网络设备安装与调试技术 课件 第3章-局域网和虚拟局域网 华三版-03华三篇

第3章

局域网和虚拟局域网编著：

秦燊劳翠金

同一楼层、同一建筑方圆几米到几千米范围之内的计算机通信网络通常称为局域网（LAN）。常见的局域网技术包括以太网Ethernet、令牌环TokenRing、光纤分布式数据接口FDDI等，以太网是一种基于CSMA/CD的共享通信介质的数据网络通信技术，传输速率从早期的10Mbps的标准以太网，发展到了100Mbps的快速以太网、1Gbps的吉比特以太网和10Gbps的万兆以太网，成为局域网技术的主流。3.1冲突域和广播域早期采用同轴电缆或集线器组成的网络属于共享式以太网，网络中的所有终端主机都处于同一冲突域中，网络的带宽是由接入的主机共享的，接入的主机越多，每台主机获得的带宽就越少，冲突发生的频率也越高。采用交换机组成的网络则属于交换式以太网，各端口处于不同冲突域中，各端口可同时转发数据而不引发冲突，提高了转发效率和转发质量。交换机和集线器的冲突域不同，但它们的广播域却类似。不论是交换机还是集线器，它们的端口都处在各自的同一个广播域中。一些不必要的广播帧不但占用网络资源，还影响到网络安全；当有网络设备发生故障，导致广播帧不停发送时，更会导致广播风暴，影响正常的网络通信。因此，有必要按网络规模和需求将广播隔离在必要的范围内。隔离广播的一种方法是物理隔离，即将需要隔离广播的网络分别连接到不同的交换机，交换机再通过路由器连接到一起，实现不同网络的互联。这种情况下，当本地广播包经过路由器时，路由器会将其拦截，实现了对本地广播的隔离。但这种通过引入路由器隔离广播的方法增加了成本；而且中低端路由器采用的是软件转发，转发的性能不高，是高成本、低性能的方案，并不可取。隔离广播的另一种方法是划分虚拟局域网(VLAN)。下面，我们详细学习VLAN的相关知识。3.2虚拟局域网

虚拟局域网（VLAN）技术是从逻辑上将一个局域网（LAN）划分为多个逻辑上独立的虚拟局域网（VLAN），从而达到隔离广播的目的。IEEE802.1q协议规定了VLAN的实现方法，即在传统的不带VLAN标签的数据帧上添加4个字节的802.1Q标签，其中的12比特用于存放VLANID，标识不同的VLAN。12比特的取值范围是0~4095，其中0和4095被保留，能分配给用户使用的VLANID范围是1~4094。

VLAN的类型有基于MAC地址的VLAN、基于IP子网的VLAN、基于协议的VLAN、基于端口的VLAN等。在还没创建新VLAN之前，交换机的所有端口都默认属于VLAN1，VLAN1是默认存在且不能被删除的。下面通过案例来分析VLAN的划分。

3.2.3华三设备配置VLAN

如图3-5所示，在HCL中拖出两台S5820V2交换机和9台PC搭建拓扑。学校一楼和二楼的交换机都连接了信工学院、机电学院和财务处的电脑，两台交换机的g1/0/1-g1/0/9端口划分给信工学院，g1/0/10-g1/0/19端口划分给机电学院，g1/0/20-g1/0/29划分给财务处，楼层间两台交换机的fg1/0/53端口通过交叉线连接。

图3-5楼层间两台华三交换机相连的网络拓扑

1.各电脑的地址依图所示配置。划分vlan前，所有电脑都连接到了VLAN1，测试所有电脑都能互相ping通。

2.为加强安全，避免部门间广播帧的干扰，决定将信工学院保留在VLAN1、机电学院划分到VLAN10、财务处划分到VLAN100。

3.为1楼交换机划分VLAN，将各端口加入到相应VLAN中。命令如下：<H3C>system-view[H3C]sysnameSW1[SW1]vlan1//进入VLAN1配置视图，VLAN1是默认存在且不能被删除的，交换机的所有端口都默认属于VLAN1[SW1-vlan1]namexinGong//将VLAN1命名为xinGong[SW1-vlan1]quit//返回系统视图[SW1]vlan10//创建VLAN10[SW1-vlan10]namejiDian//将VLAN10命名为jiDian[SW1-vlan10]quit[SW1]vlan100[SW1-vlan100]namecaiWu[SW1-vlan100]quit[SW1]interfacerangeGigabitEthernet1/0/1toGigabitEthernet1/0/9//进入批量端口g1/0/1-g1/0/9的端口配置视图[SW1-if-range]portlink-typeaccess//将端口g1/0/1-g1/0/9的类型配置为access，这些端口默认属于VLAN1[SW1-if-range]quit[SW1]interfacerangeGigabitEthernet1/0/10toGigabitEthernet1/0/19//进入批量端口g1/0/10-g1/0/19的端口配置视图[SW1-if-range]portlink-typeaccess//将端口g1/0/10-g1/0/19的类型配置为access[SW1-if-range]portaccessvlan10//将端口g1/0/10-g1/0/19划分给VLAN10[SW1-if-range]quit[SW1]interfacerangeGigabitEthernet1/0/20toGigabitEthernet1/0/29[SW1-if-range]portlink-typeaccess[SW1-if-range]portaccessvlan100[SW1-if-range]quit

4.为2楼交换机划分VLAN，按规划将相应端口加入到相应VLAN中。配置命令与1楼交换机配置命令相同。

5.查看交换机SW2的VLAN信息，命令如下：SW2#displayvlanbrief可以看到用于连接信工学院电脑的g1/0/1-g1/0/9端口属于VLAN1、用于连接一楼交换机的fg1/0/53端口也属于VLAN1等信息。

6.通过在电脑上执行ping测试，检测1楼和2楼间只有属于VLAN1的信工学院电脑能互通，1楼和2楼间机电学院的电脑不能互通，1楼和2楼间财务处的电脑也不能互通。3.3跨交换机的VLAN连接

“划分VLAN”的案例中，一楼和二楼交换机之间通过属于VLAN1的Access类型的端口相连，只有VLAN1的流量通过，其它VLAN的流量无法通过。若要使其它VLAN的流量也能跨越交换机在楼层间传输，需要为每个VLAN都增加一根网线，网线两端的端口都设为Access模式，并把相应端口划分给该VLAN。这样的话，有几个VLAN要跨越交换机传输，交换机间就需要有几根连线。大量VLAN的情况下，这种做法是不现实的。那么，交换机间的一根网线能否同时允许各VLAN通过呢？答案是肯定的。这就需要用到交换机端口的一种称为Trunk的模式了。之前介绍的Access模式的端口只能属于某一个VLAN，只有该VLAN能通过该端口，其它VLAN是无法通过的，这种模式的端口通常用来连接电脑；Trunk模式的端口则可设置成允许部分VLAN或所有VLAN都通过，这种模式的端口通常用于交换机间的互连。3.3.3华三设备配置Trunk1.将一楼交换机SW1的端口fg1/0/53设置为trunk类型,命令如下：[SW1]interfaceFortyGigE1/0/53//进入fg1/0/53端口配置视图[SW1-FortyGigE1/0/53]portlink-typetrunk//将端口fg1/0/53设置为trunk类型[SW1-FortyGigE1/0/53]porttrunkpermitvlanall//允许所有VLAN通过[SW1-FortyGigE1/0/53]quit[SW1]displayporttrunk//查看trunk类型的端口InterfacePVIDVLANPassingFGE1/0/5311,10,100可以看到端口FGE1/0/53的类型为trunk，VLAN1是本征VLAN，允许通过的VLAN有VLAN1、VLAN10和VLAN100。2.二楼交换机的配置和测试与一楼交换机的配置和测试命令一样。3.在电脑上进行ping测试，观察各部门内部的电脑可以跨楼层互通。3.4VLAN同步及动态注册

在多台交换机需要配置相同VLAN信息的网络环境中，可采用VTP、GVRP或MVRP等协议进行交换机间VLAN的同步、简化操作步骤。VTP协议（VLANTrunkProtocol）是思科的私有协议。需要共享和同步VLAN信息的思科交换机可组成一个VTP域（VTPDomain），VTP域中一台交换机上的VLAN创建或修改信息可自动同步到其它交换机上。VLAN信息的同步需要借助Trunk链路传播VTP通告来实现，VTP通告携带32位的修订号（Revision）来代表修订级别，修订号的初始值是0，它会不断增加，新修订号的VLAN信息会覆盖旧修订号的VLAN信息。

与思科VTP协议类似的有IEEE定义的国际标准协议GVRP（GARPVLANRegistrationProtocol，GARPVLAN注册协议）、华为的私有协议VCMP（VLANCentralManagementProtocol，VLAN集中管理协议）等。GVRP是GARP（GenericAttributeRegistrationProtocol，通用属性注册协议）的一个应用，GARP是一个通用协议的模板，用于属性的动态注册和注销，GVRP则用于VLAN信息的动态注册和注销。

与GVRP协议相比，VCMP只能同步VLAN配置，而不能将端口动态地划分到VLAN，即通过VCMP创建的VLAN是静态VLAN，而通过GVRP创建的VLAN是动态VLAN。

GARP的升级版是MRP（MultipleRegistrationProtocol，多属性注册协议），相应的，GVRP的升级版是MVRP（MultipleVLANRegistrationProtocol，多VLAN注册协议）。MVRP可兼容GVRP。3.4.3华三设备配置MVRPGARP的升级版是MRP（MultipleRegistrationProtocol，多属性注册协议），相应的，GVRP的升级版是MVRP（MultipleVLANRegistrationProtocol，多VLAN注册协议）。MVRP可兼容GVRP。如图3-8所示，在HCL中搭建拓扑。图3-8华三交换机配置MVRP的网络拓扑

一、基本配置

1.各PC的地址按拓扑中的规划进行配置。

2.在SW1和SW3上创建VLAN10，将g1/0/1端口加入VLAN10；将交换机间的链路设置为trunk链路，允许所有vlan通过。命令如下：<H3C>system-view//SW1的配置[H3C]sysnameSW1[SW1]vlan10[SW1-vlan10]portGigabitEthernet1/0/1[SW1-vlan10]quit[SW1]interfaceGigabitEthernet1/0/48[SW1-GigabitEthernet1/0/48]portlink-typetrunk[SW1-GigabitEthernet1/0/48]porttrunkpermitvlanall[SW1-GigabitEthernet1/0/48]quit<H3C>system-view//SW2的配置[H3C]sysnameSW2[SW2]interfaceGigabitEthernet1/0/47[SW2-GigabitEthernet1/0/47]portlink-typetrunk[SW2-GigabitEthernet1/0/47]porttrunkpermitvlanall[SW2-GigabitEthernet1/0/47]quit[SW2]interfaceGigabitEthernet1/0/48[SW2-GigabitEthernet1/0/48]portlink-typetrunk[SW2-GigabitEthernet1/0/48]porttrunkpermitvlanall[SW2-GigabitEthernet1/0/48]quit<H3C>system-view//SW3的配置[H3C]sysnameSW3[SW3]vlan10[SW3-vlan10]portGigabitEthernet1/0/1[SW3-vlan10]quit[SW3]interfaceGigabitEthernet1/0/48[SW3-GigabitEthernet1/0/48]portlink-typetrunk[SW3-GigabitEthernet1/0/48]porttrunkpermitvlanall[SW3-GigabitEthernet1/0/48]quit

3.进行跨交换机的属于VLAN10的PC互ping测试，在PC1上ping192.168.1.20，发现无法ping通。

4.查看SW1、SW2、SW3的VLAN信息，命令如下：[SW1]displayvlan//查看SW1的VLAN信息TotalVLANs:2TheVLANsinclude:1(default),10[SW1]displayvlan10Taggedports:GigabitEthernet1/0/48Untaggedports:GigabitEthernet1/0/1[SW2]displayvlan//查看SW2的VLAN信息TotalVLANs:1TheVLANsinclude:1(default)[SW3]displayvlan//查看SW3的VLAN信息TotalVLANs:2TheVLANsinclude:1(default),10[SW3]displayvlan10Taggedports:GigabitEthernet1/0/48Untaggedports:GigabitEthernet1/0/1可以看到，SW1和SW3都有VLAN10，但中间的SW2上没有VLAN10，SW2收到VLAN10的数据帧时，无法找到转发的出端口，故将其丢弃，导致两台PC无法ping通。解决方法是在SW2上增加VLAN10。

二、开启MVRP

1.在各交换机上开启MVRP功能，在Trunk端口上启用MVRP协议，命令如下：[SW1]mvrpglobalenable//SW1的配置[SW1]interfaceGigabitEthernet1/0/48[SW1-GigabitEthernet1/0/48]mvrpenable[SW1-GigabitEthernet1/0/48]quit[SW2]mvrpglobalenable//SW2的配置[SW2]interfacerangeGigabitEthernet1/0/47GigabitEthernet1/0/48[SW2-if-range]mvrpenable[SW2-if-range]quit[SW3]mvrpglobalenable//SW3的配置[SW3]interfaceGigabitEthernet1/0/48[SW3-GigabitEthernet1/0/48]mvrpenable[SW3-GigabitEthernet1/0/48]quit

2.查看SW2上的VLAN信息，命令如下：[SW2]displayvlanTotalVLANs:2TheVLANsinclude:1(default),10[SW2]displayvlandynamicDynamicVLANs:1ThedynamicVLANsinclude:10[SW2]displayvlan10Taggedports:GigabitEthernet1/0/47GigabitEthernet1/0/48Untaggedports:None可以看到，SW2学到了VLAN10，其上的trunk端口g1/0/47和g1/0/48也都将VLAN10列入了允许通行的列表。

3.在PC1上ping192.168.1.20，可以ping通了。原因是SW2上学到了VLAN10，其上的trunk端口g1/0/47和g1/0/48都可以对VLAN10进行转发了。

三、MVRP端口的Nomal模式与GVRP类似，MVRP端口注册模式也分为Normal、Fixed和Forbidden三种。其中Normal模式是缺省模式，Normal模式允许该端口动态注册或注销VLAN、传播动态VLAN和静态VLAN信息。下面观察Nomal模式的注册过程。1.在SW1上创建VLAN20，在SW1、SW2、SW3上查看VLAN信息。命令如下：[SW1]vlan20//在SW1上创建VLAN20[SW1-vlan20]portGigabitEthernet1/0/2[SW1]displayvlan//在SW1上查看VLAN信息TotalVLANs:3TheVLANsinclude:1(default),10,20[SW1]displayvlandynamicNodynamicVLANexists.[SW1]displayporttrunkInterfacePVIDVLANPassingGE1/0/4811,10,20[SW2]displayvlan//在SW2上查看VLAN信息TotalVLANs:3TheVLANsinclude:1(default),10,20[SW2]displayvlandynamicDynamicVLANs:2ThedynamicVLANsinclude:10,20[SW2]displayporttrunkInterfacePVIDVLANPassingGE1/0/4711,10,20GE1/0/4811,10[SW3]displayvlan//在SW3上查看VLAN信息TotalVLANs:3TheVLANsinclude:1(default),10,20[SW3]displayvlandynamicDynamicVLANs:1ThedynamicVLANsinclude:20

[SW3]displayporttrunkInterfacePVIDVLANPassingGE1/0/4811,10,20

可以看到：SW1的g1/0/48、SW2的g1/0/47，SW3的g1/0/48都将VLAN20列入了允许通行VLAN；SW2的g1/0/48没有将VLAN20作为允许通行VLAN。

2.在SW3上创建VLAN20,SW2的g1/0/48作为VLAN声明沿途交换机的入端口，将注册VLAN20，并将该VLAN加入该端口允许通行的VLAN列表中。命令如下：[SW3]vlan20//在SW3上创建VLAN20[SW3-vlan20]portGigabitEthernet1/0/2[SW3-vlan20]quit[SW2]displayporttrunk//在SW2上查看trunk端口信息InterfacePVIDVLANPassingGE1/0/4711,10,20GE1/0/4811,10,20

可以看到，在SW3上创建VLAN20后,SW2的g1/0/48端口学到和注册了该VLAN、并将其加入到了该端口允许通行的VLAN列表中。

四、MVRP端口的fixed注册模式

Fixed模式的端口禁止该端口动态注册或注销VLAN，只传播静态VLAN信息，不传播动态VLAN信息。下面加以验证。

1.将SW1的Trunk端口g1/0/48修改为Fixed注册模式，命令如下：[SW1]interfaceGigabitEthernet1/0/48[SW1-GigabitEthernet1/0/48]mvrpregistrationfixed[SW1-GigabitEthernet1/0/48]quit

2.在SW3上添加VLAN30，命令如下：[SW3]vlan30[SW3-vlan30]quit

3.在SW3、SW2、SW1上查看VLAN信息，命令如下：[SW3]displayvlan//在SW3上查看VLAN信息TotalVLANs:4TheVLANsinclude:1(default),10,20,30[SW2]displayvlan//在SW2上查看VLAN信息TotalVLANs:4TheVLANsinclude:1(default),10,20,30[SW2]displayvlandynamicDynamicVLANs:3ThedynamicVLANsinclude:10,20,30[SW1]displayvlan//在SW1上查看VLAN信息TotalVLANs:3TheVLANsinclude:1(default),10,20[SW1]displayvlandynamicNodynamicVLANexists.

4.查看SW1的MVRP统计信息,命令如下：[SW1]displaymvrprunning-statusRegistrationType:Fixed

5.查看SW1的trunk信息，命令如下：[SW1]displayporttrunkInterfacePVIDVLANPassingGE1/0/4811,10,20可以看到，SW2学到了VLAN30，SW1没有学到VLAN30。这是因为Fixed模式只传播静态VLAN，不传播动态VLAN。

五、MVRP端口的Forbidden注册模式Forbidden模式的端口禁止该端口动态注册或注销VLAN，不传播VLAN1以外的任何的VLAN信息。将SW1的g1/0/48改为Forbidden模式的命令如下：[SW1]interfaceGigabitEthernet1/0/48[SW1-GigabitEthernet1/0/48]mvrpregistrationforbidden3.5Hybrid端口和PrivateVLAN技术

小区宽带采用LAN方式接入时，为了保障接入用户的隐私、安全和便于管理计费，可通过划分VLAN对各接入用户进行隔离，并为每个VLAN分配一个网段，但这样做IP地址消耗过大；另根据IEEE802.1q协议，可用的VLAN数只有4094个，若为每个用户划分一个VLAN，VLAN的数量是远远不够的。

所以需要有技术将一个VLAN再次细分成多个VLAN，对上层屏蔽下层的VLAN，让接入层的VLAN对运营商屏蔽，让运营商只看到汇聚层的VLAN。同时，让上层主端口的VLANIF地址和下层各从端口所连接电脑的地址处于同一网段，以节省地址空间。

Hybrid端口技术、PrivateVLAN（PVLAN，专用虚拟局域网）技术、MultiplexVLAN（MUX，复合VLAN）技术等，都能较好的实现相关功能。3.5.2华三交换机配置PrivateVLAN

Hybrid也是华三交换机的私有端口类型，通过PrivateVLAN技术可对华三交换机的端口执行Hybrid批处理。

在HCL中搭建如图3-10所示拓扑，通过PrivateVLAN技术实现既让PC1和PC2二层隔离，又让PC1和PC2都能访问SW2。配置完成后可查看配置文件，观察华三PrivateVLAN技术与端口Hybrid批处理的关系。图中标注的Hybrid端口信息是PrivateVLAN执行批处理的结果。图3-10华三交换机配置PrivateVLAN的网络拓扑

1.在SW1上配置PrivateVLAN，命令如下：<H3C>system-view[H3C]sysnameSW1[SW1]vlan2to3[SW1]vlan10[SW1-vlan10]private-vlanprimary//将VLAN10的类型配置为Primary[SW1-vlan10]private-vlansecondary23//将VLAN2和VLAN3的类型配置为Secondary。完成以上配置后，“SecondaryVLAN2和3”与“PrimaryVLAN10”建立了映射关系。SecondaryVLAN与PrimaryVLAN能互访，SecondaryVLAN之间互相隔离、不能互访。[SW1-vlan10]quit[SW1]interfaceGigabitEthernet1/0/3[SW1-GigabitEthernet1/0/3]portprivate-vlan10promiscuous//参数promiscuous的作用是将端口配置成上行端口（位于上层）。本命令执行的批处理是将本端口设置为Hybrid端口，端口的本征VLAN设置为VLAN10。允许通过的VLAN包括VLAN10、VLAN2和VLAN3，并且是去掉标签后不带标签通过。即PrimaryVLAN10和SecondaryVLAN2、VLAN3都作为Hybrid端口G1/0/3的UntaggedVLAN。当上行端口只对应一个PrimaryVLAN时使用promiscuous模式，当上行端口对应多个PrimaryVLAN时使用trunkpromiscuous模式。此处g1/0/3只对应一个PrimaryVLAN，所以使用promiscuous模式。[SW1-GigabitEthernet1/0/3]quit[SW1]intGigabitEthernet1/0/1[SW1-GigabitEthernet1/0/1]portaccessvlan2[SW1-GigabitEthernet1/0/1]portprivate-vlanhost//参数host的作用是将端口配置成下行端口（位于下层）。本命令执行的批处理是将本端口设置为Hybrid端口，端口的本征VLAN设置为VLAN2。允许通过的VLAN包括VLAN10和VLAN2，并且是去掉标签后不带标签通过。即SecondaryVLAN2和对应的PrimaryVLAN10作为Hybrid端口G1/0/1的UntaggedVLAN。当下行端口只对应一个SecondaryVLAN时使用host模式，当下行端口对应多个SecondaryVLAN时使用trunkhost模式。此处g1/0/1只对应一个SecondaryVLAN，所以使用host模式。[SW1-GigabitEthernet1/0/1]quit

[SW1]intGigabitEthernet1/0/2[SW1-GigabitEthernet1/0/2]portaccessvlan3[SW1-GigabitEthernet1/0/2]portprivate-vlanhost//参数host的作用是将端口配置成下行端口（位于下层）。本命令执行的批处理是将本端口设置为Hybrid端口，端口的本征VLAN设置为VLAN3。允许通过的VLAN包括VLAN10和VLAN3，并且是去掉标签后不带标签通过。即SecondaryVLAN3和对应的PrimaryVLAN10作为Hybrid端口G1/0/1的UntaggedVLAN。[SW1-GigabitEthernet1/0/2]quit

2.查看配置完PrivateVLAN后交换机自动执行的批处理结果。命令如下:[SW1]dispcurrent-configurationinterfaceGigabitEthernet1/0/1portlink-typehybridundoporthybridvlan1porthybridvlan210untaggedporthybridpvidvlan2portprivate-vlanhostinterfaceGigabitEthernet1/0/2portlink-typehybridundoporthybridvlan1porthybridvlan310untaggedporthybridpvidvlan3portprivate-vlanhostinterfaceGigabitEthernet1/0/3portlink-typehybridundoporthybridvlan1porthybridvlan2to310untaggedporthybridpvidvlan10portprivate-vlan10promiscuous

3.查看PrimaryVLAN和SecondaryVLAN的映射关系,命令如下：[SW1]displ