H3C交換機基于MAC地址VLAN配置教程
交換機的主要功能包括物理編址、網(wǎng)絡(luò)拓撲結(jié)構(gòu)、錯誤校驗、幀序列以及流控。交換機還具備了一些新的功能，如對VLAN(虛擬局域網(wǎng))的支持、對鏈路匯聚的支持，甚至有的還具有防火墻的功能。之前我們介紹過VLAN的創(chuàng)建和配置,本文將詳細介紹H3C交換機MAC VLAN原理及配置過程，需要了解更多朋友可以參考下
具體配置
1. 手動配置靜態(tài)MAC VLAN
在手動配置靜態(tài)MAC VLAN方式中，管理員需要手動配置MAC VLAN表項，啟動基于MAC劃分VLAN的功能，然后手動將對應(yīng)的端口加入MAC VLAN。這種方式顯然工作量比較大，常用于MAC VLAN中用戶相對較少的網(wǎng)絡(luò)環(huán)境。在該方式下，MAC VLAN的劃分原理如下：
l 當端口收到的報文為不帶VLAN標記的報文時，會根據(jù)報文的源MAC匹配MAC VLAN表項。首先進行模糊匹配，即查詢表中MASK(MAC地址掩碼)不是全為F(只比較非F的位)的表項。將源MAC和MASK進行邏輯與運算后再與MAC VLAN表項中的MAC地址匹配，如果完全相同，則匹配成功，給報文添加表項中指定的VLAN ID并轉(zhuǎn)發(fā)該報文;如果模糊匹配失敗，則進行精確匹配，即查詢表中MASK為全F的表項。如果報文中的源MAC與MAC VLAN表項中的MAC地址完全相同，則匹配成功，給報文添加表項中指定的VLAN ID并轉(zhuǎn)發(fā)該報文;如果沒有找到匹配MAC VLAN表項，則繼續(xù)按照基于IP子網(wǎng)VLAN、協(xié)議VLAN、端口VLAN的先后順序進行匹配。
l 當端口收到的報文為帶有VLAN標記的報文時，如果VLAN ID在端口中允許通過的VLAN ID列表里時，則接收該報文;否則丟棄該報文。
2. 動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN
在手動配置靜態(tài)MAC VLAN劃分方式中，管理員需要把端口一一加入相應(yīng)的MAC VLAN，但這里有一個問題，那就是我們有時往往根本不能確定交換機從哪些端口收到屬于MAC VLAN的報文，這時我們就不能通過手動方式把相應(yīng)端口加入到MAC VLAN。此時，就需要借助另一種更加智能的MAC VLAN配置方式，使用動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN中。在這種MAC VLAN配置方式中，配置MAC VLAN表項后，管理員只需在端口上啟用基于MAC的VLAN劃分功能和MAC VLAN動態(tài)觸發(fā)功能，在端口收到與MAC VLAN表項匹配的報文后，可以通過此報文動態(tài)觸發(fā)端口加入MAC VLAN。其劃分原理如下：
l 當端口收到的報文為不帶VLAN標記的報文時，按圖19-11所示流程進行處理。
l 當收到的報文為帶VLAN標記的報文時，處理方式和基于端口的VLAN一樣：如果端口允許攜帶該VLAN標記的報文通過，則正常轉(zhuǎn)發(fā);如果不允許，則丟棄該報文。
【說明】如果用戶在同一端口上同時啟用了手動配置靜態(tài)MAC VLAN和動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN，此時端口對收到的非精確匹配的報文將做丟棄處理。
圖19-11 在收到不帶VLAN標記報文時，動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN的處理流程
3. 動態(tài)MAC VLAN
動態(tài)MAC VLAN需要和接入認證(比如基于MAC地址的802.1x認證)配合使用，以實現(xiàn)終端的安全、靈活接入。用戶在交換機上配置動態(tài)MAC VLAN功能以后，還需要在接入認證服務(wù)器上配置MAC地址和VLAN的關(guān)聯(lián)關(guān)系，這種MAC VLAN的配置就比較麻煩了，本書不做介紹。
在動態(tài)MAC VLAN中，用戶訪問網(wǎng)絡(luò)時，接入認證服務(wù)器先對用戶進行認證，如果認證通過，服務(wù)器下發(fā)VLAN信息。交換機會根據(jù)用戶報文的源MAC地址和下發(fā)的VLAN信息生成MAC VLAN表項，并將MAC VLAN添加到端口允許通過的VLAN列表中。用戶下線后，交換機自動刪除MAC VLAN表項，并將MAC VLAN從端口允許通過的VLAN列表中刪除。
19.6.2 手動配置靜態(tài)MAC VLAN配置(略)
19.6.3 動態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN配置(略)
19.6.4 手動配置靜態(tài)MAC VLAN配置示例 本示例拓撲結(jié)構(gòu)如圖19-11所示。SwitchA和SwitchB的GigabitEthernet1/0/1端口分別連接到兩個會議室，Laptop1和Laptop2是會議用筆記本電腦，會在兩個會議室間移動使用。Laptop1和Laptop2的MAC地址分別為000d-88f8-4e71、0014-222c-aa69。
使用時，Laptop1和Laptop2要分別用于兩個部門的員工，兩個部門間使用VLAN100和VLAN200進行隔離?，F(xiàn)要求這兩臺筆記本電腦無論在哪個會議室使用，均只能訪問自己部門的服務(wù)器，即Server1和Server2。
圖19-11 手動配置靜態(tài)MAC VLAN示例拓撲結(jié)構(gòu)
本示例配置所適用的H3C交換機系列和對應(yīng)的軟/硬件版本如表19-18所示。
表19-18 示例適用的H3C交換機系列及軟/硬件版本
H3C交換機系列
軟件版本
硬件版本
S5500-SI系列以太網(wǎng)交換機
Release 1207軟件版本
全系列硬件版本(除S5500-20TP-SI)
Release 1301軟件版本
S5500-20TP-SI
S5500-EI系列以太網(wǎng)交換機
Release 2102軟件版本
全系列硬件版本
S7500E系列以太網(wǎng)交換機
Release 6100，Release 6300軟件版本
全系列硬件版本
1. SwitchA的配置
(1)創(chuàng)建VLAN100和VLAN200，并將GigabitEthernet1/0/2配置為Trunk端口，允許VLAN100和VLAN200的報文通過。
system-view
[SwitchA] vlan 100
[SwitchA-vlan100] quit
[SwitchA] vlan 200
[SwitchA-vlan200] quit
[SwitchA] interface GigabitEthernet1/0/2
[SwitchA-GigabitEthernet1/0/2] port link-type trunk
[SwitchA-GigabitEthernet1/0/2] port trunk permit vlan 100 200
[SwitchA-GigabitEthernet1/0/2] quit
(2)將GigabitEthernet1/0/1配置為Hybrid端口，并使其在發(fā)送VLAN 100和VLAN 200的報文時去掉VLAN Tag。
[SwitchA] interface GigabitEthernet1/0/1
[SwitchA-GigabitEthernet1/0/1] port link-type hybrid
[SwitchA-GigabitEthernet1/0/1] port hybrid vlan 100 200 untagged
[SwitchA-GigabitEthernet1/0/1] quit
(3)創(chuàng)建Laptop1的MAC地址與VLAN 100的關(guān)聯(lián)，創(chuàng)建Laptop2的MAC地址與VLAN 200的關(guān)聯(lián)，開啟GigabitEthernet1/0/1端口的MAC-VLAN功能。
[SwitchA] mac-vlan mac-address 000d-88f8-4e71 vlan 100
[SwitchA] mac-vlan mac-address 0014-222c-aa69 vlan 200
[SwitchA] interface GigabitEthernet 1/0/1
[SwitchA-GigabitEthernet1/0/1] mac-vlan enable
2. SwitchB的配置
SwitchB的配置與SwitchA完全一致，這里不再贅述。
3. Core Switch的配置
(1)創(chuàng)建VLAN100和VLAN200，并將GigabitEthernet1/0/13和GigabitVLANEthernet
1/0/14端口分別加入這兩個VLAN。
system-view
[CoreSwitch] vlan 100
[CoreSwitch-vlan100] port gigabitethernet 1/0/13
[CoreSwitch-vlan100] quit
[CoreSwitch] vlan 200
[CoreSwitch-vlan200] port gigabitethernet 1/0/14
[CoreSwitch-vlan200] quit
(2)配置GigabitEthernet1/0/3和GigabitEthernet1/0/4端口為Trunk端口，均允許VLAN100和VLAN200的報文通過。從這里也可以看出，同一個VLAN中可以基于多種VLAN劃分方式來添加端口，因為在VLAN 100和VLAN 200中，上一步已通過基于端口VLAN劃分方式添加了gigabitethernet 1/0/13和gigabitethernet 1/0/14兩個Access端口。而此處添加的了Trunk端口(在SwitchA和SwitchB中還通過基于MAC地址劃分方式添加了Hybird端口)。
[CoreSwitch] interface GigabitEthernet1/0/3
[CoreSwitch-GigabitEthernet1/0/3] port link-type trunk
[CoreSwitch-GigabitEthernet1/0/3] port trunk permit vlan 100 200
[CoreSwitch-GigabitEthernet1/0/3] quit
[CoreSwitch] interface GigabitEthernet1/0/4
[CoreSwitch-GigabitEthernet1/0/4] port link-type trunk
[CoreSwitch-GigabitEthernet1/0/4] port trunk permit vlan 100 200
[CoreSwitch-GigabitEthernet1/0/4] quit
補充：交換機基本使用方法
作為基本核心交換機使用，連接多個有線設(shè)備使用：網(wǎng)絡(luò)結(jié)構(gòu)如下圖，基本連接參考上面的【方法/步驟1：基本連接方式 】
作為網(wǎng)絡(luò)隔離使用：對于一些功能好的交換機，可以通過模式選擇開關(guān)選擇網(wǎng)絡(luò)隔離模式，實現(xiàn)網(wǎng)絡(luò)隔離的作用，可以只允許普通端口和UPlink端口通訊，普通端口之間是相互隔離不可以通訊的
除了作為核心交換機(中心交換機)使用，還可以作為擴展交換機(接入交換機)來擴展網(wǎng)絡(luò)
放在路由器上方，擴展網(wǎng)絡(luò)供應(yīng)商的網(wǎng)絡(luò)線路(用于一條線路多個IP的網(wǎng)絡(luò))，連接之后不同的路由器用不同的IP連接至公網(wǎng)
相關(guān)閱讀：交換機硬件故障常見問題
電源故障：
由于外部供電不穩(wěn)定，或者電源線路老化或者雷擊等原因?qū)е码娫磽p壞或者風扇停止，從而不能正常工作。
由于電源緣故而導致機內(nèi)其他部件損壞的事情也經(jīng)常發(fā)生。
如果面板上的POWER指示燈是綠色的，就表示是正常的;如果該指示燈滅了，則說明交換機沒有正常供電。
這類問題很容易發(fā)現(xiàn)，也很容易解決，同時也是最容易預(yù)防的。
針對這類故障，首先應(yīng)該做好外部電源的供應(yīng)工作，一般通過引入獨立的電力線來提供獨立的電源，并添加穩(wěn)壓器來避免瞬間高壓或低壓現(xiàn)象。
如果條件允許，可以添加UPS(不間斷電源)來保證交換機的正常供電，有的UPS提供穩(wěn)壓功能，而有的沒有，選擇時要注意。
在機房內(nèi)設(shè)置專業(yè)的避雷措施，來避免雷電對交換機的傷害?，F(xiàn)在有很多做避雷工程的專業(yè)公司，實施網(wǎng)絡(luò)布線時可以考慮。
H3C交換機基于MAC地址VLAN配置教程相關(guān)文章：