a片一级一片免费,野花社区 在线播放,网站你懂我意思吧网页,午夜精品亚洲国产av

對于不是很常用的MAC VLAN，許多讀者都感到很陌生，讀者QQ群中也經(jīng)常見到有讀者提到這方面的問題，希望我給予解答?，F(xiàn)從筆者編著，目前在全國熱銷的《Cisco/H3C交換機(jī)配置與管理完全手冊》（第二版）（與之配套的姊妹篇為《Cisco/H3C交換機(jī)高級配置與管理技術(shù)手冊》）一書中摘選一部分H3C交換機(jī)MAC VLAN內(nèi)容，希望對這些讀者有所幫助。如要全面了解Cisco和H3C交換機(jī)的MAC VLAN相關(guān)知識和配置方法，請參見Cisco/H3C交換機(jī)配置與管理完全手冊》（第二版）。

19.6 H3C交換機(jī)基于MAC地址VLAN配置 與Cisco IOS中的基于MAC地址VLAN一樣，H3C交換機(jī)中的基于MAC地址VLAN也是一種動態(tài)VLAN劃分方式。它并不會把某個端口靜態(tài)地劃分到一個特定的VLAN，而是要根據(jù)所連主機(jī)的MAC地址來動態(tài)選擇加入到對應(yīng)的VLAN中。

我們在第一篇學(xué)習(xí)Cisco IOS交換機(jī)基于MAC地址劃分VLAN時已體會到，總體來說還是比較麻煩的，要配置VMPS服務(wù)器，還要配置VPMS客戶端，而且VMPS服務(wù)器目前來說只能由CatOS系統(tǒng)交換機(jī)擔(dān)當(dāng)，所以要實(shí)現(xiàn)基于MAC地址來劃分VLAN網(wǎng)絡(luò)中必須同時有兩種操作系統(tǒng)的Cisco交換機(jī)，條件也是比較比較苛刻的。相比之下，本節(jié)介紹的H3C交換機(jī)基于MAC地址的VLAN劃分就簡單許多。它是按照報文的源MAC地址來定義VLAN成員，將指定報文加入該VLAN的標(biāo)記后發(fā)送。但在H3C以太網(wǎng)交換機(jī)中，支持基于MAC地址的VLAN不多，與前面介紹的基于IP子網(wǎng)VLAN一樣，主要有S5500、S5510、S7500E等交換機(jī)系列。

與前面介紹的基于協(xié)議VLAN和基于IP子網(wǎng)VLAN一樣，基于MAC地址的VLAN功能也只能在Hybrid端口配置，而且也主要用于在用戶的接入設(shè)備的下行端口上進(jìn)行配置（基于協(xié)議VLAN和基于IP子網(wǎng)VLAN也僅在接入設(shè)備的下行端口上配置），因此不和聚合功能同時使用。

基于MAC地址VLAN的實(shí)現(xiàn)機(jī)制

在支持基于MAC地址劃分VLAN的H3C交換機(jī)中，劃分方式又有三種形式：手動配置靜態(tài)MAC VLAN、動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN和動態(tài)MAC VLAN。

1. 手動配置靜態(tài)MAC VLAN

在手動配置靜態(tài)MAC VLAN方式中，管理員需要手動配置MAC VLAN表項(xiàng)，啟動基于MAC劃分VLAN的功能，然后手動將對應(yīng)的端口加入MAC VLAN。這種方式顯然工作量比較大，常用于MAC VLAN中用戶相對較少的網(wǎng)絡(luò)環(huán)境。在該方式下，MAC VLAN的劃分原理如下：

l 當(dāng)端口收到的報文為不帶VLAN標(biāo)記的報文時，會根據(jù)報文的源MAC匹配MAC VLAN表項(xiàng)。首先進(jìn)行模糊匹配，即查詢表中MASK（MAC地址掩碼）不是全為F（只比較非F的位）的表項(xiàng)。將源MAC和MASK進(jìn)行邏輯與運(yùn)算后再與MAC VLAN表項(xiàng)中的MAC地址匹配，如果完全相同，則匹配成功，給報文添加表項(xiàng)中指定的VLAN ID并轉(zhuǎn)發(fā)該報文；如果模糊匹配失敗，則進(jìn)行精確匹配，即查詢表中MASK為全F的表項(xiàng)。如果報文中的源MAC與MAC VLAN表項(xiàng)中的MAC地址完全相同，則匹配成功，給報文添加表項(xiàng)中指定的VLAN ID并轉(zhuǎn)發(fā)該報文；如果沒有找到匹配MAC VLAN表項(xiàng)，則繼續(xù)按照基于IP子網(wǎng)VLAN、協(xié)議VLAN、端口VLAN的先后順序進(jìn)行匹配。

l 當(dāng)端口收到的報文為帶有VLAN標(biāo)記的報文時，如果VLAN ID在端口中允許通過的VLAN ID列表里時，則接收該報文；否則丟棄該報文。

2. 動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN

在手動配置靜態(tài)MAC VLAN劃分方式中，管理員需要把端口一一加入相應(yīng)的MAC VLAN，但這里有一個問題，那就是我們有時往往根本不能確定交換機(jī)從哪些端口收到屬于MAC VLAN的報文，這時我們就不能通過手動方式把相應(yīng)端口加入到MAC VLAN。此時，就需要借助另一種更加智能的MAC VLAN配置方式，使用動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN中。在這種MAC VLAN配置方式中，配置MAC VLAN表項(xiàng)后，管理員只需在端口上啟用基于MAC的VLAN劃分功能和MAC VLAN動態(tài)觸發(fā)功能，在端口收到與MAC VLAN表項(xiàng)匹配的報文后，可以通過此報文動態(tài)觸發(fā)端口加入MAC VLAN。其劃分原理如下：

l 當(dāng)端口收到的報文為不帶VLAN標(biāo)記的報文時，按圖19-11所示流程進(jìn)行處理。

l 當(dāng)收到的報文為帶VLAN標(biāo)記的報文時，處理方式和基于端口的VLAN一樣：如果端口允許攜帶該VLAN標(biāo)記的報文通過，則正常轉(zhuǎn)發(fā)；如果不允許，則丟棄該報文。

【說明】如果用戶在同一端口上同時啟用了手動配置靜態(tài)MAC VLAN和動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN，此時端口對收到的非精確匹配的報文將做丟棄處理。

圖19-11 在收到不帶VLAN標(biāo)記報文時，動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN的處理流程

3. 動態(tài)MAC VLAN

動態(tài)MAC VLAN需要和接入認(rèn)證（比如基于MAC地址的802.1x認(rèn)證）配合使用，以實(shí)現(xiàn)終端的安全、靈活接入。用戶在交換機(jī)上配置動態(tài)MAC VLAN功能以后，還需要在接入認(rèn)證服務(wù)器上配置MAC地址和VLAN的關(guān)聯(lián)關(guān)系，這種MAC VLAN的配置就比較麻煩了，本書不做介紹。

在動態(tài)MAC VLAN中，用戶訪問網(wǎng)絡(luò)時，接入認(rèn)證服務(wù)器先對用戶進(jìn)行認(rèn)證，如果認(rèn)證通過，服務(wù)器下發(fā)VLAN信息。交換機(jī)會根據(jù)用戶報文的源MAC地址和下發(fā)的VLAN信息生成MAC VLAN表項(xiàng)，并將MAC VLAN添加到端口允許通過的VLAN列表中。用戶下線后，交換機(jī)自動刪除MAC VLAN表項(xiàng)，并將MAC VLAN從端口允許通過的VLAN列表中刪除。

19.6.2 手動配置靜態(tài)MAC VLAN配置（略）

19.6.3 動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN配置（略）

19.6.4 手動配置靜態(tài)MAC VLAN配置示例 本示例拓?fù)浣Y(jié)構(gòu)如圖19-11所示。SwitchA和SwitchB的GigabitEthernet1/0/1端口分別連接到兩個會議室，Laptop1和Laptop2是會議用筆記本電腦，會在兩個會議室間移動使用。Laptop1和Laptop2的MAC地址分別為000d-88f8-4e71、0014-222c-aa69。

使用時，Laptop1和Laptop2要分別用于兩個部門的員工，兩個部門間使用VLAN100和VLAN200進(jìn)行隔離?，F(xiàn)要求這兩臺筆記本電腦無論在哪個會議室使用，均只能訪問自己部門的服務(wù)器，即Server1和Server2。

圖19-11 手動配置靜態(tài)MAC VLAN示例拓?fù)浣Y(jié)構(gòu)

本示例配置所適用的H3C交換機(jī)系列和對應(yīng)的軟/硬件版本如表19-18所示。

表19-18 示例適用的H3C交換機(jī)系列及軟/硬件版本

H3C交換機(jī)系列

軟件版本

硬件版本

S5500-SI系列以太網(wǎng)交換機(jī)

Release 1207軟件版本

全系列硬件版本（除S5500-20TP-SI）

Release 1301軟件版本

S5500-20TP-SI

S5500-EI系列以太網(wǎng)交換機(jī)

Release 2102軟件版本

全系列硬件版本

S7500E系列以太網(wǎng)交換機(jī)

Release 6100，Release 6300軟件版本

全系列硬件版本

1. SwitchA的配置

（1）創(chuàng)建VLAN100和VLAN200，并將GigabitEthernet1/0/2配置為Trunk端口，允許VLAN100和VLAN200的報文通過。

<SwitchA> system-view

[SwitchA] vlan 100

[SwitchA-vlan100] quit

[SwitchA] vlan 200

[SwitchA-vlan200] quit

[SwitchA] interface GigabitEthernet1/0/2

[SwitchA-GigabitEthernet1/0/2] port link-type trunk

[SwitchA-GigabitEthernet1/0/2] port trunk permit vlan 100 200

[SwitchA-GigabitEthernet1/0/2] quit

（2）將GigabitEthernet1/0/1配置為Hybrid端口，并使其在發(fā)送VLAN 100和VLAN 200的報文時去掉VLAN Tag。

[SwitchA] interface GigabitEthernet1/0/1

[SwitchA-GigabitEthernet1/0/1] port link-type hybrid

[SwitchA-GigabitEthernet1/0/1] port hybrid vlan 100 200 untagged

[SwitchA-GigabitEthernet1/0/1] quit

（3）創(chuàng)建Laptop1的MAC地址與VLAN 100的關(guān)聯(lián)，創(chuàng)建Laptop2的MAC地址與VLAN 200的關(guān)聯(lián)，開啟GigabitEthernet1/0/1端口的MAC-VLAN功能。

[SwitchA] mac-vlan mac-address 000d-88f8-4e71 vlan 100

[SwitchA] mac-vlan mac-address 0014-222c-aa69 vlan 200

[SwitchA] interface GigabitEthernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] mac-vlan enable

2. SwitchB的配置

SwitchB的配置與SwitchA完全一致，這里不再贅述。

3. Core Switch的配置

（1）創(chuàng)建VLAN100和VLAN200，并將GigabitEthernet1/0/13和GigabitVLANEthernet
1/0/14端口分別加入這兩個VLAN。

<CoreSwitch> system-view

[CoreSwitch] vlan 100

[CoreSwitch-vlan100] port gigabitethernet 1/0/13

[CoreSwitch-vlan100] quit

[CoreSwitch] vlan 200

[CoreSwitch-vlan200] port gigabitethernet 1/0/14

[CoreSwitch-vlan200] quit

（2）配置GigabitEthernet1/0/3和GigabitEthernet1/0/4端口為Trunk端口，均允許VLAN100和VLAN200的報文通過。從這里也可以看出，同一個VLAN中可以基于多種VLAN劃分方式來添加端口，因?yàn)樵赩LAN 100和VLAN 200中，上一步已通過基于端口VLAN劃分方式添加了gigabitethernet 1/0/13和gigabitethernet 1/0/14兩個Access端口。而此處添加的了Trunk端口（在SwitchA和SwitchB中還通過基于MAC地址劃分方式添加了Hybird端口）。

[CoreSwitch] interface GigabitEthernet1/0/3

[CoreSwitch-GigabitEthernet1/0/3] port link-type trunk

[CoreSwitch-GigabitEthernet1/0/3] port trunk permit vlan 100 200

[CoreSwitch-GigabitEthernet1/0/3] quit

[CoreSwitch] interface GigabitEthernet1/0/4

[CoreSwitch-GigabitEthernet1/0/4] port link-type trunk

[CoreSwitch-GigabitEthernet1/0/4] port trunk permit vlan 100 200

[CoreSwitch-GigabitEthernet1/0/4] quit