局域網(wǎng)協(xié)議-MAC VLAN典型配置舉例-D

1、，局域網(wǎng)協(xié)議-MAC VLAN典型配置舉例MAC VLAN 配置舉例杭州華三通信技術(shù)有限公司第 PAGE 18頁(yè)，共18頁(yè) HYPERLINK / MAC VLAN 配置舉例關(guān)鍵詞：MAC VLAN、802.1X縮略語(yǔ)英文全名中文解釋MAC VLANMAC address-based VLAN基于 MAC 地址的 VLAN，一種根據(jù)報(bào)文的源 MAC 地址來(lái)確定untagged 報(bào)文所屬 VLAN 的劃分方法802.1X802.1X802.1X 協(xié)議是一種基于端口的網(wǎng)絡(luò)接入控制協(xié)議（port based network access control protocol）。“基于端口的網(wǎng)絡(luò)接入控制”

2、是指在局域網(wǎng)接入設(shè)備的端口這一級(jí)對(duì)所接入的用戶設(shè)備進(jìn)行認(rèn)證和控制。連接在端口上的用戶設(shè)備如果能通過認(rèn)證，就可以訪問局域網(wǎng)中的資源；如果不能通過認(rèn)證，則無(wú)法訪問局域網(wǎng)中的資源摘 要：本文介紹了基于 MAC 劃分 VLAN（以下簡(jiǎn)稱 MAC VLAN）的典型應(yīng)用及其配置。縮略語(yǔ)：目 錄 HYPERLINK l _bookmark0 特性簡(jiǎn)介 HYPERLINK l _bookmark0 3 HYPERLINK l _bookmark0 使用場(chǎng)合 HYPERLINK l _bookmark0 3 HYPERLINK l _bookmark0 注意事項(xiàng) HYPERLINK l _bookmark0 3

3、 HYPERLINK l _bookmark1 靜態(tài)配置舉例 HYPERLINK l _bookmark1 4 HYPERLINK l _bookmark1 組網(wǎng)需求 HYPERLINK l _bookmark1 4 HYPERLINK l _bookmark1 使用版本 HYPERLINK l _bookmark1 4 HYPERLINK l _bookmark1 配置思路 HYPERLINK l _bookmark1 4 HYPERLINK l _bookmark2 配置步驟 HYPERLINK l _bookmark2 5 HYPERLINK l _bookmark2 SwitchA的配

4、置 HYPERLINK l _bookmark2 5 HYPERLINK l _bookmark3 SwitchB的配置 HYPERLINK l _bookmark3 6 HYPERLINK l _bookmark3 Core Switch的配置 HYPERLINK l _bookmark3 6 HYPERLINK l _bookmark4 驗(yàn)證結(jié)果 HYPERLINK l _bookmark4 7 HYPERLINK l _bookmark4 動(dòng)態(tài)配置舉例 HYPERLINK l _bookmark4 7 HYPERLINK l _bookmark4 組網(wǎng)需求 HYPERLINK l _bo

5、okmark4 7 HYPERLINK l _bookmark5 使用版本 HYPERLINK l _bookmark5 8 HYPERLINK l _bookmark6 配置思路 HYPERLINK l _bookmark6 9 HYPERLINK l _bookmark6 配置步驟 HYPERLINK l _bookmark6 9 HYPERLINK l _bookmark6 Host A的配置 HYPERLINK l _bookmark6 9 HYPERLINK l _bookmark7 Host B的配置 HYPERLINK l _bookmark7 10 HYPERLINK l _b

6、ookmark7 Host C的配置 HYPERLINK l _bookmark7 10 HYPERLINK l _bookmark8 Switch的配置 HYPERLINK l _bookmark8 11 HYPERLINK l _bookmark9 Device的配置 HYPERLINK l _bookmark9 13 HYPERLINK l _bookmark10 RADIUS server的配置 HYPERLINK l _bookmark10 14 HYPERLINK l _bookmark11 驗(yàn)證結(jié)果 HYPERLINK l _bookmark11 17 HYPERLINK l _

7、bookmark11 相關(guān)資料 HYPERLINK l _bookmark11 17特性簡(jiǎn)介MAC VLAN 是一種基于 MAC 地址來(lái)劃分 VLAN 的方式。當(dāng)端口收到一個(gè) untagged 報(bào)文后，設(shè)備將以報(bào)文的源 MAC 地址為匹配關(guān)鍵字，通過查找 MAC VLAN 表項(xiàng)來(lái)獲知該終端綁定的 VLAN， 從而實(shí)現(xiàn)將指定終端的報(bào)文在指定 VLAN 中轉(zhuǎn)發(fā)。該方式能夠精確、靈活的實(shí)現(xiàn)用戶終端與VLAN 的綁定。MAC VLAN 表項(xiàng)有兩種生成方式：靜態(tài)配置和動(dòng)態(tài)配置。靜態(tài)配置：通過命令行將終端的 MAC 地址和 VLAN 進(jìn)行綁定，生成一條 MAC VLAN 表項(xiàng)。動(dòng)態(tài)配置：和基于 MAC 的

8、接入認(rèn)證方式（比如 MAC 地址認(rèn)證或者基于 MAC 的 802.1X 認(rèn)證）聯(lián)合使用。如果用戶發(fā)起認(rèn)證請(qǐng)求，認(rèn)證服務(wù)器會(huì)對(duì)認(rèn)證用戶名和密碼進(jìn)行驗(yàn)證，如果通過，則會(huì)下發(fā) VLAN 信息。此時(shí)設(shè)備就可根據(jù)認(rèn)證請(qǐng)求報(bào)文的源 MAC 地址和下發(fā)的VLAN 信息生成 MAC VLAN 表項(xiàng)，并自動(dòng)將 MAC VLAN 添加到端口允許通過的 untagged VLAN 列表中。用戶下線后，設(shè)備又自動(dòng)刪除 MAC VLAN 表項(xiàng)，并將 MAC VLAN 從端口允許通過的 VLAN 列表中刪除。使用場(chǎng)合移動(dòng)或者無(wú)線接入的組網(wǎng)環(huán)境中，用戶接入 VLAN 固定，但是接入端口不固定。要求用戶使用接入設(shè)備的任何端口

9、接入網(wǎng)絡(luò)時(shí)，均能劃分到同一 VLAN。注意事項(xiàng)MAC VLAN 只能在 Hybrid 端口使能，所以在使能 MAC VLAN 前，請(qǐng)將端口的鏈路類型配置為 hybrid。MAC VLAN 有靜態(tài)配置和動(dòng)態(tài)配置兩種方式，但是同一 MAC 地址只能綁定一個(gè) VLAN。因此，如果已進(jìn)行了靜態(tài)配置，而動(dòng)態(tài)下發(fā)的綁定關(guān)系與靜態(tài)配置不一致，則動(dòng)態(tài)下發(fā)失敗， 用戶不能通過認(rèn)證；反之，如果動(dòng)態(tài)下發(fā)已生效，而靜態(tài)配置與動(dòng)態(tài)下發(fā)的不一致，則靜態(tài)配置失敗。采用動(dòng)態(tài)方式配置 MAC VLAN 時(shí)需要基于 MAC 地址的 AAA 遠(yuǎn)程認(rèn)證的配合，網(wǎng)絡(luò)中需要部署 AAA 認(rèn)證服務(wù)器，服務(wù)器必須能夠下發(fā) VLAN。MAC

10、VLAN 的配置會(huì)影響聚合成員端口的選中狀態(tài)，所以，建議不要在聚合成員端口上配置MAC VLAN 功能。靜態(tài)配置舉例組網(wǎng)需求如 HYPERLINK l _bookmark1 圖 1所示，SwitchA和SwitchB的GigabitEthernet1/1 端口分別連接到兩個(gè)會(huì)議室，Laptop1 和Laptop2 是會(huì)議用筆記本電腦，會(huì)在兩個(gè)會(huì)議室間移動(dòng)使用。Laptop1 屬于部門 1，Laptop2 屬于部門 2。兩個(gè)部門間使用 VLAN 100 和 VLAN 200 進(jìn)行隔離。現(xiàn)要求這兩臺(tái)筆記本電腦無(wú)論在哪個(gè)會(huì)議室使用，均只能訪問自己部門的服務(wù)器，即Server1 和 Server2。L

11、aptop1 和 Laptop2 的 MAC 地址分別為 000d-88f8-4e71、0014-222c-aa69。圖1 MAC VLAN 靜態(tài)配置組網(wǎng)圖VLAN 100Server1 IP: /24VLAN 200Server2 IP: /24GE1/13GE1/14GE1/3Core switchGE1/4GE1/2GE1/2SwitchAGE1/1SwitchBGE1/1VLAN 100VLAN 200Laptop1 IP: /24MAC: 000d-88f8-4e71Laptop2 IP: /24MAC: 0014-222c-aa69使用版本本舉例是在 COMWAREV500R002

12、B74D001 版本上進(jìn)行配置和驗(yàn)證的。配置思路兩臺(tái)終端使用同一端口接入公司網(wǎng)絡(luò)，但是需要?jiǎng)澐值讲煌?VLAN。所以本案例基于 MAC來(lái)劃分 VLAN，而不能基于端口來(lái)劃分 VLAN。因?yàn)楸景咐兄挥袃蓚€(gè)接入終端，而且終端的 MAC 地址已知，接入時(shí)不需要認(rèn)證，所以采用靜態(tài)配置的方式來(lái)劃分 MAC VLAN。配置步驟以下配置均是在實(shí)驗(yàn)室環(huán)境下進(jìn)行的配置和驗(yàn)證，配置前設(shè)備的所有參數(shù)均采用出廠時(shí)的缺省配置。如果您已經(jīng)對(duì)設(shè)備進(jìn)行了配置，為了保證配置效果，請(qǐng)確認(rèn)現(xiàn)有配置和以下配置不沖突。SwitchA 的配置配置步驟# 創(chuàng)建 VLAN 100 和 VLAN 200。 system-view Switc

13、hA vlan 100 SwitchA-vlan100 quit SwitchA vlan 200 SwitchA-vlan200 quit# 創(chuàng)建 Laptop1 的 MAC 地址與 VLAN 100 的關(guān)聯(lián)，創(chuàng)建 Laptop2 的 MAC 地址與 VLAN 200 的關(guān)聯(lián)。SwitchA mac-vlan mac-address 000d-88f8-4e71 vlan 100 SwitchA mac-vlan mac-address 0014-222c-aa69 vlan 200# 配置終端的接入端口： Laptop1 和 Laptop2 均可能從 GigabitEthernet1/1

14、接入，將GigabitEthernet1/1 的端口類型配置為 Hybrid，并使其在發(fā)送 VLAN 100 和 VLAN 200 的報(bào)文時(shí)去掉 VLAN Tag；開啟 GigabitEthernet1/1 端口的 MAC-VLAN 功能。SwitchA interface GigabitEthernet 1/1SwitchA-GigabitEthernet1/1 port link-type hybrid SwitchA-GigabitEthernet1/1 mac-vlan trigger enable SwitchA-GigabitEthernet1/1 mac-vlan enable

15、SwitchA-GigabitEthernet1/1 quit# 為了終端能夠訪問 Server1 和 Server2，需要將上行端口 GigabitEthernet1/2 的端口類型配置為Trunk，并允許 VLAN 100 和 VLAN 200 的報(bào)文通過。SwitchA interface GigabitEthernet1/2SwitchA-GigabitEthernet1/2 port link-type trunkSwitchA-GigabitEthernet1/2 port trunk permit vlan 100 200 SwitchA-GigabitEthernet1/2 q

16、uit配置文件#mac-vlan mac-address 000d-88f8-4e71 vlan 100 priority 0 mac-vlan mac-address 0014-222c-aa69 vlan 200 priority 0#vlan 100#vlan 200 #interface GigabitEthernet1/1 port link-mode bridgeport link-type hybrid mac-vlan enablemac-vlan trigger enable #interface GigabitEthernet1/2 port link-mode bridg

17、eport link-type trunkport trunk permit vlan 1 100 200SwitchB 的配置SwitchB 的配置與 SwitchA 完全一致，這里不再贅述。Core Switch 的配置配置步驟# 創(chuàng)建 VLAN 100 和 VLAN 200，并將 GigabitEthernet1/13 加入 VLAN 100，GigabitEthernet1/14加入 VLAN 200。 system-view CoreSwitch vlan 100CoreSwitch-vlan100 port gigabitethernet 1/13 CoreSwitch-vlan1

18、00 quitCoreSwitch vlan 200CoreSwitch-vlan200 port gigabitethernet 1/14 CoreSwitch-vlan200 quit# 配置 GigabitEthernet1/3 和 GigabitEthernet1/4 端口為 Trunk 端口，均允許 VLAN 100 和 VLAN 200 的報(bào)文通過。CoreSwitch interface gigabitethernet 1/3 CoreSwitch-GigabitEthernet1/3 port link-type trunkCoreSwitch-GigabitEthernet1

19、/3 port trunk permit vlan 100 200 CoreSwitch-GigabitEthernet1/3 quitCoreSwitch interface gigabitethernet 1/4 CoreSwitch-GigabitEthernet1/4 port link-type trunkCoreSwitch-GigabitEthernet1/4 port trunk permit vlan 100 200 CoreSwitch-GigabitEthernet1/4 quit配置文件#vlan 100 #vlan 200 #interface GigabitEthe

20、rnet1/3 port link-mode bridgeport link-type trunkport trunk permit vlan 1 100 200 #interface GigabitEthernet1/4 port link-mode bridgeport link-type trunkport trunk permit vlan 1 100 200 #interface GigabitEthernet1/13 port link-mode bridgeport access vlan 100 #interface GigabitEthernet1/14 port link-

21、mode bridgeport access vlan 200驗(yàn)證結(jié)果Laptop1 只能訪問 Server1，不能訪問 Server2；Laptop2 只能訪問 Server2，不能訪問Server1。在 SwitchA 和 SwitchB 上可以查看到 Laptop1 和 VLAN 100、Laptop2 和 VLAN 200 的靜態(tài)MAC VLAN 地址表項(xiàng)已經(jīng)生成。SwitchA display mac-vlan allThe following MAC VLAN addresses exist:S:StaticD:DynamicMAC ADDRMASKVLAN IDPRIOSTATE

22、000d-88f8-4e71ffff-ffff-ffff1000S0014-222c-aa69ffff-ffff-ffff2000STotal MAC VLAN address count:2動(dòng)態(tài)配置舉例組網(wǎng)需求某公司為了實(shí)現(xiàn)通信安全以及隔離廣播報(bào)文，給不同的部門指定了不同的 VLAN。銷售部屬于 VLAN 2；技術(shù)支持部屬于 VLAN 3；研發(fā)部屬于 VLAN 4。Meeting room為員工提供了臨時(shí)辦公場(chǎng)所。終端可以通過Switch的任意端口接入公司網(wǎng)絡(luò)， 但接入后只能劃分到自己部門所在的VLAN。如 HYPERLINK l _bookmark5 圖 2所示，Host A、Host B

23、、Host C分別歸屬于VLAN 2、VLAN 3、VLAN 4。為了通信安全，終端必須通過 802.1X 認(rèn)證后才能接入網(wǎng)絡(luò)。圖2 MAC VLAN 動(dòng)態(tài)配置組網(wǎng)圖銷售部VLAN 2RADIUS server5/24技術(shù)支持部VLAN 3Eth1/2Eth1/1 6/24Eth1/3研發(fā)部VLAN 4Eth1/4IP networkEth1/5DeviceVlan-int2: /24 Vlan-int3: /24 Vlan-int4: /24Meeting roomEth1/5SwitchEth1/2Eth1/4Eth1/3VLAN 2VLAN 4VLAN 3Host A IP: /24Ga

24、teway: Host B IP: /24Gateway: Host C IP: /24Gateway: 使用版本本舉例中：Switch 和 Device 設(shè)備使用的是 COMWAREV500R002B74D001 版本。iMC使用的版本信息如 HYPERLINK l _bookmark6 圖 3所示。圖3 iMC 版本信息配置思路因?yàn)榻K端可能使用同一端口接入公司網(wǎng)絡(luò)，但是需要?jiǎng)澐值讲煌?VLAN。所以本案例基于MAC 來(lái)劃分VLAN，而不能基于端口來(lái)劃分 VLAN。因?yàn)楸景咐尤虢K端的 MAC 地址未知，而且要求進(jìn)行 802.1X 接入認(rèn)證，所以采用動(dòng)態(tài)配置的方式來(lái)劃分 MAC VLAN。配

25、置步驟以下配置均是在實(shí)驗(yàn)室環(huán)境下進(jìn)行的配置和驗(yàn)證，配置前設(shè)備的所有參數(shù)均采用出廠時(shí)的缺省配置。如果您已經(jīng)對(duì)設(shè)備進(jìn)行了配置，為了保證配置效果，請(qǐng)確認(rèn)現(xiàn)有配置和以下配置不沖突。Host A 的配置# 在 PC 機(jī)上安裝 H3C iNode 智能管理客戶端。# 在 iNode 上創(chuàng)建一個(gè)新連接，選擇接入認(rèn)證協(xié)議類型為 802.1X，選擇連接類型為普通連接，用戶名為 UserA，密碼為 aaa。# 將 PC 的 IP 地址設(shè)定為 （也可以通過 DHCP server 動(dòng)態(tài)分配，/24 網(wǎng)段即可）， 子網(wǎng)掩碼設(shè)定為 ，默認(rèn)網(wǎng)關(guān)的 IP 地址為 /24。Host B 的配置# 在 PC 機(jī)上安裝 H3C

26、iNode 智能管理客戶端。# 在 iNode 上創(chuàng)建一個(gè)新連接，選擇接入認(rèn)證協(xié)議類型為 802.1X，選擇連接類型為普通連接，用戶名為 UserB，密碼為 bbb。# 將 PC 的 IP 地址設(shè)定為 （也可以通過 DHCP server 動(dòng)態(tài)分配，/24 網(wǎng)段即可）， 子網(wǎng)掩碼設(shè)定為 ，默認(rèn)網(wǎng)關(guān)的 IP 地址為 /24。Host C 的配置# 在 PC 機(jī)上安裝 H3C iNode 智能管理客戶端。# 在 iNode 上創(chuàng)建一個(gè)新連接，選擇接入認(rèn)證協(xié)議類型為 802.1X，選擇連接類型為普通連接，用戶名為 UserC，密碼為 ccc。# 將 PC 的 IP 地址設(shè)定為 （也可以通過 DHCP

27、 server 動(dòng)態(tài)分配，/24 網(wǎng)段即可）， 子網(wǎng)掩碼設(shè)定為 ，默認(rèn)網(wǎng)關(guān)的 IP 地址為 /24。Switch 的配置配置步驟配置 AAA 認(rèn)證、授權(quán)。# 創(chuàng)建 RADIUS 認(rèn)證方案 macvlan，指定認(rèn)證和計(jì)費(fèi)服務(wù)器的 IP 地址均為 5，密鑰均為 expert（該參數(shù)需要和 iMC 服務(wù)器上的配置保持一致），認(rèn)證時(shí)不需要攜帶域名。 system-viewSwitch radius scheme macvlan New Radius schemeSwitch-radius-macvlan server-type extendedSwitch-radius-macvlan primary

28、 authentication 5 Switch-radius-macvlan primary accounting 5 Switch-radius-macvlan key authentication expertSwitch-radius-macvlan key accounting expertSwitch-radius-macvlan user-name-format without-domain Switch-radius-macvlan quit# 配置域參數(shù)。因?yàn)樗杏脩羯暇€都需要進(jìn)行認(rèn)證，所以直接使用缺省域 system，在 system 下進(jìn)行配置。Switch domain

29、 systemSwitch-isp-system authentication lan-access radius-scheme macvlan Switch-isp-system authorization lan-access radius-scheme macvlan Switch-isp-system accounting lan-access radius-scheme macvlan Switch-isp-system quit配置 802.1X 功能。# 全局使能 802.1X 功能。Switch undo port-security enable Switch dot1x802

30、.1X is enabled globally.# 使能接口 Ethernet1/2、Ethernet1/3 和 Ethernet1/4 的 802.1X 功能。Switch dot1x interface ethernet 1/2 to ethernet 1/4 802.1x is enabled on port Ethernet1/2.802.1x is enabled on port Ethernet1/3. 802.1x is enabled on port Ethernet1/4.配置 MAC VLAN# 分別在端口 Ethernet1/2 、Ethernet1/3 和 Ethern

31、et1/4 下進(jìn)行如下配置： 端口類型配置為Hybrid，使能 MAC VLAN 功能。Switch interface ethernet 1/2Switch-Ethernet1/2 port link-type hybrid Switch-Ethernet1/2 mac-vlan enable Switch-Ethernet1/2 quitSwitch interface ethernet 1/3Switch-Ethernet1/3 port link-type hybridSwitch-Ethernet1/3 mac-vlan enable Switch-Ethernet1/3 quitS

32、witch interface ethernet 1/4Switch-Ethernet1/4 port link-type hybrid Switch-Ethernet1/4 mac-vlan enable Switch-Ethernet1/4 quit# 將端口 Ethernet1/5 的端口類型配置為 Trunk，允許 VLAN 2、VLAN 3 和 VLAN 4 通過。Switch interface ethernet 1/5Switch-Ethernet1/5 port link-type trunkSwitch-Ethernet1/5 port trunk permit vlan 2

33、 to 4 Please wait. Done.Switch-Ethernet1/5 quit配置文件#dot1x #radius scheme macvlan server-type extendedprimary authentication 5primary accounting 5 key authentication expertkey accounting expertuser-name-format without-domain #domain systemauthentication lan-access radius-scheme macvlan authorization

34、lan-access radius-scheme macvlan accounting lan-access radius-scheme macvlan#interface Ethernet1/2 port link-type hybridport hybrid vlan 1 untagged mac-vlan enabledot1x #interface Ethernet1/3 port link-type hybridport hybrid vlan 1 untagged mac-vlan enabledot1x #interface Ethernet1/4 port link-type

35、hybridport hybrid vlan 1 untaggedmac-vlan enable dot1x#interface Ethernet1/5 port link-type trunkport trunk permit vlan 1 to 4Device 的配置配置步驟# Ethernet1/1 是一個(gè)三層接口用于認(rèn)證服務(wù)器的接入，IP 地址為 6。 system-viewDevice interface Ethernet 1/1Device-Ethernet1/1 ip address 6 24 Device-Ethernet1/1 quit# Ethernet1/2 用于銷售部的

36、接入，屬于 VLAN 2；Ethernet1/3 用于技術(shù)支持部的接入，屬于VLAN 3；Ethernet1/4 用于研發(fā)部的接入，屬于 VLAN 4。Device vlan 2Device-vlan2 port ethernet 1/2 Device-vlan2 vlan 3Device-vlan3 port ethernet 1/3 Device-vlan3 vlan 4Device-vlan4 port ethernet 1/4 Device-vlan4 quit# 創(chuàng)建Vlan-interface2、Vlan-interface3 和Vlan-interface4，并分別配置IP地址（

37、如 HYPERLINK l _bookmark5 圖 2所示）， 用于實(shí)現(xiàn)不同VLAN之間報(bào)文的三層互通。Device interface vlan-interface 2Device-Vlan-interface2 ip address 24 Device-Vlan-interface2 interface vlan-interface 3 Device-Vlan-interface3 ip address 24 Device-Vlan-interface3 interface vlan-interface 4 Device-Vlan-interface4 ip address 24 Dev

38、ice-Vlan-interface4 quit# 將端口 Ethernet1/5 的端口類型配置為 Trunk，允許 VLAN 2、VLAN 3 和 VLAN 4 通過。Switch interface ethernet 1/5Switch-Ethernet1/5 port link-type trunkSwitch-Ethernet1/5 port trunk permit vlan 2 to 4 Please wait. Done.Switch-Ethernet1/5 quit配置文件#vlan 2 to 4 #interface Vlan-interface2ip address #i

39、nterface Vlan-interface3ip address #interface Vlan-interface4ip address #interface Ethernet1/1ip address 6 #interface Ethernet1/2 port access vlan 2#interface Ethernet1/3 port access vlan 3#interface Ethernet1/4 port access vlan 4#interface Ethernet1/5 port link-type trunkport trunk permit vlan 1 to 4RADIUS server 的配置增加接入設(shè)備選擇“業(yè)務(wù)”頁(yè)簽。單擊接