- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
01-VLAN配置
本章节下载： 01-VLAN配置 (669.59 KB)
目 录
本文中提到的EB类单板和EC2类单板指的是丝印后缀分别为EB、EC2的单板。
以太网是一种基于CSMA/CD（Carrier Sense Multiple Access/Collision Detect，载波侦听多路访问/冲突检测）的共享通讯介质的数据网络通讯技术，当主机数目较多时会导致冲突严重、广播泛滥、性能显著下降甚至使网络不可用等问题。通过交换机实现LAN互联虽然可以解决冲突（Collision）严重的问题，但仍然不能隔离广播报文。在这种情况下出现了VLAN（Virtual Local Area Network，虚拟局域网）技术，这种技术可以把一个LAN划分成多个虚拟的LAN——VLAN，每个VLAN是一个广播域，VLAN内的主机间通信就和在一个LAN内一样，而VLAN间则不能直接互通，这样，广播报文被限制在一个VLAN内，如图1-1所示。
图1-1 VLAN示意图
VLAN的划分不受物理位置的限制：不在同一物理位置范围的主机可以属于同一个VLAN；一个VLAN包含的用户可以连接在同一个交换机上，也可以跨越交换机，甚至可以跨越路由器。
VLAN的优点如下：
· 限制广播域。广播域被限制在一个VLAN内，节省了带宽，提高了网络处理能力。
· 增强局域网的安全性。VLAN间的二层报文是相互隔离的，即一个VLAN内的用户不能和其它VLAN内的用户直接通信，如果不同VLAN要进行通信，则需通过路由器或三层交换机等三层设备。
· 灵活构建虚拟工作组。用VLAN可以划分不同的用户到不同的工作组，同一工作组的用户也不必局限于某一固定的物理范围，网络构建和维护更方便灵活。
要使网络设备能够分辨不同VLAN的报文，需要在报文中添加标识VLAN的字段。由于普通交换机工作在OSI模型的数据链路层，只能对报文的数据链路层封装进行识别。因此，如果添加识别字段，也需要添加到数据链路层封装中。
IEEE（Institute of Electrical and Electronics Engineers，电气和电子工程师学会）于1999年颁布了用以标准化VLAN实现方案的IEEE 802.1Q协议标准草案，对带有VLAN标识的报文结构进行了统一规定。
传统的以太网数据帧在目的MAC地址和源MAC地址之后封装的是上层协议的类型字段，如图1-2所示。
其中DA表示目的MAC地址，SA表示源MAC地址，Type表示报文所属协议类型。
IEEE 802.1Q协议规定在目的MAC地址和源MAC地址之后封装4个字节的VLAN Tag，用以标识VLAN的相关信息。
图1-3 VLAN Tag的组成字段
如图1-3所示，VLAN Tag包含四个字段，分别是TPID（Tag Protocol Identifier，标签协议标识符）、Priority、CFI（Canonical Format Indicator，标准格式指示位）和VLAN ID。
· TPID用来判断本数据帧是否带有VLAN Tag，长度为16bit，缺省取值为0x8100。
· Priority表示报文的802.1P优先级，长度为3bit，相关内容请参见“ACL和QoS配置指导”中的“QoS”。
· CFI字段标识MAC地址在不同的传输介质中是否以标准格式进行封装，长度为1bit，取值为0表示MAC地址以标准格式进行封装，为1表示以非标准格式封装，缺省取值为0。
· VLAN ID标识该报文所属VLAN的编号，长度为12bit，取值范围为0～4095。由于0和4095为协议保留取值，所以VLAN ID的取值范围为1～4094。
网络设备利用VLAN ID来识别报文所属的VLAN，根据报文是否携带VLAN Tag以及携带的VLAN Tag值，来对报文进行处理。详细的处理方式请参见“1.4.1 基于端口的VLAN简介”。
· 这里的帧格式以Ethernet II型封装为例，以太网还支持802.2 LLC、802.2 SNAP和802.3 raw封装格式。对于这些封装格式的报文，也会添加VLAN Tag字段，用来区分不同VLAN的报文。
· 对于多VLAN Tag报文，设备会根据其最外层VLAN Tag进行处理，而内层VLAN Tag会被视为报文的普通数据部分。
VLAN根据划分方式不同可以分为不同类型，下面列出了几种最常见的VLAN类型：
· 基于端口的VLAN
· 基于MAC地址的VLAN
· 基于协议的VLAN
· 基于IP子网的VLAN
与VLAN相关的协议规范有：
IEEE 802.1Q：IEEE Standards for Local and Metropolitan Area Networks: Virtual Bridged Local Area Networks
表1-1 配置VLAN基本属性
|
配置 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建VLAN |
vlan { vlan-id1 [ to vlan-id2 ] | all } |
可选 该命令主要用于批量创建VLAN |
|
进入VLAN视图 |
vlan vlan-id |
必选 如果指定的VLAN不存在，则该命令先完成VLAN的创建，然后再进入该VLAN的视图 缺省情况下，系统只有一个缺省VLAN（VLAN 1） |
|
指定当前VLAN的名称 |
name text |
可选 缺省情况下，VLAN的名称为该VLAN的VLAN ID，如“VLAN 0001” |
|
为VLAN指定一个描述字符串 |
description text |
可选 缺省情况下，VLAN的描述字符串为该VLAN的VLAN ID，如“VLAN 0001” |
VLAN 1为系统缺省VLAN，用户不能手工创建和删除。
不同VLAN间的主机不能直接通信，需要通过路由器或三层交换机等网络层设备进行转发，设备提供VLAN接口实现对报文进行三层转发的功能。
VLAN接口是一种三层模式下的虚拟接口，主要用于实现VLAN间的三层互通，它不作为物理实体存在于设备上。每个VLAN对应一个VLAN接口，在为VLAN接口配置了IP地址后，该接口即可作为本VLAN内网络设备的网关，对需要跨网段的报文进行基于IP地址的三层转发。
表1-2 配置VLAN接口基本属性
|
配置 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建VLAN接口并进入VLAN接口视图 |
interface vlan-interface vlan-interface-id |
必选 如果该VLAN接口已经存在，则直接进入该VLAN接口视图 |
|
配置VLAN接口的IP地址 |
ip address ip-address { mask | mask-length } [ sub ] |
可选 缺省情况下，没有配置VLAN接口的IP地址 |
|
为VLAN接口指定一个描述字符串 |
description text |
可选 缺省情况下，VLAN接口的描述字符串为该VLAN接口的接口名，如“Vlan-interface1 Interface” |
|
配置VLAN接口的MTU值 |
mtu size |
可选 缺省情况下，VLAN接口的MTU值为1500字节 |
|
恢复VLAN接口的缺省配置 |
default |
可选 |
|
开启VLAN接口 |
undo shutdown |
可选 缺省情况下，VLAN接口的状态为关闭 开启VLAN接口后，VLAN接口状态受VLAN中端口状态的影响，即：当VLAN中所有以太网端口状态为down时，VLAN接口为down状态，即关闭状态；当VLAN中有一个或一个以上的以太网端口处于up状态时，则VLAN接口处于up状态。如果将VLAN接口的状态通过shutdown命令设置为DOWN(Administratively)，则VLAN接口的状态始终为DOWN(Administratively)，不受VLAN中端口状态的影响 |
在创建VLAN接口之前，对应的VLAN必须已经存在，否则将不能创建指定的VLAN接口。
如图1-4所示，PC A、PC B与Switch A组网。其中PC A、PC B分别属于VLAN 5、VLAN 10，且处于不同网段，不能直接通信。通过在Switch A上创建并配置VLAN接口，实现不同网段的PC A与PC B跨VLAN三层互通。
图1-4 通过VLAN接口实现VLAN间互通
(1) 配置Switch A
# 创建VLAN 5，并向VLAN 5中添加端口GigabitEthernet3/0/1。
<SwitchA> system-view
[SwitchA] vlan 5
[SwitchA-vlan5] port GigabitEthernet 3/0/1
# 创建VLAN 10，并向VLAN 10中添加端口GigabitEthernet3/0/2。
[SwitchA-vlan5] vlan 10
[SwitchA-vlan10] port GigabitEthernet 3/0/2
[SwitchA-vlan10] quit
# 创建Vlan-interface5，并配置其IP地址为192.168.0.10/24。
[SwitchA] interface Vlan-interface 5
[SwitchA-Vlan-interface5] ip address 192.168.0.10 24
[SwitchA-Vlan-interface5] quit
# 创建Vlan-interface10，并配置其IP地址为192.168.1.20/24。
[SwitchA] interface Vlan-interface 10
[SwitchA-Vlan-interface10] ip address 192.168.1.20 24
[SwitchA-Vlan-interface10] return
(2) 配置PC A
# 将其默认网关配为192.168.0.10。
(3) 配置PC B
# 将其默认网关配为192.168.1.20。
(1) PC A与PC B可以相互ping通。
(2) 通过查看显示信息验证配置是否成功。
# 查看Switch A上三层接口的IP基本配置信息，验证以上配置是否生效。
<SwitchA> display ip interface brief
*down: administratively down
(s): spoofing
Interface Physical Protocol IP Address Description
Vlan5 up up 192.168.0.10 Vlan-inte...
Vlan10 up up 192.168.1.20 Vlan-inte...
基于端口划分VLAN是VLAN最简单、最有效的划分方法。它按照设备端口来定义VLAN成员，将指定端口加入到指定VLAN中之后，端口就可以转发指定VLAN的报文。
根据端口在转发报文时对Tag标签的不同处理方式，可将端口的链路类型分为三种：
· Access连接：端口发出去的报文不带Tag标签。一般用于和不能识别VLAN Tag的终端设备相连，或者不需要区分不同VLAN成员时使用。如图1-5所示，Device A和普通的PC相连，PC不能识别带VLAN Tag的报文，所以需要将Device A和PC相连端口的链路类型设置为Access。
· Trunk连接：端口发出去的报文，端口缺省VLAN内的报文不带Tag，其它VLAN内的报文都必须带Tag。通常用于网络传输设备之间的互连。如图1-5所示，Device A和Device B之间需要传输VLAN 2和VLAN 3的报文，所以，需要将Device A和Device B相连端口的链路类型设置为Trunk，并允许VLAN 2和VLAN 3通过。
· Hybrid连接：端口发出去的报文可根据需要设置某些VLAN内的报文带Tag，某些VLAN内的报文不带Tag。通常用于相连的设备是否支持VLAN Tag不确定的情况。如图1-5所示，Device C与一个小局域网相连，局域网中有些PC属于VLAN 2，有些PC属于VLAN 3，此时需要将Device B与Device C相连端口的链路类型设置为Hybrid，并允许VLAN 2和VLAN 3的报文不带Tag通过。
除了可以设置端口允许通过的VLAN，还可以设置端口的缺省VLAN。在缺省情况下，所有端口的缺省VLAN均为VLAN 1，但用户可以根据需要进行配置。
· Access端口的缺省VLAN就是它所在的VLAN，修改端口所在的VLAN即可更改端口的缺省VLAN。
· Trunk端口和Hybrid端口可以允许多个VLAN通过，能够配置缺省VLAN。
· 当执行undo vlan命令删除的VLAN是某个端口的缺省VLAN时，对Access端口，端口的缺省VLAN会恢复到VLAN 1；对Trunk或Hybrid端口，端口的缺省VLAN配置不会改变，即它们可以使用已经不存在的VLAN作为缺省VLAN。
· 建议将本端设备端口的缺省VLAN ID和相连的对端设备端口的缺省VLAN ID保持一致。
· 建议保证端口的PVID属于端口所在的VLAN。如果端口不在某VLAN内，但是端口的PVID仍然为该VLAN，当端口收到该VLAN的报文或者不带VLAN Tag的报文（包括MSTP等协议报文）都会被过滤。
在配置了端口链路类型和缺省VLAN后，端口对报文的接收和发送的处理有几种不同情况，具体情况请参看表1-3。
|
端口类型 |
对接收报文的处理 |
对发送报文的处理 |
|
|
当接收到的报文不带Tag时 |
当接收到的报文带有Tag时 |
||
|
Access端口 |
为报文添加缺省VLAN的Tag |
· 当VLAN ID与缺省VLAN ID相同时，接收该报文 · 当VLAN ID与缺省VLAN ID不同时，丢弃该报文 |
去掉Tag，发送该报文 |
|
Trunk端口 |
· 当缺省VLAN ID在端口允许通过的VLAN ID列表里时，接收该报文，给报文添加缺省VLAN的Tag · 当缺省VLAN ID不在端口允许通过的VLAN ID列表里时，丢弃该报文 |
· 当VLAN ID在端口允许通过的VLAN ID列表里时，接收该报文 · 当VLAN ID不在端口允许通过的VLAN ID列表里时，丢弃该报文 |
· 当VLAN ID与缺省VLAN ID相同，且是该端口允许通过的VLAN ID时：去掉Tag，发送该报文 · 当VLAN ID与缺省VLAN ID不同，且是该端口允许通过的VLAN ID时：保持原有Tag，发送该报文 |
|
Hybrid端口 |
当报文中携带的VLAN ID是该端口允许通过的VLAN ID时，发送该报文，并可以通过port hybrid vlan命令配置端口在发送该VLAN（包括缺省VLAN）的报文时是否携带Tag |
||
配置基于Access端口的VLAN有两种方法：一种是在VLAN视图下进行配置，另一种是在以太网接口视图/端口组视图/二层聚合接口视图下进行配置。
表1-4 配置基于Access端口的VLAN（在VLAN视图下）
|
配置 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入VLAN视图 |
vlan vlan-id |
必选 如果指定的VLAN不存在，则该命令先完成VLAN的创建，然后再进入该VLAN的视图 |
|
向当前VLAN中添加一个或一组Access端口 |
port interface-list |
必选 缺省情况下，系统将所有端口都加入到VLAN 1 |
表1-5 配置基于Access端口的VLAN（在以太网接口视图/端口组视图/二层聚合接口视图下）
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
进入相应视图 |
进入以太网接口视图 |
interface interface-type interface-number |
三者必选其一 |
|
进入端口组视图 |
port-group manual port-group-name |
||
|
进入二层聚合接口视图 |
interface bridge-aggregation interface-number |
||
|
配置端口的链路类型为Access类型 |
port link-type access |
可选 缺省情况下，端口的链路类型为Access类型 |
|
|
将当前Access端口加入到指定VLAN |
port access vlan vlan-id |
可选 缺省情况下，所有Access端口均属于且只属于VLAN 1 |
|
· 在将Access端口加入到指定VLAN之前，要加入的VLAN必须已经存在。
· 在VLAN视图下向VLAN中添加端口时，只能添加二层以太网端口。
Trunk端口可以允许多个VLAN通过，只能在以太网接口视图/端口组视图/二层聚合接口视图下进行配置。
表1-6 配置基于Trunk端口的VLAN
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
进入相应视图 |
进入以太网接口视图 |
interface interface-type interface-number |
三者必选其一 |
|
进入端口组视图 |
port-group manual port-group-name |
||
|
进入二层聚合接口视图 |
interface bridge-aggregation interface-number |
||
|
配置端口的链路类型为Trunk类型 |
port link-type trunk |
必选 缺省情况下，所有端口的链路类型均为Access类型 |
|
|
允许指定的VLAN通过当前Trunk端口 |
port trunk permit vlan { vlan-id-list | all } |
必选 缺省情况下，Trunk端口只允许VLAN 1的报文通过 |
|
|
设置Trunk端口的缺省VLAN |
port trunk pvid vlan vlan-id |
可选 缺省情况下，Trunk端口的缺省VLAN为VLAN 1 |
|
· Trunk端口和Hybrid端口之间不能直接切换，只能先设为Access端口，再设置为其它类型端口。例如：Trunk端口不能直接被设置为Hybrid端口，只能先设为Access端口，再设置为Hybrid端口。
· 配置缺省VLAN后，必须使用port trunk permit vlan命令配置允许缺省VLAN的报文通过，出接口才能转发缺省VLAN的报文。
Hybrid端口可以允许多个VLAN通过，只能在以太网接口视图/端口组视图/二层聚合接口视图下进行配置。
表1-7 配置基于Hybrid端口的VLAN
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
进入相应视图 |
进入以太网接口视图 |
interface interface-type interface-number |
三者必选其一 |
|
进入端口组视图 |
port-group manual port-group-name |
||
|
进入二层聚合接口视图 |
interface bridge-aggregation interface-number |
||
|
配置端口的链路类型为Hybrid类型 |
port link-type hybrid |
必选 缺省情况下，所有端口的链路类型均为Access类型 |
|
|
允许指定的VLAN通过当前Hybrid端口 |
port hybrid vlan vlan-id-list { tagged | untagged } |
必选 缺省情况下，Hybrid端口只允许缺省VLAN的报文以Untagged方式通过，即缺省VLAN的报文从该端口发送出去后不携带VLAN Tag |
|
|
设置Hybrid端口的缺省VLAN |
port hybrid pvid vlan vlan-id |
可选 缺省情况下，Hybrid端口的缺省VLAN为该端口链路类型为Access类型时的所属VLAN |
|
· Trunk端口和Hybrid端口之间不能直接切换，只能先设为Access端口，再设置为其它类型端口。例如：Trunk端口不能直接被设置为Hybrid端口，只能先设为Access端口，再设置为Hybrid端口。
· 在设置允许指定的VLAN通过Hybrid端口之前，允许通过的VLAN必须已经存在。
· 配置缺省VLAN后，必须使用port hybrid vlan命令配置允许缺省VLAN的报文通过，出接口才能转发缺省VLAN的报文。
· Host A和Host C属于部门A，但是通过不同的设备接入公司网络；Host B和Host D属于部门B，也通过不同的设备接入公司网络。
· 为了通信的安全性，也为了避免广播报文泛滥，公司网络中使用VLAN技术来隔离部门间的二层流量。其中部门A使用VLAN 100，部门B使用VLAN 200。
· 现要求不管是否使用相同的设备接入公司网络，同一VLAN内的主机能够互通。即Host A和Host C能够互通，Host B和Host D能够互通。
图1-6 基于端口的VLAN组网图
(1) 配置Device A
# 创建VLAN 100，并将GigabitEthernet3/0/1加入VLAN 100。
<DeviceA> system-view
[DeviceA] vlan 100
[DeviceA-vlan100] port GigabitEthernet 3/0/1
[DeviceA-vlan100] quit
# 创建VLAN 200，并将GigabitEthernet3/0/2加入VLAN 200。
[DeviceA] vlan 200
[DeviceA-vlan200] port GigabitEthernet 3/0/2
[DeviceA-vlan200] quit
# 为了使Device A上VLAN 100和VLAN 200的报文能发送给Device B，将GigabitEthernet3/0/3的链路类型配置为Trunk，并允许VLAN 100和VLAN 200的报文通过。
[DeviceA] interface GigabitEthernet 3/0/3
[DeviceA-GigabitEthernet3/0/3] port link-type trunk
[DeviceA-GigabitEthernet3/0/3] port trunk permit vlan 100 200
Please wait... Done.
(2) Device B上的配置与Device A上的配置完全一样，不再赘述。
(3) 将Host A和Host C配置在一个网段，比如192.168.100.0/24；将Host B和Host D配置在一个网段，比如192.168.200.0/24。
(1) Host A和Host C能够互相ping通，但是均不能ping通Host B。Host B和Host D能够互相ping通，但是均不能ping通Host A。
(2) 通过查看显示信息验证配置是否成功。
# 查看Device A上VLAN 100和VLAN 200的配置信息，验证以上配置是否生效。
[DeviceA-GigabitEthernet3/0/3] display vlan 100
VLAN ID: 100
VLAN Type: static
Route Interface: not configured
Description: VLAN 0100
Name: VLAN 0100
Broadcast MAX-ratio: 100%
Tagged Ports:
GigabitEthernet3/0/3
Untagged Ports:
GigabitEthernet3/0/1
[DeviceA-GigabitEthernet3/0/3] display vlan 200
VLAN ID: 200
VLAN Type: static
Route Interface: not configured
Description: VLAN 0200
Name: VLAN 0200
Broadcast MAX-ratio: 100%
Tagged Ports:
GigabitEthernet3/0/3
Untagged Ports:
GigabitEthernet3/0/2
基于MAC划分VLAN是VLAN的另一种划分方法。它按照报文的源MAC地址来定义VLAN成员，将指定报文加入该VLAN的Tag后发送。该功能通常会和安全（比如802.1X）技术联合使用，以实现终端的安全、灵活接入。
手动配置静态MAC VLAN常用于VLAN中用户相对较少的网络环境。在该方式下，用户需要手动配置MAC VLAN表项，使能基于MAC地址的VLAN功能，并将端口加入MAC VLAN。其原理为：
· 当端口收到的报文为Untagged报文时，根据报文的源MAC匹配MAC VLAN表项。首先进行模糊匹配，即查询表中MASK不是全F的表项，将源MAC和MASK相与后与MAC VLAN表项中的MAC地址匹配，如果完全相同，则模糊匹配成功，给报文添加表项中指定的VLAN ID并转发该报文；如果模糊匹配失败，则进行精确匹配，即查询表中MASK为全F的表项，如果报文中的源MAC与MAC VLAN表项中的MAC地址完全相同，则精确匹配成功，给报文添加表项中指定的VLAN ID并转发该报文；如果没有找到匹配MAC VLAN表项，则继续按照其它原则（如IP子网、协议等）进行匹配，如果匹配成功，则转发报文，如果匹配均失败，则给报文添加端口的缺省VLAN ID并转发该报文。
· 当端口收到的报文为Tagged报文时，如果报文的VLAN ID在该端口允许通过的VLAN ID列表里，则转发该报文；如果报文的VLAN ID不在端口允许通过的VLAN ID列表里，则丢弃该报文。
动态MAC VLAN需要和接入认证（比如基于MAC地址的802.1X认证）配合使用，以实现终端的安全、灵活接入。用户在设备上配置动态MAC VLAN功能以后，还需要在接入认证服务器上配置用户名和VLAN的绑定关系。
如果用户发起认证请求，接入认证服务器先对用户名和密码进行验证，如果验证通过，服务器下发VLAN信息。此时设备根据请求报文的源MAC地址和下发的VLAN信息生成MAC VLAN表项，并将MAC VLAN添加到端口允许通过的VLAN列表中。用户下线后，设备自动删除MAC VLAN表项，并将MAC VLAN从端口允许通过的VLAN列表中删除。
接入认证的相关内容请参见“安全配置指导”中的“802.1X”、“MAC地址认证”和“Portal”。
· 基于MAC的VLAN功能只能在Hybrid端口配置。
· 基于MAC的VLAN功能主要用于在用户的接入设备的下行端口上进行配置，因此不和聚合功能同时使用。
· 配置MSTP多实例情况下，如果端口在要加入的VLAN对应的MSTP实例中是阻塞状态，则端口会丢弃收到的报文，造成MAC地址不能上送，不能完成动态触发功能。基于MAC的动态VLAN的使用场景为接入侧，不建议和多实例MSTP同时使用。
· 配置PVST情况下，如果端口要加入的VLAN不为端口允许通过的VLAN，则端口处于阻塞状态，会丢弃收到的报文，造成MAC地址不能上送，不能完成动态触发功能。基于MAC的动态VLAN的使用场景为接入侧，不建议和PVST同时使用。
表1-8 手工配置静态MAC VLAN
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
配置MAC地址与VLAN关联 |
mac-vlan mac-address mac-address vlan vlan-id [ priority priority ] |
必选 命令行可以配置priority，但不会生效，报文依据端口的默认优先级进行转发 |
|
|
进入相应视图 |
进入以太网接口视图 |
interface interface-type interface-number |
二者必选其一 |
|
进入端口组视图 |
port-group manual port-group-name |
||
|
配置端口的链路类型为Hybrid类型 |
port link-type hybrid |
必选 缺省情况下，所有端口的链路类型均为Access类型 |
|
|
允许基于MAC的VLAN通过当前Hybrid端口 |
port hybrid vlan vlan-id-list { tagged | untagged } |
必选 缺省情况下，所有Hybrid端口只允许VLAN 1通过 |
|
|
使能基于MAC地址划分VLAN的功能 |
mac-vlan enable |
必选 缺省情况下，未使能基于MAC地址划分VLAN的功能 |
|
表1-9 配置动态MAC VLAN
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
进入相应视图 |
进入以太网接口视图 |
interface interface-type interface-number |
二者必选其一 |
|
进入端口组视图 |
port-group manual port-group-name |
||
|
配置端口的链路类型为Hybrid类型 |
port link-type hybrid |
必选 缺省情况下，所有端口的链路类型均为Access类型 |
|
|
允许基于MAC的VLAN通过当前Hybrid端口 |
port hybrid vlan vlan-id-list { tagged | untagged } |
必选 缺省情况下，所有Hybrid端口只允许VLAN 1通过 |
|
|
使能基于MAC地址划分VLAN的功能 |
mac-vlan enable |
必选 缺省情况下，未使能基于MAC地址划分VLAN的功能 |
|
|
配置认证功能 |
配置802.1X |
请参见“安全命令参考”中的“802.1X” |
三者至少选其一 |
|
配置MAC地址认证 |
请参见“安全命令参考”中的“MAC地址认证” |
||
|
配置Portal |
请参见“安全命令参考”中的“Portal” |
||
· 如图1-7所示，Device A和Device C的GigabitEthernet3/0/1端口分别连接到两个会议室，Laptop1和Laptop2是会议用笔记本电脑，会在两个会议室间移动使用。
· Laptop1和Laptop2分别属于两个部门，两个部门间使用VLAN 100和VLAN 200进行隔离。现要求这两台笔记本电脑无论在哪个会议室使用，均只能访问自己部门的服务器，即Server1和Server2。
· Laptop1和Laptop2的MAC地址分别为000d-88f8-4e71和0014-222c-aa69。
图1-7 基于MAC的VLAN组网图
· 创建VLAN 100、VLAN 200。
· 配置Device A和Device C的上行端口为Trunk端口，并允许VLAN 100和VLAN 200的报文通过。
· 配置 Device B 的下行端口为Trunk端口，并允许VLAN 100和VLAN 200的报文通过；上行端口分别加入VLAN 100、VLAN 200。
· Laptop1和Laptop2的MAC地址分别与VLAN 100、VLAN 200关联。
(1) Device A的配置
# 创建VLAN 100和VLAN 200。
<DeviceA> system-view
[DeviceA] vlan 100
[DeviceA-vlan100] quit
[DeviceA] vlan 200
[DeviceA-vlan200] quit
# 将Laptop1的MAC地址与VLAN 100关联，Laptop2的MAC地址与VLAN 200关联。
[DeviceA] mac-vlan mac-address 000d-88f8-4e71 vlan 100
[DeviceA] mac-vlan mac-address 0014-222c-aa69 vlan 200
# 配置终端的接入端口：Laptop1和Laptop2均可能从GigabitEthernet3/0/1接入，将GigabitEthernet3/0/1的端口类型配置为Hybrid，并使其在发送VLAN 100和VLAN 200的报文时去掉VLAN Tag；开启GigabitEthernet3/0/1端口的MAC-VLAN功能。
[DeviceA] interface GigabitEthernet 3/0/1
[DeviceA-GigabitEthernet3/0/1] port link-type hybrid
[DeviceA-GigabitEthernet3/0/1] port hybrid vlan 100 200 untagged
Please wait... Done.
[DeviceA-GigabitEthernet3/0/1] mac-vlan enable
[DeviceA-GigabitEthernet3/0/1] quit
# 为了终端能够访问Server1和Server2，需要将上行端口GigabitEthernet3/0/2的端口类型配置为Trunk，并允许VLAN 100和VLAN 200的报文通过。
[DeviceA] interface GigabitEthernet 3/0/2
[DeviceA-GigabitEthernet3/0/2] port link-type trunk
[DeviceA-GigabitEthernet3/0/2] port trunk permit vlan 100 200
[DeviceA-GigabitEthernet3/0/2] quit
(2) Device B的配置
# 创建VLAN 100和VLAN 200，并将GigabitEthernet3/0/13加入VLAN 100，GigabitEthernet3/0/14加入VLAN 200。
<DeviceB> system-view
[DeviceB] vlan 100
[DeviceB-vlan100] port GigabitEthernet 3/0/13
[DeviceB-vlan100] quit
[DeviceB] vlan 200
[DeviceB-vlan200] port GigabitEthernet 3/0/14
[DeviceB-vlan200] quit
# 配置GigabitEthernet3/0/3和GigabitEthernet3/0/4端口为Trunk端口，均允许VLAN 100和VLAN 200的报文通过。
[DeviceB] interface GigabitEthernet 3/0/3
[DeviceB-GigabitEthernet3/0/3] port link-type trunk
[DeviceB-GigabitEthernet3/0/3] port trunk permit vlan 100 200
[DeviceB-GigabitEthernet3/0/3] quit
[DeviceB] interface GigabitEthernet 3/0/4
[DeviceB-GigabitEthernet3/0/4] port link-type trunk
[DeviceB-GigabitEthernet3/0/4] port trunk permit vlan 100 200
[DeviceB-GigabitEthernet3/0/4] quit
(3) Device C的配置
Device C的配置与Device A完全一致，这里不再赘述。
(1) Laptop1只能访问Server1，不能访问Server2；Laptop2只能访问Server2，不能访问Server1。
(2) 在Device A和Device C上可以查看到Laptop1和VLAN 100、Laptop2和VLAN 200的静态MAC VLAN地址表项已经生成。
[DeviceA] display mac-vlan all
The following MAC VLAN addresses exist:
S:Static D:Dynamic
MAC ADDR MASK VLAN ID PRIO STATE
--------------------------------------------------------
000d-88f8-4e71 ffff-ffff-ffff 100 0 S
0014-222c-aa69 ffff-ffff-ffff 200 0 S
Total MAC VLAN address count:2
· 基于MAC的VLAN只能在Hybrid端口上配置。
· 基于MAC的VLAN的配置主要用于在用户的接入设备的下行端口上进行配置，因此不能与聚合功能同时使用。
基于协议的VLAN只对Hybrid端口配置才有效。
基于协议的VLAN是根据端口接收到的报文所属的协议（族）类型及封装格式来给报文分配不同的VLAN ID。可用来划分VLAN的协议有IP、IPX、AppleTalk（AT），封装格式有Ethernet II、802.3 raw、802.2 LLC、802.2 SNAP等。
“协议类型 + 封装格式”又称为协议模板，一个协议VLAN下可以绑定多个协议模板，不同的协议模板再用协议索引（protocol-index）来区分。因此，一个协议模板可以用“协议vlan-id + protocol-index”来唯一标识。然后通过命令行将“协议vlan-id + protocol-index”和端口绑定。这样，对于从端口接收到Untagged报文（没有携带VLAN标记的报文）会做如下处理：
· 如果该报文携带的协议类型和封装格式与“协议vlan-id + protocol-index”标识的协议模板相匹配，则为其打上协议vlan-id。
· 如果该报文携带的协议类型和封装格式与“协议vlan-id + protocol-index”标识的协议模板不匹配，则为其打上端口的缺省VLAN ID。
对于端口接收到的Tagged报文（携带VLAN标记的报文），处理方式和基于端口的VLAN一样：如果端口允许携带该VLAN标记的报文通过，则正常转发；如果不允许，则丢弃该报文。
此特性主要应用于将网络中提供的服务类型与VLAN相绑定，方便管理和维护。
表1-10 配置基于协议的VLAN
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
进入VLAN视图 |
vlan vlan-id |
必选 如果指定的VLAN不存在，则该命令先完成VLAN的创建，然后再进入该VLAN的视图 |
|
|
配置基于协议的VLAN，并指定协议模板 |
protocol-vlan [ protocol-index ] { at | ipv4 | ipv6 | ipx { ethernetii | llc | raw | snap } | mode { ethernetii etype etype-id | llc { dsap dsap-id [ ssap ssap-id ] | ssap ssap-id } | snap etype etype-id } } |
必选 缺省情况下，没有配置任何协议模板 |
|
|
退出VLAN视图 |
quit |
- |
|
|
进入相应视图 |
进入以太网接口视图 |
interface interface-type interface-number |
三者必选其一 · 进入以太网接口视图后，下面进行的配置只在当前端口下生效 · 进入端口组视图后，下面进行的配置将在端口组中的所有端口下生效 · 在二层聚合接口视图下执行该命令，则该配置将对二层聚合接口以及相应的所有成员端口生效。在配置过程中，如果某个成员端口配置失败，系统会自动跳过该成员端口继续配置其它成员端口；如果二层聚合接口配置失败，则不会再配置成员端口 |
|
进入端口组视图 |
port-group manual port-group-name |
||
|
进入二层聚合接口视图 |
interface bridge-aggregation interface-number |
||
|
配置端口的链路类型为Hybrid类型 |
port link-type hybrid |
必选 缺省情况下，所有端口的链路类型均为Access类型 |
|
|
允许基于协议的VLAN通过当前Hybrid端口 |
port hybrid vlan vlan-id-list { tagged | untagged } |
必选 缺省情况下，所有Hybrid端口只允许VLAN 1通过 |
|
|
配置Hybrid端口与基于协议的VLAN关联 |
port hybrid protocol-vlan vlan vlan-id { protocol-index [ to protocol-end ] | all } |
必选 |
|
实验室网络中大部分主机运行IPv4网络协议，另外为了教学需要还布置了IPv6实验局，因此，同时有些主机运行着IPv6网络协议。为了避免互相干扰，现要求基于网络协议将IPv4流量和IPv6流量二层互相隔离。
图1-8 基于协议的VLAN组网图
创建VLAN 100及VLAN 200。让VLAN 100与IPv4协议绑定，VLAN 200与IPv6协议绑定，通过协议VLAN来实现IPv4流量和IPv6流量二层互相隔离。
(1) 配置Device
# 创建VLAN100，将端口GigabitEthernet3/0/11加入VLAN 100。
<Device> system-view
[Device] vlan 100
[Device-vlan100] description protocol VLAN for IPv4
[Device-vlan100] port GigabitEthernet 3/0/11
# 创建VLAN 200，将端口GigabitEthernet3/0/12加入VLAN 200。
[Device-vlan100] quit
[Device] vlan 200
[Device-vlan200] description protocol VLAN for IPv6
[Device-vlan200] port GigabitEthernet 3/0/12
# 在VLAN 200和VLAN 100视图下，分别为IPv4和IPv6协议创建协议模板。
[Device-vlan200] protocol-vlan 1 ipv6
[Device-vlan200] quit
[Device] vlan 100
[Device-vlan100] protocol-vlan 1 ipv4
[Device-vlan100] quit
# 配置端口GigabitEthernet3/0/1为Hybrid端口，并在转发VLAN 100和VLAN 200的报文时去掉VLAN Tag。
[Device] interface GigabitEthernet 3/0/1
[Device-GigabitEthernet3/0/1] port link-type hybrid
[Device-GigabitEthernet3/0/1] port hybrid vlan 100 200 untagged
Please wait... Done.
# 配置端口GigabitEthernet3/0/1与VLAN 100的协议模板1（即IPv4协议模板）、VLAN 200的协议模板1（即IPv6协议模板）进行绑定。
[Device-GigabitEthernet3/0/1] port hybrid protocol-vlan vlan 100 1
[Device-GigabitEthernet3/0/1] port hybrid protocol-vlan vlan 200 1
[Device-GigabitEthernet3/0/1] quit
# 配置端口GigabitEthernet3/0/2为Hybrid端口，在转发VLAN100和VLAN200的报文时去掉VLAN Tag，与VLAN 100的协议模板1（即IPv4协议模板）、VLAN 200的协议模板1（即IPv6协议模板）进行绑定。
[Device] interface GigabitEthernet 3/0/2
[Device-GigabitEthernet3/0/2] port link-type hybrid
[Device-GigabitEthernet3/0/2] port hybrid vlan 100 200 untagged
Please wait... Done.
[Device-GigabitEthernet3/0/2] port hybrid protocol-vlan vlan 100 1
[Device-GigabitEthernet3/0/2] port hybrid protocol-vlan vlan 200 1
(2) L2 Switch A和L2 Switch B采用缺省配置。
(3) 将IPv4 Host A、IPv4 Host B和IPv4 Server配置在一个网段，比如192.168.100.0/24；将IPv6 Host A、IPv6 Host B和IPv6 Server配置在一个网段，比如2001::1/64。
(1) VLAN 100内的主机和服务器能够互相ping通；VLAN 200内的主机和服务器能够互相ping通。但VLAN 100内的主机/服务器和VLAN 200内的主机/服务器会ping失败。
(2) 通过查看Device上的显示信息，验证配置是否生效。
# 查看Device上协议VLAN的配置。
[Device-GigabitEthernet3/0/2] display protocol-vlan vlan all
VLAN ID:100
Protocol Index Protocol Type
======================================================
1 ipv4
VLAN ID:200
Protocol Index Protocol Type
======================================================
1 ipv6
# 查看Device端口上已配置的协议VLAN的相关信息。
[Device-GigabitEthernet3/0/2] display protocol-vlan interface all
Interface: GigabitEthernet 3/0/1
VLAN ID Protocol Index Protocol Type
======================================================
100 1 ipv4
200 1 ipv6
Interface: GigabitEthernet 3/0/2
VLAN ID Protocol Index Protocol Type
======================================================
100 1 ipv4
200 1 ipv6
基于协议的VLAN只对Hybrid端口配置才有效。
基于IP子网的VLAN是根据报文源IP地址及子网掩码来进行划分的。设备从端口接收到Untagged报文后，会根据报文的源地址来确定报文所属的VLAN，然后将报文自动划分到指定VLAN中传输。
此特性主要用于将指定网段或IP地址发出的报文在指定的VLAN中传送。通过配置ACL和QoS策略实现，有关ACL和QoS策略的相关介绍，请参见“ACL和QoS配置指导”中的“ACL”和“QoS”。
表1-11 配置基于IP子网的VLAN
|
操作 |
命令 |
说明 |
|||||
|
进入系统视图 |
system-view |
- |
|||||
|
创建VLAN |
vlan vlan-id |
必选 如果指定的VLAN不存在，则该命令先完成VLAN的创建，然后再进入该VLAN的视图 |
|||||
|
退出VLAN视图 |
quit |
- |
|||||
|
进入接口视图/端口组视图 |
进入以太网接口视图 |
interface interface-type interface-number |
二者必选其一 |
||||
|
进入端口组视图 |
port-group manual port-group-name |
||||||
|
配置端口的链路类型为Hybrid类型 |
port link-type hybrid |
必选 缺省情况下，所有端口的链路类型均为Access类型 |
|||||
|
允许指定的VLAN通过当前Hybrid端口 |
port hybrid vlan vlan-id-list { tagged | untagged } |
必选 缺省情况下，Hybrid端口只允许VLAN 1的报文以Untagged方式通过（即VLAN 1的报文从该端口发送出去后不携带VLAN Tag） |
|||||
|
设置Hybrid端口的缺省VLAN |
port hybrid pvid vlan vlan-id |
可选 缺省情况下，Hybrid端口的缺省VLAN为VLAN 1 |
|||||
|
退出接口视图/端口组视图 |
quit |
- |
|||||
|
创建IPv4基本或高级ACL，并进入相应ACL视图 |
acl number acl-number [ name acl-name ] [ match-order { auto | config } ] |
必选 仅支持IPv4基本ACL（IPv4基本ACL的编号范围为2000～2999 ）和IPv4高级ACL（IPv4高级ACL的编号范围为3000～3999 ） |
|||||
|
创建规则匹配指定的子网 |
创建IPv4基本ACL规则 |
rule [ rule-id ] { deny | permit } [ fragment | logging | counting | source { sour-addr sour-wildcard | any } | time-range time-range-name | vpn-instance vpn-instance-name ] |
二者必选其一 必须配置IPv4的源IP和掩码，其他字段可选； 关于rule 命令的详细介绍，请参见“ACL和QoS命令参考”中的“ACL” |
||||
|
创建IPv4高级ACL规则 |
rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | destination { dest-addr dest-wildcard | any } | destination-port operator port1 [ port2 ] | dscp dscp | fragment | icmp-type { icmp-type icmp-code | icmp-message } | logging | counting | precedence precedence | source { sour-addr sour-wildcard | any } | source-port operator port1 [ port2 ] | time-range time-range-name | tos tos | vpn-instance vpn-instance-name ] * |
||||||
|
退出ACL视图 |
quit |
- |
|||||
|
创建类以匹配ARP报文 |
traffic classifier tcl-name [ operator { and | or } ] |
必选 缺省为and，即类视图下各匹配规则之间的关系为逻辑与 |
|||||
|
引用IPv4基本ACL或IPv4高级ACL |
if-match acl { acl-number | name acl-name } |
必选 |
|||||
|
匹配ARP协议 |
if-match protocol arp |
必选 关于if-match 命令的详细介绍，请参见“ACL和QoS命令参考”中的“QoS” |
|||||
|
退出类视图 |
quit |
- |
|||||
|
创建类以匹配IPv4报文 |
traffic classifier tcl-name [ operator { and | or } ] |
必选 |
|||||
|
引用IPv4基本ACL或IPv4高级ACL |
if-match acl {acl-number | name acl-name } |
必选 |
|||||
|
退出类视图 |
quit |
- |
|||||
|
配置流行为 |
traffic behavior behavior-name |
必选 |
|||||
|
配置重标记报文的VLAN为指定的VLAN |
remark service-vlan-id vlan-id-value |
必选 |
|||||
|
退出流行为视图 |
quit |
- |
|||||
|
定义策略并进入策略视图 |
qos policy policy-name |
必选 |
|||||
|
在策略中为类指定采用的流行为，分别将指定子网的ARP报文和IPv4报文分别划分到指定的VLAN内传输 |
classifier tcl-name behavior behavior-name |
必选 |
|||||
|
退出策略视图 |
quit |
- |
|||||
|
应用QoS策略 |
应用QoS策略到指定接口 |
进入接口视图/端口组视图（二者必选其一）
|
进入以太网接口视图 |
interface interface-type interface-number |
三者必选其一 如果是二层聚合接口，则必须将策略下发到二层聚合接口的每个成员接口 |
||
|
进入端口组视图 |
port-group manual port-group-name |
||||||
|
qos apply policy policy-name { inbound | outbound } |
|||||||
|
应用QoS策略到指定VLAN |
qos vlan-policy policy-name vlan vlan-id-list { inbound | outbound } |
||||||
|
应用QoS策略到全局 |
qos apply policy policy-name global { inbound | outbound } |
||||||
实验室内不同业务的电脑分配了不同网段的IP，需要根据不同的业务来划分VLAN和网关。
PC A和PC B通过L2 Switch连接到Switch上。
图1-9 基于IP子网的VLAN组网图
创建VLAN 10和VLAN 20。让VLAN 10与1.1.1.0/24网段内的用户绑定，VLAN 20与2.1.1.0/24网段内的用户绑定，通过IP子网的VLAN技术将不同网段的设备划分到不同的VLAN中。
(1) 配置Switch
# 创建VLAN10和VLAN 20接口，相关配置步骤略。
# 配置端口GigabitEthernet3/0/1为Hybrid端口，端口的PVID为1，并将该端口加入到VLAN 1、VLAN 10和VLAN 20中，且在转发上述VLAN报文时去掉VLAN Tag。
[Switch] interface GigabitEthernet 3/0/1
[Switch-GigabitEthernet3/0/1] port link-type hybrid
[Switch-GigabitEthernet3/0/1] port hybrid vlan 10 20 1 untagged
Please wait... Done.
[Switch-GigabitEthernet3/0/1] port hybrid pvid vlan 1
# 配置ACL。其中，ACL3000允许来自1.1.1.0/24网段的报文通过，ACL3001允许来自2.1.1.0/24的报文通过。
[Switch] acl number 3000
[Switch-acl-adv-3000] rule 0 permit ip source 1.1.1.0 0.0.0.255
[Switch-acl-adv-3000] quit
[Switch]acl number 3001
[Switch-acl-adv-3001] rule 0 permit ip source 2.1.1.0 0.0.0.255
[Switch-acl-adv-3001] quit
# 创建QoS策略，将来自1.1.1.0/24网段的ARP报文和Ipv4报文划分到VLAN10内传输，将来自2.1.1.0/24网段的ARP报文和Ipv4报文划分到VLAN20内传输。
[Switch] traffic classifier 1
[Switch-classifier-1] if-match acl 3000
[Switch-classifier-1] quit
[Switch] traffic classifier 2
[Switch-classifier-2] if-match acl 3000
[Switch-classifier-2] if-match protocol arp
[Switch-classifier-2] quit
[Switch] traffic classifier 3
[Switch-classifier-3] if-match acl 3001
[Switch-classifier-3] quit
[Switch] traffic classifier 4
[Switch-classifier-4] if-match acl 3001
[Switch-classifier-4] if-match protocol arp
[Switch-classifier-4] quit
[Switch] traffic behavior 1
[Switch-behavior-1] remark service-vlan-id 10
[Switch-behavior-1] quit
[Switch] traffic behavior 2
[Switch-behavior-2] remark service-vlan-id 20
[Switch-behavior-2] quit
# 配置QoS策略。
[Switch] qos policy test
[Switch-qospolicy-test] classifier 1 behavior 1
[Switch-qospolicy-test] classifier 2 behavior 1
[Switch-qospolicy-test] classifier 3 behavior 2
[Switch-qospolicy-test] classifier 4 behavior 2
[Switch-qospolicy-test] quit
# 在端口GigabitEthernet3/0/1入方向应用QoS策略。
[Switch] interface GigabitEthernet 3/0/1
[Switch-GigabitEthernet3/0/1] qos apply policy test inbound
从PC A Ping网关（VLAN10虚接口地址如1.1.1.1），可以Ping通；
从PC B Ping网关（VLAN20虚接口地址如2.1.1.1），可以Ping通；
登录Switch上查询ARP表项，显示
[Switch] display arp
Type: S-Static D-Dynamic A-Authorized
IP Address MAC Address VLAN ID Interface Aging Type
1.1.1.100 0000-0000-0001 10 GE3/0/1 N/A D
2.1.1.100 0000-0000-0002 20 GE3/0/1 N/A D
基于IP子网的VLAN只对Hybrid端口配置有效。
在完成上述配置后，在任意视图下执行display命令可以显示配置后VLAN的运行情况，通过查看显示信息验证配置的效果。
在用户视图下执行reset命令可以清除接口统计信息。
表1-12 VLAN显示和维护
|
操作 |
命令 |
|
显示VLAN相关信息 |
display vlan [ vlan-id1 [ to vlan-id2 ] | all | dynamic | reserved | static ] [ | { begin | exclude | include } regular-expression ] |
|
显示VLAN接口相关信息 |
display interface [ vlan-interface ] [ brief [ down ] ] [ | { begin | exclude | include } regular-expression ] display interface [ vlan-interface [ vlan-interface-id ] ] [ brief [ description ] ] [ | { begin | exclude | include } regular-expression ] |
|
显示设备上当前存在的Hybrid或Trunk端口 |
display port { hybrid | trunk } [ | { begin | exclude | include } regular-expression ] |
|
显示MAC-VLAN表项 |
display mac-vlan { all | dynamic | mac-address mac-address | static | vlan vlan-id } [ | { begin | exclude | include } regular-expression ] |
|
显示所有使能了MAC VLAN功能的接口 |
display mac-vlan interface [ | { begin | exclude | include } regular-expression ] |
|
显示指定VLAN上配置的协议信息及协议的索引 |
display protocol-vlan vlan { vlan-id [ to vlan-id ] | all } [ | { begin | exclude | include } regular-expression ] |
|
显示指定端口上已配置的协议VLAN的相关信息 |
display protocol-vlan interface { interface-type interface-number [ to interface-type interface-number ] | all } [ | { begin | exclude | include } regular-expression ] |
|
清除接口的统计信息 |
reset counters interface vlan-interface [ vlan-interface-id ] |
随着网络的发展，网络地址资源日趋紧张，为了节省IP地址，Super VLAN的概念被提出来。
Super VLAN又称为VLAN聚合（VLAN Aggregation），其原理是一个Super VLAN和多个Sub VLAN关联，Super VLAN内不能加入物理端口，但可以创建对应的VLAN接口，VLAN接口下可以配置IP地址；Sub VLAN可以加入物理端口，但不能创建对应的VLAN接口，所有Sub VLAN内的端口共用Super VLAN的VLAN接口IP地址，不同Sub VLAN之间二层相互隔离。当Sub VLAN内的用户需要进行三层通信时，将使用Super VLAN的IP地址作为网关地址，这样多个Sub VLAN共享一个网关地址，从而节省了IP地址资源。
为了实现Sub VLAN之间的三层互通，在创建好Super VLAN和VLAN接口之后，用户需要开启设备的本地代理ARP功能，Super VLAN利用本地代理ARP可以进行ARP请求和响应报文的转发与处理，从而实现了Sub VLAN之间的三层互通。
有关本地代理ARP的介绍，请参见“三层技术-IP业务配置指导”中的“ARP”。
Super VLAN功能的配置包括三个必选步骤：
(1) 创建Sub VLAN。
(2) 创建Super VLAN，并将Super VLAN和Sub VLAN关联起来。
(3) 配置Super VLAN对应的VLAN接口，该接口主要用于接入用户和Sub VLAN之间的通信。
表2-1 配置Sub VLAN
|
配置 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建VLAN用作Sub VLAN，并进入VLAN视图 |
vlan vlan-id |
必选 如果指定的VLAN不存在，则该命令先完成VLAN的创建，然后再进入该VLAN的视图 |
表2-2 配置Super VLAN
|
配置 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入VLAN视图 |
vlan vlan-id |
必选 如果指定的VLAN不存在，则该命令先完成VLAN的创建，然后再进入该VLAN的视图 |
|
设置VLAN类型为Super VLAN |
supervlan |
必选 缺省情况下，用户创建的VLAN不是Super VLAN类型的VLAN VLAN 1为系统缺省VLAN，不能设置为Super VLAN |
|
配置Super VLAN和Sub VLAN间的映射关系 |
subvlan vlan-list |
必选 vlan-list必须是当前已创建的准备用作Sub VLAN的VLAN 配置映射关系前，请确保Sub VLAN的二层组播功能(仅支持IGMP Snooping、MLD Snooping、PIM Snooping和IPv6 PIM Snooping)处于关闭状态，否则将无法配置。有关组播的详细内容请参见“IP组播配置指导” |
· 一个VLAN不能被同时设置为Super VLAN和Sub VLAN。
· 只有在Super VLAN和其某个Sub VLAN上同时使能二层组播功能，该Sub VLAN的二层组播功能才能生效。
· Super VLAN支持三层组播功能。当组播源在Super VLAN的某个Sub VLAN上时，允许向该Sub VLAN内的接收者转发组播流，不允许向其他Sub VLAN（无论是否属于该Super VLAN）转发组播流，同时允许向其他三层接口转发组播流。需要注意的是，上述转发成功的前提是组播源所在的Sub VLAN已经学习到了该组播源的ARP表项。
· 从除Super VLAN对应的VLAN接口之外的三层接口进入的组播流，不支持向Super VLAN内的接收者转发。
· Super VLAN的IPv4三层组播功能与Super VLAN或其Sub VLAN的IPv4二层组播功能互斥，Super VLAN的IPv6三层组播功能与Super VLAN或其Sub VLAN的IPv6二层组播功能互斥，互斥的两个功能不能同时配置。
· Super VLAN不支持双向PIM和组播VPN。
表2-3 配置Super VLAN对应的VLAN接口
|
配置 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建VLAN接口，并进入VLAN接口视图 |
interface vlan-interface vlan-interface-id |
必选 vlan-interface-id的值必须等于Super VLAN ID |
|
配置VLAN接口的IP地址 |
ip address ip-address { mask | mask-length } [ sub ] |
必选 缺省情况下，没有配置VLAN接口的IP地址 |
|
开启本地代理ARP功能 |
local-proxy-arp enable |
必选 缺省情况下，本地代理ARP功能处于关闭状态 |
· 以上步骤中配置的VLAN接口的IP地址就是对应的Super VLAN的IP地址。
· local-proxy-arp enable命令以及本地代理ARP功能的相关内容，请参见“三层技术-IP业务命令参考”和“三层技术-IP业务配置指导”中的“ARP”。
· 如果某个VLAN被指定为Super VLAN，则该VLAN不能被指定为某个端口的Guest VLAN；同样，如果某个VLAN被指定为某个端口的Guest VLAN，则该VLAN不能被指定为Super VLAN。Guest VLAN的相关内容请参见“安全配置指导”中的“802.1X”。
· 在Super VLAN对应的VLAN接口下可以配置DHCP、三层组播、动态路由、NAT等功能，但是只有DHCP的配置生效，其它配置将不会生效。
· 在Super VLAN对应的VLAN接口下配置VRRP功能后，会对网络性能造成影响，建议不要这样配置。
· Sub VLAN不能创建其对应的VLAN接口。
在完成上述配置后，在任意视图下执行display命令可以显示配置后Super VLAN的运行情况，通过查看显示信息验证配置的效果。
表2-4 Super VLAN显示和维护
|
操作 |
命令 |
|
显示Super VLAN和Sub VLAN之间的映射关系 |
display supervlan [ supervlan-id ] [ | { begin | exclude | include } regular-expression ] |
缺省情况下，以太网接口、VLAN接口及聚合接口处于DOWN状态。如果要对这些接口进行配置，请先使用undo shutdown命令使接口状态处于UP。
· 创建Super VLAN 10，VLAN接口的IP地址为10.0.0.1/24。
· 创建Sub VLAN：VLAN 2、VLAN 3、VLAN 5。
· 端口GigabitEthernet3/0/1和端口GigabitEthernet3/0/2属于VLAN 2，端口GigabitEthernet3/0/3和端口GigabitEthernet3/0/4属于VLAN 3，端口GigabitEthernet3/0/5和端口GigabitEthernet3/0/6属于VLAN 5。
· 各Sub VLAN的用户之间能够满足二层隔离和三层互通。
图2-1 Super VLAN组网图
# 创建VLAN 10，配置VLAN接口的IP地址为10.0.0.1/24。
<Sysname> system-view
[Sysname] vlan 10
[Sysname-vlan10] interface Vlan-interface 10
[Sysname-Vlan-interface10] ip address 10.0.0.1 255.255.255.0
# 为实现Super VLAN特性，开启设备的本地代理功能。
[Sysname-Vlan-interface10] local-proxy-arp enable
[Sysname-Vlan-interface10] quit
# 创建VLAN 2，并添加端口GigabitEthernet3/0/1和端口GigabitEthernet3/0/2。
[Sysname] vlan 2
[Sysname-vlan2] port GigabitEthernet 3/0/1 GigabitEthernet 3/0/2
# 创建VLAN 3，并添加端口GigabitEthernet3/0/3和端口GigabitEthernet3/0/4。
[Sysname-vlan2] quit
[Sysname] vlan 3
[Sysname-vlan3] port GigabitEthernet 3/0/3 GigabitEthernet 3/0/4
# 创建VLAN 5，并添加端口GigabitEthernet3/0/5和端口GigabitEthernet3/0/6。
[Sysname-vlan3] quit
[Sysname] vlan 5
[Sysname-vlan5] port GigabitEthernet 3/0/5 GigabitEthernet 3/0/6
# 指定VLAN 10为Super VLAN，VLAN 2、VLAN 3和VLAN 5为Sub VLAN。
[Sysname-vlan5] quit
[Sysname] vlan 10
[Sysname-vlan10] supervlan
[Sysname-vlan10] subvlan 2 3 5
[Sysname-vlan10] quit
[Sysname] quit
# 查看Super VLAN的相关信息，验证以上配置是否生效。
<Sysname> display supervlan
SuperVLAN ID : 10
SubVLAN ID : 2-3 5
VLAN ID: 10
VLAN Type: static
It is a Super VLAN.
Route Interface: configured
Ip Address: 10.0.0.1
Subnet Mask: 255.255.255.0
Description: VLAN 0010
Name：VLAN 0010
Tagged Ports: none
Untagged Ports: none
VLAN ID: 2
VLAN Type: static
It is a Sub VLAN.
Route Interface: configured
Ip Address: 10.0.0.1
Subnet Mask: 255.255.255.0
Description: VLAN 0002
Name：VLAN 0002
Tagged Ports: none
Untagged Ports:
GigabitEthernet3/0/1 GigabitEthernet3/0/2
VLAN ID: 3
VLAN Type: static
It is a Sub VLAN.
Route Interface: configured
Ip Address: 10.0.0.1
Subnet Mask: 255.255.255.0
Description: VLAN 0003
Name：VLAN 0003
Tagged Ports: none
Untagged Ports:
GigabitEthernet3/0/3 GigabitEthernet3/0/4
VLAN ID: 5
VLAN Type: static
It is a Sub VLAN.
Route Interface: configured
Ip Address: 10.0.0.1
Subnet Mask: 255.255.255.0
Description: VLAN 0005
Name：VLAN 0005
Tagged Ports: none
Untagged Ports:
GigabitEthernet3/0/5 GigabitEthernet3/0/6
随着语音技术的日益发展，语音设备应用越来越广泛，尤其在宽带小区，网络中经常同时存在语音数据和业务数据两种流量。通常，语音数据在传输时需要具有比业务数据更高的优先级，以减少传输过程中可能产生的时延和丢包现象。
Voice VLAN是为用户的语音数据流而专门划分的VLAN。通过划分Voice VLAN并将连接语音设备的端口加入Voice VLAN，系统自动为语音报文修改QoS（Quality of Service，服务质量）参数，来提高语音数据报文优先级、保证通话质量。
常见的语音设备有IP电话、IAD（Integrated Access Device，综合接入设备）等。本文中以IP电话为例进行说明。
设备可以根据进入端口的数据报文中的源MAC地址字段来判断该数据流是否为语音数据流。源MAC地址符合系统设置的语音设备OUI（Organizationally Unique Identifier，全球统一标识符）地址的报文被认为是语音数据流。
用户可以预先设置OUI地址，也可以使用缺省的OUI地址作为判断标准。设备缺省的OUI地址如表3-1所示。
|
序号 |
OUI地址 |
生产厂商 |
|
1 |
0001-e300-0000 |
Siemens phone |
|
2 |
0003-6b00-0000 |
Cisco phone |
|
3 |
0004-0d00-0000 |
Avaya phone |
|
4 |
00d0-1e00-0000 |
Pingtel phone |
|
5 |
0060-b900-0000 |
Philips/NEC phone |
|
6 |
00e0-7500-0000 |
Polycom phone |
|
7 |
00e0-bb00-0000 |
3com phone |
· 通常意义下，OUI地址指的是MAC地址的前24位（二进制），是IEEE为不同设备供应商分配的一个全球唯一的标识符。本文中的OUI地址有别于通常意义的OUI地址，它是设备判断收到的报文是否为语音报文的依据，是voice vlan mac-address命令中的mac-address和oui-mask参数相与的结果。
· 设备缺省的OUI地址可以手工删除，删除之后也可再次手工添加。
Voice VLAN的工作模式包括自动模式和手动模式，这个自动和手动指的是端口加入Voice VLAN的方式。
· 自动模式：系统利用IP电话上电时发出的协议报文（Untagged报文），通过识别报文的源MAC，匹配OUI地址。匹配成功后，系统将自动把语音报文的入端口加入Voice VLAN，并下发ACL规则、配置报文的优先级。用户可以在设备上设置Voice VLAN的老化时间，当在老化时间内，系统没有从入端口收到任何语音报文时，系统将把该端口从Voice VLAN中删除。端口的添加/删除到Voice VLAN的过程由系统自动实现。自动模式适用于PC-IP电话串联接入（端口同时传输语音数据和普通业务数据）的组网方式，如图3-1所示。（当Voice VLAN正常工作时，如果遇到设备重新启动的情况，为保证已经建立的语音连接能够正常工作，系统会在重新启动完成后，将配置为自动模式的端口重新加入Voice VLAN，而不需要再次通过语音流触发。）
图3-1 主机与IP电话串联接入组网图
· 手动模式下，需要通过手工把IP电话接入端口加入Voice VLAN中。再通过识别报文的源MAC，匹配OUI地址。匹配成功后，系统将下发ACL规则、配置报文的优先级。端口的添加/删除到Voice VLAN的过程由管理员手动实现。手动模式适用于IP电话单独接入（端口仅传输语音报文）的组网方式，如图3-2所示。该组网方式可以使该端口专用于传输语音数据，最大限度避免业务数据对语音数据传输的影响。
图3-2 IP电话单独接入组网图
对于IP电话发出的携带Tag标签的报文，两种模式处理方式一致，只根据标签进行转发。
由于IP电话类型较多，因此需要用户保证端口的链路类型与IP电话能够匹配，详细配合关系请见下表：
· IP电话发送Tagged语音数据
表3-2 不同类型端口支持Tagged语音数据配置要求
|
端口类型 |
Voice VLAN工作模式 |
是否支持Tagged语音数据 |
配置要求 |
|
Access |
自动模式 |
不支持 |
- |
|
手工模式 |
|||
|
Trunk |
自动模式 |
支持 |
缺省VLAN不能为Voice VLAN |
|
手工模式 |
缺省VLAN不能为Voice VLAN，需要配置端口允许Voice VLAN的报文通过 |
||
|
Hybrid |
自动模式 |
支持 |
缺省VLAN不能为Voice VLAN |
|
手工模式 |
缺省VLAN不能为Voice VLAN，需要配置端口允许Voice VLAN的报文携带Tag通过 |
· IP电话发送Untagged语音数据
当IP电话发送Untagged语音数据，则端口的Voice VLAN工作模式只能为手工模式，不能为自动模式。
表3-3 不同类型端口支持Untagged语音数据配置要求
|
端口类型 |
Voice VLAN工作模式 |
是否支持Untagged语音数据 |
配置要求 |
|
Access |
自动模式 |
不支持 |
- |
|
手工模式 |
支持 |
将缺省VLAN配置为Voice VLAN |
|
|
Trunk |
自动模式 |
不支持 |
- |
|
手工模式 |
支持 |
接入端口的缺省VLAN必须是Voice VLAN，且接入端口允许该VLAN通过 |
|
|
Hybrid |
自动模式 |
不支持 |
- |
|
手工模式 |
支持 |
接入端口的缺省VLAN必须是Voice VLAN，且在接入端口允许通过的Untagged VLAN列表中 |
· 如果用户的IP Phone发出的是Tagged语音流，且接入的端口上使能了802.1X认证和Guest VLAN，为保证各种功能的正常使用，请为Voice VLAN、端口的缺省VLAN和802.1X的Guest VLAN分配不同的VLAN ID。
· 如果用户的IP Phone发出的是Untagged语音流，为实现Voice VLAN功能，只能将接入端口的缺省VLAN配置为Voice VLAN，此时将不能实现802.1X认证功能。
· 所有端口的缺省VLAN都是VLAN1，用户可以通过命令设置端口的缺省VLAN，也可以通过命令设置允许某个VLAN通过该端口。相关操作请参见“1.4 配置基于端口的VLAN”。
· 可以通过display interface命令来查看端口允许通过的VLAN及缺省VLAN等信息。
根据使能了Voice VLAN功能的端口对接收到的数据包的过滤机制又可以将Voice VLAN的工作模式分为普通模式和安全模式：
· 普通模式下，端口加入Voice VLAN后，设备对于接收的语音报文不再一一进行识别，凡是带有Voice VLAN Tag的报文，设备将不再检查其源MAC地址是否为语音设备的OUI地址，均接收并在Voice VLAN中转发。对于缺省VLAN就是Voice VLAN的手工模式端口，会导致任意的Untagged报文都可以在Voice VLAN中传输。这样的处理方式很容易使Voice VLAN收到恶意用户的流量攻击。恶意用户可以构造大量带有Voice VLAN Tag的报文，占用Voice VLAN的带宽，影响正常的语音通信。
· 安全模式下，设备将对每一个要进入Voice VLAN传输的报文进行源MAC匹配检查，对于不能匹配OUI地址的报文，则将其丢弃。
对于比较安全的网络，用户可以配置Voice VLAN的普通模式，以减少检查报文的工作对系统资源的占用。
· 建议您尽量不要在Voice VLAN中同时传输语音和业务数据。如确有此需要，请确认Voice VLAN的安全模式已关闭。
· 如果配置了最多可以学习到的MAC地址数，则当接口学习的MAC地址数达到最大MAC地址数后，设备对没有学到MAC地址的带有Voice VLAN Tag的报文将不再进行转发。关于最多可以学习到的MAC地址数的介绍，请参见“二层技术-以太网交换”中的“MAC地址表”。
表3-4 Voice VLAN的安全/普通模式对报文的处理
|
Voice VLAN工作模式 |
报文类型 |
处理方式 |
|
安全模式 |
Untagged报文 |
当该报文源MAC地址是可识别的OUI地址时，允许该报文在Voice VLAN内传输，否则将该报文丢弃 |
|
带有Voice VLAN Tag的报文 |
||
|
带有其他VLAN Tag的报文 |
根据指定端口是否允许该VLAN通过来对报文进行转发和丢弃的处理，不受Voice VLAN安全/普通模式的影响 |
|
|
普通模式 |
Untagged报文 |
不对报文的源MAC地址进行检查，所有报文均可以在Voice VLAN内进行传输 |
|
带有Voice VLAN Tag的报文 |
||
|
带有其他VLAN Tag的报文 |
根据指定端口是否允许该VLAN通过来对报文进行转发和丢弃的处理，不受Voice VLAN安全/普通模式的影响 |
(1) 创建VLAN
配置Voice VLAN之前，须先创建对应的VLAN。
(2) 确定语音报文的QoS优先级
配置语音报文的QoS优先级，需要关闭接口上的Voice VLAN功能。当Voice VLAN使能时，不允许修改语音报文的QoS优先级。语音报文的QoS优先级的配置请参见3.2.2 配置语音报文的QoS优先级。
(3) 确定将要配置的Voice VLAN的工作模式
· 配置自动模式的Voice VLAN，请参见3.2.3 配置自动模式下的Voice VLAN；
· 配置手动模式的Voice VLAN，请参见3.2.4 配置手动模式下的Voice VLAN。
· 当EB/EC2类单板工作在ACL标准模式时，该类单板上的端口不支持使能Voice VLAN功能。关于ACL标准模式的详细内容，请参见“ACL和QoS配置指导”中的“ACL”。
· 一个端口只能加入一个Voice VLAN。
· 不允许在聚合组的成员端口上使能Voice VLAN功能。有关聚合组成员端口的详细介绍，请参见“二层技术-以太网交换配置指导”中的“以太网链路聚合”。
Voice VLAN在实现中，通过提高语音报文的QoS优先级（CoS和DSCP值）来保证语音通信的质量。语音报文会自带QoS优先级，通过配置，用户可以选择在语音报文通过设备时修改或者不修改报文的QoS优先级。
表3-5 配置语音报文的QoS优先级
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入接口视图 |
interface interface-type interface-number |
- |
|
配置接口信任语音报文的优先级，即接口不会修改Voice VLAN内语音报文自带的CoS和DSCP值 |
voice vlan qos trust |
二者任选其一 缺省情况下，接口会将Voice VLAN内语音报文的CoS值修改为6，DSCP值修改为46 在同一接口多次执行这两条命令，则最新配置将覆盖旧配置，最新的配置生效 |
|
将Voice VLAN内语音报文的CoS和DSCP修改为指定值 |
voice vlan qos cos-value dscp-value |
在Voice VLAN使能的情况下，不允许配置语音报文的QoS优先级。必须禁用Voice VLAN后，才能配置。
l 自动模式下的Voice VLAN只支持Hybrid端口对Tagged的语音流进行处理，而协议VLAN特性要求Hybrid入端口的报文格式为Untagged（详情请参见“1.6.2 配置基于协议的VLAN”），因此，不能将某个VLAN同时设置为Voice VLAN和协议VLAN。
l 配置MSTP多实例情况下，如果端口在要加入的Voice VLAN对应的MSTP实例中是阻塞状态，则端口会丢弃收到的报文，造成MAC地址不能上送，不能完成动态触发功能。自动模式Voice VLAN的使用场景为接入侧，不建议和多实例MSTP同时使用。
l 配置PVST情况下，如果端口要加入的Voice VLAN不为端口允许通过的VLAN，则端口处于阻塞状态，会丢弃收到的报文，造成MAC地址不能上送，不能完成动态触发功能。自动模式Voice VLAN的使用场景为接入侧，不建议和PVST同时使用。
表3-6 配置自动模式下的Voice VLAN
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
设置Voice VLAN的老化时间 |
voice vlan aging minutes |
可选 缺省情况下，老化时间为1440分钟，老化时间只对自动模式下的端口有效 |
|
使能Voice VLAN的安全模式 |
voice vlan security enable |
可选 缺省情况下，Voice VLAN工作在安全模式 |
|
设置Voice VLAN识别的OUI地址 |
voice vlan mac-address oui mask oui-mask [ description text ] |
可选 Voice VLAN启动后将有缺省的OUI地址，请参见“表3-1设备缺省的OUI地址” |
|
进入以太网接口视图 |
interface interface-type interface-number |
- |
|
设置端口Voice VLAN的工作模式为自动模式 |
voice vlan mode auto |
可选 缺省情况下，Voice VLAN工作在自动模式 各个端口Voice VLAN的工作模式相互独立，不同的端口可以设置成不同的模式 |
|
使能端口的Voice VLAN功能 |
voice vlan vlan-id enable |
必选 缺省情况下，端口没有使能Voice VLAN功能 |
表3-7 配置手动模式下的Voice VLAN
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
使能Voice VLAN的安全模式 |
voice vlan security enable |
可选 缺省情况下，Voice VLAN工作在安全模式 |
|
|
设置Voice VLAN识别的OUI地址 |
voice vlan mac-address oui mask oui-mask [ description text ] |
可选 Voice VLAN启动后将有缺省的OUI地址，请参见“表3-1设备缺省的OUI地址” |
|
|
进入以太网接口视图 |
interface interface-type interface-number |
- |
|
|
配置端口的Voice VLAN工作模式为手动模式 |
undo voice vlan mode auto |
必选 缺省情况下，端口的Voice VLAN工作在自动模式 |
|
|
将手动模式端口加入Voice VLAN |
Access端口 |
请参见“1.4.2 配置基于Access端口的VLAN” |
三者必选其一 将Access端口加入Voice VLAN后，Voice VLAN会自动成为Access端口的缺省VLAN |
|
Trunk端口 |
请参见“1.4.3 配置基于Trunk端口的VLAN” |
||
|
Hybrid端口 |
请参见“1.4.4 配置基于Hybrid端口的VLAN” |
||
|
设置Voice VLAN为端口的缺省VLAN |
Trunk端口 |
请参见“1.4.3 配置基于Trunk端口的VLAN” |
可选 当输入的语音流是Untagged语音流时，需要进行该项配置；当输入的语音流是Tagged语音流时，不能将Voice VLAN设置为端口的缺省VLAN |
|
Hybrid端口 |
请参见“1.4.4 配置基于Hybrid端口的VLAN” |
||
|
使能端口的Voice VLAN功能 |
voice vlan vlan-id enable |
必选 缺省情况下，端口没有使能Voice VLAN功能 |
|
l 同一设备同一时刻可以给不同的端口配置不同的Voice VLAN，但一个端口只能配置一个Voice VLAN，而且这些VLAN必须是已经存在的静态VLAN。
l 不允许在聚合组的成员端口上使能Voice VLAN功能。有关聚合组的成员端口的详细介绍，请参见“二层技术-以太网交换配置指导”中的“以太网链路聚合”。
· 当端口使能了Voice VLAN并工作在手工模式时，必须手工将端口加入Voice VLAN，才能保证Voice VLAN功能生效。
在完成上述配置后，在任意视图下执行display命令可以显示配置后Voice VLAN的运行情况，通过查看显示信息验证配置的效果。
表3-8 Voice VLAN显示和维护
|
操作 |
命令 |
|
显示Voice VLAN的状态 |
display voice vlan state [ | { begin | exclude | include } regular-expression ] |
|
显示系统当前支持的OUI地址 |
display voice vlan oui [ | { begin | exclude | include } regular-expression ] |
· IP phone A的MAC地址为0011-1100-0001，下行连接PC A（MAC地址为0022-1100-0002），上行连接到Device A的GigabitEthernet3/0/1端口。
· IP phone B的MAC地址为0011-2200-0001，下行连接PC B（MAC地址为0022-2200-0002），上行连接到Device A的GigabitEthernet3/0/2端口。
· Device A使用Voice VLAN 2传输IP phone A产生的语音报文；使用Voice VLAN 3传输IP phone B产生的语音报文。
· GigabitEthernet3/0/1和GigabitEthernet3/0/2工作在自动模式，如果它们在30分钟内没有收到语音流，就将相应的Voice VLAN老化。
图3-3 配置自动模式下Voice VLAN组网图
# 创建VLAN2和VLAN3。
<SwitchA> system-view
[SwitchA] vlan 2 to 3
Please wait... Done.
# 设置Voice VLAN的老化时间为30分钟。
[SwitchA] voice vlan aging 30
# 由于GigabitEthernet3/0/1端口可能会同时收到语音和数据两种流量，为了保证语音报文的质量以及带宽的高效利用，设置Voice VLAN工作在安全模式，即Voice VLAN只用于传输语音报文。（此步骤可省略，缺省情况下，Voice VLAN工作在安全模式）
[SwitchA] voice vlan security enable
# 设置允许通过的OUI地址为MAC地址前缀为0011-1100-0000和0011-2200-0000，即当报文的前缀为0011-1100-0000或0011-2200-0000时，Switch A会把它当成语音报文来处理。
[SwitchA] voice vlan mac-address 0011-1100-0001 mask ffff-ff00-0000 description IP phone A
[SwitchA] voice vlan mac-address 0011-2200-0001 mask ffff-ff00-0000 description IP phone B
# 将端口GigabitEthernet3/0/1设定为Hybrid端口。
[SwitchA] interface GigabitEthernet 3/0/1
[SwitchA-GigabitEthernet3/0/1] port link-type hybrid
# 将端口GigabitEthernet3/0/1上Voice VLAN的工作模式设置为自动模式。（可选，缺省情况下，端口的Voice VLAN工作在自动模式。）
[SwitchA-GigabitEthernet3/0/1] voice vlan mode auto
# 使能端口Voice VLAN功能。
[SwitchA-GigabitEthernet3/0/1] voice vlan 2 enable
[SwitchA-GigabitEthernet3/0/1] quit
# 在GigabitEthernet3/0/2上进行相应的配置。
[SwitchA] interface GigabitEthernet 3/0/2
[SwitchA-GigabitEthernet3/0/2] port link-type hybrid
[SwitchA-GigabitEthernet3/0/2] voice vlan mode auto
[SwitchA-GigabitEthernet3/0/2] voice vlan 3 enable
# 显示当前系统支持的OUI地址、OUI地址掩码和描述信息。
<SwitchA> display voice vlan oui
Oui Address Mask Description
0001-e300-0000 ffff-ff00-0000 Siemens phone
0003-6b00-0000 ffff-ff00-0000 Cisco phone
0004-0d00-0000 ffff-ff00-0000 Avaya phone
0011-1100-0000 ffff-ff00-0000 IP phone A
0011-2200-0000 ffff-ff00-0000 IP phone B
0060-b900-0000 ffff-ff00-0000 Philips/NEC phone
00d0-1e00-0000 ffff-ff00-0000 Pingtel phone
00e0-7500-0000 ffff-ff00-0000 Polycom phone
00e0-bb00-0000 ffff-ff00-0000 3com phone
# 显示当前Voice VLAN的状态。
<SwitchA> display voice vlan state
Maximum of Voice VLANs: 128
Current Voice VLANs: 2
Voice VLAN security mode: Security
Voice VLAN aging time: 30 minutes
Voice VLAN enabled port and its mode:
PORT VLAN MODE COS DSCP
--------------------------------------------------------------------
GigabitEthernet3/0/1 2 AUTO 6 46
GigabitEthernet3/0/2 3 AUTO 6 46
· 创建VLAN2为Voice VLAN，只允许语音报文通过。
· IP Phone类型为Untagged，接入端口是Hybrid类型端口GigabitEthernet3/0/1。
· 端口GigabitEthernet3/0/1工作在手动模式，且允许OUI地址是0011-2200-0000、掩码是ffff-ff00-0000的语音报文通过，描述字符为test。
图3-4 配置手动模式下Voice VLAN组网图
# 设置Voice VLAN为安全模式，使得Voice VLAN端口只允许合法的语音报文通过。（可选，系统缺省为安全模式）
<SwitchA> system-view
[SwitchA] voice vlan security enable
# 设置OUI地址0011-2200-0000是Voice VLAN的合法地址。
[SwitchA] voice vlan mac-address 0011-2200-0000 mask ffff-ff00-0000 description test
# 创建VLAN2。
[SwitchA] vlan 2
[SwitchA-vlan2] quit
# 设置端口GigabitEthernet3/0/1工作在手动模式。
[SwitchA] interface GigabitEthernet 3/0/1
[SwitchA-GigabitEthernet3/0/1] undo voice vlan mode auto
# 设置端口GigabitEthernet3/0/1为Hybrid类型。
[SwitchA-GigabitEthernet3/0/1] port link-type hybrid
# 设置Voice VLAN是端口GigabitEthernet3/0/1的缺省VLAN，且在该端口允许通过的Untagged VLAN列表中。
[SwitchA-GigabitEthernet3/0/1] port hybrid pvid vlan 2
[SwitchA-GigabitEthernet3/0/1] port hybrid vlan 2 untagged
# 使能端口GigabitEthernet3/0/1的Voice VLAN功能。
[SwitchA-GigabitEthernet3/0/1] voice vlan 2 enable
# 显示当前系统支持的OUI地址、OUI地址掩码和描述信息。
<SwitchA> display voice vlan oui
Oui Address Mask Description
0001-e300-0000 ffff-ff00-0000 Siemens phone
0003-6b00-0000 ffff-ff00-0000 Cisco phone
0004-0d00-0000 ffff-ff00-0000 Avaya phone
0011-2200-0000 ffff-ff00-0000 test
00d0-1e00-0000 ffff-ff00-0000 Pingtel phone
0060-b900-0000 ffff-ff00-0000 Philips/NEC phone
00e0-7500-0000 ffff-ff00-0000 Polycom phone
00e0-bb00-0000 ffff-ff00-0000 3com phone
# 显示当前Voice VLAN的状态。
<SwitchA> display voice vlan state
Maximum of Voice VLANs: 128
Current Voice VLANs: 1
Voice VLAN security mode: Security
Voice VLAN aging time: 1440 minutes
Voice VLAN enabled port and its mode:
PORT VLAN MODE
-----------------------------------------------
GigabitEthernet3/0/1 2 MANUAL
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
