對(duì)于不是很常用的MAC VLAN，許多讀者都感到很陌生，讀者QQ群中也經(jīng)常見到有讀者提到這方面的問題，希望我給予解答?，F(xiàn)從筆者編著，目前在全國熱銷的《Cisco/H3C交換機(jī)配置與管理完全手冊(cè)》（第二版）（與之配套的姊妹篇為《Cisco/H3C交換機(jī)高級(jí)配置與管理技術(shù)手冊(cè)》）一書中摘選一部分H3C交換機(jī)MAC VLAN內(nèi)容，希望對(duì)這些讀者有所幫助。如要全面了解Cisco和H3C交換機(jī)的MAC VLAN相關(guān)知識(shí)和配置方法，請(qǐng)參見Cisco/H3C交換機(jī)配置與管理完全手冊(cè)》（第二版）。

19.6  H3C交換機(jī)基于MAC地址VLAN配置        與Cisco IOS中的基于MAC地址VLAN一樣，H3C交換機(jī)中的基于MAC地址VLAN也是一種動(dòng)態(tài)VLAN劃分方式。它并不會(huì)把某個(gè)端口靜態(tài)地劃分到一個(gè)特定的VLAN，而是要根據(jù)所連主機(jī)的MAC地址來動(dòng)態(tài)選擇加入到對(duì)應(yīng)的VLAN中。

        我們?cè)诘谝黄獙W(xué)習(xí)Cisco IOS交換機(jī)基于MAC地址劃分VLAN時(shí)已體會(huì)到，總體來說還是比較麻煩的，要配置VMPS服務(wù)器，還要配置VPMS客戶端，而且VMPS服務(wù)器目前來說只能由CatOS系統(tǒng)交換機(jī)擔(dān)當(dāng)，所以要實(shí)現(xiàn)基于MAC地址來劃分VLAN網(wǎng)絡(luò)中必須同時(shí)有兩種操作系統(tǒng)的Cisco交換機(jī)，條件也是比較比較苛刻的。相比之下，本節(jié)介紹的H3C交換機(jī)基于MAC地址的VLAN劃分就簡(jiǎn)單許多。它是按照?qǐng)?bào)文的源MAC地址來定義VLAN成員，將指定報(bào)文加入該VLAN的標(biāo)記后發(fā)送。但在H3C以太網(wǎng)交換機(jī)中，支持基于MAC地址的VLAN不多，與前面介紹的基于IP子網(wǎng)VLAN一樣，主要有S5500、S5510、S7500E等交換機(jī)系列。

   與前面介紹的基于協(xié)議VLAN和基于IP子網(wǎng)VLAN一樣，基于MAC地址的VLAN功能也只能在Hybrid端口配置，而且也主要用于在用戶的接入設(shè)備的下行端口上進(jìn)行配置（基于協(xié)議VLAN和基于IP子網(wǎng)VLAN也僅在接入設(shè)備的下行端口上配置），因此不和聚合功能同時(shí)使用。

基于MAC地址VLAN的實(shí)現(xiàn)機(jī)制

在支持基于MAC地址劃分VLAN的H3C交換機(jī)中，劃分方式又有三種形式：手動(dòng)配置靜態(tài)MAC VLAN、動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN和動(dòng)態(tài)MAC VLAN。

1.   手動(dòng)配置靜態(tài)MAC VLAN

    在手動(dòng)配置靜態(tài)MAC VLAN方式中，管理員需要手動(dòng)配置MAC VLAN表項(xiàng)，啟動(dòng)基于MAC劃分VLAN的功能，然后手動(dòng)將對(duì)應(yīng)的端口加入MAC VLAN。這種方式顯然工作量比較大，常用于MAC VLAN中用戶相對(duì)較少的網(wǎng)絡(luò)環(huán)境。在該方式下，MAC VLAN的劃分原理如下：

l  當(dāng)端口收到的報(bào)文為不帶VLAN標(biāo)記的報(bào)文時(shí)，會(huì)根據(jù)報(bào)文的源MAC匹配MAC VLAN表項(xiàng)。首先進(jìn)行模糊匹配，即查詢表中MASK（MAC地址掩碼）不是全為F（只比較非F的位）的表項(xiàng)。將源MAC和MASK進(jìn)行邏輯與運(yùn)算后再與MAC VLAN表項(xiàng)中的MAC地址匹配，如果完全相同，則匹配成功，給報(bào)文添加表項(xiàng)中指定的VLAN ID并轉(zhuǎn)發(fā)該報(bào)文；如果模糊匹配失敗，則進(jìn)行精確匹配，即查詢表中MASK為全F的表項(xiàng)。如果報(bào)文中的源MAC與MAC VLAN表項(xiàng)中的MAC地址完全相同，則匹配成功，給報(bào)文添加表項(xiàng)中指定的VLAN ID并轉(zhuǎn)發(fā)該報(bào)文；如果沒有找到匹配MAC VLAN表項(xiàng)，則繼續(xù)按照基于IP子網(wǎng)VLAN、協(xié)議VLAN、端口VLAN的先后順序進(jìn)行匹配。

l  當(dāng)端口收到的報(bào)文為帶有VLAN標(biāo)記的報(bào)文時(shí)，如果VLAN ID在端口中允許通過的VLAN ID列表里時(shí)，則接收該報(bào)文；否則丟棄該報(bào)文。

2.   動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN

    在手動(dòng)配置靜態(tài)MAC VLAN劃分方式中，管理員需要把端口一一加入相應(yīng)的MAC VLAN，但這里有一個(gè)問題，那就是我們有時(shí)往往根本不能確定交換機(jī)從哪些端口收到屬于MAC VLAN的報(bào)文，這時(shí)我們就不能通過手動(dòng)方式把相應(yīng)端口加入到MAC VLAN。此時(shí)，就需要借助另一種更加智能的MAC VLAN配置方式，使用動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN中。在這種MAC VLAN配置方式中，配置MAC VLAN表項(xiàng)后，管理員只需在端口上啟用基于MAC的VLAN劃分功能和MAC VLAN動(dòng)態(tài)觸發(fā)功能，在端口收到與MAC VLAN表項(xiàng)匹配的報(bào)文后，可以通過此報(bào)文動(dòng)態(tài)觸發(fā)端口加入MAC VLAN。其劃分原理如下：

l  當(dāng)端口收到的報(bào)文為不帶VLAN標(biāo)記的報(bào)文時(shí)，按圖19-11所示流程進(jìn)行處理。

l  當(dāng)收到的報(bào)文為帶VLAN標(biāo)記的報(bào)文時(shí)，處理方式和基于端口的VLAN一樣：如果端口允許攜帶該VLAN標(biāo)記的報(bào)文通過，則正常轉(zhuǎn)發(fā)；如果不允許，則丟棄該報(bào)文。

  【說明】如果用戶在同一端口上同時(shí)啟用了手動(dòng)配置靜態(tài)MAC VLAN和動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN，此時(shí)端口對(duì)收到的非精確匹配的報(bào)文將做丟棄處理。

圖19-11 在收到不帶VLAN標(biāo)記報(bào)文時(shí)，動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN的處理流程

 3. 動(dòng)態(tài)MAC VLAN

   動(dòng)態(tài)MAC VLAN需要和接入認(rèn)證（比如基于MAC地址的802.1x認(rèn)證）配合使用，以實(shí)現(xiàn)終端的安全、靈活接入。用戶在交換機(jī)上配置動(dòng)態(tài)MAC VLAN功能以后，還需要在接入認(rèn)證服務(wù)器上配置MAC地址和VLAN的關(guān)聯(lián)關(guān)系，這種MAC VLAN的配置就比較麻煩了，本書不做介紹。

   在動(dòng)態(tài)MAC VLAN中，用戶訪問網(wǎng)絡(luò)時(shí)，接入認(rèn)證服務(wù)器先對(duì)用戶進(jìn)行認(rèn)證，如果認(rèn)證通過，服務(wù)器下發(fā)VLAN信息。交換機(jī)會(huì)根據(jù)用戶報(bào)文的源MAC地址和下發(fā)的VLAN信息生成MAC VLAN表項(xiàng)，并將MAC VLAN添加到端口允許通過的VLAN列表中。用戶下線后，交換機(jī)自動(dòng)刪除MAC VLAN表項(xiàng)，并將MAC VLAN從端口允許通過的VLAN列表中刪除。

19.6.2 手動(dòng)配置靜態(tài)MAC VLAN配置（略）

19.6.3   動(dòng)態(tài)觸發(fā)端口加入靜態(tài)MAC VLAN配置（略）

19.6.4  手動(dòng)配置靜態(tài)MAC VLAN配置示例    本示例拓?fù)浣Y(jié)構(gòu)如圖19-11所示。SwitchA和SwitchB的GigabitEthernet1/0/1端口分別連接到兩個(gè)會(huì)議室，Laptop1和Laptop2是會(huì)議用筆記本電腦，會(huì)在兩個(gè)會(huì)議室間移動(dòng)使用。Laptop1和Laptop2的MAC地址分別為000d-88f8-4e71、0014-222c-aa69。

    使用時(shí)，Laptop1和Laptop2要分別用于兩個(gè)部門的員工，兩個(gè)部門間使用VLAN100和VLAN200進(jìn)行隔離?，F(xiàn)要求這兩臺(tái)筆記本電腦無論在哪個(gè)會(huì)議室使用，均只能訪問自己部門的服務(wù)器，即Server1和Server2。

圖19-11  手動(dòng)配置靜態(tài)MAC VLAN示例拓?fù)浣Y(jié)構(gòu)

 本示例配置所適用的H3C交換機(jī)系列和對(duì)應(yīng)的軟/硬件版本如表19-18所示。

表19-18  示例適用的H3C交換機(jī)系列及軟/硬件版本

H3C交換機(jī)系列

軟件版本

硬件版本

S5500-SI系列以太網(wǎng)交換機(jī)

Release 1207軟件版本

全系列硬件版本（除S5500-20TP-SI）

Release 1301軟件版本

S5500-20TP-SI

S5500-EI系列以太網(wǎng)交換機(jī)

Release 2102軟件版本

全系列硬件版本

S7500E系列以太網(wǎng)交換機(jī)

Release 6100，Release 6300軟件版本

全系列硬件版本

1. SwitchA的配置

（1）創(chuàng)建VLAN100和VLAN200，并將GigabitEthernet1/0/2配置為Trunk端口，允許VLAN100和VLAN200的報(bào)文通過。

<SwitchA> system-view

[SwitchA] vlan 100

[SwitchA-vlan100] quit

[SwitchA] vlan 200

[SwitchA-vlan200] quit

[SwitchA] interface GigabitEthernet1/0/2

[SwitchA-GigabitEthernet1/0/2] port link-type trunk

[SwitchA-GigabitEthernet1/0/2] port trunk permit vlan 100 200

[SwitchA-GigabitEthernet1/0/2] quit

（2）將GigabitEthernet1/0/1配置為Hybrid端口，并使其在發(fā)送VLAN 100和VLAN 200的報(bào)文時(shí)去掉VLAN Tag。

[SwitchA] interface GigabitEthernet1/0/1

[SwitchA-GigabitEthernet1/0/1] port link-type hybrid

[SwitchA-GigabitEthernet1/0/1] port hybrid vlan 100 200 untagged

[SwitchA-GigabitEthernet1/0/1] quit

（3）創(chuàng)建Laptop1的MAC地址與VLAN 100的關(guān)聯(lián)，創(chuàng)建Laptop2的MAC地址與VLAN 200的關(guān)聯(lián)，開啟GigabitEthernet1/0/1端口的MAC-VLAN功能。

[SwitchA] mac-vlan mac-address 000d-88f8-4e71 vlan 100

[SwitchA] mac-vlan mac-address 0014-222c-aa69 vlan 200

[SwitchA] interface GigabitEthernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] mac-vlan enable

2. SwitchB的配置

SwitchB的配置與SwitchA完全一致，這里不再贅述。

3. Core Switch的配置

（1）創(chuàng)建VLAN100和VLAN200，并將GigabitEthernet1/0/13和GigabitVLANEthernet
1/0/14端口分別加入這兩個(gè)VLAN。

<CoreSwitch> system-view

[CoreSwitch] vlan 100

[CoreSwitch-vlan100] port gigabitethernet 1/0/13

[CoreSwitch-vlan100] quit

[CoreSwitch] vlan 200

[CoreSwitch-vlan200] port gigabitethernet 1/0/14

[CoreSwitch-vlan200] quit

（2）配置GigabitEthernet1/0/3和GigabitEthernet1/0/4端口為Trunk端口，均允許VLAN100和VLAN200的報(bào)文通過。從這里也可以看出，同一個(gè)VLAN中可以基于多種VLAN劃分方式來添加端口，因?yàn)樵赩LAN 100和VLAN 200中，上一步已通過基于端口VLAN劃分方式添加了gigabitethernet 1/0/13和gigabitethernet 1/0/14兩個(gè)Access端口。而此處添加的了Trunk端口（在SwitchA和SwitchB中還通過基于MAC地址劃分方式添加了Hybird端口）。

[CoreSwitch] interface GigabitEthernet1/0/3

[CoreSwitch-GigabitEthernet1/0/3] port link-type trunk

[CoreSwitch-GigabitEthernet1/0/3] port trunk permit vlan 100 200

[CoreSwitch-GigabitEthernet1/0/3] quit

[CoreSwitch] interface GigabitEthernet1/0/4

[CoreSwitch-GigabitEthernet1/0/4] port link-type trunk

[CoreSwitch-GigabitEthernet1/0/4] port trunk permit vlan 100 200

[CoreSwitch-GigabitEthernet1/0/4] quit