華為交換機配置(18533)-資料下載頁

　　

【正文】 服務的用戶，進行統一管理的場景。216。基于匹配策略劃分VLAN：根據指定的策略（譬如匹配報文的源MAC、源IP和端口）分配VLAN ID。適用于對安全性要求比較高的場景。幾種劃分VLAN的各種方式中，基于接口劃分VLAN，是最常用最簡單的方式，那么到底怎么配置，怎么使用呢？在配置使用之前，先來和小編回顧一下端口常用的鏈路類型吧。access：用于交換機和PC相連；trunk：用于交換機和交換機相連；hybrid：即可以用于交換機和PC相連，也可以用于交換機和交換機相連。使用hub鏈路交換機時，經常使用這種類型的。好了，下面小編以實際組網為例，講解一下基于接口劃分VLAN的配置。場景說明1：一臺交換機兩個用戶，怎么通過接口劃分VLAN從而實現隔離呢（VLAN就是為了廣播域隔離，各位大俠沒有忘記吧）216。先來看看同一網段的兩臺PC直接和交換機相連，不進行劃分VLAN，是否可以ping通呢？從上圖可知，是可以ping通的，這是為什么呢？因為缺省情況下，華為交換機的接口都默認加入VLAN 1，兩臺PC直接和交換機相連，只要屬于同一個網段，就可以互通。216。那么怎么通過VLAN實現隔離呢？只要把接口加入到不同的VLAN，就可以了。例如交換機GE0/0/1和GE0/0/2端口分別以access類型加入VLAN 10和VLAN 20216。此時，兩臺PC基于接口劃分到不同VLAN中，互連不能ping通，實現了隔離。場景說明2：跨交換機，4個用戶，怎么通過接口劃分VLAN實現隔離和互通呢？如下圖：缺省情況下，4臺PC屬于同一網段，相互可以ping通。假設PC1和PC2屬于同一部門，PC3和PC4屬于同一部門。如何通過配置基于接口的VLAN，實現同一部門之間可以互訪，不同部門之間不能互訪呢？216。同一個部門兩個用戶PC1和PC2劃分到同一個VLAN100。交換機1的GE0/0/1和交換機2的GE0/0/1端口分別以access類型加入VLAN100。216。另外一個部門的兩個用戶PC3和PC4劃分到另一個VLAN 200。216。兩臺相連交換機的端口GE0/0/3，分別以trunk端口加入VLAN 100和VLAN 200，實現跨交換機的通信。216。這樣，就可以實現到同一部門的用戶PC1和PC3可以互通，不同部門的用戶PC2和PC4不能互通了。OK，典型的應用場景就講完了。各位大俠是否發現上面兩個場景中，VLAN和端口數都比較少，而在現實組網中，經常需要配置多個VLAN，多個端口，有什么辦法可以快速完成配置嗎？下面小編再介紹一下批量配置和快速恢復端口VLAN缺省配置的方法。批量創建VLAN Huawei systemview[Huawei]vlan batch 2 to 100批量端口加入VLAN[Huawei]portgroup groupmember GigabitEthernet 0/0/10 toGigabitEthernet 0/0/20[Huaweiportgroup]port linktype access[Huaweiportgroup]port default vlan 100快速恢復端口VLAN缺省配置想要快速恢復端口VLAN的缺省配置，必須要知道什么是缺省配置？華為交換機，缺省情況下所有端口都是只加入VLAN1的。那么下面和小編一起看看3種鏈路類型下，怎么快速恢復缺省配置呢？216。access口：一步搞定，命令是undo port default vlan216。trunk和hybrid口：三步搞定，先恢復PVID的配置，再刪除端口下所有vlan，然后再把缺省的VLAN1加入。具體命令如下：trunkhybridundo port trunk pvid vlanundo port trunk allowpass vlan allport trunk allowpass vlan 1undo port hybrid pvid vlanundo port hybrid vlan allport hybrid untagged vlan 1附VLAN系列技術貼：名稱簡介【交換機在江湖】VLAN基礎篇介紹VLAN的定義、由來和接口加入VLAN的方式。【交換機在江湖】VLAN通信篇介紹VLAN間通信的主要技術及適用場景，如VLANIF、子接口、SuperVLAN等，以及最常用的VLANIF的配置。【交換機在江湖】VLAN隔離篇介紹VLAN隔離的主要技術及適用場景，如MUX VLAN、通過ACL限制VLAN間互訪等，以及常用的通過ACL限制VLAN間互訪的配置。【交換機在江湖】第十四章 VLAN通信篇前兩期小編介紹了VLAN的基礎知識以及如何劃分VLAN，之后不斷有讀者詢問： VLAN劃分后，同一VLAN用戶可以二層互通，不同VLAN用戶則二層隔離，可有些場合不同VLAN用戶又想互通，腫么辦呢？請大家先回憶一下：VLAN是廣播域，而廣播域之間來往的數據包一般由路由器中繼的。因此，VLAN間的通信通常要用到路由功能，這被稱作“VLAN間路由”。VLAN間路由，可以使用普通的路由器，也可以使用三層交換機。有了這個初步認識，接下來小編就開始介紹使用三層交換機進行VLAN間通信的主要場景和技術。VLAN間通信場景一：不同VLAN不同網段用戶間的通信，用戶通過三層交換機互聯使用技術：VLANIF基本原理：前面提到，要實現VLAN間互通，就要建立VLAN間路由，此場景用戶直連在三層交換機上，只需直連路由即可。而VLANIF接口是一個三層的邏輯接口，在其上配置IP地址為用戶的網關地址后，它就在三層交換機上生成直連路由，同時，可作為用戶的網關。這樣，發往各VLAN網段的報文，就可在路由表中分別找到其出接口VLANIF接口，從而實現三層轉發。江湖小貼士：VLANIF只生成直連路由，只能使得相鄰設備互通。現網中用戶間可能會跨多臺三層交換機（如三層網絡），此時，除配置VLANIF外，還要借助靜態路由或路由協議才能實現互通。VLAN間通信場景二：不同VLAN不同網段用戶間的通信，用戶通過二層交換機互聯，僅通過一臺三層交換機實現VLAN間通信使用技術：子接口（又稱單臂路由）基本原理：跟VLANIF一樣，子接口也是三層邏輯接口。在子接口上配置IP地址為用戶的網關地址后，在三層交換機上同樣形成直連路由，VLAN內的用戶同樣將網關指向對應的子接口（，），進而實現三層通信。江湖小貼士：通過子接口實現三層互通，雖然可減少物理接口占有量，不過由于發送的流量會爭用物理主接口的帶寬，網絡繁忙時，會導致通信瓶頸喲。VLAN間通信場景三：不同VLAN相同網段用戶間的通信使用技術：Super VLAN（又稱VLAN聚合）如下圖所示，因IP地址有限，不同VLAN用戶共用一網段，但又需要互通以及訪問外網。基本原理：通過定義SuperVLAN和SubVLAN，SuperVLAN只用來建立三層VLANIF接口，與網關對應，不包含物理接口；SubVLAN只包含物理接口，不建立三層VLANIF接口，用來隔離廣播域，一個SuperVLAN可以包含一個或多個SubVLAN。我們可以這樣看，每一個普通VLAN都有一個三層邏輯接口和若干物理接口。而Super VLAN把這兩部分剝離開來：SubVLAN只映射物理接口，負責保留各自獨立的廣播域；而SuperVLAN負責實現所有SubVLAN共享同一個三層接口的需求，使不同SubVLAN內的主機可以共用同一個網關；然后再通過建立SuperVLAN和SubVLAN間的映射關系，把三層邏輯接口和物理接口這兩部分有機的結合起來，從而在實現普通VLAN功能的同時，達到節省IP地址的目的。江湖小貼士：SubVLAN內主機與外網間的通信，跟使用VLANIF通信原理類似，只不過多了一步查找SubVLAN與SuperVLAN的映射關系；但SubVLAN間的通信，需要借助ProxyARP才能實現，這是為什么呢？這是因為SubVLAN內的主機同屬一個網關，彼此通信時只會做二層轉發，而不會通過網關進行三層轉發，但不同SubVLAN的主機在二層是相互隔離的，這就造成了SubVLAN間無法通信，需要借助ProxyARP才能實現。上述組網中，VLAN間用戶均是通過三層交換機實現三層互通，三層互通需要查找路由表，轉發效率較低。而二層轉發效率高，那VLAN間能否實現二層互通呢？答案是可以的哦，那就是通過VLAN Switch或VLAN Mapping實現。VLAN間通信場景四：不同VLAN用戶跨一臺或多臺交換機互聯使用技術：VLAN Switch基本原理： 預先在各交換節點（如圖中的Switch）上建立一條靜態轉發路徑（即VLAN Switch表，指定VLAN轉換關系和出接口）。這樣，Switch根據VLAN Switch表將Port2上收到報文中的VLAN2轉換為VLAN3，并從Port3發出；將Port3上收到報文的VLAN3將轉換為VLAN2，并從Port2發出，從而實現VLAN2和VLAN3間的二層互通。江湖小貼士：VLAN Switch轉發查的是VLAN Switch表，而不是MAC表，這就使得VLAN Switch轉發效率較高。但VLAN Switch是否就因此而可大量應用呢？否，因為VLAN Switch需要在途經的每個交換節點都要為每個VLAN用戶配置靜態轉發路徑，這就限制了其使用范圍，當有大量VLAN用戶接入，或用戶跨運營商網絡時就不再適用。VLAN間通信場景五：不同VLAN用戶跨運營商網絡互聯使用技術：VLAN Mapping基本原理：預先在需要VLAN轉換的兩端設備（如圖中SwitchA和SwitchB）配置VLAN映射關系，但不需像VLAN Switch那樣指定出接口。配置后，SwitchA接收到VLAN10~50報文后，根據VLAN映射表將報文中的VLAN轉換為VLAN100，根據MAC表查到VLAN100對應出接口Port2，VLAN100報文穿越運營商網絡到達SwitchB的Port2接口時，找到其出接口Port1，在從出接口發出前，將VLAN100轉換為VLAN60~90，進而可通過分支2的接入交換機二層轉發到目的主機。因為只需在VLAN轉換的兩端設備配置，運營商網絡無需改變其配置，大大簡化了配置。江湖小貼士：VLAN Mapping雖然大大簡化配置，但VLAN Mapping需要通過查MAC表轉發，轉發效率上較VLAN Switch低些，并且易引入廣播風暴以及收到MAC攻擊。接下來就跟大家講解如何配置，由于篇幅限制，小編僅選一種常用的技術—VLANIF來講解。配置案例一：如下圖所示，PC1和PC2分屬研發部和質量部，兩部門通過一臺三層交換機互聯，兩部門有業務往來，需要二層隔離，三層通信。配置思路此場景配置簡單，只需將連接PC的接口加入VLAN，然后創建VLANIF，并配置IP地址為對應用戶的網關即可。操作步驟lSwitch上的配置如下：sysname Switchvlan batch 10 20interface Vlanif10 ip address //此IP地址為PC1對應網關地址interface Vlanif20 ip address //此IP地址為PC2對應網關地址interface GigabitEthernet0/0/1 //將PC1劃分到VLAN10中 port linktype access port default vlan 10interface GigabitEthernet0/0/2 //將PC2劃分到VLAN20中 port linktype access port default vlan 20配置完成后，我們使用命令display ip routingtable查看設備上的路由：可以看到，路由表中有了到達VLANVLAN20網段的直連路由。下面我們就驗證一下，PCPC2是否可以互相Ping通。在驗證之前，，；，然后互Ping，結果如下：可以看到，互Ping成功，表明配置成功。典型案例二：如下圖所示，為安全及便于管理，企業為服務器專門劃分VLAN，用戶屬于VLAN10，服務器屬于VLAN20，用戶與服務器間跨接入、匯聚和核心交換機，其中，接入是二層交換機，匯聚、核心是三層交換機。由于業務需要，用戶與服務器間需要互通。配置思路：此場景用戶與服務器間跨越多臺二層、三層交換機，可以配置VLANIF，將匯聚交換機AGG作為用戶PC的網關，核心交換機作為服務器Server的網關。但VLANIF只生成直連路由，只能使得相鄰設備互通，要使User與服務器互通，還需要配置從AGG到VLAN20網段以及從CORE到VLAN10網段的路由，可以使用靜態路由，也可以使用動態路由，本示例采用靜態路由。操作步驟1.配置ACC、AGG、CORE的各接口，并將接口加入VLAN，使VLAN10的用戶報文透傳到AGG，VLAN20的Server報文透傳到CORElACC1的配置如下：sysname ACC1vlan batch 10interface GigabitEthernet0/0/1 //將User劃分到VLAN10中 port linktype access port default vlan 10interface GigabitEthernet0/0/2 //透傳VLAN10到AGG port linktype trunk port trunk allowpass vlan 10ACC2與此類似，只不過接口加入、透傳的VLAN是VLAN20。lAGG的配置如下：sysname AGGvlan batch 10 30interface GigabitEthernet0/0/1 //透傳VLAN10，以轉發User報文 port linktype trunk port trunk allowpass vlan 10interface GigabitEthernet0/0/2 //透傳互聯VLAN30，以轉發互聯報文 port linktype trunk port trunk allowpass vlan 30lCORE的配置如下：sysname COREvlan batch 20 30interface GigabitEthernet0/0/1 //透傳VLAN20，以轉發Server報文 port linktype trunk port trunk allowpass vlan 20interface GigabitEthernet0/0/2 //透傳VLAN30，以轉發互聯報文 port linktype trunk port trunk allowpass vlan 302.在AGG上配置VLANIF10和IP地址，作為用戶的網