H3C S6860产品VLAN典型配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

目  录

1 简介

2 配置前提

3 基于端口的VLAN典型配置举例

3.1 组网需求

3.2 使用版本

3.3 配置步骤

3.4 验证配置

3.5 配置文件

4 Super VLAN典型配置举例

4.1 组网需求

4.2 使用版本

4.3 配置注意事项

4.4 配置步骤

4.4.1 Device A的配置

4.4.2 Device B的配置

4.5 验证配置

4.6 配置文件

5 Private VLAN典型配置举例

5.1 组网需求

5.2 配置思路

5.3 使用版本

5.4 配置注意事项

5.5 配置步骤

5.5.1 Device B的配置

5.5.2 Device A的配置

5.6 验证配置

5.7 配置文件

6 相关资料

 

1  简介

本文档介绍基于端口的VLAN、Super VLAN、Private VLAN的典型应用场景和配置举例。

2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解VLAN特性。

3  基于端口的VLAN典型配置举例

3.1  组网需求

如图1所示，Host A和Host C属于部门A，但是通过不同的设备接入公司网络；Host B和Host D属于部门B，也通过不同的设备接入公司网络。为了通信的安全性，以及避免广播报文泛滥，公司网络中使用VLAN技术来隔离部门间的二层流量。其中部门A使用VLAN 100，部门B使用VLAN 200。

现要求同一VLAN内的主机能够互通，即Host A和Host C能够互通，Host B和Host D能够互通。

图1 基于端口的VLAN组网图

 

3.2  使用版本

本举例是在S6860-CMW710-R2612版本上进行配置和验证的。

3.3  配置步骤

(1)     配置Device A

# 创建VLAN 100，并将Ten-GigabitEthernet1/0/1加入VLAN 100。

[DeviceA] vlan 100

[DeviceA-vlan100] port ten-gigabitethernet 1/0/1

[DeviceA-vlan100] quit

# 创建VLAN 200，并将Ten-GigabitEthernet1/0/2加入VLAN 200。

[DeviceA] vlan 200

[DeviceA-vlan200] port ten-gigabitethernet 1/0/2

[DeviceA-vlan200] quit

# 为了使Device A上VLAN 100和VLAN 200的报文能发送给Device B，将Ten-GigabitEthernet1/0/3的链路类型配置为Trunk，并允许VLAN 100和VLAN 200的报文通过。

[DeviceA] interface ten-gigabitethernet 1/0/3

[DeviceA-Ten-GigabitEthernet1/0/3] port link-type trunk

[DeviceA-Ten-GigabitEthernet1/0/3] port trunk permit vlan 100 200

(2)     Device B上的配置与Device A上的配置相同，不再赘述。

(3)     将Host A和Host C配置在一个网段，例如192.168.100.0/24；将Host B和Host D配置在一个网段，比如192.168.200.0/24。

3.4  验证配置

(1)     Host A和Host C能够互相ping通，但是均不能ping通Host B。Host B和Host D能够互相ping通，但是均不能ping通Host A。

(2)     通过查看显示信息验证配置是否成功。

# 查看Device A上VLAN 100和VLAN 200的配置信息，VLAN 100的报文仅允许通过接口XGE1/0/3和XGE1/0/1，VLAN 200的报文仅允许通过接口XGE1/0/3和XGE1/0/2。

[DeviceA-Ten-GigabitEthernet1/0/3] display vlan 100

 VLAN ID: 100

 VLAN type: Static

 Route interface: Not configured

 Description: VLAN 0100

 Name: VLAN 0100

 Tagged ports:

    Ten-GigabitEthernet1/0/3

 Untagged ports:

    Ten-GigabitEthernet1/0/1

[DeviceA-Ten-GigabitEthernet1/0/3] display vlan 200

 VLAN ID: 200

 VLAN type: Static

 Route interface: Not configured

 Description: VLAN 0200

 Name: VLAN 0200

 Tagged ports:

    Ten-GigabitEthernet1/0/3

 Untagged ports:

    Ten-GigabitEthernet1/0/2

3.5  配置文件

Device B上的配置与Device A上的配置相同，此处仅以Device A的配置文件举例。

#

vlan 100

#

vlan 200

#

interface Ten-GigabitEthernet1/0/1

 port link-mode bridge

 port access vlan 100

#

interface Ten-GigabitEthernet1/0/2

 port link-mode bridge

 port access vlan 200

#

interface Ten-GigabitEthernet1/0/3

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 100 200

#

4  Super VLAN典型配置举例

4.1  组网需求

如图2所示：

·     VLAN 2中的用户通过Device A的Ten-GigabitEthernet1/0/1接入网络，VLAN 3中的用户通过Device A的Ten-GigabitEthernet1/0/2接入网络。VLAN 2中有30个用户，VLAN 3中有50个用户。

·     Device A的Ten-GigabitEthernet1/0/3和Device B的Ten-GigabitEthernet1/0/1属于VLAN 20。

·     VLAN 20中的终端用户都使用192.168.2.0/24 网段的IP地址，使用192.168.2.1作为网关地址。

现要求通过配置Super VLAN功能实现以下应用需求：

·     VLAN 2和VLAN 3中的终端用户都使用192.168.1.0/24网段的IP地址以节省IP地址资源，使用192.168.1.1作为网关地址。

·     VLAN 2、VLAN 3、VLAN 20中的终端用户二层隔离，三层互通。

图2 组网图

 

4.2  使用版本

本举例是在S6860-CMW710-R2612版本上进行配置和验证的。

4.3  配置注意事项

由于Super VLAN中不能包含物理端口，由此若某VLAN中已经包含物理端口，则该VLAN不能被配置为Super VLAN。

4.4  配置步骤

4.4.1  Device A的配置

# 创建Super VLAN 10。

<DeviceA> system-view

[DeviceA] vlan 10

[DeviceA-vlan10] supervlan

[DeviceA-vlan10] quit

# 创建VLAN 2并将端口Ten-GigabitEthernet1/0/1加入VLAN 2。

[DeviceA] vlan 2

[DeviceA-vlan2] port ten-gigabitethernet 1/0/1

[DeviceA-vlan2] quit

# 创建VLAN 3并将端口Ten-GigabitEthernet1/0/2加入VLAN 3。

[DeviceA] vlan 3

[DeviceA-vlan3] port ten-gigabitethernet 1/0/2

[DeviceA-vlan3] quit

# 将Super VLAN 10和Sub VLAN 2和Sub VLAN 3关联。

[DeviceA] vlan 10

[DeviceA-vlan10] subvlan 2 3

[DeviceA-vlan10] quit

# 配置Super VLAN 10对应的VLAN接口的IP地址和本地代理ARP功能。

[DeviceA] interface vlan-interface 10

[DeviceA-Vlan-interface10] ip address 192.168.1.1 24

[DeviceA-Vlan-interface10] local-proxy-arp enable

[DeviceA-Vlan-interface10] quit

# 创建VLAN 20。

[DeviceA] vlan 20

[DeviceA-vlan20] quit

# 将端口Ten-GigabitEthernet1/0/3配置为Trunk端口并允许VLAN 20通过，取消允许VLAN 1通过。

[DeviceA] interface ten-gigabitethernet 1/0/3

[DeviceA-Ten-GigabitEthernet1/0/3] port link-type trunk

[DeviceA-Ten-GigabitEthernet1/0/3] undo port trunk permit vlan 1

[DeviceA-Ten-GigabitEthernet1/0/3] port trunk permit vlan 20

[DeviceA-Ten-GigabitEthernet1/0/3] quit

# 配置VLAN 20对应的VLAN接口的IP地址。

[DeviceA] interface Vlan-interface 20

[DeviceA-Vlan-interface20] ip address 192.168.2.1 24

[DeviceA-Vlan-interface20] quit

4.4.2  Device B的配置

# 创建VLAN 20。

[DeviceB] vlan 20

[DeviceB-vlan20] quit

# 将端口Ten-GigabitEthernet1/0/1配置为Trunk端口并允许VLAN 20通过，取消允许VLAN 1通过。

[DeviceB] interface ten-gigabitethernet 1/0/1

[DeviceB-Ten-GigabitEthernet1/0/1] port link-type trunk

[DeviceB-Ten-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[DeviceB-Ten-GigabitEthernet1/0/1] port trunk permit vlan 20

[DeviceB-Ten-GigabitEthernet1/0/1] quit

# 将端口Ten-GigabitEthernet1/0/2加入VLAN 20。

[DeviceB] vlan 20

[DeviceB-vlan20] port ten-gigabitethernet 1/0/2

[DeviceB-vlan20] quit

4.5  验证配置

(1)     查看Super VLAN配置信息。

[DeviceA] display supervlan

 Super VLAN ID: 10

 Sub-VLAN ID: 2-3

 

 VLAN ID: 10

 VLAN type: Static

 It is a super VLAN.

 Route interface: Configured

 IPv4 address: 192.168.1.1

 IPv4 subnet mask: 255.255.255.0

 Description: VLAN 0010

 Name: VLAN 0010

 Tagged ports: none

 Untagged ports: none

 

 VLAN ID: 2

 VLAN type: Static

 It is a sub-VLAN.

 Route interface: Configured

 IPv4 address: 192.168.1.1

 IPv4 subnet mask: 255.255.255.0

 Description: VLAN 0002

 Name: VLAN 0002

 Tagged ports: none

 Untagged ports:

    Ten-GigabitEthernet1/0/1

 

 VLAN ID: 3

 VLAN type: Static

 It is a sub-VLAN.

 Route interface: Configured

 IPv4 address: 192.168.1.1

 IPv4 subnet mask: 255.255.255.0

 Description: VLAN 0003

 Name: VLAN 0003

 Tagged ports: none

 Untagged ports:

    Ten-GigabitEthernet1/0/2

(2)     Host A和Host B可以互相ping通。查看Host A的ARP表，表中Host B的IP地址对应的MAC地址是Vlan-interface10的MAC地址。查看Host B的ARP表，表中Host A的IP地址对应的MAC地址也是Vlan-interface10的MAC地址。

(3)     Host A和Host C可以互相ping通。查看Host A的ARP表，表中没有Host C的ARP表项。查看Host C的ARP表，表中也没有Host A的ARP表项。说明VLAN 2和VLAN 20二层隔离，三层互通。Host B和Host C互相ping的情况同理。

4.6  配置文件

·     Device A

#

vlan 2

#

vlan 3

#

vlan 10

 supervlan

 subvlan 2 3

#

vlan 20

#

interface Vlan-interface10

 ip address 192.168.1.1 255.255.255.0

 local-proxy-arp enable

#

interface Vlan-interface20

 ip address 192.168.2.1 255.255.255.0

#

interface Ten-GigabitEthernet1/0/1

 port link-mode bridge

 port access vlan 2

#

interface Ten-GigabitEthernet1/0/2

 port link-mode bridge

 port access vlan 3

#

interface Ten-GigabitEthernet1/0/3

 port link-mode bridge

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 20

#

·     Device B

#

vlan 20

#

interface Ten-GigabitEthernet1/0/1

 port link-mode bridge

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 20

#

interface Ten-GigabitEthernet1/0/2

 port link-mode bridge

 port access vlan 20

#

5  Private VLAN典型配置举例

5.1  组网需求

如图3所示：

·     汇聚层设备Device A为接入设备Device B分配了VLAN 10，网关接口VLAN-interface10可以和所有用户互通，以便用户可以通过Device A来访问外部网络。Device B连接的所有用户均处于同一网段10.0.0.0/24。

·     Host A和B属于销售部，Host C和D属于财务部。为保证安全，需要使不同部门之间二层隔离，同部门的用户之间则可以互通。

现由于Device A不能为Device B分配更多VLAN，要求通过Private VLAN功能实现：

·     Device A只需识别VLAN 10。

·     Device B在Primary VLAN 10下为各部门配置不同的Secondary VLAN，使部门间二层隔离。

图3 Private VLAN典型配置举例组网图

 

5.2  配置思路

Private VLAN功能只需要在接入设备Device B上配置。

5.3  使用版本

本举例是在S6860-CMW710-R2612版本上进行配置和验证的。

5.4  配置注意事项

系统缺省VLAN（VLAN 1）不支持Private VLAN相关配置。

5.5  配置步骤

5.5.1  Device B的配置

# 配置VLAN 10为Primary VLAN。

<DeviceB> system-view

[DeviceB] vlan 10

[DeviceB-vlan10] private-vlan primary

[DeviceB-vlan10] quit

# 创建Secondary VLAN 201、202。

[DeviceB] vlan 201 to 202

# 建立Primary VLAN 10和Secondary VLAN 201、202的映射关系。

[DeviceB] vlan 10

[DeviceB-vlan10] private-vlan secondary 201 to 202

[DeviceB-vlan10] quit

# 配置上行端口Ten-GigabitEthernet1/0/1在VLAN 10中工作在promiscuous模式。

[DeviceB] interface ten-gigabitethernet 1/0/1

[DeviceB-Ten-GigabitEthernet1/0/1] port private-vlan 10 promiscuous

[DeviceB-Ten-GigabitEthernet1/0/1] quit

# 将下行端口Ten-GigabitEthernet1/0/2、Ten-GigabitEthernet1/0/3添加到VLAN 201，Ten-GigabitEthernet1/0/4、Ten-GigabitEthernet1/0/5添加到VLAN 202，并配置它们工作在host模式。

[DeviceB] interface range ten-gigabitethernet 1/0/2 to ten-gigabitethernet 1/0/3

[DeviceB-if-range] port access vlan 201

[DeviceB-if-range] port private-vlan host

[DeviceB-if-range] quit

[DeviceB] interface range ten-gigabitethernet 1/0/4 to ten-gigabitethernet 1/0/5

[DeviceB-if-range] port access vlan 202

[DeviceB-if-range] port private-vlan host

[DeviceB-if-range] quit

5.5.2  Device A的配置

# 创建VLAN 10。将接口Ten-GigabitEthernet1/0/1加入VLAN 10。

<DeviceA> system-view

[DeviceA] vlan 10

[DeviceA] quit

[DeviceA] interface ten-gigabitethernet 1/0/1

[DeviceA-Ten-GigabitEthernet1/0/1] port access vlan 10

[DeviceA-Ten-GigabitEthernet1/0/1] quit

# 配置网关接口VLAN-interface10。

[DeviceA] interface vlan-interface 10

[DeviceA-Vlan-interface10] ip address 10.0.0.1 24

[DeviceA-Vlan-interface10] quit

5.6  验证配置

# Device A可以ping通任意用户。查看ARP表，可以看到所有用户均属于VLAN 10。

[DeviceA] display arp

  Type: S-Static   D-Dynamic   O-Openflow   R-Rule   M-Multiport  I-Invalid

IP address      MAC address    VLAN/VSI    Interface/Link ID       Aging Type

10.0.0.2        d485-64a1-7e4a 10          XGE1/0/1                19    D

10.0.0.3        7446-a0aa-7774 10          XGE1/0/1                19    D

10.0.0.4        6805-ca05-39ae 10          XGE1/0/1                20    D

10.0.0.5        6805-ca05-414e 10          XGE1/0/1                20    D

# 显示Device B上的Private VLAN配置情况。

[DeviceB] display private-vlan

 Primary VLAN ID: 10

 Secondary VLAN ID: 201-202

 VLAN ID: 10

 VLAN type: Static

 Private VLAN type: Primary

 Route interface: Not configured

 Description: VLAN 0010

 Name: VLAN 0010

 Tagged ports:   None

 Untagged ports:

    Ten-GigabitEthernet1/0/1          Ten-GigabitEthernet1/0/2

    Ten-GigabitEthernet1/0/3          Ten-GigabitEthernet1/0/4

    Ten-GigabitEthernet1/0/5

 

 VLAN ID: 201

 VLAN type: Static

 Private VLAN type: Secondary

 Route interface: Not configured

 Description: VLAN 0201

 Name: VLAN 0201

 Tagged ports:   None

 Untagged ports:

    Ten-GigabitEthernet1/0/1          Ten-GigabitEthernet1/0/2

    Ten-GigabitEthernet1/0/3

 

 VLAN ID: 202

 VLAN type: Static

 Private VLAN type: Secondary

 Route interface: Not configured

 Description: VLAN 0202

 Name: VLAN 0202

 Tagged ports:   None

 Untagged ports:

    Ten-GigabitEthernet1/0/1          Ten-GigabitEthernet1/0/4

    Ten-GigabitEthernet1/0/5

可以看到，工作在promiscuous模式的端口Ten-GigabitEthernet1/0/1和工作在host模式的端口Ten-GigabitEthernet1/0/2～Ten-GigabitEthernet1/0/5均以Untagged方式允许VLAN报文通过。

# Host A、B之间可以互相ping通，Host C、D之间可以互相ping通。Host A、B与Host C、D之间均不能ping通。

5.7  配置文件

·     Device B

#

vlan 1

#

vlan 10

 private-vlan primary

 private-vlan secondary 201 to 202

#

vlan 201 to 202

#

interface Ten-GigabitEthernet1/0/1

 port link-mode bridge

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 10 201 to 202 untagged

 port hybrid pvid vlan 10

 port private-vlan 10 promiscuous

#

interface Ten-GigabitEthernet1/0/2

 port link-mode bridge

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 10 201 untagged

 port hybrid pvid vlan 201

 port private-vlan host

#

interface Ten-GigabitEthernet1/0/3

 port link-mode bridge

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 10 201 untagged

 port hybrid pvid vlan 201

 port private-vlan host

#

interface Ten-GigabitEthernet1/0/4

 port link-mode bridge

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 10 202 untagged

 port hybrid pvid vlan 202

 port private-vlan host

#

interface Ten-GigabitEthernet1/0/5

 port link-mode bridge

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 10 202 untagged

 port hybrid pvid vlan 202

 port private-vlan host

#

·     Device A

#

vlan 1

#

vlan 10

#

interface Vlan-interface10

 ip address 10.0.0.1 255.255.255.0

#

interface Ten-GigabitEthernet1/0/1

 port link-mode bridge

 port access vlan 10

#

6  相关资料

·     H3C S6860系列以太网交换机 二层技术-以太网交换配置指导-Release 26xx系列

·     H3C S6860系列以太网交换机 二层技术-以太网交换命令参考-Release 26xx系列