,网络构建和维护更方便灵活.
1-21.
1.
2VLAN报文封装要使网络设备能够分辨不同VLAN的报文,需要在报文中添加标识VLAN的字段.
IEEE802.
1Q协议规定,在以太网报文的目的MAC地址和源MAC地址字段之后、协议类型字段之前加入4个字节的VLANTag,用以标识VLAN的相关信息.
图1-2VLANTag的组成字段如图1-2所示,VLANTag包含四个字段,分别是TPID(TagProtocolIdentifier,标签协议标识符)、Priority、CFI(CanonicalFormatIndicator,标准格式指示位)和VLANID.
TPID:协议规定TPID取值为0x8100时表示报文带有VLANTag,但各设备厂商可以自定义该字段的值.
当邻居设备将TPID值配置为非0x8100时,为了能够识别这样的报文,实现互通,必须在本设备上修改TPID值,确保和邻居设备的TPID值配置一致.
如果报文的TPID值为配置值或0x8100,则该报文被认为带有VLANTag.
配置TPID值的相关命令请参见"二层技术-以太网交换命令参考"中的"QinQ".
Priority:用来表示报文的802.
1p优先级,长度为3比特,相关内容请参见"ACL和QoS配置指导/QoS"中的"附录".
CFI:用来表示MAC地址在不同的传输介质中是否以标准格式进行封装,长度为1比特.
取值为0表示MAC地址以标准格式进行封装,为1表示以非标准格式封装.
在以太网中,CFI取值为0.
VLANID:用来表示该报文所属VLAN的编号,长度为12比特.
由于0和4095为协议保留取值,所以VLANID的取值范围为1~4094.
网络设备根据报文是否携带VLANTag以及携带的VLANTag信息,来对报文进行处理,利用VLANID来识别报文所属的VLAN.
详细的处理方式请参见"1.
5.
1基于端口的VLAN简介".
以太网支持EthernetII、802.
3/802.
2LLC、802.
3/802.
2SNAP和802.
3raw封装格式,本文以EthernetII型封装为例.
802.
3/802.
2LLC、802.
3/802.
2SNAP和802.
3raw封装格式添加VLANTag字段的方式请参见相关协议规范.
对于携带有多层VLANTag的报文,设备会根据其最外层VLANTag进行处理,而内层VLANTag会被视为报文的普通数据部分.
1.
1.
3协议规范与VLAN相关的协议规范有:IEEE802.
1Q:IEEEStandardforLocalandMetropolitanAreaNetworks-VirtualBridgedLocalAreaNetworks1-31.
2配置VLAN1.
3配置VLAN基本属性配置命令说明进入系统视图system-view-(可选)创建一个VLAN并进入VLAN视图,或批量创建VLANvlan{vlan-id-list|all}缺省情况下,系统只有一个缺省VLAN(VLAN1)进入VLAN视图vlanvlan-id批量创建VLAN时,为必选;否则,无需执行本命令指定VLAN的名称nametext缺省情况下,VLAN的名称为"VLANvlan-id",其中vlan-id为该VLAN的四位数编号,如果该VLAN的编号不足四位,则会在编号前增加0,补齐四位.
例如,VLAN100的名称为"VLAN0100"配置VLAN的描述信息descriptiontext缺省情况下,VLAN的描述信息为"VLANvlan-id",其中vlan-id为该VLAN的四位数编号,如果该VLAN的编号不足四位,则会在编号前增加0,补齐四位.
例如,VLAN100的描述信息为"VLAN0100"VLAN1为系统缺省VLAN,用户不能手工创建和删除.
动态学习到的VLAN,以及被其他应用锁定不让删除的VLAN,都不能使用undovlan命令直接删除.
只有将相关配置删除之后,才能删除相应的VLAN.
1.
4配置VLAN接口不同VLAN间的主机不能直接通信,通过在设备上创建并配置VLAN接口,可以实现VLAN间的三层互通.
VLAN接口是一种三层的虚拟接口,它不作为物理实体存在于设备上.
每个VLAN对应一个VLAN接口,在为VLAN接口配置了IP地址后,该IP地址即可作为本VLAN内网络设备的网关地址,此时该VLAN接口能对需要跨网段的报文进行三层转发.
配置VLAN接口基本属性时,需要注意:在创建VLAN接口之前,对应的VLAN必须已经存在,否则将不能创建指定的VLAN接口.
不能对SubVLAN及在PrimaryVLANinterface下配置了三层互通的SecondaryVLAN创建对应的VLAN接口.
有关SubVLAN的详细介绍,请参见"二层技术-以太网交换配置指导"中的"SuperVLAN";有关SecondaryVLAN的详细介绍,请参见"二层技术-以太网交换配置指导"中的"PrivateVLAN".
1-4表1-1配置VLAN接口基本属性配置命令说明进入系统视图system-view-创建VLAN接口并进入VLAN接口视图interfacevlan-interfaceinterface-number如果该VLAN接口已经存在,则直接进入该VLAN接口视图缺省情况下,不存在VLAN接口配置VLAN接口的IP地址ipaddressip-address{mask|mask-length}[sub]缺省情况下,未配置VLAN接口的IP地址配置VLAN接口的描述信息descriptiontext缺省情况下,VLAN接口的描述信息为该VLAN接口的接口名,如"Vlan-interface1Interface"(可选)配置处理当前接口流量的slot(独立运行模式)serviceslotslot-number缺省情况下,未配置处理当前接口流量的slot,业务处理在接收报文的slot上进行(可选)配置处理当前接口流量的slot(IRF模式)servicechassischassis-numberslotslot-number缺省情况下,未配置处理当前接口流量的slot,业务处理在接收报文的slot上进行配置VLAN接口的MTU值mtusize缺省情况下,VLAN接口的MTU值为1500字节(可选)配置VLAN接口的期望带宽bandwidthbandwidth-value缺省情况下,接口的期望带宽=接口的波特率÷1000(kbps)(可选)恢复VLAN接口的缺省配置default-(可选)取消手工关闭VLAN接口undoshutdown-1.
5配置基于端口的VLAN1.
5.
1基于端口的VLAN简介基于端口划分VLAN是最简单、最有效的VLAN划分方法.
它按照设备端口来定义VLAN成员,将指定端口加入到指定VLAN中之后,该端口就可以转发该VLAN的报文.
用户可以配置端口的链路类型及缺省VLAN,其中,链路类型决定了端口能否加入多个VLAN.
1.
端口的链路类型端口的链路类型分为三种,不同链路类型的端口在转发报文时对VLANTag的处理方式不同:Access:端口只能发送一个VLAN的报文,发出去的报文不带VLANTag.
一般用于和不能识别VLANTag的用户终端设备相连,或者不需要区分不同VLAN成员时使用.
Trunk:端口能发送多个VLAN的报文,发出去的端口缺省VLAN的报文不带VLANTag,其他VLAN的报文都必须带VLANTag.
通常用于网络传输设备之间的互连.
Hybrid:端口能发送多个VLAN的报文,端口发出去的报文可根据需要配置某些VLAN的报文带VLANTag,某些VLAN的报文不带VLANTag.
在一些应用场景下,需要使用Hybrid端口的功能.
比如在1:2VLAN映射中,服务提供商网络的多个VLAN的报文在进入用户网络1-5前,需要剥离外层VLANTag,此时Trunk端口不能实现该功能,因为Trunk端口只能使该端口缺省VLAN的报文不带VLANTag通过.
有关1:2VLAN映射的详细介绍,请参见"二层技术-以太网交换配置指导"中的"VLAN映射".
2.
端口缺省VLAN除了可以配置端口允许通过的VLAN外,还可以配置端口的缺省VLAN,即端口VLANID(PortVLANID,PVID).
当端口收到Untagged报文时,会认为该报文所属的VLAN为缺省VLAN.
Access端口的缺省VLAN就是它所在的VLAN.
Trunk端口和Hybrid端口可以允许多个VLAN通过,能够配置端口缺省VLAN.
当执行undovlan命令删除的VLAN是某个端口的缺省VLAN时,对Access端口,端口的缺省VLAN会恢复到VLAN1;对Trunk或Hybrid端口,端口的缺省VLAN配置不会改变,即它们可以使用已经不存在的VLAN作为端口缺省VLAN.
建议本端设备端口的缺省VLANID和相连的对端设备端口的缺省VLANID保持一致.
建议保证端口的缺省VLAN为端口允许通过的VLAN.
如果端口不允许某VLAN通过,但是端口的缺省VLAN为该VLAN,则端口会丢弃收到的该VLAN的报文或者不带VLANTag的报文.
3.
端口对报文的处理方式在配置了端口链路类型和端口缺省VLAN后,端口对报文的接收和发送的处理有几种不同情况,具体情况请参看表1-2.
表1-2不同链路类型端口收发报文的差异端口类型对接收报文的处理对发送报文的处理当接收到的报文不带Tag时当接收到的报文带有Tag时Access端口为报文添加端口缺省VLAN的Tag当报文的VLANID与端口的缺省VLANID相同时,接收该报文当报文的VLANID与端口的缺省VLANID不同时,丢弃该报文去掉Tag,发送该报文Trunk端口当端口的缺省VLANID在端口允许通过的VLANID列表里时,接收该报文,给报文添加端口缺省VLAN的Tag当端口的缺省VLANID不在端口允许通过的当报文的VLANID在端口允许通过的VLANID列表里时,接收该报文当报文的VLANID不在端口允许通过的VLANID列表里时,丢弃该报文当报文的VLANID与端口的缺省VLANID相同,且是该端口允许通过的VLANID时:去掉Tag,发送该报文当报文的VLANID与端口的缺省VLANID不同,且是该端口允许通过的VLANID时:保持原有Tag,发送该报文1-6端口类型对接收报文的处理对发送报文的处理当接收到的报文不带Tag时当接收到的报文带有Tag时Hybrid端口VLANID列表里时,丢弃该报文当报文的VLANID是端口允许通过的VLANID时,发送该报文,并可以通过porthybridvlan命令配置端口在发送该VLAN的报文时是否携带Tag缺省情况下,对于Untagged报文的处理顺序为:基于MAC的VLAN->基于IP子网的VLAN->基于协议的VLAN->基于端口的VLAN.
1.
5.
2配置基于Access端口的VLAN配置基于Access端口的VLAN有两种方法:一种是在VLAN视图下进行配置,另一种是在接口视图下进行配置.
表1-3配置基于Access端口的VLAN(在VLAN视图下)配置命令说明进入系统视图system-view-进入VLAN视图vlanvlan-id-向当前VLAN中添加一个或一组Access端口portinterface-list缺省情况下,系统将所有端口都加入到VLAN1表1-4配置基于Access端口的VLAN(在接口视图下)操作命令说明进入系统视图system-view-进入相应视图二层以太网接口视图:interfaceinterface-typeinterface-number二层聚合接口视图:interfacebridge-aggregationinterface-number-配置端口的链路类型为Access类型portlink-typeaccess缺省情况下,端口的链路类型为Access将Access端口加入到指定VLANportaccessvlanvlan-id缺省情况下,所有Access端口都属于VLAN1在将Access端口加入到指定VLAN之前,该VLAN必须已经存在1-71.
5.
3配置基于Trunk端口的VLANTrunk端口可以允许多个VLAN通过,只能在接口视图下进行配置.
配置基于Trunk端口的VLAN时,需要注意:Trunk端口不能直接切换为Hybrid端口,只能先将Trunk端口配置为Access端口,再配置为Hybrid端口.
配置端口缺省VLAN后,必须使用porttrunkpermitvlan命令配置允许端口缺省VLAN的报文通过,接口才能转发端口缺省VLAN的报文.
表1-5配置基于Trunk端口的VLAN操作命令说明进入系统视图system-view-进入相应视图二层以太网接口视图:interfaceinterface-typeinterface-number二层聚合接口视图:interfacebridge-aggregationinterface-number-配置端口的链路类型为Trunk类型portlink-typetrunk缺省情况下,端口的链路类型为Access类型允许指定的VLAN通过当前Trunk端口porttrunkpermitvlan{vlan-id-list|all}缺省情况下,Trunk端口只允许VLAN1的报文通过(可选)配置Trunk端口的缺省VLANporttrunkpvidvlanvlan-id缺省情况下,Trunk端口的缺省VLAN为VLAN11.
5.
4配置基于Hybrid端口的VLANHybrid端口可以允许多个VLAN通过,只能在接口视图下进行配置.
配置基于Hybrid端口的VLAN时,需要注意:Hybrid端口不能直接切换为Trunk端口,只能先将Hybrid端口配置为Access端口,再配置为Trunk端口.
在配置允许指定的VLAN通过Hybrid端口之前,允许通过的VLAN必须已经存在.
配置端口缺省VLAN后,必须使用porthybridvlan命令配置允许端口缺省VLAN的报文通过,出接口才能转发端口缺省VLAN的报文.
表1-6配置基于Hybrid端口的VLAN操作命令说明进入系统视图system-view-1-8操作命令说明进入相应视图二层以太网接口视图:interfaceinterface-typeinterface-number二层聚合接口视图:interfacebridge-aggregationinterface-number-配置端口的链路类型为Hybrid类型portlink-typehybrid缺省情况下,端口的链路类型为Access类型允许指定的VLAN通过当前Hybrid端口porthybridvlanvlan-id-list{tagged|untagged}缺省情况下,Hybrid端口只允许该端口在链路类型为Access时的所属VLAN的报文以Untagged方式通过(可选)配置Hybrid端口的缺省VLANporthybridpvidvlanvlan-id缺省情况下,Hybrid端口的缺省VLAN为该端口在链路类型为Access时的所属VLAN1.
6配置基于MAC的VLAN基于MAC的VLAN只对Hybrid端口配置有效.
1.
6.
1基于MAC的VLAN简介VLAN最常用的划分方式是基于端口划分,该方式为从同一端口进入的Untagged报文添加相同的VLANTag,在同一VLAN内进行转发处理.
该方式配置简单,适用于终端设备物理位置比较固定的组网环境.
随着移动办公和无线接入的普及,终端设备不再通过固定端口接入设备,它可能本次使用端口A接入网络,下次使用端口B接入网络.
如果端口A和端口B的VLAN配置不同,则终端设备第二次接入后就会被划分到另一VLAN,导致无法使用原VLAN内的资源;如果端口A和端口B的VLAN配置相同,当端口B被分配给别的终端设备时,又会引入安全问题.
如何在这样灵活多变的网络环境中部署VLAN呢基于MAC的VLAN应运而生.
基于MAC的VLAN是根据报文的源MAC地址来划分VLAN.
设备维护的MACVLAN表记录了MAC地址和VLAN的对应关系.
这种划分方法的最大优点就是当用户物理位置发生变化,VLAN不用重新配置.
所以这种根据MAC地址的划分方法也称为基于用户的VLAN.
1.
手动配置静态MACVLAN手动配置静态MACVLAN常用于VLAN中用户相对较少的网络环境.
在该方式下,用户需要手动配置MACVLAN表项,开启基于MAC地址的VLAN功能,并将端口加入MACVLAN.
其原理为:当端口收到的报文为Untagged报文时,根据报文的源MAC地址匹配MACVLAN表项.
首先进行模糊匹配,即查询MACVLAN表中掩码不是全F的表项,将源MAC地址和掩码相与运算后与MACVLAN表项中的MAC地址匹配,如果完全相同,则模糊匹配成功,给报文添加表项中对应的VLANTag并转发该报文;如果模糊匹配失败,则进行精确匹配,即查询表1-9中掩码为全F的表项.
如果报文中的源MAC地址与某MACVLAN表项中的MAC地址完全相同,则精确匹配成功,给报文添加表项中对应的VLANTag并转发该报文;如果没有找到匹配的MACVLAN表项,则继续按照其他原则(基于IP子网的VLAN、基于协议的VLAN、基于端口的VLAN)确定报文所属的VLAN,给报文添加对应的VLANTag并转发该报文.
当端口收到的报文为Tagged报文时,如果报文的VLANID在该端口允许通过的VLANID列表里,则转发该报文;否则丢弃该报文.
2.
动态触发端口加入静态MACVLAN手动配置静态MACVLAN时,如果不能确定从哪些端口收到指定VLAN的报文,就不能把相应端口加入到MACVLAN.
此时可以采用动态触发端口加入静态MACVLAN的方式.
在该方式下,配置MACVLAN表项后,需要在端口上开启基于MAC的VLAN功能和MACVLAN的动态触发功能,不需要手动把端口加入MACVLAN.
配置动态触发端口加入静态MACVLAN后,端口在收到报文时,首先判断报文是否携带VLANTag,若带VLANTag,则直接获取报文源MAC地址;若不带VLANTag,则先进行报文VLAN选择(按照基于MAC的VLAN->基于IP子网的VLAN->基于协议的VLAN->基于端口的VLAN的优先次序为该Untagged报文添加对应的VLANTag,并获取该VLANTag),再获取报文源MAC地址,然后根据报文的源MAC地址和VLAN查询静态MACVLAN表项:如果报文源MAC地址与MACVLAN表项中的MAC地址精确匹配,再检查报文的VLANID是否与对应表项中的VLANID一致,若一致,通过该报文动态触发端口加入相应VLAN,同时转发该报文;否则丢弃该报文.
如果报文源MAC地址与MACVLAN表项的MAC地址不精确匹配,当报文VLANID为PVID,判断端口是否允许报文在PVID内转发,若允许,则在PVID中转发该报文,否则丢弃该报文.
当报文VLANID不为PVID,判断是否报文VLANID为PrimaryVLANID且PVID为对应的SecondaryVLANID,若是,则转发该报文;否则丢弃该报文.
处理流程如图1-3所示:1-10图1-3动态触发端口加入静态MACVLAN的处理在端口自动加入MACVLAN表项中相应的VLAN时,若端口此前未配置允许该VLAN通过,则端口自动以Untagged方式加入该VLAN;若端口此前已配置允许该VLAN通过,则不改变原有配置.
如果用户在同一端口上同时开启了手动配置MACVLAN和动态触发端口加入MACVLAN,此时该端口选择使用后者的功能.
当端口收到的报文与MACVLAN表项匹配,对该报文进行转发时,根据MACVLAN的优先级(MAC地址对应VLAN的802.
1p优先级)高低来决定报文传输的优先程度.
3.
动态MACVLAN动态MACVLAN是由接入认证过程来动态决定接入用户报文所属的VLAN.
该功能需要和接入认证功能(比如端口接入控制方式为MAC-based的802.
1X)配合使用,以实现终端的安全、灵活接入.
在设备上配置动态MACVLAN功能以后,还需要在接入认证服务器上配置用户名和VLAN的绑定关系.
如果用户发起认证请求,接入认证服务器先对用户名和密码进行验证,如果验证通过,服务器下发VLAN信息.
此时设备根据请求报文的源MAC地址和下发的VLAN信息生成动态MACVLAN表项(要求与已有的静态MACVLAN表项不能冲突),并将MACVLAN添加到端口允许通过的VLAN1-11列表中.
用户下线后,设备自动删除MACVLAN表项,并将MACVLAN从端口允许通过的VLAN列表中删除.
有关接入认证功能的详细介绍请参见"安全配置指导"中的"802.
1X"和"MAC地址认证".
1.
6.
2配置基于MAC的VLAN配置基于MAC的VLAN时,需要注意:SuperVLAN不能作为MACVLAN表项中的VLAN.
基于MAC的VLAN功能主要在用户的接入设备的下行端口上进行配置,不能和聚合功能同时使用.
1.
手动配置静态MACVLAN表1-7手动配置静态MACVLAN操作命令说明进入系统视图system-view-配置MACVLAN表项mac-vlanmac-addressmac-address[maskmac-mask]vlanvlan-id[dot1qpriority]缺省情况下,不存在MACVLAN表项进入二层以太网接口视图interfaceinterface-typeinterface-number-配置端口的链路类型为Hybrid类型portlink-typehybrid缺省情况下,所有端口的链路类型均为Access类型允许基于MAC的VLAN通过当前Hybrid端口porthybridvlanvlan-id-list{tagged|untagged}缺省情况下,Hybrid端口只允许该端口在链路类型为Access时的所属VLAN的报文以Untagged方式通过开启MACVLAN功能mac-vlanenable缺省情况下,MACVLAN功能处于关闭状态(可选)配置接口优先根据MAC地址来匹配VLANvlanprecedencemac-vlan缺省情况下,对于基于MAC的VLAN和基于IP子网的VLAN,优先根据MAC地址来匹配VLAN2.
配置动态触发端口加入静态MACVLAN配置动态触发端口加入静态MACVLAN时,需要注意:不建议MACVLAN的动态触发功能和802.
1X/MAC地址认证功能同时使用,否则会影响802.
1X/MAC地址认证功能的正常工作.
开启MACVLAN的动态触发功能后,MAC地址禁止学习功能不生效.
MACVLAN的动态触发功能生效的一个前提是,源MAC地址所匹配的VLAN必须是静态VLAN(本地手工创建的VLAN).
配置MSTP情况下,如果端口在要加入的VLAN对应的MSTP实例中是阻塞状态,则端口会丢弃收到的报文,造成MAC地址不能上送,不能完成动态触发端口加入静态MACVLAN,因此不建议本功能和多实例MSTP同时使用.
1-12配置PVST情况下,如果端口要加入的VLAN不为端口允许通过的VLAN,则端口处于阻塞状态,会丢弃收到的报文,造成MAC地址不能上送,不能完成动态触发端口加入静态MACVLAN,因此不建议本功能和PVST同时使用.
当端口配置了自动模式下的VoiceVLAN,又配置本功能时,两个功能可能会相互影响,导致其中某个功能不可用.
当端口同时配置了本功能和自动模式下的VoiceVLAN,再取消其中任何一个功能的配置,会导致另一个功能不可用.
因此不建议同一端口同时配置本功能和自动模式下的VoiceVLAN.
表1-8配置动态触发端口加入静态MACVLAN操作命令说明进入系统视图system-view-配置MACVLAN表项mac-vlanmac-addressmac-addressvlanvlan-id[dot1qpriority]缺省情况下,不存在MACVLAN表项进入二层以太网接口视图interfaceinterface-typeinterface-number-配置端口的链路类型为Hybrid类型portlink-typehybrid缺省情况下,所有端口的链路类型均为Access类型开启MACVLAN功能mac-vlanenable缺省情况下,MACVLAN功能处于关闭状态开启MACVLAN的动态触发功能mac-vlantriggerenable缺省情况下,MACVLAN的动态触发功能处于关闭状态开启MACVLAN的动态触发功能后,只有端口接收的报文的源MAC地址精确匹配了MACVLAN表项,才会动态触发该端口加入相应VLAN(可选)配置接口优先根据MAC地址来匹配VLANvlanprecedencemac-vlan缺省情况下,对于基于MAC的VLAN和基于IP子网的VLAN,优先根据MAC地址来匹配VLAN(可选)配置当报文源MAC地址与MACVLAN表项的MAC地址未精确匹配时,禁止该报文在PVID内转发portpvidforbidden缺省情况下,当报文源MAC地址与MACVLAN表项的MAC地址未精确匹配时,允许该报文在PVID内转发3.
配置动态MACVLAN表1-9配置动态MACVLAN操作命令说明进入系统视图system-view-进入二层以太网接口视图interfaceinterface-typeinterface-number-配置端口的链路类型为Hybrid类型portlink-typehybrid缺省情况下,所有端口的链路类型均为Access类型允许基于MAC的VLAN通过当前Hybrid端口porthybridvlanvlan-id-list{tagged|untagged}缺省情况下,Hybrid端口只允许该端口在链路类型为Access时的所属VLAN的报文以Untagged方式通过1-13操作命令说明开启MACVLAN功能mac-vlanenable缺省情况下,MACVLAN功能处于关闭状态配置接入认证功能配置802.
1X请参见"安全命令参考"中的"802.
1X"二者至少选其一配置MAC地址认证请参见"安全命令参考"中的"MAC地址认证"1.
7配置基于IP子网的VLAN基于IP子网的VLAN只对Hybrid端口配置有效,只对Untagged报文应用.
1.
7.
1基于IP子网的VLAN简介基于IP子网的VLAN(简称子网VLAN)是根据报文源IP地址及子网掩码来进行划分的.
设备从端口收到Untagged报文后,会根据报文的源IP地址来确定报文所属的VLAN,然后将报文自动划分到指定VLAN中传输.
此特性主要用于将指定网段或IP地址的报文划分到指定的VLAN中传送.
1.
7.
2配置基于IP子网的VLAN表1-10配置基于IP子网的VLAN操作命令说明进入系统视图system-view-进入VLAN视图vlanvlan-id-配置VLAN与指定的IP子网或IP地址关联ip-subnet-vlan[ip-subnet-index]ipip-address[mask]缺省情况下,VLAN未关联IP子网或IP地址VLAN关联的IP网段或IP地址不允许是组播网段或组播地址退回系统视图quit-进入相应视图二层以太网接口视图:interfaceinterface-typeinterface-number二层聚合接口视图:interfacebridge-aggregationinterface-number-配置端口的链路类型为Hybrid类型portlink-typehybrid缺省情况下,所有端口的链路类型均为Access类型1-14操作命令说明允许子网VLAN通过当前端口porthybridvlanvlan-id-list{tagged|untagged}缺省情况下,Hybrid端口只允许该端口在链路类型为Access时的所属VLAN的报文以Untagged方式通过配置端口与子网VLAN关联porthybridip-subnet-vlanvlanvlan-id缺省情况下,端口未关联子网VLAN1.
8配置基于协议的VLAN基于协议的VLAN只对Hybrid端口配置有效,只对Untagged报文应用.
1.
8.
1基于协议的VLAN简介基于协议的VLAN(简称协议VLAN)是根据端口接收到的报文所属的协议(族)类型以及封装格式来给报文分配不同的VLANID.
可用来划分VLAN的协议有IP、IPX、AT(AppleTalk,Apple计算机网络协议)等,封装格式有EthernetII、802.
3raw、802.
2LLC、802.
2SNAP等.
此特性主要应用于将网络中提供的服务类型与VLAN相关联,方便管理和维护.
协议VLAN由协议模板定义.
协议模板是用来匹配报文所属协议类型的标准,由"协议类型+封装格式"组成.
对于一个协议VLAN来说,其绑定的多个协议模板用协议索引(protocol-index)来区分;对于不同的协议VLAN来说,其绑定的协议模板用协议vlan-id和protocol-index来唯一标识.
最后通过命令行将协议VLAN中的协议模板与端口绑定.
当端口收到Untagged报文时,如果该报文携带的协议类型和封装格式与某协议模板相匹配,则为其添加该协议模板绑定的协议vlan-id的VLANTag,否则为其添加PVID的VLANTag.
1.
8.
2配置基于协议的VLAN需要注意的是,协议VLAN特性要求Hybrid入端口的报文格式为Untagged的,而自动模式下的VoiceVLAN只支持Hybrid端口对Tagged的语音流进行处理,因此,不能将某个VLAN同时配置为协议VLAN和VoiceVLAN.
表1-11配置基于协议的VLAN操作命令说明进入系统视图system-view-进入VLAN视图vlanvlan-id-配置VLAN与指定的协议模板关联protocol-vlan[protocol-index]{at|ipv4|ipv6|ipx{ethernetii|llc|raw|snap}|mode{ethernetiietypeetype-id|llc{dsapdsap-id[ssapssap-id]|ssapssap-id}|snapetypeetype-id}}缺省情况下,当前VLAN未关联协议模板退出VLAN视图quit-1-15操作命令说明进入相应视图二层以太网接口视图:interfaceinterface-typeinterface-number二层聚合接口视图:interfacebridge-aggregationinterface-number-配置端口的链路类型为Hybrid类型portlink-typehybrid缺省情况下,所有端口的链路类型均为Access类型允许协议VLAN通过当前端口porthybridvlanvlan-id-list{tagged|untagged}缺省情况下,Hybrid端口只允许该端口在链路类型为Access时的所属VLAN的报文以Untagged方式通过配置端口与协议VLAN关联porthybridprotocol-vlanvlanvlan-id{protocol-index[toprotocol-end]|all}缺省情况下,端口未关联协议VLAN1.
9配置VLAN组VLAN组是一组VLAN的集合.
VLAN组内可以添加多个VLAN列表,一个VLAN列表表示一组VLANID连续的VLAN.
认证服务器可以通过下发VLAN组名的方式为通过认证的802.
1X用户下发一组授权VLAN.
有关802.
1X的详细介绍,请参见"安全配置指导"中的"802.
1X".
表1-12配置VLAN组操作命令说明进入系统视图system-view-创建一个VLAN组,并进入VLAN组视图vlan-groupgroup-name缺省情况下,不存在VLAN组在VLAN组内添加VLAN成员vlan-listvlan-id-list缺省情况下,当前VLAN组中不存在VLAN列表可以多次在当前VLAN组内添加VLAN成员1.
10配置VLAN流量统计功能当您需要检查网络状况或者处理网络故障时,可以在设备上打开VLAN的流量统计功能,对通过VLAN的流量总数(包括所有单播、组播和广播报文)进行统计.
统计VLAN流量信息会占用一定的系统资源,请在不需要统计信息时及时关闭此功能.
表1-13配置VLAN流量统计功能配置命令说明进入系统视图system-view-进入VLAN视图vlanvlan-id-1-16配置命令说明开启VLAN的流量统计功能statisticsenable缺省情况下,VLAN流量统计功能处于关闭状态1.
11VLAN显示和维护在完成上述配置后,在任意视图下执行display命令可以显示配置后VLAN的运行情况,通过查看显示信息验证配置的效果.
在用户视图下执行reset命令可以清除VLAN接口统计信息.
表1-14VLAN显示和维护操作命令显示VLAN接口相关信息displayinterfacevlan-interface[interface-number][brief[description|down]]显示端口关联的子网VLAN的信息displayip-subnet-vlaninterface{interface-typeinterface-number1[tointerface-typeinterface-number2]|all}显示指定的或所有子网VLAN的信息displayip-subnet-vlanvlan{vlan-id1[tovlan-id2]|all}显示端口关联的协议VLAN的信息displayprotocol-vlaninterface{interface-typeinterface-number1[tointerface-typeinterface-number2]|all}显示指定的或所有协议VLAN的信息displayprotocol-vlanvlan{vlan-id1[tovlan-id2]|all}显示VLAN相关信息displayvlan[vlan-id1[tovlan-id2]|all|dynamic|reserved|static]显示设备上所有已创建VLAN的概要信息displayvlanbrief显示创建的VLAN组及其VLAN成员列表displayvlan-group[group-name]显示设备上存在的Hybrid或Trunk端口displayport{hybrid|trunk}显示指定VLAN的流量统计信息(独立运行模式)displayvlanvlan-idstatistics[slotslot-number]显示指定VLAN的流量统计信息(IRF模式)displayvlanvlan-idstatistics[chassischassis-numberslotslot-number]清除VLAN接口的统计信息resetcountersinterfacevlan-interface[interface-number]清除指定VLAN的流量统计信息(独立运行模式)resetvlanvlan-idstatistics[slotslot-number](IRF模式)resetvlanvlan-idstatistics[chassischassis-numberslotslot-number]1-171.
12基于端口的VLAN典型配置举例1.
组网需求HostA和HostC属于部门A,但是通过不同的设备接入公司网络;HostB和HostD属于部门B,也通过不同的设备接入公司网络.
为了通信的安全性,也为了避免广播报文泛滥,公司网络中使用VLAN技术来隔离部门间的二层流量.
其中部门A使用VLAN100,部门B使用VLAN200.
2.
组网图图1-4基于端口的VLAN组网图3.
配置步骤(1)配置DeviceA#创建VLAN100,并将GigabitEthernet1/0/1加入VLAN100.
system-view[DeviceA]vlan100[DeviceA-vlan100]portgigabitethernet1/0/1[DeviceA-vlan100]quit#创建VLAN200,并将GigabitEthernet1/0/2加入VLAN200.
[DeviceA]vlan200[DeviceA-vlan200]portgigabitethernet1/0/2[DeviceA-vlan200]quit#为了使DeviceA上VLAN100和VLAN200的报文能发送给DeviceB,将GigabitEthernet1/0/3的链路类型配置为Trunk,并允许VLAN100和VLAN200的报文通过.
[DeviceA]interfacegigabitethernet1/0/3[DeviceA-GigabitEthernet1/0/3]portlink-typetrunk[DeviceA-GigabitEthernet1/0/3]porttrunkpermitvlan100200(2)DeviceB上的配置与DeviceA上的配置相同,不再赘述.
(3)将HostA和HostC配置在一个网段,比如192.
168.
100.
0/24;将HostB和HostD配置在一个网段,比如192.
168.
200.
0/24.
4.
验证配置(1)HostA和HostC能够互相ping通,但是均不能ping通HostB和HostD.
HostB和HostD能够互相ping通,但是均不能ping通HostA和HostC.
(2)通过查看显示信息验证配置是否成功.
#查看DeviceA上VLAN100和VLAN200的配置信息,验证以上配置是否生效.
1-18[DeviceA-GigabitEthernet1/0/3]displayvlan100VLANID:100VLANtype:StaticRouteinterface:NotconfiguredDescription:VLAN0100Name:VLAN0100Taggedports:GigabitEthernet1/0/3Untaggedports:GigabitEthernet1/0/1[DeviceA-GigabitEthernet1/0/3]displayvlan200VLANID:200VLANtype:StaticRouteinterface:NotconfiguredDescription:VLAN0200Name:VLAN0200Taggedports:GigabitEthernet1/0/3Untaggedports:GigabitEthernet1/0/21.
13基于MAC的VLAN典型配置举例1.
组网需求如下图所示,DeviceA和DeviceC的GigabitEthernet1/0/1端口分别连接到两个会议室,Laptop1和Laptop2是会议用笔记本电脑,会在两个会议室间移动使用.
Laptop1和Laptop2分别属于两个部门,两个部门间使用VLAN100和VLAN200进行隔离.
现要求这两台笔记本电脑无论在哪个会议室使用,均只能访问自己部门的服务器,即Server1和Server2.
1-192.
组网图图1-5基于MAC的VLAN组网图3.
配置步骤(1)DeviceA的配置#创建VLAN100和VLAN200.
system-view[DeviceA]vlan100[DeviceA-vlan100]quit[DeviceA]vlan200[DeviceA-vlan200]quit#将Laptop1的MAC地址与VLAN100关联,Laptop2的MAC地址与VLAN200关联.
[DeviceA]mac-vlanmac-address000d-88f8-4e71vlan100[DeviceA]mac-vlanmac-address0014-222c-aa69vlan200#配置终端的接入端口:Laptop1和Laptop2均可能从GigabitEthernet1/0/1接入,将GigabitEthernet1/0/1的端口类型配置为Hybrid,并使其在发送VLAN100和VLAN200的报文时去掉VLANTag;开启GigabitEthernet1/0/1端口的MACVLAN功能.
[DeviceA]interfacegigabitethernet1/0/1[DeviceA-GigabitEthernet1/0/1]portlink-typehybrid[DeviceA-GigabitEthernet1/0/1]porthybridvlan100200untagged[DeviceA-GigabitEthernet1/0/1]mac-vlanenable[DeviceA-GigabitEthernet1/0/1]quit#为了终端能够访问Server1和Server2,需要将上行端口GigabitEthernet1/0/2的端口类型配置为Trunk,并允许VLAN100和VLAN200的报文通过.
[DeviceA]interfacegigabitethernet1/0/2[DeviceA-GigabitEthernet1/0/2]portlink-typetrunk[DeviceA-GigabitEthernet1/0/2]porttrunkpermitvlan1002001-20[DeviceA-GigabitEthernet1/0/2]quit(2)DeviceB的配置#创建VLAN100和VLAN200,并将GigabitEthernet1/0/3加入VLAN100,GigabitEthernet1/0/4加入VLAN200.
system-view[DeviceB]vlan100[DeviceB-vlan100]portgigabitethernet1/0/3[DeviceB-vlan100]quit[DeviceB]vlan200[DeviceB-vlan200]portgigabitethernet1/0/4[DeviceB-vlan200]quit#配置GigabitEthernet1/0/1和GigabitEthernet1/0/2端口为Trunk端口,均允许VLAN100和VLAN200的报文通过.
[DeviceB]interfacegigabitethernet1/0/1[DeviceB-GigabitEthernet1/0/1]portlink-typetrunk[DeviceB-GigabitEthernet1/0/1]porttrunkpermitvlan100200[DeviceB-GigabitEthernet1/0/1]quit[DeviceB]interfacegigabitethernet1/0/2[DeviceB-GigabitEthernet1/0/2]portlink-typetrunk[DeviceB-GigabitEthernet1/0/2]porttrunkpermitvlan100200[DeviceB-GigabitEthernet1/0/2]quit(3)DeviceC的配置DeviceC的配置与DeviceA完全一致,这里不再赘述.
4.
显示与验证(1)Laptop1只能访问Server1,不能访问Server2;Laptop2只能访问Server2,不能访问Server1.
(2)在DeviceA和DeviceC上可以查看到Laptop1和VLAN100、Laptop2和VLAN200的静态MACVLAN地址表项已经生成.
以DeviceA为例:[DeviceA]displaymac-vlanallThefollowingMACVLANaddressesexist:S:StaticD:DynamicMACaddressMaskVLANIDPriorityState000d-88f8-4e71ffff-ffff-ffff1000S0014-222c-aa69ffff-ffff-ffff2000STotalMACVLANaddresscount:21.
14基于IP子网的VLAN典型配置举例1.
组网需求如下图所示,办公区的主机属于不同的网段192.
168.
5.
0/24和192.
168.
50.
0/24,DeviceC在收到来自办公区主机的报文时,根据报文的源IP地址,使来自不同网段主机的报文分别在指定的VLAN中传输,其中,来自网段192.
168.
5.
0/24的报文在VLAN100中传输,来自网段192.
168.
50.
0/24的报文在VLAN200中传输.
1-212.
组网图图1-6基于IP子网的VLAN组网图3.
配置步骤(1)配置DeviceC#配置子网192.
168.
5.
0/24与VLAN100关联.
system-view[DeviceC]vlan100[DeviceC-vlan100]ip-subnet-vlanip192.
168.
5.
0255.
255.
255.
0[DeviceC-vlan100]quit#配置子网192.
168.
50.
0/24与VLAN200关联.
[DeviceC]vlan200[DeviceC-vlan200]ip-subnet-vlanip192.
168.
50.
0255.
255.
255.
0[DeviceC-vlan200]quit#配置端口GigabitEthernet1/0/2为Hybrid端口,允许VLAN100通过,并且在发送VLAN100的报文时携带VLANTag.
[DeviceC]interfacegigabitethernet1/0/2[DeviceC-GigabitEthernet1/0/2]portlink-typehybrid[DeviceC-GigabitEthernet1/0/2]porthybridvlan100tagged[DeviceC-GigabitEthernet1/0/2]quit#配置端口GigabitEthernet1/0/3为Hybrid端口,允许VLAN200通过,并且在发送VLAN200的报文时携带VLANTag.
[DeviceC]interfacegigabitethernet1/0/3[DeviceC-GigabitEthernet1/0/3]portlink-typehybrid[DeviceC-GigabitEthernet1/0/3]porthybridvlan200tagged1-22[DeviceC-GigabitEthernet1/0/3]quit#配置端口GigabitEthernet1/0/1为Hybrid端口,允许VLAN100、200通过,并且在发送VLAN100、200的报文时不携带VLANTag.
[DeviceC]interfacegigabitethernet1/0/1[DeviceC-GigabitEthernet1/0/1]portlink-typehybrid[DeviceC-GigabitEthernet1/0/1]porthybridvlan100200untagged#配置端口GigabitEthernet1/0/1和基于IP子网的VLAN100、200关联.
[DeviceC-GigabitEthernet1/0/1]porthybridip-subnet-vlanvlan100[DeviceC-GigabitEthernet1/0/1]porthybridip-subnet-vlanvlan200[DeviceC-GigabitEthernet1/0/1]quit(2)配置DeviceA和DeviceB配置DeviceA和DeviceB允许对应VLAN通过,配置过程略.
4.
显示与验证#查看所有子网VLAN的信息.
[DeviceC]displayip-subnet-vlanvlanallVLANID:100SubnetindexIPaddressSubnetmask0192.
168.
5.
0255.
255.
255.
0VLANID:200SubnetindexIPaddressSubnetmask0192.
168.
50.
0255.
255.
255.
0#查看端口GigabitEthernet1/0/1关联的子网VLAN的信息.
[DeviceC]displayip-subnet-vlaninterfacegigabitethernet1/0/1Interface:GigabitEthernet1/0/1VLANIDSubnetindexIPaddressSubnetmaskStatus1000192.
168.
5.
0255.
255.
255.
0Active2000192.
168.
50.
0255.
255.
255.
0Active1.
15基于协议的VLAN典型配置举例1.
组网需求如下图所示,实验室网络中大部分主机运行IPv4网络协议,另外为了教学需要还部署了IPv6实验局,因此,有些主机运行IPv6网络协议.
为了避免互相干扰,将VLAN100与IPv4协议、ARP协议关联,VLAN200与IPv6协议关联,通过协议VLAN将IPv4流量和IPv6流量二层互相隔离.
1-232.
组网图图1-7基于协议的VLAN组网图3.
配置步骤(1)配置Device#创建VLAN100,将端口GigabitEthernet1/0/3加入VLAN100.
system-view[Device]vlan100[Device-vlan100]descriptionprotocolVLANforIPv4[Device-vlan100]portgigabitethernet1/0/3[Device-vlan100]quit#创建VLAN200,将端口GigabitEthernet1/0/4加入VLAN200.
[Device]vlan200[Device-vlan200]descriptionprotocolVLANforIPv6[Device-vlan200]portgigabitethernet1/0/4#将IPv6协议报文划分到VLAN200中传输.
[Device-vlan200]protocol-vlan1ipv6[Device-vlan200]quit#将IPv4协议报文和采用EthernetII封装格式的ARP协议报文(ARP报文对应的封装格式为EthernetII)划分到VLAN100中传输.
[Device]vlan100[Device-vlan100]protocol-vlan1ipv4[Device-vlan100]protocol-vlan2modeethernetiietype0806[Device-vlan100]quit#配置端口GigabitEthernet1/0/1为Hybrid端口,允许VLAN100、200通过,并且在发送VLAN100、200的报文时不携带VLANTag.
GE1/0/2GE1/0/1GE1/0/3GE1/0/4IPv4hostAIPv4hostBIPv6hostAIPv6hostBIPv4serverIPv6serverDeviceL2switchAL2switchBVLAN100VLAN100VLAN100VLAN200VLAN200VLAN2001-24[Device]interfacegigabitethernet1/0/1[Device-GigabitEthernet1/0/1]portlink-typehybrid[Device-GigabitEthernet1/0/1]porthybridvlan100200untagged#配置端口GigabitEthernet1/0/1与VLAN100的协议模板1(即IPv4协议模板)、协议模板2(即ARP协议模板)和VLAN200的协议模板1(即IPv6协议模板)进行绑定.
[Device-GigabitEthernet1/0/1]porthybridprotocol-vlanvlan1001to2[Device-GigabitEthernet1/0/1]porthybridprotocol-vlanvlan2001[Device-GigabitEthernet1/0/1]quit#配置端口GigabitEthernet1/0/2为Hybrid端口,允许VLAN100、200通过,并且在发送VLAN100、200的报文时不携带VLANTag.
[Device]interfacegigabitethernet1/0/2[Device-GigabitEthernet1/0/2]portlink-typehybrid[Device-GigabitEthernet1/0/2]porthybridvlan100200untagged#配置端口GigabitEthernet1/0/2与VLAN100的协议模板1(即IPv4协议模板)、协议模板2(即ARP协议模板)和VLAN200的协议模板1(即IPv6协议模板)进行绑定.
[Device-GigabitEthernet1/0/2]porthybridprotocol-vlanvlan1001to2[Device-GigabitEthernet1/0/2]porthybridprotocol-vlanvlan2001[Device-GigabitEthernet1/0/2]quit(2)L2switchA和L2switchB采用缺省配置(3)配置Host和Server将IPv4HostA、IPv4HostB和IPv4Server配置在一个网段,比如192.
168.
100.
0/24;将IPv6HostA、IPv6HostB和IPv6Server配置在一个网段,比如2001::1/64.
4.
显示与验证(1)通过ping命令查看VLAN100内的主机和服务器能够互相Ping通;VLAN200内的主机和服务器能够互相Ping通.
但VLAN100内的主机/服务器与VLAN200内的主机/服务器之间会Ping失败.
(2)通过显示信息查看#查看所有协议VLAN的信息.
[Device]displayprotocol-vlanvlanallVLANID:100ProtocolindexProtocoltype1IPv42EthernetIIEtype0x0806VLANID:200ProtocolindexProtocoltype1IPv6#查看所有端口关联的协议VLAN的信息.
[Device]displayprotocol-vlaninterfaceallInterface:GigabitEthernet1/0/1VLANIDProtocolindexProtocoltypeStatus1001IPv4Active1002EthernetIIEtype0x0806Active2001IPv6Active1-25Interface:GigabitEthernet1/0/2VLANIDProtocolindexProtocoltypeStatus1001IPv4Active1002EthernetIIEtype0x0806Active2001IPv6Active2-12SuperVLAN2.
1SuperVLAN简介在交换局域网中,VLAN技术以其对广播域的灵活控制、部署方便而得到了广泛的应用.
但是在一般的交换设备中,通常是采用一个VLAN对应一个VLAN接口的方式来实现广播域之间的互通,这在某些情况下导致了对IP地址的较大浪费.
SuperVLAN可以对VLAN进行聚合,从而大幅缩减实际需要的VLAN接口数量,解决IP地址紧张的问题.
其原理是一个SuperVLAN和多个SubVLAN关联,关联的SubVLAN公用SuperVLAN对应的VLAN接口(即SuperVLANinterface)的IP地址作为三层通信的网关地址,此时SubVLAN间的三层通信以及SubVLAN与外部的三层通信均借用SuperVLANinterface来实现,从而节省了IP地址资源.
SuperVLAN:支持创建VLAN接口,并配置接口IP地址,不能加入物理接口.
SubVLAN:不支持创建VLAN接口,可以加入物理端口,不同SubVLAN之间二层相互隔离.
为了实现SubVLAN之间的三层互通,在创建好SuperVLAN及其SuperVLANinterface之后,用户需要开启设备的本地代理功能:对于IPv4网络环境,用户需要在SuperVLANinterface上开启本地代理ARP功能,SuperVLAN利用本地代理ARP,可以对SubVLAN内用户发出的ARP请求和响应报文进行处理,从而实现SubVLAN之间的三层互通.
对于IPv6网络环境,用户需要在SuperVLANinterface上开启本地代理ND功能,SuperVLAN利用本地代理ND,可以对SubVLAN内用户发出的NS请求和NA响应报文进行处理,从而实现SubVLAN之间的三层互通.
2.
2配置SuperVLANSuperVLAN配置包括三个必选步骤:(1)创建SubVLAN.
(2)创建SuperVLAN,并将SuperVLAN和SubVLAN关联起来.
(3)配置SuperVLANinterface.
1.
创建SubVLAN表2-1创建SubVLAN配置命令说明进入系统视图system-view-创建VLAN用作SubVLANvlanvlan-id-list缺省情况下,系统只有一个缺省VLAN(VLAN1)2.
配置SuperVLAN配置SuperVLAN功能时,需要注意:2-2MACVLAN表项中的VLAN不能配为SuperVLAN.
如果某个VLAN被指定为SuperVLAN,则该VLAN不建议被指定为某个端口的GuestVLAN/Auth-FailVLAN/CriticalVLAN;同样,如果某个VLAN被指定为某个端口的GuestVLAN/Auth-FailVLAN/CriticalVLAN,则该VLAN不建议被指定为SuperVLAN.
GuestVLAN/Auth-FailVLAN/CriticalVLAN的相关内容请参见"安全配置指导"中的"802.
1X".
一个VLAN不能同时配置为SuperVLAN和SubVLAN.
在SuperVLAN下可以配置二层组播功能,但是由于SuperVLAN中没有物理端口,该配置将不会生效.
表2-2配置SuperVLAN配置命令说明进入系统视图system-view-进入VLAN视图vlanvlan-id-配置VLAN的类型为SuperVLANsupervlan缺省情况下,VLAN类型不为SuperVLAN建立SuperVLAN和SubVLAN的映射关系subvlanvlan-id-list缺省情况下,不存在SuperVLAN和SubVLAN的映射关系建立SuperVLAN和SubVLAN的映射关系前,指定的SubVLAN必须已经创建3.
配置SuperVLANinterface需要注意的是,在SuperVLANinterface下配置VRRP功能后,会对网络性能造成影响,建议不要这样配置.
VRRP的详细描述请参见"可靠性配置指导"中的"VRRP".
表2-3配置SuperVLANinterface配置命令说明进入系统视图system-view-创建VLAN接口,并进入VLAN接口视图interfacevlan-interfaceinterface-numberinterface-number的值必须等于SuperVLANID配置VLAN接口的IP地址ipaddressip-address{mask-length|mask}[sub]二者选其一缺省情况下,没有配置VLAN接口的IP地址ipv6address{ipv6-addressprefix-length|ipv6-address/prefix-length}开启本地代理ARP功能(IPv4环境)local-proxy-arpenable二者选其一缺省情况下,本地代理ARP/ND功能处2-3配置命令说明开启本地代理ND功能(IPv6环境)local-proxy-ndenable于关闭状态本地代理ARP功能的相关介绍请参见"三层技术-IP业务配置指导"中的"代理ARP";local-proxy-arpenable命令的相关描述请参见"三层技术-IP业务命令参考"中的"代理ARP"本地代理ND功能的相关介绍请参见"三层技术-IP业务配置指导"中的"IPv6基础";local-proxy-ndenable命令的相关描述请参见"三层技术-IP业务命令参考"中的"IPv6基础"2.
3SuperVLAN显示和维护在完成上述配置后,在任意视图下执行display命令可以显示配置后SuperVLAN的运行情况,通过查看显示信息验证配置的效果.
表2-4SuperVLAN显示和维护操作命令显示SuperVLAN及其关联的SubVLAN的信息displaysupervlan[supervlan-id]2.
4SuperVLAN典型配置举例1.
组网需求DeviceA连接不同VLAN用户,其中,端口GigabitEthernet1/0/1和端口GigabitEthernet1/0/2属于VLAN2,端口GigabitEthernet1/0/3和端口GigabitEthernet1/0/4属于VLAN3,端口GigabitEthernet1/0/5和端口GigabitEthernet1/0/6属于VLAN5.
为实现DeviceA连接的各VLAN用户(均在10.
1.
1.
0/24网段)之间能够满足二层隔离和三层互通的同时,节省IP资源,创建SuperVLAN,其关联的SubVLAN公用SuperVLANinterface的IP地址10.
1.
1.
1/24作为三层通信的网关地址.
2-42.
组网图图2-1配置SuperVLAN组网图3.
配置步骤#创建VLAN10,配置VLAN接口的IP地址为10.
1.
1.
1/24.
system-view[DeviceA]vlan10[DeviceA-vlan10]quit[DeviceA]interfacevlan-interface10[DeviceA-Vlan-interface10]ipaddress10.
1.
1.
1255.
255.
255.
0#开启设备的本地代理ARP功能.
[DeviceA-Vlan-interface10]local-proxy-arpenable[DeviceA-Vlan-interface10]quit#创建VLAN2,并向VLAN2中添加端口GigabitEthernet1/0/1和端口GigabitEthernet1/0/2.
[DeviceA]vlan2[DeviceA-vlan2]portgigabitethernet1/0/1gigabitethernet1/0/2[DeviceA-vlan2]quit#创建VLAN3,并向VLAN3中添加端口GigabitEthernet1/0/3和端口GigabitEthernet1/0/4.
[DeviceA]vlan3[DeviceA-vlan3]portgigabitethernet1/0/3gigabitethernet1/0/4[DeviceA-vlan3]quit#创建VLAN5,并向VLAN5中添加端口GigabitEthernet1/0/5和端口GigabitEthernet1/0/6.
[DeviceA]vlan5[DeviceA-vlan5]portgigabitethernet1/0/5gigabitethernet1/0/6[DeviceA-vlan5]quit#配置VLAN10为SuperVLAN,其关联的SubVLAN为VLAN2、VLAN3和VLAN5.
[DeviceA]vlan10[DeviceA-vlan10]supervlan[DeviceA-vlan10]subvlan235[DeviceA-vlan10]quit[DeviceA]quit4.
显示和验证#查看SuperVLAN的相关信息,验证以上配置是否生效.
GE1/0/1GE1/0/2GE1/0/3GE1/0/4GE1/0/5GE1/0/6Vlan-int1010.
1.
1.
1/24VLAN2VLAN5VLAN3DeviceADeviceB2-5displaysupervlanSuperVLANID:10Sub-VLANID:2-35VLANID:10VLANtype:StaticItisasuperVLAN.
Routeinterface:ConfiguredIpv4address:10.
1.
1.
1Ipv4subnetmask:255.
255.
255.
0Description:VLAN0010Name:VLAN0010Taggedports:NoneUntaggedports:NoneVLANID:2VLANtype:StaticItisasub-VLAN.
Routeinterface:ConfiguredIpv4address:10.
1.
1.
1Ipv4subnetmask:255.
255.
255.
0Description:VLAN0002Name:VLAN0002Taggedports:NoneUntaggedports:GigabitEthernet1/0/1GigabitEthernet1/0/2VLANID:3VLANtype:StaticItisasub-VLAN.
Routeinterface:ConfiguredIpv4address:10.
1.
1.
1Ipv4subnetmask:255.
255.
255.
0Description:VLAN0003Name:VLAN0003Taggedports:NoneUntaggedports:GigabitEthernet1/0/3GigabitEthernet1/0/4VLANID:5VLANtype:StaticItisasub-VLAN.
Routeunterface:ConfiguredIpv4address:10.
1.
1.
1Ipv4subnetmask:255.
255.
255.
0Description:VLAN00052-6Name:VLAN0005Taggedports:NoneUntaggedports:GigabitEthernet1/0/5GigabitEthernet1/0/63-13PrivateVLAN3.
1PrivateVLAN简介在采用以太网接入的场景中,基于用户安全和管理计费等方面的考虑,一般会要求接入用户互相隔离.
VLAN是天然的隔离手段,于是很自然的想法是每个用户一个VLAN.
但是,根据IEEE802.
1Q规定,最多可以提供4094个VLAN.
如果每个用户一个VLAN,4094个VLAN远远不能满足需求.
PrivateVLAN采用二层VLAN结构,它在同一台设备上配置PrimaryVLAN和SecondaryVLAN两类VLAN,即能够保证接入用户之间相互隔离,又能将接入的VLANID屏蔽掉,从而节省了VLAN资源.
PrimaryVLAN:用于连接上行设备,一个PrimaryVLAN可以和多个SecondaryVLAN相对应.
上行连接的设备只需知道PrimaryVLAN,而不必关心SecondaryVLAN,PrimaryVLAN下面的SecondaryVLAN对上行设备不可见.
SecondaryVLAN:用于连接用户,SecondaryVLAN之间二层报文互相隔离.
如果希望实现同一PrimaryVLAN下SecondaryVLAN用户之间报文的互通,可以通过配置上行设备(如图3-1中的L3DeviceA)的本地代理ARP/ND功能来实现三层报文的互通.
图3-1PrivateVLAN示意图如图3-1所示,L2DeviceB上启动了PrivateVLAN功能.
其中VLAN10是PrimaryVLAN,VLAN2、VLAN5、VLAN8是SecondaryVLAN,VLAN2、VLAN5、VLAN8都映射到VLAN10,VLAN2、VLAN5、VLAN8对L3DeviceA不可见.
如果配置PrivateVLAN功能的设备为三层设备,SecondaryVLAN间及SecondaryVLAN与外部需要进行三层互通,则可以通过在本地设备上创建Secondary对应的VLAN接口(即SecondaryVLANinterface),并在该SecondaryVLANinterface上配置IP地址来实现;或者通过在本地设备上配置PrimaryVLAN下指定SecondaryVLAN间三层互通,同时创建PrimaryVLANinterface(但不能创建SecondaryVLANinterface),并在PrimaryVLANinterface上配置IP地址和本地代理ARP/ND功能来实现.
3-23.
2PrivateVLAN配置限制和指导PrivateVLAN不支持组播功能.
3.
3配置PrivateVLANPrivateVLAN配置主要包括下面几个步骤:(1)配置PrimaryVLAN.
(2)配置SecondaryVLAN.
(3)配置PrimaryVLAN和SecondaryVLAN间的映射关系.
(4)配置上行/下行端口.
当上行端口(如图3-1中L2DeviceB上与L3DeviceA相连的端口)只对应一个PrimaryVLAN时,配置该端口工作在promiscuous模式,可以实现上行端口加入PrimaryVLAN及同步加入对应的SecondaryVLAN的功能;当上行端口对应多个PrimaryVLAN时,配置该端口工作在trunkpromiscuous模式,可以实现上行端口加入多个PrimaryVLAN及同步加入各自对应的SecondaryVLAN的功能.
当下行端口(如图3-1中L2DeviceB上与用户相连的端口)只对应一个SecondaryVLAN时,配置该端口工作在host模式,可以实现下行端口同步加入SecondaryVLAN对应的PrimaryVLAN的功能;当下行端口对应多个SecondaryVLAN时,配置该端口工作在trunksecondary模式,可以实现下行端口加入多个SecondaryVLAN及同步加入各自对应的PrimaryVLAN的功能.
有关promiscuous/trunkpromiscuous/trunksecondary/host模式的详细介绍,请参见"二层技术-以太网交换命令参考"中的"PrivateVLAN"的相关命令.
(5)配置PrimaryVLAN下指定SecondaryVLAN间三层互通.
配置PrivateVLAN时,需要注意:在完成表3-1中的配置后,建议用户作如下确认:对于工作模式为promiscuous的端口,确保该端口的缺省VLAN为PrimaryVLAN,该端口以Untagged方式加入PrimaryVLAN和SecondaryVLAN;对于工作模式为trunkpromiscuous/trunksecondary的端口,确保该端口以Tagged方式加入PrimaryVLAN和SecondaryVLAN;对于工作模式为host的端口,确保该端口的缺省VLAN为SecondaryVLAN,该端口以Untagged方式加入PrimaryVLAN和SecondaryVLAN.
配置PrimaryVLAN后,系统会自动将SecondaryVLAN的动态MAC地址表项同步到PrimaryVLAN.
配置PrimaryVLAN后,SecondaryVLAN的静态MAC地址表项不生效.
SecondaryVLAN和PrimaryVLAN解除映射关系后,PrimaryVLAN的静态MAC地址表项对该SecondaryVLAN的流量不生效.
系统缺省VLAN(VLAN1)不支持PrivateVLAN相关配置.
表3-1配置PrivateVLAN操作命令说明进入系统视图system-view-3-3操作命令说明创建VLAN,并进入VLAN视图vlanvlan-id-配置VLAN的类型为PrimaryVLANprivate-vlanprimary缺省情况下,VLAN的类型不是PrimaryVLAN退回系统视图quit-创建一个或多个SecondaryVLANvlan{vlan-id-list|all}-退回系统视图quit-进入PrimaryVLAN视图vlanvlan-id-建立PrimaryVLAN和SecondaryVLAN的映射关系private-vlansecondaryvlan-id-list缺省情况下,未建立PrimaryVLAN和SecondaryVLAN的映射关系退回系统视图quit-进入上行端口视图interfaceinterface-typeinterface-number-配置上行端口在指定VLAN中工作在promiscuous模式portprivate-vlanvlan-idpromiscuous二者选其一缺省情况下,端口在指定VLAN中不工作在promiscuous/trunkpromiscuous模式配置上行端口在指定VLAN中工作在trunkpromiscuous模式portprivate-vlanvlan-id-listtrunkpromiscuous退回系统视图quit-进入下行端口视图interfaceinterface-typeinterface-number-配置下行端口加入SecondaryVLAN配置端口的链路类型portlink-type{access|hybrid|trunk}-将当端口加入指定VLANAccess端口portaccessvlanvlan-id三者选其一Trunk端口porttrunkpermitvlan{vlan-id-list|all}Hybrid端口porthybridvlanvlan-id-list{tagged|untagged}配置下行端口在指定VLAN中工作在trunksecondary模式portprivate-vlanvlan-id-listtrunksecondary二者选其一缺省情况下,端口不工作在trunksecondary/host模式配置下行端口工作在host模式portprivate-vlanhost退回系统视图quit-进入SecondaryVLAN视图vlanvlan-id-(可选)配置同一SecondaryVLAN内各端口二层互通undoprivate-vlanisolated二者选其一缺省情况下,同一SecondaryVLAN内的端口能够二层互通private-vlancommunity退回系统视图quit-(可选)配置PrimaryVLAN下进入PrimaryVLANinterface视图interfacevlan-interfaceinterface-number-3-4操作命令说明指定的SecondaryVLAN间三层互通配置当前PrimaryVLAN下指定的SecondaryVLAN间三层互通private-vlansecondaryvlan-id-list缺省情况下,SecondaryVLAN之间三层不互通配置PrimaryVLAN接口的IP地址ipaddressip-address{mask-length|mask}[sub]二者选其一缺省情况下,没有配置VLAN接口的IP地址ipv6address{ipv6-addressprefix-length|ipv6-address/prefix-length}开启本地代理ARP功能(IPv4环境)local-proxy-arpenable二者选其一缺省情况下,本地代理ARP/ND功能处于关闭状态本地代理ARP功能的相关介绍请参见"三层技术-IP业务配置指导"中的"代理ARP";local-proxy-arpenable命令的相关描述请参见"三层技术-IP业务命令参考"中的"代理ARP"本地代理ND功能的相关介绍请参见"三层技术-IP业务配置指导"中的"IPv6基础";local-proxy-ndenable命令的相关描述请参见"三层技术-IP业务命令参考"中的"IPv6基础"开启本地代理ND功能(IPv6环境)local-proxy-ndenable3.
4PrivateVLAN显示和维护在完成上述配置后,在任意视图下执行display命令可以显示配置后PrivateVLAN的运行情况,通过查看显示信息验证配置的效果.
表3-2PrivateVLAN显示和维护操作命令显示PrimaryVLAN和其包含的SecondaryVLAN的信息displayprivate-vlan[primary-vlan-id]3-53.
5PrivateVLAN典型配置举例(promiscuous模式)1.
组网需求DeviceB上的PrimaryVLAN5包含上行端口GigabitEthernet1/0/5,并关联两个SecondaryVLAN(VLAN2和VLAN3),其中,VLAN2包含端口GigabitEthernet1/0/2,VLAN3包含端口GigabitEthernet1/0/3.
DeviceC上的PrimaryVLAN6包含上行端口GigabitEthernet1/0/5,并关联两个SecondaryVLAN(VLAN3和VLAN4),其中,VLAN3包含端口GigabitEthernet1/0/3,VLAN4包含端口GigabitEthernet1/0/4.
从DeviceA看,下接的DeviceB只有一个VLAN(VLAN5),下接的DeviceC只有一个VLAN(VLAN6).
2.
组网图图3-2组网图3.
配置步骤下面只列出DeviceB和DeviceC的配置过程.
(1)配置DeviceB#配置VLAN5为PrimaryVLAN.
system-view[DeviceB]vlan5[DeviceB-vlan5]private-vlanprimary[DeviceB-vlan5]quit#创建SecondaryVLAN2、3.
[DeviceB]vlan2to3#配置PrimaryVLAN5和SecondaryVLAN2、3的映射关系.
[DeviceB]vlan53-6[DeviceB-vlan5]private-vlansecondary2to3[DeviceB-vlan5]quit#配置上行端口GigabitEthernet1/0/5在VLAN5中工作在promiscuous模式.
[DeviceB]interfacegigabitethernet1/0/5[DeviceB-GigabitEthernet1/0/5]portprivate-vlan5promiscuous[DeviceB-GigabitEthernet1/0/5]quit#将下行端口GigabitEthernet1/0/2、GigabitEthernet1/0/3分别添加到VLAN2、VLAN3,并配置它们工作在host模式.
[DeviceB]interfacegigabitethernet1/0/2[DeviceB-GigabitEthernet1/0/2]portaccessvlan2[DeviceB-GigabitEthernet1/0/2]portprivate-vlanhost[DeviceB-GigabitEthernet1/0/2]quit[DeviceB]interfacegigabitethernet1/0/3[DeviceB-GigabitEthernet1/0/3]portaccessvlan3[DeviceB-GigabitEthernet1/0/3]portprivate-vlanhost[DeviceB-GigabitEthernet1/0/3]quit(2)配置DeviceC#配置VLAN6为PrimaryVLAN.
system-view[DeviceC]vlan6[DeviceC–vlan6]private-vlanprimary[DeviceC–vlan6]quit#创建SecondaryVLAN3、4.
[DeviceC]vlan3to4#配置PrimaryVLAN6和SecondaryVLAN3、4的映射关系.
[DeviceC]vlan6[DeviceC-vlan6]private-vlansecondary3to4[DeviceC-vlan6]quit#配置上行端口GigabitEthernet1/0/5在VLAN6中工作在promiscuous模式.
[DeviceC]interfacegigabitethernet1/0/5[DeviceC-GigabitEthernet1/0/5]portprivate-vlan6promiscuous[DeviceC-GigabitEthernet1/0/5]quit#将下行端口GigabitEthernet1/0/3、GigabitEthernet1/0/4分别添加到VLAN3、VLAN4,并配置它们工作在host模式.
[DeviceC]interfacegigabitethernet1/0/3[DeviceC-GigabitEthernet1/0/3]portaccessvlan3[DeviceC-GigabitEthernet1/0/3]portprivate-vlanhost[DeviceC-GigabitEthernet1/0/3]quit[DeviceC]interfacegigabitethernet1/0/4[DeviceC-GigabitEthernet1/0/4]portaccessvlan4[DeviceC-GigabitEthernet1/0/4]portprivate-vlanhost[DeviceC-GigabitEthernet1/0/4]quit4.
显示与验证#显示DeviceB上的PrivateVLAN配置情况(DeviceC的显示结果类似,这里不再列出).
[DeviceB]displayprivate-vlan3-7PrimaryVLANID:5SecondaryVLANID:2-3VLANID:5VLANtype:StaticPrivateVLANtype:PrimaryRouteinterface:NotconfiguredDescription:VLAN0005Name:VLAN0005Taggedports:NoneUntaggedports:GigabitEthernet1/0/2GigabitEthernet1/0/3GigabitEthernet1/0/5VLANID:2VLANtype:StaticPrivateVLANtype:SecondaryRouteinterface:NotconfiguredDescription:VLAN0002Name:VLAN0002Taggedports:NoneUntaggedports:GigabitEthernet1/0/2GigabitEthernet1/0/5VLANID:3VLANtype:StaticPrivateVLANtype:SecondaryRouteinterface:NotconfiguredDescription:VLAN0003Name:VLAN0003TaggedPorts:NoneUntaggedPorts:GigabitEthernet1/0/3GigabitEthernet1/0/5可以看到,工作在promiscuous模式的端口GigabitEthernet1/0/5和工作在host模式的端口GigabitEthernet1/0/2和GigabitEthernet1/0/3均以Untagged方式允许VLAN报文通过.
3.
6PrivateVLAN典型配置举例(trunkpromiscuous模式)1.
组网需求DeviceB上的VLAN5和VLAN10为PrimaryVLAN,其上行端口GigabitEthernet1/0/1需要允许VLAN5和VLAN10的报文携带VLANTag通过.
DeviceB的下行端口GigabitEthernet1/0/2允许SecondaryVLAN2通过,GigabitEthernet1/0/3允许SecondaryVLAN3通过,SecondaryVLAN2、3映射到PrimaryVLAN5.
3-8DeviceB的下行端口GigabitEthernet1/0/4允许SecondaryVLAN6通过,GigabitEthernet1/0/5允许SecondaryVLAN8通过,SecondaryVLAN6、8映射到PrimaryVLAN10.
从DeviceA看,下接的DeviceB只有VLAN5和VLAN10.
2.
组网图图3-3组网图3.
配置步骤(1)配置DeviceB#配置VLAN5和VLAN10为PrimaryVLAN.
system-view[DeviceB]vlan5[DeviceB-vlan5]private-vlanprimary[DeviceB-vlan5]quit[DeviceB]vlan10[DeviceB-vlan10]private-vlanprimary[DeviceB-vlan10]quit#创建SecondaryVLAN2、3、6、8.
[DeviceB]vlan2to3[DeviceB]vlan6[DeviceB-vlan6]quit[DeviceB]vlan8[DeviceB-vlan8]quit#配置PrimaryVLAN5和SecondaryVLAN2、3的映射关系.
[DeviceB]vlan5[DeviceB-vlan5]private-vlansecondary2to3[DeviceB-vlan5]quit#配置PrimaryVLAN10和SecondaryVLAN6、8的映射关系.
DeviceBDeviceAVLAN5VLAN10GE1/0/1GE1/0/1GE1/0/2GE1/0/3GE1/0/4GE1/0/5VLAN3HostBVLAN2HostAVLAN6HostCVLAN8HostD3-9[DeviceB]vlan10[DeviceB-vlan10]private-vlansecondary68[DeviceB-vlan10]quit#配置上行端口GigabitEthernet1/0/1在VLAN5和VLAN10中工作在trunkpromiscuous模式.
[DeviceB]interfacegigabitethernet1/0/1[DeviceB-GigabitEthernet1/0/1]portprivate-vlan510trunkpromiscuous[DeviceB-GigabitEthernet1/0/1]quit#将下行端口GigabitEthernet1/0/2加入VLAN2,GigabitEthernet1/0/3加入VLAN3,并配置它们工作在host模式.
[DeviceB]interfacegigabitethernet1/0/2[DeviceB-GigabitEthernet1/0/2]portaccessvlan2[DeviceB-GigabitEthernet1/0/2]portprivate-vlanhost[DeviceB-GigabitEthernet1/0/2]quit[DeviceB]interfacegigabitethernet1/0/3[DeviceB-GigabitEthernet1/0/3]portaccessvlan3[DeviceB-GigabitEthernet1/0/3]portprivate-vlanhost[DeviceB-GigabitEthernet1/0/3]quit#将下行端口GigabitEthernet1/0/4加入VLAN6,GigabitEthernet1/0/5加入VLAN8,并配置它们工作在host模式.
[DeviceB]interfacegigabitethernet1/0/4[DeviceB-GigabitEthernet1/0/4]portaccessvlan6[DeviceB-GigabitEthernet1/0/4]portprivate-vlanhost[DeviceB-GigabitEthernet1/0/4]quit[DeviceB]interfacegigabitethernet1/0/5[DeviceB-GigabitEthernet1/0/5]portaccessvlan8[DeviceB-GigabitEthernet1/0/5]portprivate-vlanhost[DeviceB-GigabitEthernet1/0/5]quit(2)配置DeviceA#创建VLAN5和VLAN10.
[DeviceA]vlan5[DeviceA-vlan5]quit[DeviceA]vlan10[DeviceA-vlan10]quit#配置端口GigabitEthernet1/0/1为Hybrid端口,并允许VLAN5和VLAN10携带Tag通过.
[DeviceA]interfacegigabitethernet1/0/1[DeviceA-GigabitEthernet1/0/1]portlink-typehybrid[DeviceA-GigabitEthernet1/0/1]porthybridvlan510tagged[DeviceA-GigabitEthernet1/0/1]quit4.
显示与验证#显示DeviceB上的PrimaryVLAN5配置情况(PrimaryVLAN10的显示结果类似,这里不再列出).
[DeviceB]displayprivate-vlan5PrimaryVLANID:5SecondaryVLANID:2-3VLANID:53-10VLANtype:StaticPrivateVLANtype:PrimaryRouteinterface:NotconfiguredDescription:VLAN0005Name:VLAN0005Taggedports:GigabitEthernet1/0/1Untaggedports:GigabitEthernet1/0/2GigabitEthernet1/0/3VLANID:2VLANtype:StaticPrivateVLANtype:SecondaryRouteinterface:NotconfiguredDescription:VLAN0002Name:VLAN0002Taggedports:GigabitEthernet1/0/1Untaggedports:GigabitEthernet1/0/2VLANID:3VLANtype:StaticPrivateVLANtype:SecondaryRouteinterface:NotconfiguredDescription:VLAN0003Name:VLAN0003Taggedports:GigabitEthernet1/0/1Untaggedports:GigabitEthernet1/0/3可以看到,工作在trunkpromiscuous模式的端口GigabitEthernet1/0/1以Tagged方式允许VLAN报文通过,工作在host模式的端口GigabitEthernet1/0/2和GigabitEthernet1/0/3以Untagged方式允许VLAN报文通过.
3.
7PrivateVLAN典型配置举例(trunkpromiscuous&trunksecondary模式)1.
组网需求DeviceA上的VLAN10和VLAN20为PrimaryVLAN,上行端口GigabitEthernet1/0/5需要允许VLAN10和VLAN20的报文携带VLANTag通过.
DeviceA上的VLAN11、12、21、22为SecondaryVLAN,下行端口GigabitEthernet1/0/2允许SecondaryVLAN11、21的报文携带VLANTag通过,下行端口GigabitEthernet1/0/1允许SecondaryVLAN22通过,下行端口GigabitEthernet1/0/3允许SecondaryVLAN12通过.
3-11SecondaryVLAN11、12映射到PrimaryVLAN10;SecondaryVLAN21、22映射到PrimaryVLAN20.
2.
组网图图3-4组网图3.
配置步骤(1)配置DeviceA#配置VLAN10和VLAN20为PrimaryVLAN.
system-view[DeviceA]vlan10[DeviceA-vlan10]private-vlanprimary[DeviceA-vlan10]quit[DeviceA]vlan20[DeviceA-vlan20]private-vlanprimary[DeviceA-vlan20]quit#创建SecondaryVLAN11、12、21、22.
[DeviceA]vlan11to12[DeviceA]vlan21to22#配置PrimaryVLAN10和SecondaryVLAN11、12的映射关系.
[DeviceA]vlan10[DeviceA-vlan10]private-vlansecondary1112[DeviceA-vlan10]quit3-12#配置PrimaryVLAN20和SecondaryVLAN21、22的映射关系.
[DeviceA]vlan20[DeviceA-vlan20]private-vlansecondary2122[DeviceA-vlan20]quit#配置上行端口GigabitEthernet1/0/5在VLAN10和VLAN20中工作在trunkpromiscuous模式.
[DeviceA]interfacegigabitethernet1/0/5[DeviceA-GigabitEthernet1/0/5]portprivate-vlan1020trunkpromiscuous[DeviceA-GigabitEthernet1/0/5]quit#将下行端口GigabitEthernet1/0/1加入VLAN22,并配置其工作在host模式.
[DeviceA]interfacegigabitethernet1/0/1[DeviceA-GigabitEthernet1/0/1]portaccessvlan22[DeviceA-GigabitEthernet1/0/1]portprivate-vlanhost[DeviceA-GigabitEthernet1/0/1]quit#将下行端口GigabitEthernet1/0/3加入VLAN12,并配置其工作在host模式.
[DeviceA]interfacegigabitethernet1/0/3[DeviceA-GigabitEthernet1/0/3]portaccessvlan12[DeviceA-GigabitEthernet1/0/3]portprivate-vlanhost[DeviceA-GigabitEthernet1/0/3]quit#配置下行端口GigabitEthernet1/0/2在VLAN11和VLAN21中工作在trunksecondary模式.
[DeviceA]interfacegigabitethernet1/0/2[DeviceA-GigabitEthernet1/0/2]portprivate-vlan1121trunksecondary[DeviceA-GigabitEthernet1/0/2]quit(2)配置DeviceB#创建VLAN11和VLAN21.
system-view[DeviceB]vlan11[DeviceB-vlan11]quit[DeviceB]vlan21[DeviceB-vlan21]quit#配置端口GigabitEthernet1/0/2为Hybrid端口,并允许VLAN11和VLAN21携带Tag通过.
[DeviceB]interfacegigabitethernet1/0/2[DeviceB-GigabitEthernet1/0/2]portlink-typehybrid[DeviceB-GigabitEthernet1/0/2]porthybridvlan1121tagged[DeviceB-GigabitEthernet1/0/2]quit#将端口GigabitEthernet1/0/3加入VLAN11.
[DeviceB]interfacegigabitethernet1/0/3[DeviceB-GigabitEthernet1/0/3]portaccessvlan11[DeviceB-GigabitEthernet1/0/3]quit#将端口GigabitEthernet1/0/4加入VLAN21.
[DeviceB]interfacegigabitethernet1/0/4[DeviceB-GigabitEthernet1/0/4]portaccessvlan21[DeviceB-GigabitEthernet1/0/4]quit(3)配置DeviceC#创建VLAN10和VLAN20.
system-view3-13[DeviceC]vlan10[DeviceC-vlan10]quit[DeviceC]vlan20[DeviceC-vlan20]quit#配置端口GigabitEthernet1/0/5为Hybrid端口,并允许VLAN10和VLAN20携带Tag通过.
[DeviceC]interfacegigabitethernet1/0/5[DeviceC-GigabitEthernet1/0/5]portlink-typehybrid[DeviceC-GigabitEthernet1/0/5]porthybridvlan1020tagged[DeviceC-GigabitEthernet1/0/5]quit4.
显示与验证#显示DeviceA上PrimaryVLAN10的配置情况(PrimaryVLAN20的显示结果类似,这里不再列出).
[DeviceA]displayprivate-vlan10PrimaryVLANID:10SecondaryVLANID:11-12VLANID:10VLANtype:StaticPrivate-vlantype:PrimaryRouteinterface:NotconfiguredDescription:VLAN0010Name:VLAN0010Taggedports:GigabitEthernet1/0/2GigabitEthernet1/0/5Untaggedports:GigabitEthernet1/0/3VLANID:11VLANtype:StaticPrivate-vlantype:SecondaryRouteinterface:NotconfiguredDescription:VLAN0011Name:VLAN0011Taggedports:GigabitEthernet1/0/2GigabitEthernet1/0/5Untaggedports:NoneVLANID:12VLANtype:StaticPrivate-vlantype:SecondaryRouteinterface:NotconfiguredDescription:VLAN0012Name:VLAN0012Taggedports:GigabitEthernet1/0/53-14Untaggedports:GigabitEthernet1/0/3可以看到,工作在trunkpromiscuous模式的端口GigabitEthernet1/0/5和工作在trunksecondary模式的端口GigabitEthernet1/0/2以Tagged方式允许VLAN报文通过,工作在host模式的端口GigabitEthernet1/0/3以Untagged方式允许VLAN报文通过.
3.
8SecondaryVLAN间三层互通配置举例1.
组网需求DeviceA上的VLAN10为PrimaryVLAN,包含上行端口GigabitEthernet1/0/1并关联两个SecondaryVLAN(VLAN2和VLAN3),VLAN2包含端口GigabitEthernet1/0/2,VLAN3包含端口GigabitEthernet1/0/3.
VLAN接口10的IP地址为192.
168.
1.
1/24.
实现各SecondaryVLAN间二层隔离和三层互通.
2.
组网图图3-5组网图3.
配置步骤#配置VLAN10为PrimaryVLAN.
system-view[DeviceA]vlan10[DeviceA-vlan10]private-vlanprimary[DeviceA-vlan10]quit#创建SecondaryVLAN2、3.
[DeviceA]vlan2to3#配置PrimaryVLAN10和SecondaryVLAN2、3的映射关系.
[DeviceA]vlan10[DeviceA-vlan10]private-vlansecondary23[DeviceA-vlan10]quit#配置上行端口GigabitEthernet1/0/1在VLAN10中工作在promiscuous模式.
[DeviceA]interfacegigabitethernet1/0/1[DeviceA-GigabitEthernet1/0/1]portprivate-vlan10promiscuous[DeviceA-GigabitEthernet1/0/1]quitVLAN2VLAN3VLAN10DeviceADeviceBVlan-int10192.
168.
1.
1/24GE1/0/3GE1/0/2GE1/0/13-15#将下行端口GigabitEthernet1/0/2加入VLAN2,并配置其工作在host模式.
[DeviceA]interfacegigabitethernet1/0/2[DeviceA-GigabitEthernet1/0/2]portaccessvlan2[DeviceA-GigabitEthernet1/0/2]portprivate-vlanhost[DeviceA-GigabitEthernet1/0/2]quit#将下行端口GigabitEthernet1/0/3加入VLAN3,并配置其工作在host模式.
[DeviceA]interfacegigabitethernet1/0/3[DeviceA-GigabitEthernet1/0/3]portaccessvlan3[DeviceA-GigabitEthernet1/0/3]portprivate-vlanhost[DeviceA-GigabitEthernet1/0/3]quit#配置PrimaryVLAN10下SecondaryVLAN2、3之间三层互通.
[DeviceA]interfacevlan-interface10[DeviceA-Vlan-interface10]private-vlansecondary23#配置VLAN接口10的IP地址为192.
168.
1.
1/24.
[DeviceA-Vlan-interface10]ipaddress192.
168.
1.
1255.
255.
255.
0#开启本地代理ARP功能.
[DeviceA-Vlan-interface10]local-proxy-arpenable[DeviceA-Vlan-interface10]quit4.
显示和验证#查看PrivateVLAN10的相关信息,验证以上配置是否生效.
[DeviceA]displayprivate-vlan10PrimaryVLANID:10SecondaryVLANID:2-3VLANID:10VLANtype:StaticPrivateVLANtype:PrimaryRouteinterface:ConfiguredIPv4address:192.
168.
1.
1IPv4subnetmask:255.
255.
255.
0Description:VLAN0010Name:VLAN0010Taggedports:NoneUntaggedports:GigabitEthernet1/0/1GigabitEthernet1/0/2GigabitEthernet1/0/3VLANID:2VLANtype:StaticPrivateVLANtype:SecondaryRouteinterface:ConfiguredIPv4address:192.
168.
1.
1IPv4subnetmask:255.
255.
255.
0Description:VLAN0002Name:VLAN00023-16Taggedports:NoneUntaggedports:GigabitEthernet1/0/1GigabitEthernet1/0/2VLANID:3VLANtype:StaticPrivateVLANtype:SecondaryRouteinterface:ConfiguredIPv4address:192.
168.
1.
1IPv4subnetmask:255.
255.
255.
0Description:VLAN0003Name:VLAN0003Taggedports:NoneUntaggedports:GigabitEthernet1/0/1GigabitEthernet1/0/3可以看到,SecondaryVLAN2和SecondaryVLAN3的Routeinterface字段都显示为Configured,说明SecondaryVLAN2与SecondaryVLAN3间已配置三层互通.
4-14VoiceVLAN4.
1VoiceVLAN简介VoiceVLAN是为用户的语音数据流专门划分的VLAN.
通过划分VoiceVLAN并将连接语音设备的端口加入VoiceVLAN,系统自动为语音报文修改QoS(QualityofService,服务质量)参数,来提高语音数据报文优先级、保证通话质量.
常见的语音设备有IP电话、IAD(IntegratedAccessDevice,综合接入设备)等.
本文中以IP电话为例进行说明.
当IP电话接入设备时,需要设备完成以下两个任务:(1)识别IP电话,获取IP电话的MAC地址,从而进行安全认证及提高语音报文的优先级.
(2)将VoiceVLAN信息通告给IP电话,IP电话能够根据收到的VoiceVLAN信息完成自动配置,使IP电话发出的语音报文在VoiceVLAN内传输.
4.
2设备识别IP电话4.
2.
1OUI地址设备可以根据端口接收的报文的源MAC地址来判断该数据流是否为语音数据流.
源MAC地址符合系统配置的语音设备OUI(OrganizationallyUniqueIdentifier,全球统一标识符)地址的报文被认为是语音数据流.
用户可以预先配置OUI地址,也可以使用缺省的OUI地址作为判断标准.
设备缺省的OUI地址如表4-1所示.
表4-1设备缺省的OUI地址序号OUI地址生产厂商10001-e300-0000Siemensphone20003-6b00-0000Ciscophone30004-0d00-0000Avayaphone4000f-e200-0000H3CAolynkphone50060-b900-0000Philips/NECphone600d0-1e00-0000Pingtelphone700e0-7500-0000Polycomphone800e0-bb00-00003Comphone4-2通常意义下,OUI地址指的是MAC地址的前24位(二进制),是IEEE为不同设备供应商分配的一个全球唯一的标识符.
本文中的OUI地址有别于通常意义的OUI地址,它是设备判断收到的报文是否为语音报文的依据,是voice-vlanmac-address命令中的mac-address和oui-mask参数相与运算后的结果.
设备缺省的OUI地址可以手工删除,删除之后也可再次手工添加.
4.
2.
2通过LLDP自动识别IP电话通过设备上配置的OUI地址识别IP电话的方法受限于设备上可配置的OUI地址的数量,并且当网络中IP电话数量众多时,网络管理员的配置工作量较大.
如果IP电话支持LLDP(LinkLayerDiscoveryProtocol,链路层发现协议)功能,可以配置LLDP自动识别IP电话功能.
在设备上配置了通过LLDP自动发现IP电话功能后,设备将通过LLDP自动发现对端设备,并与对端设备通过LLDP的TLV进行信息交互.
如果通过端口收到的LLDPSystemCapabilitiesTLV中的信息发现对端设备具有电话能力,则认为对端设备是IP电话并将设备上配置的VoiceVLAN信息通过LLDP发送给对端设备.
这种方式使接入网络的IP电话类型不再受限于OUI地址的数量.
在完成IP电话的发现过程后,端口将继续完成VoiceVLAN的其他功能,即端口将自动加入VoiceVLAN,并提高从该IP电话发出的语音数据的优先级.
为防止IP电话无法通过端口上配置的认证功能,设备还会将IP电话的MAC地址添加到MAC地址表中.
有关LLDP的详细信息,请参见"二层技术-以太网交换配置指导"中的"LLDP".
4.
3设备将VoiceVLAN信息通告给IP电话设备可以通过三种方式将VoiceVLAN信息通告给IP电话,这三种方式的优先顺序如下图所示.
通过命令行指定LLDP或CDP(CiscoDiscoveryProtocol,思科发现协议)发布的VoiceVLANID.
当IP电话配合接入认证功能使用时,将认证服务器下发的授权VLAN信息通告给IP电话.
直接将端口配置的VoiceVLAN信息通告给IP电话.
图4-1设备向IP电话发布VoiceVLAN信息的过程是否收到认证服务器下发的授权VLAN信息是否指定了LLDP/CDP发布的VoiceVLANID是向IP电话发布指定的VoiceVLANID否是向IP电话发布授权VLAN的信息否向IP电话发布端口配置的VoiceVLAN信息4-34.
4IP电话的接入方式1.
主机和IP电话串联接入如下图所示,主机连接到IP电话,IP电话连接到接入设备.
在串联接入的环境下,需要将主机和IP电话划分到不同的VLAN,且需要IP电话能发出携带VLANTag的报文,从而区分业务数据流和语音数据流.
同时,需要配置端口允许VoiceVLAN和PVID通过.
图4-2主机与IP电话串联接入组网图2.
IP电话单独接入如下图所示,IP电话单独接入设备.
单独接入适用于IP电话发出Untagged语音报文的情况,此时需要配置PVID为VoiceVLAN,并配置端口允许PVID通过.
图4-3IP电话单独接入组网图4.
5VoiceVLAN的工作模式4.
5.
1VoiceVLAN的自动模式和手动模式根据端口加入VoiceVLAN的不同方式,可以将VoiceVLAN的工作模式分为自动模式和手动模式.
1.
自动模式自动模式适用于主机和IP电话串联接入(端口同时传输语音数据和普通业务数据)的组网方式,如图4-2所示.
HostIPphoneDeviceVoicegateway4-4自动模式下,系统利用IP电话上电时发出的协议报文,识别报文的源MAC地址,匹配OUI地址.
匹配成功后,系统将自动把语音报文的入端口加入VoiceVLAN,并下发ACL规则、配置报文的优先级.
用户可以在设备上配置VoiceVLAN的老化时间,当在老化时间内,系统没有从入端口收到任何语音报文时,系统将把该端口从VoiceVLAN中删除.
端口的添加/删除到VoiceVLAN的过程由系统自动实现.
当VoiceVLAN正常工作时,如果遇到IP电话重新启动,为保证已经建立的语音连接能够正常工作,系统会在IP电话重新启动完成后,将配置为自动模式的端口重新加入VoiceVLAN,而不需要再次通过语音流触发.
2.
手动模式手动模式适用于IP电话单独接入(端口仅传输语音报文)的组网方式,如图4-3所示.
该组网方式可以使该端口专用于传输语音数据,最大限度避免业务数据对语音数据传输的影响.
手动模式下,需要手工将连接IP电话的端口加入VoiceVLAN中.
再通过识别报文的源MAC地址,匹配OUI地址.
匹配成功后,系统将下发ACL规则、配置报文的优先级.
端口的添加/删除到VoiceVLAN的过程由网络管理员手动实现.
3.
VoiceVLAN工作模式和IP电话的配合由于IP电话类型较多,因此需要用户保证端口的链路类型与IP电话匹配,不同VoiceVLAN工作模式下的详细配合关系请见表4-2和表4-3:IP电话发送Tagged语音数据表4-2不同类型端口支持Tagged语音数据配置要求VoiceVLAN工作模式端口类型是否支持Tagged语音数据配置要求自动模式Access不支持-Trunk支持PVID不能为VoiceVLANHybrid手工模式Access不支持-Trunk支持PVID不能为VoiceVLAN,需要配置端口允许VoiceVLAN的报文通过Hybrid支持PVID不能为VoiceVLAN,需要配置端口允许VoiceVLAN的报文携带Tag通过IP电话发送Untagged语音数据当IP电话发送Untagged语音数据,则端口的VoiceVLAN工作模式只能为手工模式,不能为自动模式.
表4-3不同类型端口支持Untagged语音数据配置要求VoiceVLAN工作模式端口类型是否支持Untagged语音数据配置要求自动模式Access不支持-Trunk4-5VoiceVLAN工作模式端口类型是否支持Untagged语音数据配置要求Hybrid手工模式Access支持端口加入VoiceVLANTrunk支持PVID必须为VoiceVLAN,且接入端口允许PVID通过Hybrid支持PVID必须为VoiceVLAN,且允许PVID的报文不带VLANTag通过如果用户的IP电话发出的是Tagged语音流,且接入端口上开启了802.
1X认证和GuestVLAN/Auth-FailVLAN/CriticalVLAN,为保证各种功能的正常使用,请为VoiceVLAN、PVID和802.
1X的GuestVLAN/Auth-FailVLAN/CriticalVLAN分配不同的VLANID.
如果用户的IP电话发出的是Untagged语音流,为实现VoiceVLAN功能,只能将PVID配置为VoiceVLAN,此时将不能实现802.
1X认证功能.
4.
5.
2VoiceVLAN的安全模式和普通模式开启了VoiceVLAN功能的端口会对接收到的报文进行过滤,根据过滤机制的不同,可以将VoiceVLAN的工作模式分为普通模式和安全模式:普通模式下,端口加入VoiceVLAN后,设备对于接收的语音报文不再一一进行识别,凡是带有VoiceVLANTag的报文,设备将不再检查其源MAC地址是否为语音设备的OUI地址,均接收并在VoiceVLAN中转发.
对于PVID就是VoiceVLAN的手工模式端口,会导致任意的Untagged报文都可以在VoiceVLAN中传输.
这样的处理方式很容易使VoiceVLAN收到恶意用户的流量攻击.
恶意用户可以构造大量带有VoiceVLANTag或Untagged的报文,占用VoiceVLAN的带宽,影响正常的语音通信.
安全模式下,设备将对每一个要进入VoiceVLAN传输的报文进行源MAC地址匹配检查,对于不能匹配OUI地址的报文,则将其丢弃.
对于比较安全的网络,用户可以配置VoiceVLAN的普通模式,以减少检查报文的工作对系统资源的占用.
只有匹配了OUI地址的报文才能被修改优先级.
比如在普通模式下,报文在VoiceVLAN中转发,但如果该报文未匹配OUI地址,则该报文不会被修改优先级.
建议用户尽量不要在VoiceVLAN中同时传输语音和业务数据.
如确有此需要,请确认VoiceVLAN的安全模式已关闭,否则业务数据会被丢弃.
4-6表4-4VoiceVLAN的安全/普通模式对报文的处理VoiceVLAN工作模式报文类型处理方式安全模式Untagged报文当报文的源MAC地址是可识别的OUI地址时,允许该报文在VoiceVLAN内传输,否则将该报文丢弃带有VoiceVLANTag的报文带有其他VLANTag的报文根据指定端口是否允许该VLAN通过来对报文进行转发和丢弃的处理,不受VoiceVLAN安全/普通模式的影响普通模式Untagged报文不对报文的源MAC地址进行检查,所有报文均可以在VoiceVLAN内进行传输带有VoiceVLANTag的报文带有其他VLANTag的报文根据指定端口是否允许该VLAN通过来对报文进行转发和丢弃的处理,不受VoiceVLAN安全/普通模式的影响4.
6VoiceVLAN配置限制和指导聚合接口以及聚合组的成员端口均不支持VoiceVLAN功能.
有关聚合接口和成员端口的介绍,请参见"二层技术-以太网交换配置指导"中的"以太网链路聚合".
4.
7VoiceVLAN配置任务简介表4-5VoiceVLAN配置任务简介配置任务说明详细配置配置语音报文的QoS优先级必选4.
8.
1配置自动模式下的VoiceVLAN二者必选其一4.
8.
2配置手动模式下的VoiceVLAN4.
8.
3配置通过LLDP自动发现IP电话功能可选4.
8.
4配置通过LLDP通过VoiceVLAN信息二者可选其一4.
8.
5配置通过CDP通告VoiceVLAN信息4.
8.
64.
8配置VoiceVLAN4.
8.
1配置语音报文的QoS优先级VoiceVLAN在实现中,通过提高语音报文的QoS优先级(CoS和DSCP值)来保证语音通信的质量.
语音报文会自带QoS优先级,通过配置,用户可以选择在语音报文通过设备时修改或者不修改报文的QoS优先级.
配置语音报文的QoS优先级时,需要注意:4-7在VoiceVLAN已开启的情况下,不允许配置/修改语音报文的QoS优先级.
必须关闭端口上的VoiceVLAN功能后,才能配置/修改语音报文的QoS优先级.
在同一端口多次执行本配置,最后一次执行的配置生效.
表4-6配置语音报文的QoS优先级操作命令说明进入系统视图system-view-进入二层以太网接口视图interfaceinterface-typeinterface-number-配置端口信任VoiceVLAN内语音报文的优先级voice-vlanqostrust二者选其一缺省情况下,端口将VoiceVLAN内语音报文的CoS值修改为6,DSCP值修改为46配置端口将VoiceVLAN内语音报文的CoS和DSCP值修改为指定值voice-vlanqoscos-valuedscp-value4.
8.
2配置自动模式下的VoiceVLAN配置自动模式下的VoiceVLAN时,需要注意:自动模式下的VoiceVLAN只支持Hybrid端口对Tagged的语音流进行处理,而协议VLAN特性要求Hybrid入端口的报文格式为Untagged的,因此,不能将某个VLAN同时配置为VoiceVLAN和协议VLAN.
配置MSTP多实例情况下,如果端口在要加入的VoiceVLAN对应的MSTP实例中是阻塞状态,则端口会丢弃收到的报文,造成MAC地址不能上送,不能完成动态触发功能.
自动模式VoiceVLAN的使用场景为接入侧,不建议和多实例MSTP同时使用.
配置PVST情况下,如果端口要加入的VoiceVLAN不为端口允许通过的VLAN,则端口处于阻塞状态,会丢弃收到的报文,造成MAC地址不能上送,不能完成动态触发功能.
自动模式VoiceVLAN的使用场景为接入侧,不建议和PVST同时使用.
当端口配置了动态触发端口加入静态MACVLAN,又配置本功能时,两个功能可能会相互影响,导致其中某个功能不可用.
当端口同时配置了本功能和动态触发端口加入静态MACVLAN,再取消其中任何一个功能的配置,会导致另一个功能不可用.
因此不建议同一端口同时配置本功能和动态触发端口加入静态MACVLAN.
表4-7配置自动模式下的VoiceVLAN操作命令说明进入系统视图system-view-(可选)配置VoiceVLAN的老化时间voice-vlanagingminutes缺省情况下,老化时间为1440分钟,老化时间只对自动模式下的端口有效(可选)开启VoiceVLAN的安全模式voice-vlansecurityenable缺省情况下,VoiceVLAN工作在安全模式(可选)配置VoiceVLAN识别的OUI地址voice-vlanmac-addressouimaskoui-mask[descriptiontext]VoiceVLAN启动后将有缺省的OUI地址,请参见"表4-1设备缺省的OUI地址"4-8操作命令说明进入二层以太网接口视图interfaceinterface-typeinterface-number-配置端口的链路类型portlink-typetrunkportlink-typehybrid二者选其一配置端口的VoiceVLAN工作模式为自动模式voice-vlanmodeauto缺省情况下,端口的VoiceVLAN工作模式为自动模式开启端口的VoiceVLAN功能voice-vlanvlan-idenable缺省情况下,端口的VoiceVLAN功能处于关闭状态开启端口的VoiceVLAN功能之前,须确保对应的VLAN已存在4.
8.
3配置手动模式下的VoiceVLAN配置手动模式下的VoiceVLAN时,需要注意:同一设备同一时刻可以给不同的端口配置不同的VoiceVLAN,但一个端口只能配置一个VoiceVLAN,而且这些VLAN必须是已经存在的静态VLAN.
当端口开启了VoiceVLAN并工作在手工模式时,必须手工将端口加入VoiceVLAN,才能保证VoiceVLAN功能生效.
表4-8配置手动模式下的VoiceVLAN操作命令说明进入系统视图system-view-(可选)开启VoiceVLAN的安全模式voice-vlansecurityenable缺省情况下,VoiceVLAN工作在安全模式(可选)配置VoiceVLAN中可识别的OUI地址voice-vlanmac-addressouimaskoui-mask[descriptiontext]VoiceVLAN启动后将有缺省的OUI地址,请参见"表4-1设备缺省的OUI地址"进入二层以太网接口视图interfaceinterface-typeinterface-number-配置端口的VoiceVLAN工作模式为手动模式undovoice-vlanmodeauto缺省情况下,端口的VoiceVLAN工作模式为自动模式将手动模式端口加入VoiceVLANAccess端口:请参见"1.
5.
2配置基于Access端口的VLAN"Trunk端口:请参见"1.
5.
3配置基于Trunk端口的VLAN"Hybrid端口:请参见"1.
5.
4配置基于Hybrid端口的VLAN"三者选其一将Access端口加入VoiceVLAN后,VoiceVLAN会自动成为PVID4-9操作命令说明(可选)配置PVID为VoiceVLANTrunk端口:请参见"1.
5.
3配置基于Trunk端口的VLAN"Hybrid端口:请参见"1.
5.
4配置基于Hybrid端口的VLAN"二者选其一当输入的语音流是Untagged语音流时,需要进行该项配置;当输入的语音流是Tagged语音流时,不能将PVID配置为VoiceVLAN开启端口的VoiceVLAN功能voice-vlanvlan-idenable缺省情况下,端口的VoiceVLAN功能处于关闭状态开启端口的VoiceVLAN功能之前,须先创建对应的VLAN4.
8.
4配置通过LLDP自动发现IP电话功能配置通过LLDP自动发现IP电话功能时,需要注意:在配置本功能前,需要在全局和接入端口均开启LLDP功能.
通过LLDP自动发现IP电话功能只能与VoiceVLAN自动模式配合使用,不能与手动模式配合使用.
通过LLDP自动发现IP电话功能与LLDP兼容CDP功能不能同时配置.
表4-9配置通过LLDP自动发现IP电话功能操作命令说明进入系统视图system-view-开启通过LLDP自动发现IP电话功能voice-vlantracklldp缺省情况下,通过LLDP自动发现IP电话功能处于关闭状态4.
8.
5配置通过LLDP通告VoiceVLAN信息对于支持LLDP的IP电话,可以通过LLDP-MED中的NetworkPolicyTLV将VoiceVLAN信息通告给IP电话.
需要注意的是,在配置本功能前,需要在全局和接入端口开启LLDP功能.
表4-10配置通过LLDP通告VoiceVLAN信息操作命令说明进入系统视图system-view-进入二层以太网接口视图interfaceinterface-typeinterface-number-配置端口上发布的VoiceVLANIDlldptlv-enablemed-tlvnetwork-policyvlan-id缺省情况下,未配置端口上发布的VoiceVLANID4-10LLDP-MEDNetworkPolicyTLV中的信息可以通过displaylldplocal-information命令查看.
有关lldptlv-enable命令和displaylldplocal-information命令的详细介绍,请参见"二层技术-以太网交换命令参考"中的"LLDP".
4.
8.
6配置通过CDP通告VoiceVLAN信息如果IP电话只支持CDP,不支持LLDP,当设备与这类IP电话直连时,IP电话将会向设备发送CDP报文以请求在设备上所配VoiceVLAN的VLANID;如果在指定时间内没有收到设备发送的VoiceVLAN的VLANID,IP电话将会把语音数据流以Untagged方式发送,从而导致语音数据流与其他类型的数据流混在一起,无法进行区分.
通过在设备上配置LLDP兼容CDP功能,可以利用LLDP来接收、识别从IP电话发送的CDP报文,并向IP电话发送CDP报文,该CDP报文携带设备配置的VoiceVLAN信息,使IP电话完成VoiceVLAN的自动配置.
之后IP电话的语音数据流将被限制在配置的VoiceVLAN内,与其他数据流区分开来.
需要注意的是,在配置本功能前,需要在全局和接入端口开启LLDP功能.
表4-11配置通过CDP通告VoiceVLAN信息操作命令说明进入系统视图system-view-开启LLDP兼容CDP功能lldpcompliancecdp缺省情况下,LLDP兼容CDP功能处于关闭状态进入二层以太网接口视图interfaceinterface-typeinterface-number-配置LLDP兼容CDP功能的工作模式为TxRxlldpcomplianceadmin-statuscdptxrx缺省情况下,LLDP兼容CDP功能的工作模式为Disable配置CDP报文携带的VoiceVLANIDcdpvoice-vlanvlan-id缺省情况下,未配置CDP报文携带的VoiceVLANID设备发送给IP电话的CDP报文中不包含优先级信息.
4.
9VoiceVLAN显示和维护在完成上述配置后,在任意视图下执行display命令可以显示配置后VoiceVLAN的运行情况,通过查看显示信息验证配置的效果.
4-11表4-12VoiceVLAN显示和维护操作命令显示VoiceVLAN的状态displayvoice-vlanstate显示系统当前支持的OUI地址displayvoice-vlanmac-address4.
10VoiceVLAN典型配置举例4.
10.
1自动模式下VoiceVLAN的配置举例1.
组网需求IPphoneA的MAC地址为0011-1100-0001,下行连接PCA(MAC地址为0022-1100-0002),上行连接到DeviceA的GigabitEthernet1/0/1端口.
IPphoneB的MAC地址为0011-2200-0001,下行连接PCB(MAC地址为0022-2200-0002),上行连接到DeviceA的GigabitEthernet1/0/2端口.
DeviceA使用VoiceVLAN2传输IPphoneA产生的语音报文;使用VoiceVLAN3传输IPphoneB产生的语音报文.
DeviceA的端口GigabitEthernet1/0/1和GigabitEthernet1/0/2工作在自动模式,如果它们在30分钟内没有收到语音流,就将相应的VoiceVLAN老化.
2.
组网图图4-4配置自动模式下VoiceVLAN组网图3.
配置步骤#创建VLAN2和VLAN3.
system-view[DeviceA]vlan2to3#配置VoiceVLAN的老化时间为30分钟.
[DeviceA]voice-vlanaging304-12#由于端口GigabitEthernet1/0/1可能会同时收到语音和数据两种流量,为了保证语音报文的质量以及带宽的高效利用,配置VoiceVLAN工作在安全模式,即VoiceVLAN只用于传输语音报文.
(可选,缺省情况下,VoiceVLAN工作在安全模式)[DeviceA]voice-vlansecurityenable#配置允许OUI地址为0011-1100-0000和0011-2200-0000的报文通过VoiceVLAN,即当报文源MAC地址前缀为0011-1100-0000或0011-2200-0000时,DeviceA会把它当成语音报文来处理.
[DeviceA]voice-vlanmac-address0011-1100-0001maskffff-ff00-0000descriptionIPphoneA[DeviceA]voice-vlanmac-address0011-2200-0001maskffff-ff00-0000descriptionIPphoneB#配置端口GigabitEthernet1/0/1为Hybrid类型端口.
[DeviceA]interfacegigabitethernet1/0/1[DeviceA-GigabitEthernet1/0/1]portlink-typehybrid#将端口GigabitEthernet1/0/1上VoiceVLAN的工作模式配置为自动模式.
(可选,缺省情况下,端口的VoiceVLAN工作在自动模式.
)[DeviceA-GigabitEthernet1/0/1]voice-vlanmodeauto#开启端口VoiceVLAN功能.
[DeviceA-GigabitEthernet1/0/1]voice-vlan2enable[DeviceA-GigabitEthernet1/0/1]quit#在端口GigabitEthernet1/0/2上进行相应的配置.
[DeviceA]interfacegigabitethernet1/0/2[DeviceA-GigabitEthernet1/0/2]portlink-typehybrid[DeviceA-GigabitEthernet1/0/2]voice-vlanmodeauto[DeviceA-GigabitEthernet1/0/2]voice-vlan3enable[DeviceA-GigabitEthernet1/0/2]quit4.
显示和验证#显示当前系统支持的OUI地址、OUI地址掩码和描述信息.
[DeviceA]displayvoice-vlanmac-addressOUIAddressMaskDescription0001-e300-0000ffff-ff00-0000Siemensphone0003-6b00-0000ffff-ff00-0000Ciscophone0004-0d00-0000ffff-ff00-0000Avayaphone000f-e200-0000ffff-ff00-0000H3CAolynkphone0011-1100-0000ffff-ff00-0000IPphoneA0011-2200-0000ffff-ff00-0000IPphoneB0060-b900-0000ffff-ff00-0000Philips/NECphone00d0-1e00-0000ffff-ff00-0000Pingtelphone00e0-7500-0000ffff-ff00-0000Polycomphone00e0-bb00-0000ffff-ff00-00003Comphone#显示当前VoiceVLAN的状态.
[DeviceA]displayvoice-vlanstateCurrentvoiceVLANs:2VoiceVLANsecuritymode:SecurityVoiceVLANagingtime:30minutesVoiceVLANenabledportsandtheirmodes:PortVLANModeCoSDSCPGE1/0/12Auto6464-13GE1/0/23Auto6464.
10.
2手动模式下VoiceVLAN的配置举例1.
组网需求IPPhoneA接入DeviceA的Hybrid类型端口GigabitEthernet1/0/1.
IPPhoneA发出的报文为Untagged报文.
DeviceA上VLAN2为VoiceVLAN.
手工将DeviceA的端口GigabitEthernet1/0/1工作加入VoiceVLAN,其PVID为VLAN2,添加OUI地址0011-2200-0000,使该端口专用于传输语音报文.
2.
组网图图4-5配置手动模式下VoiceVLAN组网图3.
配置步骤#配置VoiceVLAN为安全模式,使得VoiceVLAN端口只允许合法的语音报文通过.
(可选,缺省情况下,VoiceVLAN工作在安全模式)system-view[DeviceA]voice-vlansecurityenable#配置允许OUI地址为0011-2200-0000的报文通过VoiceVLAN,即报文源MAC地址前缀为0011-2200-0000时,DeviceA会把它当成语音报文来处理.
[DeviceA]voice-vlanmac-address0011-2200-0001maskffff-ff00-0000descriptiontest#创建VLAN2.
[DeviceA]vlan2[DeviceA-vlan2]quit#配置端口GigabitEthernet1/0/1工作在手动模式.
[DeviceA]interfacegigabitethernet1/0/1[DeviceA-GigabitEthernet1/0/1]undovoice-vlanmodeauto#配置端口GigabitEthernet1/0/1为Hybrid类型.
[DeviceA-GigabitEthernet1/0/1]portlink-typehybrid#配置VoiceVLAN是端口GigabitEthernet1/0/1的缺省VLAN,且在该端口允许通过的UntaggedVLAN列表中.
[DeviceA-GigabitEthernet1/0/1]porthybridpvidvlan2[DeviceA-GigabitEthernet1/0/1]porthybridvlan2untaggedDeviceADeviceBGE1/0/1VLAN2IPphoneA010-1001MAC:0011-2200-0001Mask:ffff-ff00-0000IPphoneB0755-2002Internet4-14#开启端口GigabitEthernet1/0/1的VoiceVLAN功能.
[DeviceA-GigabitEthernet1/0/1]voice-vlan2enable[DeviceA-GigabitEthernet1/0/1]quit4.
显示与验证#显示当前系统支持的OUI地址、OUI地址掩码和描述信息.
[DeviceA]displayvoice-vlanmac-addressOUIAddressMaskDescription0001-e300-0000ffff-ff00-0000Siemensphone0003-6b00-0000ffff-ff00-0000Ciscophone0004-0d00-0000ffff-ff00-0000Avayaphone000f-e200-0000ffff-ff00-0000H3CAolynkphone0011-2200-0000ffff-ff00-0000test0060-b900-0000ffff-ff00-0000Philips/NECphone00d0-1e00-0000ffff-ff00-0000Pingtelphone00e0-7500-0000ffff-ff00-0000Polycomphone00e0-bb00-0000ffff-ff00-00003Comphone#显示当前VoiceVLAN的状态.
[DeviceA]displayvoice-vlanstateCurrentvoiceVLANs:1VoiceVLANsecuritymode:SecurityVoiceVLANagingtime:1440minutesVoiceVLANenabledportsandtheirmodes:PortVLANModeCoSDSCPGE1/0/12Manual646