03-二层技术-以太网交换命令参考

bandwidth bandwidth-value

undo bandwidth

接口的期望带宽＝接口的波特率÷1000（kbps）。

VLAN接口视图

bandwidth-value：表示接口的期望带宽，取值范围为1～400000000，单位为kbps。

接口的期望带宽会对“OSPF”、“OSPFv3”和“IS-IS”的链路开销值有影响。链路开销值的具体介绍请参见“三层技术-IP路由配置指导”中的“OSPF”、“OSPFv3”和“IS-IS”。

# 配置VLAN接口1的期望带宽为10000kbps。

[Sysname] interface vlan-interface 1

[Sysname-Vlan-interface1] bandwidth 10000

1.1.2 default

default命令用来恢复当前VLAN接口的缺省配置。

VLAN接口视图

执行default命令并不能保证接口下的所有命令都能恢复到缺省情况，某些命令可能会由于不满足必备条件而恢复失败。因此，执行default命令后建议通过display this命令确认执行效果。

# 将VLAN接口1恢复为缺省配置。

[Sysname] interface vlan-interface 1

[Sysname-Vlan-interface1] default

1.1.3 description

description命令用来配置当前VLAN或VLAN接口的描述信息。

undo description命令用来恢复缺省情况。

description text

undo description

VLAN的描述信息为“VLAN vlan-id”，其中vlan-id为该VLAN的编号。例如，VLAN 100的描述信息为“VLAN 0100”；VLAN接口的描述信息为该VLAN接口的接口名，如“Vlan-interface1 Interface”。

VLAN视图/VLAN接口视图

text：VLAN或VLAN接口的描述字符串，可以包含字母（区分大小写）、数字、特殊字符（包括~ ! @ # $ % ^ & * ( ) - _ + = { } [ ] | \ : ; " ' < > , . /）、空格以及符合unicode编码规范的其他文字和符号。VLAN和VLAN接口的描述信息为1～255个字符的字符串。

当设备上配置的VLAN较多时，用户可以根据功能或者连接情况为VLAN或VLAN接口配置特定的描述信息，以便记忆和管理VLAN或VLAN接口。

# 将VLAN 2的描述信息配置为sales-private。

[Sysname] vlan 2

[Sysname-vlan2] description sales-private

# 将VLAN接口2的描述信息配置为linktoPC56。

[Sysname] vlan 2

[Sysname-vlan2] quit

[Sysname] interface vlan-interface 2

[Sysname-Vlan-interface2] description linktoPC56

· display vlan

1.1.4 display interface vlan-interface

display interface vlan-interface命令用来显示VLAN接口的相关信息。

display interface vlan-interface [ brief [ down | description ] ]

display interface vlan-interface [ interface-number ] [ brief [ description ] ]

vlan-interface：显示VLAN接口的相关信息。

interface-number：VLAN接口的编号，显示指定VLAN接口的信息。不指定该参数时，将显示已创建的所有VLAN接口的信息。

brief：显示接口的概要信息。不指定该参数时，将显示接口的详细信息。

down：显示当前物理状态为down的接口的信息以及down的原因。不指定该参数时，将不会根据接口物理状态来过滤显示信息。

description：用来显示用户配置的接口的全部描述信息。如果某接口的描述信息超过27个字符，指定brief参数而不指定description参数时，只显示描述信息中的前27个字符，超出部分不显示；指定description参数时，可以显示全部描述信息。

<Sysname> display interface vlan-interface 10

# 显示VLAN-interface 10的相关信息。

Vlan-interface10

Current state: UP

Line protocol state: UP

Description: Vlan-interface10 Interface

Bandwidth: 100000kbps

Maximum Transmit Unit: 1500

Internet Address is 192.168.1.54/24 Primary

IP Packet Frame Type:PKTFMT_ETHNT_2, Hardware Address: 0023-89b6-d613

IPv6 Packet Frame Type:PKTFMT_ETHNT_2, Hardware Address: 0023-89b6-d613

Last clearing of counters: Never

# 显示VLAN-interface 2的概要信息。

<Sysname> display interface vlan-interface 2 brief

Brief information on interface(s) under route mode:

Link: ADM - administratively down; Stby - standby

Protocol: (s) - spoofing

Interface Link Protocol Main IP Description

Vlan2 DOWN DOWN --

表1-1 display interface vlan-interface命令显示信息描述表

字段	描述
Vlan-interface2	VLAN接口名
Current state	VLAN接口的物理状态，状态可能为： · DOWN ( Administratively )：表示该VLAN接口已经通过shutdown命令被关闭，即管理状态为关闭 · DOWN：表示该VLAN接口的管理状态为开启，但物理状态为关闭，即该接口对应的VLAN内没有处于UP状态的物理端口（可能因为没有物理连线或者线路故障） · UP：该端口的管理状态和物理状态均为开启
Line protocol state	VLAN接口的链路层协议状态，状态可能为： · DOWN：该VLAN接口的协议状态为关闭 · UP：该VLAN接口的协议状态为开启
Description	用户通过description命令给VLAN接口配置的描述信息。使用display interface brief命令，不指定description参数时，该字段最多显示27个字符；指定description参数时，可显示配置的全部描述信息
Bandwidth	VLAN接口的期望带宽
Maximum Transmit Unit	VLAN接口允许通过的最大传输单元
Internet protocol processing : disabled	该接口还不具有处理IP报文的能力（当没有为该接口配置IP地址时会显示该信息）
Internet Address is 192.168.1.54/24 Primary	该接口的主IP地址为192.168.1.54/24（只有为该接口配置主IP地址后才会显示该信息）
IP Packet Frame Type	IPv4发送帧格式
Hardware Address	VLAN接口对应的MAC地址
IPv6 Packet Frame Type	IPv6发送帧格式
Brief information on interface(s) under route mode	三层模式下（route）的接口的概要信息，即三层接口的概要信息
Link: ADM - administratively down; Stby - standby	· 如果某接口的Link属性值为“ADM”，则表示该接口被管理员手工关闭了，需要在该接口下执行undo shutdown命令才能恢复端口本身的物理状态 · 如果某接口的Link属性值为“Stby”，则表示该接口是一个备份接口
Protocol: (s) - spoofing	如果某接口的Protocol属性值中带有“(s)”字符串，则表示该接口的数据链路层协议状态显示为UP，但实际可能没有对应的链路，或者对应的链路不是永久存在而是按需建立的
Interface	接口名称缩写
Link	接口物理连接状态，取值可能为： · UP：表示接口物理上是连通的 · DOWN：表示接口物理上是不通的 · ADM：表示接口被手工关闭了，需要执行undo shutdown命令才能打开接口 · Stby：表示该接口是一个备份接口
Protocol	接口数据链路层协议状态，取值为： · UP：表示接口的数据链路层是连通的 · DOWN：表示接口的数据链路层不通 · UP(s)：表示接口的数据链路层协议状态显示为UP，但实际可能没有对应的链路，或者对应的链路不是永久存在而是按需建立的
Main IP	接口主IP地址

字段	解释
VLAN ID	VLAN的编号
VLAN type	VLAN的类型： · Static：静态VLAN · Dynamic：动态VLAN
Route interface	设备上是否创建了对应的VLAN接口： · Not configured：未创建 · Configured：已创建
Description	VLAN的描述信息
Name	VLAN的名称
IPv4 address	VLAN接口的主用IP地址（如果VLAN接口没有配置IP地址，则不显示该字段），如果VLAN接口上还配置了从IP地址，可以使用display interface vlan-interface或者在VLAN接口视图下使用display this命令查看
IPv4 subnet mask	VLAN接口的主用IP地址的子网掩码（如果VLAN接口没有配置IP地址，则不显示该字段）
Tagged ports	该VLAN报文从哪些端口发送时需要携带Tag标记
Untagged ports	该VLAN报文从哪些端口发送时不需要携带Tag标记

1.1.6 display vlan brief

display vlan brief命令用来显示设备上所有已创建VLAN的概要信息。

<Sysname> display vlan brief

display vlan brief

# 显示设备上所有已创建VLAN的概要信息。

Brief information about all VLANs:

Supported Minimum VLAN ID: 1

Supported Maximum VLAN ID: 4094

Default VLAN ID: 1

VLAN ID Name Port

1 VLAN 0001 FGE1/1/1 FGE1/1/2 FGE1/1/3 FGE1/1/4

FGE1/1/5 FGE1/1/6 FGE1/1/7 FGE1/1/8

2 VLAN 0002

3 VLAN 0003

表1-3 display vlan brief命令显示信息描述表

字段	解释
Brief information about all VLANs:	所有VLAN的概要信息
Supported Minimum VLAN ID	系统支持的最小VLAN ID
Supported Maximum VLAN ID	系统支持的最大VLAN ID
Default VLAN ID	缺省VLAN ID
VLAN ID	VLAN的编号
Name	VLAN的名称
Port	允许该VLAN报文通过的端口

1.1.7 interface vlan-interface

interface vlan-interface命令用来创建VLAN接口并进入VLAN接口视图。如果该VLAN接口已经存在，则直接进入VLAN接口视图。

undo interface vlan-interface命令用来删除指定的VLAN接口。

interface vlan-interface vlan-interface-id

undo interface vlan-interface vlan-interface-id

未创建VLAN接口。

vlan-interface-id：VLAN接口的编号，取值范围为1～4094。

· 在创建VLAN接口之前，对应的VLAN必须已经存在，否则将不能创建指定的VLAN接口。

· Sub VLAN及在Primary VLAN interface下配置了三层互通的Secondary VLAN不能创建对应的VLAN接口。有关Sub VLAN的详细介绍，请参见“二层技术-以太网交换配置指导”中的“Super VLAN”；有关Secondary VLAN的详细介绍，请参见“二层技术-以太网交换配置指导”中的“Private VLAN”。

# 创建VLAN接口2并进入视图。

[Sysname] vlan 2

[Sysname-vlan2] quit

[Sysname] interface vlan-interface 2

[Sysname-Vlan-interface2]

· display interface vlan-interface

1.1.8 mtu

mtu命令用来配置VLAN接口的MTU值。

undo mtu命令用来恢复缺省情况。

VLAN接口的MTU值为1500字节。

VLAN接口视图

size：表示接口允许通过的MTU（Maximum Transmission Unit，最大传输单元）值的大小，单位为字节。取值范围为128~1500字节。

在当前接口配置的ip mtu值或mtu值仅对接口上报CPU进行软件转发的报文生效（如以本接口为源端或目的端的报文），请合理配置网络中的MTU值，尽量避免报文分片。

如果当前接口同时配置mtu和ip mtu命令，则设备会以ip mtu命令配置的接口MTU值对报文进行分片，不会再按照mtu命令配置的MTU值对报文进行分片。有关ip mtu命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“IP性能优化”。

# 配置VLAN接口1的MTU值为1492字节。

[Sysname] interface vlan-interface 1

[Sysname-Vlan-interface1] mtu 1492

1.1.9 name

name命令用来指定当前VLAN的名称。

undo name命令用来恢复缺省情况。

VLAN的名称为“VLAN vlan-id”，其中vlan-id为该VLAN的编号。例如，VLAN 100的名称为“VLAN 0100”。

VLAN视图

text：VLAN名称，为1～32个字符的描述信息，可以包含字母（区分大小写）、数字、特殊字符（包括~ ! @ # $ % ^ & * ( ) - _ + = { } [ ] | \ : ; " ' < > , . /）、空格以及符合unicode编码规范的其他文字和符号。

当VLAN数量很多的时候，使用名称可以更明确的定位VLAN。

# 指定VLAN 2的名称为“test vlan”。

[Sysname] vlan 2

[Sysname-vlan2] name test vlan

· display vlan

1.1.10 service

service命令用来指定转发当前接口流量的成员设备。

undo service命令用来恢复缺省情况。

service slot slot-number

undo service slot

VLAN接口视图

slot slot-number：指定设备在IRF中的成员编号。slot-number表示设备在IRF中的成员编号。

没有通过service命令指定转发当前接口流量的成员设备时，直接在接收报文的成员设备上进行业务处理。而某些业务（如IPsec抗重放检测）要求同一个VLAN接口的流量必须在同一个成员设备上进行处理，此时可以在VLAN接口下通过service命令指定转发当前接口流量的成员设备。

需要注意的是，如果指定的成员设备退出IRF，即使本设备上的接口UP，流量也转发不通；如果该成员设备重新加入IRF，则流量可以恢复在指定的成员设备上正常转发。

# 指定在2号成员设备转发VLAN接口200的流量。

[Sysname] interface vlan-interface 200

[Sysname-Vlan-interface200] service slot 2

1.1.11 shutdown

shutdown命令用来手工关闭VLAN接口。

undo shutdown命令用来取消手工关闭VLAN接口。

未手工关闭VLAN接口。此时VLAN接口状态受VLAN中端口状态的影响，即：当VLAN中所有以太网端口状态均为down时，VLAN接口为down状态，即关闭状态；当VLAN中有一个或一个以上的以太网端口处于up状态时，则VLAN接口处于up状态。

VLAN接口视图

· 如果手工关闭VLAN接口，则VLAN接口的状态始终为down（Administratively），不受VLAN中端口状态的影响。

· 配置VLAN接口参数前，为了避免配置过程中对网络造成影响，建议先使用shutdown命令手工关闭接口，之后再配置参数。配置完成后，使用undo shutdown命令取消手工关闭接口，使配置的参数生效。

· 当VLAN接口出现故障时，可以使用shutdown命令手工关闭接口，然后再使用undo shutdown命令取消手工关闭接口，这样有可能使接口恢复正常。

· 关闭和打开VLAN接口对于属于这个VLAN的任何一个以太网端口本身都不起作用，以太网端口的状态不随VLAN接口状态的改变而改变。

# 将VLAN接口2关闭后再重新打开。

[Sysname] interface vlan-interface 2

[Sysname-Vlan-interface2] shutdown

[Sysname-Vlan-interface2] undo shutdown

1.1.12 vlan

vlan vlan-id命令用来创建VLAN并进入VLAN视图。如果指定的VLAN已创建，则直接进入该VLAN的视图。

vlan vlan-id1 to vlan-id2命令用来批量创建vlan-id1～vlan-id2之间的所有VLAN，保留VLAN除外。

vlan all命令用来批量创建VLAN 1～VLAN 4094。

undo vlan命令用来删除VLAN。

vlan { vlan-id1 [ to vlan-id2 ] | all }

undo vlan { vlan-id1 [ to vlan-id2 ] | all }

系统只有一个缺省VLAN（VLAN 1）。

vlan-id1：VLAN的编号，取值范围为1～4094。

vlan-id1 to vlan-id2：指定VLAN的编号范围。vlan-id1和vlan-id2为VLAN的编号，取值范围为1～4094。vlan-id2的值要大于或等于vlan-id1的值。

all：除保留VLAN外的其他VLAN

· VLAN 1为系统缺省VLAN，用户不能创建和删除。

· 保留VLAN是系统为实现特定功能预留的VLAN，用户也不能手工创建和删除。

· 动态学习到的VLAN、配置有QoS策略的VLAN、被其他应用锁定不让删除的VLAN，都不能使用undo vlan命令直接删除。只有将相关配置删除之后，才能删除相应的VLAN。

# 创建VLAN 2，并进入该VLAN视图。

[Sysname] vlan 2

[Sysname-vlan2]

# 批量创建VLAN 4～VLAN 100。

[Sysname] vlan 4 to 100

· display vlan

1.2 基于端口的VLAN配置命令

1.2.1 display port

display port命令用来显示设备上当前存在的Hybrid或Trunk端口。显示的信息包括端口对应的端口名、缺省VLAN ID和允许通过的VLAN ID。

display port { hybrid | trunk }

hybrid：显示系统当前存在的Hybrid端口。

trunk：显示系统当前存在的Trunk端口。

<Sysname> display port hybrid

# 显示当前系统存在的Hybrid端口。

Interface PVID VLAN Passing

FGE1/1/4 100 Tagged: 1000, 1002, 1500, 1600-1611, 2000,

2555-2558, 3000, 4000

Untagged:1, 10, 15, 18, 20-30, 44, 55, 67, 100,

150-160, 200, 255, 286, 300-302

# 显示当前系统存在的Trunk端口。

<Sysname> display port trunk

Interface PVID VLAN Passing

FGE1/1/8 2 1-4, 6-100, 145, 177, 189-200, 244, 289, 400,

555, 600-611, 1000, 2006-2008

表1-4 display port命令显示信息描述表

字段	描述
Interface	接口名称
PVID	该端口的缺省VLAN ID
VLAN Passing	表示该端口实际通过的VLAN（该VLAN已经创建，并且接口允许其通过）
Tagged	表示哪些VLAN的报文通过该端口时必须携带VLAN Tag
Untagged	表示哪些VLAN的报文通过该端口时必须去掉VLAN Tag

1.2.2 port

port命令用来向当前VLAN中添加一个或一组Access端口。

undo port命令用来从当前VLAN中删除一个或一组Access端口。

port interface-list

undo port interface-list

VLAN视图

interface-list：以太网接口列表。表示方式为interface-list = { interface-type interface-number1 [ to interface-type interface-number2 ] }&<1-10>，其中interface-type interface-number为端口类型和端口编号，interface-number2的值要大于或等于interface-number1的值，&<1-10>表示前面的参数最多可以输入10次。

· 通过本命令只能将Access端口加入到VLAN中，不能将Trunk和Hybrid端口加入到VLAN中。

· 设备上的所有端口的缺省链路类型都是Access类型，但用户可以自行切换端口类型，具体配置可参考命令port link-type。

# 向VLAN2中添加端口FortyGigE1/1/1～FortyGigE1/1/3。

[Sysname] vlan 2

[Sysname-vlan2] port fortygige 1/1/1 to fortygige 1/1/3

· display vlan

1.2.3 port access vlan

port access vlan命令用来将当前Access端口加入到指定的VLAN中。

undo port access vlan命令用来恢复缺省情况。

port access vlan vlan-id

undo port access vlan

所有Access端口都属于VLAN 1。

二层以太网接口视图/二层聚合接口视图/S通道接口视图

vlan-id：指定的VLAN编号，取值范围为1～4094。该VLAN必须是设备上已创建的VLAN，否则，该命令执行失败。

· 在将Access端口加入到指定VLAN之前，该VLAN必须已经存在。

· 在二层聚合接口视图下执行该命令，则该配置将在二层聚合接口以及相应的所有成员端口下生效。在配置过程中，如果某个成员端口配置失败，系统会自动跳过该成员端口继续配置其他成员端口；如果二层聚合接口配置失败，则不会再配置成员端口。

· 在S通道接口视图下执行该命令，则该配置只在当前接口下生效。有关S通道接口的详细介绍，请参见“EVB配置指导”中的“EVB”。

# 将FortyGigE1/1/1端口加入到VLAN 3中。

[Sysname] vlan 3

[Sysname-vlan3] quit

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] port access vlan 3

1.2.4 port hybrid pvid

port hybrid pvid命令用来配置Hybrid端口的缺省VLAN。

undo port hybrid pvid命令用来配置Hybrid端口的缺省VLAN为1。

port hybrid pvid vlan vlan-id

undo port hybrid pvid

Hybrid端口的缺省VLAN为该端口在链路类型为Access时的所属VLAN。

二层以太网接口视图/二层聚合接口视图/S通道接口视图

vlan-id：指定接口的缺省的VLAN ID，取值范围为1～4094。

· 对Hybrid端口，执行undo vlan命令删除端口的缺省VLAN后，端口的缺省VLAN配置不会改变，即可以使用已经不存在的VLAN作为缺省VLAN。

· 建议本机Hybrid端口的缺省VLAN和相连的对端交换机的Hybrid端口的缺省VLAN保持一致。

· 配置缺省VLAN后，必须使用port hybrid vlan命令配置允许缺省VLAN的报文通过，出接口才能转发缺省VLAN的报文。

· 在S通道接口视图下执行该命令，则该配置只在当前接口下生效。

# 配置端口FortyGigE1/1/1（Hybrid类型）的缺省VLAN为100，并允许VLAN 100通过。

[Sysname] vlan 100

[Sysname-vlan100] quit

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] port link-type hybrid

[Sysname-FortyGigE1/1/1] port hybrid pvid vlan 100

[Sysname-FortyGigE1/1/1] port hybrid vlan 100 untagged

· port hybrid vlan

1.2.5 port hybrid vlan

port hybrid vlan命令用来允许指定的VLAN通过当前Hybrid端口。

undo port hybrid vlan命令用来禁止指定的VLAN通过当前Hybrid端口。

port hybrid vlan vlan-id-list { tagged | untagged }

undo port hybrid vlan vlan-id-list

Hybrid端口只允许该端口在链路类型为Access时的所属VLAN的报文以Untagged方式通过。

二层以太网接口视图/二层聚合接口视图/S通道接口视图

vlan-id-list：VLAN列表，Hybrid端口允许通过的VLAN范围。表示方式为vlan-id-list = { vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值，&<1-10>表示前面的参数最多可以重复输入10次。该VLAN必须是设备上已创建的VLAN，否则，该命令执行失败。

tagged：该端口在转发指定的VLAN报文时将携带VLAN Tag。

untagged：该端口在转发指定的VLAN报文时将去掉VLAN Tag。

· Hybrid端口允许多个VLAN通过。如果多次使用port hybrid vlan命令，那么Hybrid端口上允许通过的VLAN是这些vlan-id-list的合集。

· 在S通道接口视图下执行该命令，则该配置只在当前接口下生效。

# 配置端口FortyGigE1/1/1为Hybrid类型，允许VLAN 2、VLAN 4、VLAN 50～VLAN 100通过，并且发送这些VLAN的报文时携带VLAN Tag。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] port link-type hybrid

[Sysname-FortyGigE1/1/1] port hybrid vlan 2 4 50 to 100 tagged

1.2.6 port link-type

port link-type命令用来配置当前端口的链路类型。

undo port link-type命令用来恢复缺省情况。

port link-type { access | hybrid | trunk }

undo port link-type

所有端口的链路类型均为Access类型。

二层以太网接口视图/二层聚合接口视图/S通道接口视图

access：配置端口的链路类型为Access类型。

hybrid：配置端口的链路类型为Hybrid类型。

trunk：配置端口的链路类型为Trunk类型。

· Trunk端口和Hybrid端口之间不能直接切换，只能先设为Access端口，再配置为其他类型端口。

· 在S通道接口视图下执行该命令，则该配置只在当前接口下生效。

# 将端口FortyGigE1/1/1配置为Trunk端口。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] port link-type trunk

1.2.7 port trunk permit vlan

port trunk permit vlan命令用来允许指定的VLAN通过当前Trunk端口。

undo port trunk permit vlan命令用来禁止指定的VLAN通过当前Trunk端口。

port trunk permit vlan { vlan-id-list | all }

undo port trunk permit vlan { vlan-id-list | all }

Trunk端口只允许VLAN 1的报文通过。

二层以太网接口视图/二层聚合接口视图/S通道接口视图

vlan-id-list：VLAN列表，Trunk端口允许通过的VLAN范围。表示方式为vlan-id-list = { vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值，&<1-10>表示前面的参数最多可以重复输入10次。

all：表示允许所有VLAN通过该Trunk端口。建议用户谨慎使用port trunk permit vlan all命令，以防止未授权VLAN的用户通过该端口访问受限资源。

· Trunk端口可以允许多个VLAN通过。如果多次执行port trunk permit vlan命令，那么Trunk端口上允许通过的VLAN是这些vlan-id-list的集合。

· Trunk端口发送出去的报文，只有缺省VLAN的报文不带VLAN Tag，其他VLAN的报文均会保留VLAN Tag。

· 在S通道接口视图下执行该命令，则该配置只在当前接口下生效。

# 配置端口FortyGigE1/1/1为Trunk端口，允许VLAN 2、4、50～100通过。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] port link-type trunk

[Sysname-FortyGigE1/1/1] port trunk permit vlan 2 4 50 to 100

1.2.8 port trunk pvid

port trunk pvid命令用来配置Trunk端口的缺省VLAN。

undo port trunk pvid命令用来恢复缺省情况。

port trunk pvid vlan vlan-id

undo port trunk pvid

Trunk端口的缺省VLAN为VLAN 1。

二层以太网接口视图/二层聚合接口视图/S通道接口视图

vlan-id：指定接口的缺省VLAN ID，取值范围为1～4094。

· 对Trunk端口，执行undo vlan命令删除端口的缺省VLAN后，端口的缺省VLAN配置不会改变，即使用已经不存在的VLAN作为缺省VLAN。

· 本端设备Trunk端口的缺省VLAN ID和相连的对端设备的Trunk端口的缺省VLAN ID必须一致，否则报文将不能正确传输。

· 配置缺省VLAN后，必须使用port trunk permit vlan命令配置允许缺省VLAN的报文通过，出接口才能转发缺省VLAN的报文。

· 在S通道接口视图下执行该命令，则该配置只在当前接口下生效。

# 配置端口FortyGigE1/1/1（Trunk类型）的缺省VLAN为VLAN 100，并允许VLAN 100通过。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] port link-type trunk

[Sysname-FortyGigE1/1/1] port trunk pvid vlan 100

[Sysname-FortyGigE1/1/1] port trunk permit vlan 100

· port trunk permit vlan

1.3 基于MAC的VLAN配置命令

1.3.1 display mac-vlan

display mac-vlan命令用来显示MAC VLAN表项。

display mac-vlan { all | dynamic | mac-address mac-address [ mask mac-mask ] | static | vlan vlan-id }

all：显示所有MAC VLAN表项。

dynamic：显示动态配置的MAC VLAN表项。

mac-address mac-address：按MAC地址显示MAC VLAN表项。

mask mac-mask：显示指定范围的MAC VLAN表项。

static：显示静态配置的MAC VLAN表项。

vlan vlan-id：显示指定VLAN的MAC VLAN表项。

<Sysname> display mac-vlan all

# 显示所有MAC VLAN表项。

The following MAC VLAN entries exist:

State: S - Static, D - Dynamic

MAC address Mask VLAN ID Dot1q State

0008-0001-0000 FFFF-FF00-0000 5 3 S

0002-0001-0000 FFFF-FFFF-FFFF 5 3 S&D

Total MAC VLAN entries count: 2

表1-5 display mac-vlan命令显示信息描述表

字段	描述
The following MAC VLAN entries exist	目前设备上存在以下MAC VLAN表项
S - Static	以下显示信息中，S表示静态配置的MAC VLAN
D - Dynamic	以下显示信息中，D表示动态配置的MAC VLAN
MAC address	配置的MAC VLAN的MAC地址
Mask	配置的MAC VLAN的MAC地址对应的掩码
VLAN ID	用户配置的MAC地址所对应的VLAN
Dot1q	用户配置的MAC地址所对应的802.1p优先级
State	该表项的属性，MAC VLAN表中的表项有三种属性： · S：表示该表项是通过用户静态配置生成的 · D：表示该表项是通过认证功能自动生成的 · S&D：表示该表项由静态和动态同时配置的

· mac-vlan mac-address

1.3.2 display mac-vlan interface

display mac-vlan interface命令用来显示所有使能了MAC VLAN功能的接口。

display mac-vlan interface

# 显示所有使能了MAC VLAN功能的接口。

<Sysname> display mac-vlan interface

MAC VLAN is enabled on following ports:

FortyGigE1/1/1 FortyGigE1/1/2 FortyGigE1/1/3

· mac-vlan enable

1.3.3 mac-vlan enable

mac-vlan enable命令用来使能接口的MAC VLAN功能。

undo mac-vlan enable命令用来恢复缺省情况。

执行本命令时，需确保当前端口的链路类型为Hybrid。

mac-vlan enable

undo mac-vlan enable

接口没有使能MAC VLAN功能。

# 使能接口FortyGigE1/1/1的MAC VLAN功能。

[Sysname] interface fortygige 1/1/1

[Sysname–FortyGigE1/1/1] mac-vlan enable

· display mac-vlan interface

1.3.4 mac-vlan mac-address

mac-vlan mac-address命令用来配置MAC VLAN表项。

undo mac-vlan命令用来删除指定的MAC VLAN表项。

mac-vlan mac-address mac-address [ mask mac-mask ] vlan vlan-id [ dot1q pri ]

undo mac-vlan { all | mac-address mac-address [ mask mac-mask ] | vlan vlan-id }

未配置MAC VLAN表项。

mac-address mac-address：指定MAC地址。

mask mac-mask：指定MAC地址的掩码，二进制时高位必须为连续1，十六进制时高位必须为连续F。缺省十六进制值为全F。

vlan vlan-id：指定VLAN编号，取值为1～4094。

dot1q pri：指定MAC地址对应VLAN的802.1p优先级，取值为0～7，缺省值为0。

all：删除所有的静态MAC VLAN表项。

设备维护两张MAC VLAN表，一张是通过指定mask参数配置的MAC VLAN表，该表里的表项描述的是一类MAC地址和VLAN、优先级之间的关系；一张是不指定mask参数直接配置的MAC VLAN表，该表里的表项描述的是单个MAC地址和VLAN、优先级之间的关系。根据用户的配置，系统将自动在这两张MAC VLAN表里添加/删除MAC VLAN表项。

# 配置MAC地址0-1-1与VLAN 100的关联，并指定优先级为7。

[Sysname] mac-vlan mac-address 0-1-1 vlan 100 dot1q 7

# 配置前6位为1211-22的MAC地址与VLAN 100关联，优先级为4。

[Sysname] mac-vlan mac-address 1211-2222-3333 mask ffff-ff00-0000 vlan 100 dot1q 4

· display mac-vlan

1.3.5 mac-vlan trigger enable

mac-vlan trigger enable命令用来使能MAC VLAN的动态触发功能。

undo mac-vlan trigger enable命令用来恢复缺省情况。

mac-vlan trigger enable

undo mac-vlan trigger enable

未使能MAC VLAN的动态触发功能。

使能MAC VLAN的动态触发功能后，系统将根据上送的报文的源MAC地址查询MAC VLAN表项来控制是否允许该报文进行转发，如果该报文的源MAC地址和系统中配置的Mask为全F的MAC VLAN表项匹配，则添加MAC地址表项并动态触发报文入接口接口加入对应VLAN，后续的报文可以正常进行转发。如果没有找到匹配表项或者只匹配了Mask非全F的MAC VLAN表项，均不会动态触发报文入接口接口加入对应VLAN。

# 接口FortyGigE1/1/1上配置MAC VLAN的动态触发功能。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] mac-vlan trigger enable

· port pvid forbidden

1.3.6 port pvid forbidden

port pvid forbidden命令用来配置当报文源MAC地址与MAC VLAN表项的MAC地址不精确匹配时，禁止该报文在缺省VLAN内转发。

undo port pvid forbidden命令用来恢复缺省情况。

undo port pvid forbidden

port pvid forbidden

对于没有精确匹配到MAC VLAN表项的报文会在缺省VLAN内进行转发。

该功能需要和MAC VLAN的动态触发功能配合使用。

# 在接口FortyGigE1/1/1上配置当报文源MAC地址不匹配MAC VLAN表项时，禁止该报文在缺省VLAN内转发。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] port pvid forbidden

· mac-vlan trigger enable

1.3.7 vlan precedence

vlan precedence命令用来配置当前接口的VLAN匹配优先级。

undo vlan precedence命令用来恢复缺省情况。

vlan precedence { mac-vlan | ip-subnet-vlan }

undo vlan precedence

对于基于MAC的VLAN和基于IP子网的VLAN，优先根据MAC地址来匹配VLAN。

mac-vlan：表示优先根据MAC地址来匹配VLAN。

ip-subnet-vlan：表示优先根据IP子网来匹配VLAN。

本命令只对基于MAC的VLAN和基于IP子网的VLAN有效。如果接口下同时使能了MAC VLAN和IP子网VLAN，则当接口收到报文后，会根据vlan precedence命令的配置情况来决定是优先根据MAC地址来匹配VLAN，还是优先根据IP子网来匹配VLAN。

当使用mac-vlan trigger enable命令使能MAC VLAN的动态触发功能后，建议用户在配置VLAN匹配优先级时，使用vlan precedence mac-vlan命令，使报文优先根据MAC地址来匹配VLAN；建议不要使用vlan precedence ip-subnet-vlan命令，使报文优先根据IP子网来匹配VLAN，该配置不能生效。

# 配置接口GigabitEthernt1/1/1优先根据MAC地址来匹配VLAN。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] vlan precedence mac-vlan

1.4 基于IP子网的VLAN配置命令

1.4.1 display ip-subnet-vlan interface

display ip-subnet-vlan interface命令用于显示端口关联的子网VLAN的信息。

display ip-subnet-vlan interface { interface-type interface-number1 [ to interface-type interface-number2 ] | all }

interface-type interface-number1：端口的类型和编号。

interface-type interface-number1 to interface-type interface-number2：端口的类型和范围。

all：显示所有端口关联的子网VLAN的信息。

<Sysname> display ip-subnet-vlan interface fortygige1/1/1

# 显示端口FortyGigE1/1/1关联的子网VLAN的信息。

Interface: FortyGigE1/1/1

VLAN ID Subnet index IP address Subnet mask Status

3 0 192.168.1.0 255.255.255.0 Active

4 N/A N/A N/A Inactive

4094 65535 172.16.1.1 255.255.0.0 Inactive

表1-6 display ip-subnet-vlan interface命令显示信息描述表

字段	描述
VLAN ID	子网VLAN的编号
Subnet index	IP子网的索引，N/A表示该VLAN下未配置任何子网VLAN
IP address	IP子网的地址，N/A表示该VLAN下未配置子网地址
Subnet mask	IP子网的掩码，N/A表示该VLAN下未配置子网掩码
Status	该子网VLAN在端口的生效情况： · Active：表示生效 · Inactive：表示未生效（如子网VLAN配置未完成或端口未允许子网VLAN通过）

· display ip-subnet-vlan vlan

· ip-subnet-vlan

· port hybrid ip-subnet-vlan

1.4.2 display ip-subnet-vlan vlan

display ip-subnet-vlan vlan命令用于显示指定的或所有子网VLAN的信息。

display ip-subnet-vlan vlan { vlan-id1 [ to vlan-id2 ] | all }

vlan-id1：显示指定的子网VLAN的信息，vlan-id1表示VLAN的编号，取值范围为1～4094。

vlan-id1 to vlan-id2：显示指定VLAN范围内的子网VLAN的信息。vlan-id1和vlan-id2为指定VLAN的编号，取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值。

all：显示所有子网VLAN的信息。

<Sysname> display ip-subnet-vlan vlan all

# 显示所有子网VLAN的信息。

VLAN ID: 3

Subnet index IP address Subnet mask

0 192.168.1.0 255.255.255.0

表1-7 display ip-subnet-vlan vlan命令显示信息描述表

字段	描述
VLAN ID	子网VLAN的编号
Subnet index	IP子网的索引
IP address	IP子网的地址（可以是IP地址或网络地址）
Subnet mask	IP子网的掩码

· display ip-subnet-vlan interface

· ip-subnet-vlan

· port hybrid ip-subnet-vlan

1.4.3 ip-subnet-vlan

ip-subnet-vlan命令用来配置当前VLAN与指定的IP子网或IP地址关联。

undo ip-subnet-vlan命令用于取消当前VLAN与IP子网或IP地址的关联。

ip-subnet-vlan [ ip-subnet-index ] ip ip-address [ mask ]

undo ip-subnet-vlan { ip-subnet-index [ to ip-subnet-end ] | all }

VLAN没有与任何IP子网或IP地址关联。

VLAN视图

ip-subnet-index：IP子网索引值，取值范围为0～65535。子网索引可以由用户指定，也可由系统根据IP子网或IP地址与VLAN关联的先后顺序自动编号产生。

ip ip-address [ mask ]：作为子网VLAN划分依据的源IP地址或网络地址，ip-address表示源IP地址或网络地址，采用点分十进制格式；mask表示子网掩码，采用点分十进制格式，缺省值为255.255.255.0。

to ip-subnet-end：用来确定IP子网索引的范围。其中ip-subnet-end表示IP子网索引的终止值，取值范围为0～65535，其值必须大于或等于ip-subnet-index的值。

all：取消VLAN与所有IP子网或IP地址的关联。

VLAN关联的IP网段或IP地址不允许是组播网段或组播地址。

# 将VLAN 3配置为基于IP子网的VLAN，与192.168.1.0/24网段进行关联，使得源地址为该网段的报文可以在VLAN 3中传送。

[Sysname] vlan 3

[Sysname-vlan3] ip-subnet-vlan ip 192.168.1.0 255.255.255.0

· display protocol-vlan interface

· display protocol-vlan vlan

· port hybrid protocol-vlan

1.4.4 port hybrid ip-subnet-vlan

port hybrid ip-subnet-vlan命令用来配置当前端口与子网VLAN关联。

undo port hybrid ip-subnet-vlan命令用于取消当前端口与子网VLAN的关联。

port hybrid ip-subnet-vlan vlan vlan-id

undo port hybrid ip-subnet-vlan { vlan vlan-id | all }

端口没有与任何子网VLAN关联。

二层以太网接口视图/二层聚合接口视图

vlan vlan-id：VLAN的编号，取值范围为1～4094。

all：所有VLAN。

执行本命令时，需保证当前端口的链路类型为Hybrid，并允许子网VLAN通过，且子网VLAN下存在与IP子网或IP地址关联的配置，该命令才实际生效。

# 将端口FortyGigE1/1/1与子网VLAN 3关联。

[Sysname] vlan 3

[Sysname-vlan3] ip-subnet-vlan ip 192.168.1.0 255.255.255.0

[Sysname-vlan3] quit

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] port link-type hybrid

[Sysname-FortyGigE1/1/1] port hybrid vlan 3 untagged

[Sysname-FortyGigE1/1/1] port hybrid ip-subnet-vlan vlan 3

# 将二层聚合接口1与子网VLAN 3关联。

[Sysname] vlan 3

[Sysname-vlan3] ip-subnet-vlan ip 192.168.1.0 255.255.255.0

[Sysname-vlan3] quit

[Sysname] interface bridge-aggregation 1

[Sysname-Bridge-Aggregation1] port link-type hybrid

[Sysname-Bridge-Aggregation1] port hybrid vlan 3 untagged

[Sysname-Bridge-Aggregation1] port hybrid ip-subnet-vlan vlan 3

· display ip-subnet-vlan interface

· display ip-subnet-vlan vlan

· ip-subnet-vlan

1.5 基于协议的VLAN配置命令

1.5.1 display protocol-vlan interface

display protocol-vlan interface命令用于显示端口关联的协议VLAN的信息。

display protocol-vlan interface { interface-type interface-number1 [ to interface-type interface-number2 ] | all }

interface-type interface-number1：端口的类型和编号。

interface-type interface-number1 to interface-type interface-number2：端口的类型和范围。

all：显示所有端口关联的协议VLAN的信息。

<Sysname> display protocol-vlan interface fortygige 1/1/1

# 显示端口FortyGigE1/1/1关联的协议VLAN的信息。

Interface: FortyGigE1/1/1

VLAN ID Protocol index Protocol type Status

2 0 IPv6 Active

2 1 N/A Inactive

4094 65535 IPv4 Inactive

表1-8 display protocol-vlan interface命令显示信息描述表

字段	描述
VLAN ID	协议VLAN的编号
Protocol index	协议模板索引号
Protocol type	该协议模板指定的协议类型，N/A表示该协议模板未指定协议类型
Status	该协议VLAN在端口的生效情况： · Active：表示生效 · Inactive：表示未生效

· display protocol-vlan vlan

· port hybrid protocol-vlan

· protocol-vlan

1.5.2 display protocol-vlan vlan

display protocol-vlan vlan命令用于显示指定的或所有协议VLAN的信息。

display protocol-vlan vlan { vlan-id1 [ to vlan-id2 ] | all }

vlan-id1：显示指定的协议VLAN的信息，vlan-id1表示VLAN的编号，取值范围为1～4094。

vlan-id1 to vlan-id2：显示指定VLAN范围内的协议VLAN的信息。vlan-id1和vlan-id2为指定VLAN的编号，取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值。

all：显示所有协议VLAN的信息。

<Sysname> display protocol-vlan vlan all

# 显示所有协议VLAN的信息。

VLAN ID: 2

Protocol index Protocol type

0 IPv4

65535 IPv6

VLAN ID: 3

Protocol index Protocol type

0 IPv4

65535 LLC DSAP 0x11 SSAP 0x22

表1-9 display protocol-vlan vlan命令显示信息描述表

字段	描述
VLAN ID	协议VLAN的编号
Protocol index	协议模板索引号
Protocol type	该协议模板所指定的协议类型或封装格式

· display protocol-vlan interface

· port hybrid protocol-vlan

· protocol-vlan

1.5.3 port hybrid protocol-vlan

port hybrid protocol-vlan命令用来配置当前端口与协议VLAN关联。

undo port hybrid protocol-vlan命令用于取消当前端口与协议VLAN的关联。

port hybrid protocol-vlan vlan vlan-id { protocol-index [ to protocol-end ] | all }

undo hybrid protocol-vlan { vlan vlan-id { protocol-index [ to protocol-end ] | all } | all }

端口没有与任何协议VLAN关联。

二层以太网接口视图/二层聚合接口视图

vlan vlan-id：VLAN的编号，取值范围为1～4094。

protocol-index：协议模板索引，取值范围为0～65535

to protocol-end：指定协议模板索引的范围。protocol-end为协议模板索引终止值，取值范围为0～65535，其值必须大于或等于protocol-index的值。

all：所有协议模板。

· 执行本命令时，需确保当前端口的链路类型为Hybrid，并允许协议VLAN通过，且协议VLAN下存在与协议模板关联的配置，本命令才实际生效。

· 在执行undo port hybrid protocol-vlan命令时，如果同时指定vlan-id和all，则表示取消当前端口与指定VLAN下绑定的所有协议模板的关联；如果仅指定all，则表示取消当前端口与所有VLAN下绑定的所有协议模板的关联。

# 配置端口FortyGigE1/1/1与协议VLAN 2中的协议模板1关联。

[Sysname] vlan 2

[Sysname-vlan2] protocol-vlan 1 ipv4

[Sysname-vlan2] quit

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] port link-type hybrid

[Sysname-FortyGigE1/1/1] port hybrid vlan 2 untagged

[Sysname-FortyGigE1/1/1] port hybrid protocol-vlan vlan 2 1

# 配置二层聚合接口1与协议VLAN 2中的协议模板1关联。

[Sysname] vlan 2

[Sysname-vlan2] protocol-vlan 1 ipv4

[Sysname-vlan2] quit

[Sysname] interface bridge-aggregation 1

[Sysname-Bridge-Aggregation1] port link-type hybrid

[Sysname-Bridge-Aggregation1] port hybrid vlan 2 untagged

[Sysname-Bridge-Aggregation1] port hybrid protocol-vlan vlan 2 1

1.5.4 protocol-vlan

protocol-vlan命令用来配置当前VLAN与指定的协议模板关联。

undo protocol-vlan命令用于取消当前VLAN与协议模板的关联。

protocol-vlan [ protocol-index ] { at | ipv4 | ipv6 | ipx { ethernetii | llc | snap } | mode { ethernetii etype etype-id | llc { dsap dsap-id [ ssap ssap-id ] | ssap ssap-id } | snap etype etype-id } }

undo protocol-vlan { protocol-index [ to protocol-end ] | all }

VLAN没有与任何协议模板关联。

VLAN视图

at：基于AT（AppleTalk，Apple计算机网络协议）协议的VLAN。

ipv4：基于IPv4协议的VLAN。

ipv6：基于IPv6协议的VLAN。

ipx：基于IPX协议的VLAN，可包括ethernetii、llc和snap三种封装类型。

mode：配置自定义协议模板，可包括ethernetii、llc和snap三种封装类型。

ethernetii etype etype-id：匹配Ethernet II封装格式及相应的协议类型值。其中，etype-id表示入报文的协议类型值，取值范围为0x0600～0xFFFF（不包括0x0800、0x809B、0x8137和0x86DD）。

llc：匹配LLC封装格式。

dsap dsap-id：目的服务接入点，取值范围为0x00～0xFF。

ssap ssap-id：源服务接入点，取值范围为0x00～0xFF。

snap etype etype-id：匹配SNAP封装格式及相应的协议类型值。其中，etype-id表示入报文的以太网类型，取值范围为0x0600～0xFFFF（不包括0x8137）。

protocol-index：协议索引，用来标识与当前VLAN绑定的协议模版，取值范围为0～65535。如果不指定该参数，则系统会自动分配一个索引值。

to protocol-end：用来确定协议索引的范围。其中protocol-end表示协议索引终止值，取值范围为0～65535，其值必须大于或等于protocol-index的值。

all：与当前VLAN绑定的所有协议。

· 由于IPv4协议与ARP协议关系密切，建议用户将IPv4协议和ARP协议绑定到同一VLAN，并且关联到相同的端口，避免因ARP报文与IPv4报文未划分到同一VLAN，而造成无法正常通信的情况。

· 使用mode ethernetii etype关键字进行配置时，不允许将etype-id的值配置为0x0800、0x809B、0x8137或0x86DD，因为上述取值分别与IPv4、AppleTalk、IPX和IPv6协议模板相同。

· 使用mode llc关键字进行配置时，dsap-id和ssap-id的值不允许同时为0xE0（代表IPX报文的LLC封装格式）、0xFF（代表IPX报文的raw封装格式）、0xAA（代表SNAP封装格式），如果只配置了dsap-id和ssap-id中的一个，系统会将另一参数的值自动配置为0xAA。

· 使用mode snap etype关键字进行配置时，不允许将etype-id的值配置为0x8137，因为该值与IPX协议协议模板相同。当etype-id的值取0x0800、0x809B或0x86DD时，其对应的协议模板分别为IPv4、AppleTalk和IPv6。

# 将IPv4报文和采用Ethernet II封装格式的ARP报文（ARP协议的协议代码为0x0806）划分到VLAN 3中传输。

[Sysname] vlan 3

[Sysname-vlan3] protocol-vlan 1 ipv4

[Sysname-vlan3] protocol-vlan 2 mode ethernetii etype 0806

· display protocol-vlan interface

· display protocol-vlan vlan

· port protocol-vlan

1.6 VLAN组配置命令

1.6.1 display vlan-group

display vlan-group命令用来显示创建的VLAN组及其VLAN成员列表。

display vlan-group [ group-name ]

group-name：VLAN组的名称，为1～31个字符的字符串，区分大小写，首字符必须为字母。若不指定该参数，则表示显示所有VLAN组的信息。

<Sysname> display vlan-group test001

# 显示指定VLAN组test001的信息。

VLAN group: test001

VLAN list: 2-4 100 200

# 显示所有VLAN组的信息。

<Sysname> display vlan-group

VLAN group: test001

VLAN list: 2-4 100 200

VLAN group: rnd

VLAN list: Null

表1-10 display vlan-group命令显示信息描述表

字段	描述
VLAN group	VLAN组名称
VLAN list	对应的该VLAN组内的VLAN列表

· vlan-group

· vlan-list

1.6.2 vlan-group

vlan-group命令用来创建一个VLAN组，并进入VLAN组视图。

undo vlan-group命令用来删除指定的VLAN组。

vlan-group group-name

undo vlan-group group-name

不存在任何VLAN组。

group-name：VLAN组的名称，为1～31个字符的字符串，区分大小写，首字符必须为字母。

· VLAN组是一组VLAN的集合。VLAN组内可以添加多个VLAN列表。

· 认证服务器可以通过下发VLAN组名的方式为通过认证的802.1X用户下发一组授权VLAN。

# 创建一个VLAN组，名称为test001，并进入VLAN组视图。

[Sysname] vlan-group test001

[Sysname-vlan-group-test001]

· vlan-list

1.6.3 vlan-list

vlan-list命令用来在当前VLAN组内添加VLAN成员。

undo vlan-list命令用来从当前VLAN组内删除VLAN成员。

vlan-list vlan-id-list

undo vlan-list vlan-id-list

当前VLAN组中不存在任何VLAN成员。

VLAN组视图

vlan-id-list：VLAN列表。表示方式为vlan-id-list = { vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值，&<1-10>表示前面的参数最多可以重复输入10次。

# 向VLAN组test001内添加VLAN成员：VLAN 2～VLAN 4、VLAN 100、VLAN 200。

[Sysname] vlan-group test001

[Sysname-vlan-group-test001] vlan-list 2 to 4 100 200

· vlan-group

2 Super VLAN

2.1 Super VLAN配置命令

2.1.1 display supervlan

display supervlan命令用来显示Super VLAN及其关联的Sub VLAN的信息。

display supervlan [ supervlan-id ]

supervlan-id：Super VLAN的编号，取值范围为1～4094。如果未指定该参数，则显示设备上所有的Super VLAN及其关联的Sub VLAN的信息。

<Sysname> display supervlan 2

# 显示Super VLAN 2及其关联的Sub VLAN的信息。

Super VLAN ID: 2

Sub-VLAN ID: 3-5

VLAN ID: 2

VLAN type: Static

It is a super VLAN.

Route interface: Configured

IPv4 address: 10.153.17.41

IPv4 subnet mask: 255.255.252.0

IPv6 global unicast addresses:

2001::1, subnet is 2001::/64 [TENTATIVE]

Description: VLAN 0002

Name: VLAN 0002

Tagged ports: None

Untagged ports: None

VLAN ID: 3

VLAN type: Static

It is a sub-VLAN.

Route interface: Configured

IPv4 address: 10.153.17.41

IPv4 subnet mask: 255.255.252.0

IPv6 global unicast addresses:

2001::1, subnet is 2001::/64 [TENTATIVE]

Description: VLAN 0003

Name: VLAN 0003

Tagged ports: None

Untagged ports:

FortyGigE1/1/3

VLAN ID: 4

VLAN type: Static

It is a sub-VLAN.

Route interface: Configured

IPv4 address: 10.153.17.41

IPv4 subnet mask: 255.255.252.0

IPv6 global unicast addresses:

2001::1, subnet is 2001::/64 [TENTATIVE]

Description: VLAN 0004

Name: VLAN 0004

Tagged ports: None

Untagged ports:

FortyGigE1/1/4

表2-1 display supervlan命令显示信息描述表

字段	描述
Super VLAN ID	Super VLAN的编号
Sub-VLAN ID	Sub VLAN的编号
VLAN ID	VLAN编号
VLAN type	VLAN类型： · Dynamic：动态VLAN · Static：静态VLAN
It is a super VLAN	当前VLAN是Super VLAN
It is a sub-VLAN	当前VLAN是Sub VLAN
Route interface	设备上是否创建了对应的VLAN接口： · Configured：已创建 · Not configured：未创建
IPv4 address	VLAN接口的主用IPv4地址（如果VLAN接口没有配置IPv4地址，则不显示该字段），如果VLAN接口上还配置了从IPv4地址，可以使用display interface vlan-interface或者在VLAN接口视图下使用display this命令查看
IPv4 subnet mask	VLAN接口的主用IPv4地址的子网掩码（如果VLAN接口没有配置IPv4地址，则不显示该字段）
IPv6 global unicast addresses	VLAN接口上配置的全球单播IPv6地址（如果VLAN接口没有配置IPv6地址，则不显示该字段）可能的IPv6地址状态及含义如下： · [TENTATIVE]：该状态为地址初始化状态，此时该地址可能正在进行DAD检测或准备进行DAD检测，处于该状态的地址不能作为报文的源地址或者目的地址 · [DUPLICATE]：该状态表明地址DAD检测已经结束，由于该地址在链路上不唯一，因此不能使用 · [PREFERRED]：该状态表明地址处于首选生命期以内。该状态的地址可以作为报文的源地址或者目的地址。为该状态时，不显示地址的状态标识 · [DEPRECATED]：该状态表明地址超过首选生命期，但是在有效生命期以内。该状态地址有效，但不应作为新建连接报文的源地址，目的地址是该地址的报文还可以被正常处理
Description	VLAN的描述信息
Name	VLAN的名称
Tagged ports	该VLAN报文从哪些端口发送需要携带VLAN Tag
Untagged ports	该VLAN报文从哪些端口发送时不需要携带VLAN Tag

· subvlan

· supervlan

2.1.2 subvlan

subvlan命令用来建立Super VLAN和Sub VLAN的映射关系。

undo subvlan命令用来解除Super VLAN和Sub VLAN的映射关系。

subvlan vlan-id-list

undo subvlan [ vlan-id-list ]

未建立Super VLAN和Sub VLAN的映射关系。

VLAN视图

vlan-id-list：Sub VLAN列表，表示方式为vlan-id-list = { vlan-id1 [ to vlan-id2 ] }&<1-10>。其中，vlan-id表示Sub VLAN的VLAN ID，取值范围为1～4094。&<1-10>表示前面的参数最多可以重复输入10次。

· 建立Super VLAN和Sub VLAN的映射关系前，指定的Sub VLAN必须已经创建。

· 在建立了Super VLAN和Sub VLAN的映射关系后，仍可以向Sub VLAN中添加和删除接口。

· 使用undo subvlan命令时，如果不指定vlan-id-list，则解除当前Super VLAN与所有Sub VLAN的映射关系；如果指定vlan-id-list，则解除当前Super VLAN与指定Sub VLAN的映射关系。

# 建立Super VLAN 10和Sub VLAN 3、4、5、9的映射关系。

[Sysname] vlan 10

[Sysname-vlan10] supervlan

[Sysname-vlan10] subvlan 3 to 5 9

· display supervlan

· supervlan

2.1.3 supervlan

supervlan命令用来配置当前VLAN的类型为Super VLAN。

undo supervlan命令用来恢复缺省情况。

VLAN类型不为Super VLAN。

VLAN视图

· 如果某个VLAN被指定为Super VLAN，则该VLAN不能被指定为某个端口的Guest VLAN/Auth-Fail VLAN/Critical VLAN；同样，如果某个VLAN被指定为某个端口的Guest VLAN/Auth-Fail VLAN/Critical VLAN，则该VLAN不能被指定为Super VLAN。关于Guest VLAN/Auth-Fail VLAN/Critical VLAN的相关内容请参见“安全配置指导”中的“802.1X”。

· 在Super VLAN下可以配置二层组播功能，但是由于Super VLAN中没有物理端口，该配置将不会生效。

· 在Super VLAN对应的VLAN接口下配置VRRP功能后，会对网络性能造成影响，建议不要这样配置。

# 配置VLAN 2为Super VLAN。

[Sysname] vlan 2

[Sysname-vlan2] supervlan

· display supervlan

· subvlan

3 Private VLAN

3.1 Private VLAN配置命令

3.1.1 display private-vlan

display private-vlan命令用来显示Primary VLAN和其包含的Secondary VLAN的信息。

display private-vlan [ primary-vlan-id ]

primary-vlan-id：Primary VLAN的编号，取值范围为1～4094。如果未指定该参数，则显示所有Primary VLAN和其对应的Secondary VLAN的映射信息。

<Sysname> display private-vlan

# 显示所有Primary VLAN和其包含的Secondary VLAN的信息。

Primary VLAN ID: 2

Secondary VLAN ID: 3-4

VLAN ID: 2

VLAN type: Static

Private VLAN type: Primary

Route interface: Configured

IPv4 address: 1.1.1.1

IPv4 subnet mask: 255.255.255.0

IPv6 global unicast addresses:

2001::1, subnet is 2001::/64 [TENTATIVE]

Description: VLAN 0002

Name: VLAN 0002

Tagged ports: None

Untagged ports:

FortyGigE1/1/2 FortyGigE1/1/3 FortyGigE1/1/4

VLAN ID: 3

VLAN type: Static

Private VLAN type: Secondary

Route interface: Not configured

Description: VLAN 0003

Name: VLAN 0003

Tagged ports: None

Untagged ports:

FortyGigE1/1/2 FortyGigE1/1/3

VLAN ID: 4

VLAN type: Static

Private VLAN type: Secondary

Route interface: Not configured

Description: VLAN 0004

Name: VLAN 0004

Tagged ports: None

Untagged ports:

FortyGigE1/1/2 FortyGigE1/1/4

表3-1 display private-vlan命令显示信息描述表

字段	描述
Primary VLAN ID	Primary VLAN的编号
Secondary VLAN ID	Secondary VLAN的编号
VLAN ID	VLAN编号
VLAN type	VLAN类型： · Dynamic：动态VLAN · Static：静态VLAN
Private VLAN type	Private VLAN类型： · Primary：表示Primary VLAN · Secondary：表示Secondary VLAN · Isolated secondary：表示配置了各端口二层隔离的Secondary VLAN
Route interface	设备上是否创建了对应的VLAN接口： · Configured：已创建 · Not configured：未创建
IPv4 address	VLAN接口的主用IPv4地址（如果VLAN接口没有配置IPv4地址，则不显示该字段），如果VLAN接口上还配置了从IPv4地址，可以使用display interface vlan-interface或者在VLAN接口视图下使用display this命令查看
IPv4 subnet mask	VLAN接口的主用IPv4地址的子网掩码（如果VLAN接口没有配置IPv4地址，则不显示该字段）
IPv6 global unicast addresses	VLAN接口上配置的全球单播IPv6地址（如果VLAN接口没有配置IPv6地址，则不显示该字段）可能的IPv6地址状态及含义如下： · [TENTATIVE]：该状态为地址初始化状态，此时该地址可能正在进行DAD检测或准备进行DAD检测，处于该状态的地址不能作为报文的源地址或者目的地址 · [DUPLICATE]：该状态表明地址DAD检测已经结束，由于该地址在链路上不唯一，因此不能使用 · PREFERRED]：该状态表明地址处于首选生命期以内。该状态的地址可以作为报文的源地址或者目的地址。为该状态时，不显示地址的状态标识 · [DEPRECATED]：该状态表明地址超过首选生命期，但是在有效生命期以内。该状态地址有效，但不应作为新建连接报文的源地址，目的地址是该地址的报文还可以被正常处理
Description	VLAN的描述信息
Name	VLAN的名称
Tagged ports	该VLAN报文从哪些端口发送需要携带VLAN Tag
Untagged ports	该VLAN报文从哪些端口发送时不需要携带VLAN Tag

· private-vlan（VLAN view）

3.1.2 port private-vlan host

port private-vlan host命令用来配置端口工作在host模式。

undo port private-vlan命令用来恢复缺省情况。

port private-vlan host

undo port private-vlan

端口不工作在host模式。

二层以太网接口视图/二层聚合接口视图

port private-vlan host命令配置端口工作在host模式时，若端口已经加入了Secondary VLAN，则端口也会同步加入和Secondary VLAN有映射关系的Primary VLAN。

undo port private-vlan命令恢复缺省情况时，端口的VLAN属性（包括端口加入VLAN以及端口的链路类型、端口缺省VLAN）不做改变。

· 在执行port private-vlan host命令时，当端口同步加入Primary VLAN，若此前端口的链路类型为Access类型，则会配置端口的链路类型为Hybrid类型，缺省VLAN为端口加入的Secondary VLAN；若此前端口的链路类型为Trunk/Hybrid类型，则端口的链路类型及缺省VLAN不做改变。

· 在执行port private-vlan host命令时，当端口的链路类型最终为Hybrid类型，端口同步加入Primary VLAN时，若此前端口有以Tagged/Untagged方式加入Primary VLAN的配置，则保持原有配置；否则端口会以Untagged方式加入Primary VLAN。

· 可以在执行完port private-vlan host命令后，再配置端口加入Secondary VLAN，此时，该命令的功能依然生效。

· port private-vlan host命令与port private-vlan trunk promiscuous及port private-vlan trunk secondary命令互斥。

VLAN 20的类型为Secondary VLAN，且VLAN 20和Primary VLAN 2关联。配置链路类型为Access的端口FortyGigE1/1/1工作在host模式，将端口FortyGigE1/1/1加入VLAN 20。

# 配置链路类型为Access的端口FortyGigE1/1/1工作在host模式。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] port private-vlan host

[Sysname-FortyGigE1/1/1] display this

interface FortyGigE1/1/1

port link-mode bridge

port private-vlan host

return

# 将端口FortyGigE1/1/1加入VLAN 20。

[Sysname-FortyGigE1/1/1] port access vlan 20

# 显示端口FortyGigE1/1/1当前配置，可以看出当端口FortyGigE1/1/1工作在host模式，且加入Secondary VLAN 20时，该端口会同步加入关联的Primary VLAN 2，同时修改链路类型及缺省VLAN。

[Sysname-FortyGigE1/1/1] display this

interface FortyGigE1/1/1

port link-mode bridge

port private-vlan host

port link-type hybrid

undo port hybrid vlan 1

port hybrid vlan 2 20 untagged

port hybrid pvid vlan 20

return

· private-vlan（VLAN view）

3.1.3 port private-vlan promiscuous

port private-vlan promiscuous命令用来配置端口在指定VLAN中工作在promiscuous模式。

undo port private-vlan命令用来恢复缺省情况。

port private-vlan vlan-id promiscuous

undo port private-vlan

端口在指定VLAN中不工作在promiscuous模式。

二层以太网接口视图/二层聚合接口视图

vlan-id：VLAN的编号，取值范围为1～4094。其中，VLAN 1虽然在取值范围中，但不能配置。

port private-vlan promiscuous命令同时会将端口加入指定VLAN。此时若指定VLAN的类型为Primary VLAN，且存在和指定VLAN有映射关系的Secondary VLAN，则端口也会同步加入这些Secondary VLAN。

undo port private-vlan命令恢复缺省情况时，端口的VLAN属性（包括端口加入Secondary VLAN以及端口的链路类型、缺省VLAN的配置）不做改变。

· 在执行port private-vlan promiscuous命令时，若此前端口的链路类型为Access类型，则会配置端口的链路类型为Hybrid类型，缺省VLAN为指定VLAN；若此前端口的链路类型为Trunk/Hybrid类型，则端口的链路类型及缺省VLAN不做改变。

· 在执行port private-vlan promiscuous命令时，当端口的链路类型最终为Hybrid类型，端口加入对应VLAN（包括指定VLAN及同步加入的Secondary VLAN）时，若端口此前存在以Tagged/Untagged方式加入某些对应VLAN的配置，则在保持原有配置的基础上，端口会以Untagged方式加入其他对应VLAN；否则端口会以Untagged方式加入所有对应VLAN。即自动产生的以Untagged方式加入VLAN的配置不会覆盖原有以Tagged/Untagged加入VLAN的配置。

· 在执行port private-vlan promiscuous命令时，若端口已配置promiscuous模式，则系统会自动先执行undo port private-vlan命令，再执行port private-vlan promiscuous命令。

· 在执行undo port private-vlan命令时，若端口已配置在某VLAN中工作在promiscuous模式，则取消端口加入该VLAN的配置。

· 可以在执行完port private-vlan promiscuous命令后，再配置指定VLAN的类型为Primary VLAN，此时，该命令的功能依然生效。

· port private-vlan promiscuous命令与port private-vlan trunk promiscuous及port private-vlan trunk secondary命令互斥。

VLAN 2的类型为Primary VLAN，且VLAN 2和Secondary VLAN 20关联。配置链路类型为Access的端口FortyGigE1/1/1在VLAN 2中工作在promiscuous模式，然后取消该配置。

# 配置链路类型为Access的端口FortyGigE1/1/1在VLAN 2中工作在promiscuous模式。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] display this

interface FortyGigE1/1/1

port link-mode bridge

return

[Sysname-FortyGigE1/1/1] port private-vlan 2 promiscuous

# 显示端口FortyGigE1/1/1当前配置，可以看出当该端口在VLAN 2中工作在promiscuous模式时，该端口会加入Primary VLAN 2及关联的Secondary VLAN 20，同时修改端口的链路类型及缺省VLAN。

[Sysname-FortyGigE1/1/1] display this

interface FortyGigE1/1/1

port link-mode bridge

port link-type hybrid

port private-vlan 2 promiscuous

undo port hybrid vlan 1

port hybrid vlan 2 20 untagged

port hybrid pvid vlan 2

return

# 取消端口FortyGigE1/1/1的promiscuous模式配置。

[Sysname-FortyGigE1/1/1] undo port private-vlan

# 显示端口FortyGigE1/1/1当前配置，可以看出该端口退出Primary VLAN 2，但该端口的VLAN属性（包括端口加入Secondary VLAN以及端口的链路类型、缺省VLAN的配置）不做改变。

[Sysname-FortyGigE1/1/1] display this

interface FortyGigE1/1/1

port link-mode bridge

port link-type hybrid

undo port hybrid vlan 1

port hybrid vlan 20 untagged

port hybrid pvid vlan 2

return

· private-vlan（VLAN view）

3.1.4 port private-vlan trunk promiscuous

port private-vlan trunk promiscuous命令用来配置端口在指定VLAN中工作在trunk promiscuous模式。

undo port private-vlan trunk promiscuous命令用来配置端口在指定VLAN退出trunk promiscuous模式。

port private-vlan vlan-id-list trunk promiscuous

undo port private-vlan vlan-id-list trunk promiscuous

端口在指定VLAN中不工作在trunk promiscuous模式。

二层以太网接口视图/二层聚合接口视图

vlan-id-list：VLAN列表，Primary VLAN的范围。表示方式为vlan-id-list = { vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值，&<1-10>表示前面的参数最多可以重复输入10次。其中，系统缺省VLAN（VLAN 1）虽然在取值范围中，但不能配置。

port private-vlan trunk promiscuous命令用来配置端口在指定VLAN中工作在trunk promiscuous模式（同时将端口加入指定VLAN）。此时若指定VLAN的类型为Primary VLAN，且存在和指定VLAN有映射关系的Secondary VLAN，则端口也会同步加入这些Secondary VLAN。

undo port private-vlan trunk promiscuous命令用来配置端口在指定VLAN中退出trunk promiscuous模式，但端口的VLAN属性（包括端口加入Secondary VLAN以及端口的链路类型、缺省VLAN的配置）不做改变。

· 在执行port private-vlan trunk promiscuous命令时，若此前端口的链路类型为Access类型，则会配置端口的链路类型为Hybrid类型，缺省VLAN不做改变；若此前端口的链路类型为Trunk/Hybrid类型，则端口的链路类型及缺省VLAN不做改变。

· 在执行port private-vlan trunk promiscuous命令时，当端口的链路类型最终为Hybrid类型，端口加入对应VLAN（包括指定VLAN及同步加入的Secondary VLAN）时，若端口此前存在以Tagged/Untagged方式加入某些对应VLAN的配置，则在保持原有配置的基础上，端口会以Tagged方式加入其他对应VLAN；否则端口会以Tagged方式加入所有对应VLAN。即自动产生的以Tagged方式加入VLAN的配置不会覆盖原有以Tagged/Untagged加入VLAN的配置。

· 在执行undo port private-vlan trunk promiscuous命令时，若已配置端口在vlan-id-list中工作在trunk promiscuous模式，则取消端口加入vlan-id-list的配置。

· 可以在执行完port private-vlan trunk promiscuous命令后，再配置指定VLAN的类型为Primary VLAN，此时，该命令的功能依然生效。

· port private-vlan trunk promiscuous命令与port private-vlan promiscuous、port private-vlan trunk secondary及port private-vlan host命令互斥。

port private-vlan trunk promiscuous命令适用于需要多个Primary VLAN通过上行端口的情况，配置该命令后多个Primary VLAN携带Tag通过上行端口。port private-vlan promiscuous适用于只有一个Primary VLAN通过上行端口的情况，配置该命令后Primary VLAN不带Tag通过上行端口。

VLAN 2、3的类型为Primary VLAN，且VLAN 2和Secondary VLAN 20关联，VLAN 3和Secondary VLAN 30关联。配置链路类型为Access的端口FortyGigE1/1/1在VLAN 2、3中工作在trunk promiscuous模式，然后取消该配置。

# 配置链路类型为Access的端口FortyGigE1/1/1在VLAN 2、3中工作在trunk promiscuous模式。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] display this

interface FortyGigE1/1/1

port link-mode bridge

return

[Sysname-FortyGigE1/1/1] port private-vlan 2 3 trunk promiscuous

# 显示端口FortyGigE1/1/1当前配置，可以看出当该端口在VLAN 2、3中工作在trunk promiscuous模式时，该端口会加入Primary VLAN 2、3及关联的Secondary VLAN 20、30，同时修改端口的链路类型。

interface FortyGigE1/1/1

port link-mode bridge

port link-type hybrid

port private-vlan 2 3 trunk promiscuous

port hybrid vlan 2 3 20 30 tagged

port hybrid vlan 1 untagged

return

# 取消端口FortyGigE1/1/1在VLAN 2、3中的trunk promiscuous模式配置。

[Sysname-FortyGigE1/1/1] undo port private-vlan 2 3 trunk promiscuous

# 显示端口FortyGigE1/1/1当前配置，可以看出该端口退出Primary VLAN 2、3，但该端口的VLAN属性（包括端口加入Secondary VLAN以及端口的链路类型、缺省VLAN的配置）不做改变。

interface FortyGigE1/1/1

port link-mode bridge

port link-type hybrid

port hybrid vlan 20 30 tagged

port hybrid vlan 1 untagged

return

· private-vlan（VLAN view）

3.1.5 port private-vlan trunk secondary

port private-vlan trunk secondary命令用来配置端口在指定VLAN中工作在trunk secondary模式。

undo port private-vlan trunk secondary命令用来配置端口在指定VLAN退出trunk secondary模式。

port private-vlan vlan-id-list trunk secondary

undo port private-vlan vlan-id-list trunk secondary

端口在指定VLAN中不工作在trunk secondary模式。

二层以太网接口视图/二层聚合接口视图

vlan-id-list：VLAN列表，Secondary VLAN的范围。表示方式为vlan-id-list = { vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值，&<1-10>表示前面的参数最多可以重复输入10次。其中，系统缺省VLAN（VLAN 1）虽然在取值范围中，但不能配置。

port private-vlan trunk secondary命令用来配置端口在指定VLAN中工作在trunk secondary模式（同时将端口加入指定VLAN）。此时若指定VLAN的类型为Secondary VLAN，且存在和指定VLAN有映射关系的Primary VLAN，则端口也会同步加入这些Primary VLAN。

undo port private-vlan trunk secondary命令将指定VLAN退出trunk secondary模式，但端口的VLAN关系（包括端口加入Primary VLAN以及端口的链路类型、缺省VLAN的配置）不做改变。

· 工作在trunk secondary模式的端口，对于一个Primary VLAN对应的Secondary VLAN，只能加入其中的一个，但可以分别加入多个Primary VLAN对应的多个Secondary VLAN。

· 在执行port private-vlan trunk secondary命令时，当端口同步加入Primary VLAN，若此前端口的链路类型为Access类型，则会配置端口的链路类型为Hybrid类型，缺省VLAN不做改变；若此前端口的链路类型为Trunk/Hybrid类型，则端口的链路类型及缺省VLAN不做改变。

· 在执行port private-vlan trunk secondary命令时，当端口的链路类型最终为Hybrid类型，端口加入对应VLAN（包括指定VLAN及同步加入的Primary VLAN）时，若端口此前存在以Tagged/Untagged方式加入某些对应VLAN的配置，则在保持原有配置的基础上，端口会以Tagged方式加入其他对应VLAN；否则端口会以Tagged方式加入所有对应VLAN。即自动产生的以Tagged方式加入VLAN的配置不会覆盖原有以Tagged/Untagged加入VLAN的配置。

· 在执行undo port private-vlan trunk secondary命令时，若端口的链路类型为Access类型，则端口加入指定VLAN的配置不做改变；若端口的链路类型为Trunk/Hybrid类型，则取消端口加入指定VLAN的配置。

· 可以在执行完port private-vlan trunk secondary命令后，再配置指定VLAN的类型为Secondary VLAN，此时，该命令的功能依然生效。

· 在执行port private-vlan trunk secondary命令时，若其中vlan-id-list中部分VLAN不满足要求（比如指定VLAN不存在，指定VLAN的类型为除Secondary VLAN外的其他特殊类型VLAN，本端口已经在指定VLAN对应Primary VLAN下的其他Secondary VLAN中工作在trunk secondary模式等），则本命令只在其他满足要求的VLAN中生效。

· port private-vlan trunk secondary命令与port private-vlan host、port private-vlan promiscuous及port private-vlan trunk promiscuous命令互斥。

port private-vlan trunk secondary命令适用于需要多个Secondary VLAN（分别对应不同的Primary VLAN）通过下行端口的情况，配置该命令后多个Secondary VLAN携带Tag通过下行端口。port private-vlan host命令适用于只有一个Secondary VLAN通过下行端口的情况，配置该命令后Secondary VLAN不带Tag通过下行端口。

VLAN 2、3的类型为Primary VLAN，且VLAN 2和Secondary VLAN 20关联，VLAN 3和Secondary VLAN 30关联，配置VLAN 20、30在链路类型为Access的端口FortyGigE1/1/1工作在trunk secondary模式，然后取消该配置。

# 配置链路类型为Access的端口FortyGigE1/1/1在VLAN 20、30中工作在trunk secondary模式。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] display this

interface FortyGigE1/1/1

port link-mode bridge

return

[Sysname-FortyGigE1/1/1] port private-vlan 20 30 trunk secondary

# 显示端口FortyGigE1/1/1当前配置，可以看出当该端口在VLAN 20、30中工作在trunk secondary模式时，该端口会加入Secondary VLAN 20、30及关联的Primary VLAN 2、3，同时修改链路类型。

[Sysname-FortyGigE1/1/1] undo port private-vlan 20 30 trunk secondary

interface FortyGigE1/1/1

port link-mode bridge

port link-type hybrid

port hybrid vlan 2 3 20 30 tagged

port hybrid vlan 1 untagged

port private-vlan 20 30 trunk secondary

return

# 取消端口FortyGigE1/1/1在VLAN 20、30中的trunk secondary模式配置。

# 显示端口FortyGigE1/1/1当前配置，可以看出该端口退出Secondary VLAN 20、30，但该端口的VLAN属性（包括端口加入Primary VLAN以及端口的链路类型、缺省VLAN的配置）不做改变。

interface FortyGigE1/1/1

port link-mode bridge

port link-type hybrid

port hybrid vlan 2 3 tagged

port hybrid vlan 1 untagged

return

VLAN 10的类型不为Secondary VLAN。配置链路类型为Access的端口FortyGigE1/1/1在VLAN 10中工作在trunk secondary模式，然后取消该配置。

# 配置链路类型为Access的端口FortyGigE1/1/1在VLAN 10中工作在trunk secondary模式。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] display this

interface FortyGigE1/1/1

port link-mode bridge

return

[Sysname-FortyGigE1/1/1] port private-vlan 10 trunk secondary

# 显示端口FortyGigE1/1/1当前配置，可以看出该端口在VLAN 10中工作在trunk secondary模式时，该端口会加入Secondary VLAN 10，同时修改链路类型。

interface FortyGigE1/1/1

port link-mode bridge

port link-type hybrid

port hybrid vlan 10 tagged

port hybrid vlan 1 untagged

port private-vlan 10 trunk secondary

return

# 取消端口FortyGigE1/1/1在VLAN 10中的trunk secondary模式配置。

[Sysname-FortyGigE1/1/1] undo port private-vlan 10 trunk secondary

# 显示端口FortyGigE1/1/1当前配置，可以看出该端口退出VLAN 10，但该端口的VLAN属性（包括端口的链路类型、缺省VLAN的配置）不做改变。

interface FortyGigE1/1/1

port link-mode bridge

port link-type hybrid

port hybrid vlan 1 untagged

return

· private-vlan isolated

· private-vlan（VLAN view）

3.1.6 private-vlan（VLAN interface view）

private-vlan secondary命令用来配置当前Primary VLAN下指定的Secondary VLAN间三层互通。

undo private-vlan用来取消当前Primary VLAN下指定的或所有的Secondary VLAN间三层互通。

private-vlan secondary vlan-id-list

undo private-vlan [ secondary vlan-id-list ]

Secondary VLAN间三层不互通。

VLAN接口视图

· 该命令只能在Primary VLAN对应的VLAN接口（Primary VLAN interface）视图下执行，且Secondary VLAN必须已经与该对应的Primary VLAN建立了映射关系，同时要求Secondary VLAN不能建立对应的VLAN接口。要使功能生效，还需要在该三层虚接口上配置IP地址和本地代理ARP/ND功能。

· 没有配置三层互通的Secondary VLAN可以创建对应的VLAN接口，配置了三层互通的Secondary VLAN不能创建对应的VLAN接口。

· 在同一Primary VLAN interface下多次执行本命令时，最终生效结果是多次配置的集合。

· 在执行undo private-vlan命令时，如果不带参数secondary vlan-id-list，就解除所有Secondary VLAN间的三层互通；如果带有该参数，就解除指定的Secondary VLAN间的三层互通。

配置Primary VLAN 2下的Secondary VLAN 3、4三层互通（FortyGigE1/1/2为上行端口，FortyGigE1/1/3、FortyGigE1/1/4为下行端口）。

# 建立Primary VLAN 2和Secondary VLAN 3、4的映射关系。

[Sysname] interface fortygige 1/1/2

[Sysname] vlan 2

[Sysname-vlan2] private-vlan primary

[Sysname-vlan2] private-vlan secondary 3 to 4

[Sysname-vlan2] quit

# 配置端口FortyGigE1/1/2在VLAN 2中工作在promiscuous模式。

[Sysname-FortyGigE1/1/2] port private-vlan 2 promiscuous

[Sysname-FortyGigE1/1/2] quit

# 配置链路类型为Access的端口FortyGigE1/1/3在VLAN 3中工作在host模式，链路类型为Access的端口FortyGigE1/1/4在VLAN 4中工作在host模式。

[Sysname] interface fortygige 1/1/3

[Sysname-FortyGigE1/1/3] port access vlan 3

[Sysname-FortyGigE1/1/3] port private-vlan host

[Sysname-FortyGigE1/1/3] quit

[Sysname] interface fortygige 1/1/4

[Sysname-FortyGigE1/1/4] port access vlan 4

[Sysname-FortyGigE1/1/4] port private-vlan host

[Sysname-FortyGigE1/1/4] quit

# 配置Primary VLAN 2下的Secondary VLAN 3、4三层互通，同时配置Primary VLAN接口的IP地址及开启本地代理ARP功能。

[Sysname] interface vlan-interface 2

[Sysname-Vlan-interface2] private-vlan secondary 3 to 4

[Sysname-Vlan-interface2] ip address 192.168.1.1 255.255.255.0

[Sysname-Vlan-interface2] local-proxy-arp enable

· private-vlan（VLAN view）

3.1.7 private-vlan（VLAN view）

private-vlan命令用来建立Primary VLAN和Secondary VLAN的映射关系。

undo private-vlan用来解除Primary VLAN和Secondary VLAN的映射关系。

private-vlan secondary vlan-id-list

undo private-vlan [ secondary vlan-id-list ]

未建立Primary VLAN和Secondary VLAN的映射关系。

VLAN视图

secondary vlan-id-list：表示方式为vlan-id-list = { vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值，&<1-10>表示前面的参数最多可以重复输入10次。其中，系统缺省VLAN（VLAN 1）虽然在取值范围中，但不能配置。

· Primary VLAN可以与多个Secondary VLAN建立映射关系。在同一VLAN视图下多次执行private-vlan命令时，Primary VLAN对应的Secondary VLAN是多次配置的集合。

· 在执行private-vlan命令时，若已经配置Primary VLAN，且设备上有端口工作在promiscuous模式、trunk promiscuous模式或host模式，则依据接口配置会触发配置同步。具体内容请参见port private-vlan promiscuous、port private-vlan trunk promiscuous和port private-vlan host命令的相关介绍。

· 在执行undo private-vlan命令时，如果不带参数secondary vlan-id-list，就解除所有Secondary VLAN和对应Primary VLAN的映射关系；如果带有该参数，就解除参数指定的Secondary VLAN和对应Primary VLAN的映射关系。

# 建立Primary VLAN 2和Secondary VLAN 3、4的映射关系。

[Sysname] vlan 2

[Sysname-vlan2] private-vlan primary

[Sysname-vlan2] private-vlan secondary 3 to 4

· primary-vlan primary

3.1.8 private-vlan community

private-vlan community命令用来配置同一Secondary VLAN内各端口二层互通。

private-vlan community

同一Secondary VLAN内的端口二层互通。

VLAN视图

private-vlan community命令实现的功能与undo private-vlan isolated命令相同。当用户通过save命令保存配置时，private-vlan community命令的配置不会被存入配置文件。

配置Secondary VLAN 4内各端口二层互通（FortyGigE1/1/1工作为promiscuous模式，FortyGigE1/1/2和FortyGigE1/1/3工作在host模式）。完成下述配置后，Secondary VLAN 4内端口FortyGigE1/1/2和FortyGigE1/1/3二层互通。

# 建立Primary VLAN 2和Secondary VLAN 4的映射关系。

[Sysname] interface fortygige 1/1/1

[Sysname] vlan 2

[Sysname-vlan2] private-vlan primary

[Sysname-vlan2] private-vlan secondary 4

[Sysname-vlan2] quit

# 配置端口FortyGigE1/1/1在VLAN 2中工作在promiscuous模式。

[Sysname-FortyGigE1/1/1] port private-vlan 2 promiscuous

[Sysname-FortyGigE1/1/1] quit

# 配置链路类型为Access的端口FortyGigE1/1/2和FortyGigE1/1/3在VLAN 4中工作在host模式。

[Sysname] interface fortygige 1/1/2

[Sysname-FortyGigE1/1/2] port access vlan 4

[Sysname-FortyGigE1/1/2] port private-vlan host

[Sysname-FortyGigE1/1/2] quit

[Sysname] interface fortygige 1/1/3

[Sysname-FortyGigE1/1/3] port access vlan 4

[Sysname-FortyGigE1/1/3] port private-vlan host

[Sysname-FortyGigE1/1/3] quit

# 配置Secondary VLAN 4内各端口二层互通。

[Sysname] vlan 4

[Sysname-vlan4] private-vlan community

· private-vlan isolated

3.1.9 private-vlan isolated

private-vlan isolated命令用来配置同一Secondary VLAN内各端口二层隔离，即配置该Secondary VLAN为隔离Secondary VLAN。

undo private-vlan isolated命令用来恢复缺省情况。

private-vlan isolated

undo private-vlan isolated

同一Secondary VLAN内的端口能够二层互通。

VLAN视图

· 添加到该隔离Secondary VLAN的各下行端口二层隔离。

· 当Primary VLAN与Secondary VLAN建立映射关系，并且下行端口配置为trunk secondary模式或host模式后，private-vlan isolated命令才生效。

· Secondary VLAN隔离与Primary VLAN、Super VLAN和Sub VLAN配置互斥。

配置Secondary VLAN 4内各端口二层隔离（FortyGigE1/1/1工作在promiscuous模式，FortyGigE1/1/2及FortyGigE1/1/3工作在host模式）。完成下述配置后，Secondary VLAN 4内端口FortyGigE1/1/2和FortyGigE1/1/3二层隔离。

# 建立Primary VLAN 2和Secondary VLAN 4的映射关系。

[Sysname] interface fortygige 1/1/1

[Sysname] vlan 2

[Sysname-vlan2] private-vlan primary

[Sysname-vlan2] private-vlan secondary 4

[Sysname-vlan2] quit

# 配置端口FortyGigE1/1/1在VLAN 2中工作在promiscuous模式。

[Sysname-FortyGigE1/1/1] port private-vlan 2 promiscuous

[Sysname-FortyGigE1/1/1] quit

# 配置链路类型为Access的端口FortyGigE1/1/2和FortyGigE1/1/3在VLAN 4中工作在host模式。

[Sysname] interface fortygige 1/1/2

[Sysname-FortyGigE1/1/2] port access vlan 4

[Sysname-FortyGigE1/1/2] port private-vlan host

[Sysname-FortyGigE1/1/2] quit

[Sysname] interface fortygige 1/1/3

[Sysname-FortyGigE1/1/3] port access vlan 4

[Sysname-FortyGigE1/1/3] port private-vlan host

[Sysname-FortyGigE1/1/3] quit

# 配置Secondary VLAN 4内各端口二层隔离。

[Sysname] vlan 4

[Sysname-vlan4] private-vlan isolated

· private-vlan community

· private-vlan（VLAN view）

3.1.10 private-vlan primary

private-vlan primary命令用来配置一个VLAN的类型为Primary VLAN。

undo private-vlan primary命令用来恢复缺省情况。

undo private-vlan primary

private-vlan primary

VLAN的类型不是Primary VLAN。

VLAN视图

配置该命令时，若已经配置Primary VLAN和Secondary VLAN的映射关系，且设备上有端口工作在promiscuous模式、trunk promiscuous模式、trunk secondary模式或host模式，则依据接口配置会触发配置同步。具体参见port private-vlan promiscuous、port private-vlan trunk promiscuous、port private-vlan trunk secondary或port private-vlan host命令。

# 配置VLAN 5为Primary VLAN。

[Sysname] vlan 5

[Sysname-vlan5] private-vlan primary

4 Voice VLAN

4.1 Voice VLAN配置命令

4.1.1 cdp voice-vlan

cdp voice-vlan命令用来指定端口通过CDP报文发布给IP电话的Voice VLAN ID。

undo cdp voice-vlan命令用来恢复缺省情况。

cdp voice-vlan vlan-id

undo cdp voice-vlan

在设备开启LLDP兼容CDP功能的情况下，设备将端口上配置的Voice VLAN信息通过CDP报文发布给邻居IP电话。

vlan-id：指定Voice VLAN编号，取值范围为1～4094。

本命令需要配合LLDP兼容CDP功能使用，否则不能生效。

# 配置端口FortyGigE1/1/1通过CDP报文发布的Voice VLAN ID为4094。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] cdp voice-vlan 4094

4.1.2 display voice-vlan mac-address

display voice-vlan mac-address命令用来显示Voice VLAN当前支持的OUI地址、OUI地址掩码和描述信息。

display voice-vlan mac-address

# 显示Voice VLAN的OUI地址、OUI地址掩码和描述信息。

<Sysname> display voice-vlan mac-address

OUI Address Mask Description

0001-e300-0000 ffff-ff00-0000 Siemens phone

0003-6b00-0000 ffff-ff00-0000 Cisco phone

0004-0d00-0000 ffff-ff00-0000 Avaya phone

000f-e200-0000 ffff-ff00-0000 H3C Aolynk phone

0060-b900-0000 ffff-ff00-0000 Philips/NEC phone

00d0-1e00-0000 ffff-ff00-0000 Pingtel phone

00e0-7500-0000 ffff-ff00-0000 Polycom phone

00e0-bb00-0000 ffff-ff00-0000 3Com phone

表4-1 display voice-vlan mac-address命令显示信息描述表

字段	描述
Oui Address	设备当前允许通过的OUI地址
Mask	设备当前允许通过的OUI地址的掩码
Description	设备当前允许通过的OUI地址的描述

· voice-vlan mac-address

4.1.3 display voice-vlan state

display voice-vlan state命令用来显示Voice VLAN的配置信息。

display voice-vlan state

# 显示Voice VLAN的配置信息。

<Sysname> display voice-vlan state

Current voice VLANs: 1

Voice VLAN security mode: Security

Voice VLAN aging time: 1440 minutes

Voice VLAN enabled ports and their modes:

Port VLAN Mode CoS DSCP

FortyGigE1/1/1 111 Auto 6 46

表4-2 display voice-vlan state命令显示信息描述表

字段	描述
Current Voice VLANs	已创建的Voice VLAN数量
Voice VLAN security mode	Voice VLAN的安全模式的开启状态： · Security：表示当前使用的是安全模式 · Normal：表示当前使用的是普通模式
Voice VLAN aging time	Voice VLAN的老化时间
Voice VLAN enabled ports and their modes	当前使能了Voice VLAN的接口及其工作模式
Port	当前使能了Voice VLAN的接口编号
VLAN	接口使能的Voice VLAN ID
Mode	接口Voice VLAN的工作模式： · Auto：表示自动模式 · Manual：表示手工模式
CoS	服务级别
DSCP	差分服务编码点优先级

· voice-vlan mode auto

· voice-vlan aging

· voice-vlan enable

· voice-vlan security enable

4.1.4 voice-vlan aging

voice-vlan aging命令用来配置Voice VLAN的老化时间。

undo voice-vlan aging命令用来恢复缺省情况。

voice-vlan aging minutes

undo voice-vlan aging

Voice VLAN的老化时间为1440分钟。

minutes：Voice VLAN的老化时间，取值范围为5～43200，单位为分钟。

在自动模式下，系统会根据收到的语音报文的源MAC地址，来决定是否把该报文的入接口加入Voice VLAN。在将入接口加入Voice VLAN后，系统会同时启动老化定时器。经过老化时间后，如果设备没有从该接口收到任何语音报文，老化时间到达后系统会自动把该接口从Voice VLAN中删除。该老化时间只对Voice VLAN工作在自动模式的接口有效，对Voice VLAN工作在手工模式的接口无效。

# 将Voice VLAN的老化时间配置为100分钟。

[Sysname] voice-vlan aging 100

4.1.5 voice-vlan enable

voice-vlan vlan-id enable命令用来使能接口的Voice VLAN功能。

undo voice-vlan enable命令用来关闭接口的Voice VLAN功能。

voice-vlan vlan-id enable

undo voice-vlan [ vlan-id ] enable

接口没有使能Voice VLAN功能。

vlan-id：指定Voice VLAN编号，取值范围为2～4094。

当接口的Voice VLAN工作在自动模式时，只有Trunk或者Hybrid类型接口支持使能Voice VLAN功能。

# 使能接口FortyGigE1/1/1的Voice VLAN功能。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] voice-vlan 2 enable

· voice-vlan mode auto

4.1.6 voice-vlan mac-address

voice-vlan mac-address命令用来配置允许指定OUI地址的报文通过Voice VLAN。

undo voice-vlan mac-address命令用来取消指定OUI地址的报文通过Voice VLAN。

voice-vlan mac-address mac-address mask oui-mask [ description text ]

undo voice-vlan mac-address oui

系统已配置有OUI地址，如下表所示。该地址可以手工删除，删除之后也可再次手工添加。

表4-3 设备缺省的OUI地址

序号	OUI地址	生产厂商
1	0001-E300-0000	Siemens phone
2	0003-6B00-0000	Cisco phone
3	0004-0D00-0000	Avaya phone
4	000F-E200-0000	H3C Aolynk phone
5	0060-B900-0000	Philips/NEC phone
6	00D0-1E00-0000	Pingtel phone
7	00E0-7500-0000	Polycom phone
8	00E0-BB00-0000	3Com phone

mac-address：语音报文的源MAC地址，格式为H-H-H，如：1234-1234-1234。

mask oui-mask：OUI地址的有效长度，用掩码表示，格式为H-H-H。由连续的1和连续的0组成，表示OUI地址的匹配长度。如：FFFF-0000-0000，如果要过滤某个设备厂商的语音设备，可以配置为FFFF-FF00-0000。

description text：OUI地址的描述字符串，长度为1～30，区分大小写。

oui：指定要删除的OUI地址，格式为H-H-H，如1234-1200-0000。OUI地址不能是广播地址或者组播地址，也不能是全0的地址。OUI地址是mac-address和oui-mask参数相与的结果。可以通过display voice-vlan mac-address命令查看当前系统支持的OUI地址的信息。

系统最多支持配置128个OUI地址。

# 配置允许来自IP电话PhoneA（MAC地址为1234-1234-1234）的语音流通过Voice VLAN。

[Sysname] voice-vlan mac-address 1234-1234-1234 mask ffff-ff00-0000 description PhoneA

· display voice-vlan mac-address

4.1.7 voice-vlan mode auto

voice-vlan mode auto命令用来配置接口的Voice VLAN的工作模式为自动模式。

undo voice-vlan mode auto命令用来配置接口的Voice VLAN的工作模式为手工模式。

undo voice-vlan mode auto

voice-vlan mode auto

接口的Voice VLAN的工作模式为自动模式。

当接口使能了Voice VLAN并工作在手工模式时，必须手工将接口加入Voice VLAN，才能保证Voice VLAN功能生效。

# 将接口FortyGigE1/1/1的Voice VLAN的工作模式配置为手工模式。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] undo voice-vlan mode auto

4.1.8 voice-vlan qos

voice-vlan qos命令用来配置接口将Voice VLAN内语音报文的CoS和DSCP修改为指定值。

undo voice-vlan qos命令用来恢复缺省情况。

voice-vlan qos cos-value dscp-value

undo voice-vlan qos

接口将Voice VLAN内语音报文的CoS值修改为6，DSCP值修改为46。

cos-value：配置语音报文CoS值，取值范围为0～7，缺省值为6。

dscp-value：配置语音报文DSCP值，取值范围为0～63，缺省值为46。

· 在Voice VLAN使能的情况下，不允许配置本命令。必须禁用Voice VLAN后，才能配置本命令。

· 如果对于同一接口多次执行voice-vlan qos和voice-vlan qos trust命令，以最后配置的命令为准。

# 配置接口FortyGigE1/1/1收到Voice VLAN内的语音报文时，将报文的CoS值修改为5，DSCP值修改为45。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] voice-vlan qos 5 45

· voice-vlan qos trust

4.1.9 voice-vlan qos trust

voice-vlan qos trust命令用来配置接口信任Voice VLAN内语音报文的优先级，即接口不会修改Voice VLAN内语音报文自带的CoS和DSCP值。

undo voice-vlan qos命令用来恢复缺省情况。

voice-vlan qos trust

undo voice-vlan qos

接口将Voice VLAN内语音报文的CoS值修改为6，DSCP值修改为46。

· 在Voice VLAN使能的情况下，不允许配置本命令。必须禁用Voice VLAN后，才能配置本命令。

· 如果对于同一接口多次执行voice-vlan qos和voice-vlan qos trust命令，以最后配置的命令为准。

# 配置接口FortyGigE1/1/1信任语音报文的优先级。接口收到Voice VLAN内语音报文后，报文自带的CoS和DSCP值保持不变。

[Sysname] interface fortygige 1/1/1

[Sysname-FortyGigE1/1/1] voice-vlan qos trust

· voice-vlan qos

4.1.10 voice-vlan security enable

voice-vlan security enable命令用来使能Voice VLAN的安全模式。

undo voice-vlan security enable命令用来关闭Voice VLAN的安全模式。

voice-vlan security enable

undo voice-vlan security enable

Voice VLAN工作在安全模式。

在安全模式下，Voice VLAN中只能有语音流量。用户使能Voice VLAN的安全模式以后，该VLAN的报文都经过过滤，设备会根据报文的源MAC地址是否匹配OUI地址来过滤所有非语音流量，增加安全性保证语音流的优先级，保证通话质量。在普通模式下，Voice VLAN中允许有业务流量和语音流量并存。

# 关闭Voice VLAN的安全模式。

[Sysname] undo voice-vlan security enable