大家好，又见面了，我是你们的朋友全栈君。如果您正在找激活码,请点击查看最新教程,关注关注公众号 “全栈程序员社区” 获取激活教程,可能之前旧版本教程已经失效.最新Idea2022.1教程亲测有效,一键激活。
Jetbrains全系列IDE使用 1年只要46元 售后保障 童叟无欺
无论如何，不许退缩，不许不努力，决不许放弃！
作为一名资深工程师，你会用这些的高级 VLAN 特性么？
VLAN特性 映射、聚合、MUX VLAN、QinQ；DHCP，DHCP中继，NAT，ACL。
一、VLAN聚合
聚合VLAN产生的背景：
不同VLAN隔离二层通信（主要目的划分广播域），为了实现互通需要借助三层通信，这样每个VLAN都属于一个子网，需要自己的IP子网和网关，随着网络中VLAN数量的增加，IP子网也会剧增，但是实际每个子网不会被完全利用，这样会有大量的IP地址浪费；另外每个子网都需要自己的网络号，网关，子网广播地址都不能用做主机的IP地址，这些地址也会被浪费掉。
1、通信特点：
VLAN聚合定义了两层VLAN：Super-VLAN和Sub-VLAN； 每个Sub-VLAN是一个广播域；Super-VLAN是Sub-VLAN的上级VLAN，一个Super-VLAN可以和多个Sub-VLAN关联。给Super-VLAN定义IP子网与配属网关，这样这些Sub-VLAN就可以共享一个网关地址，减少了子网号和子网广播地址，而每个Sub-VLAN作为一个独立的广播域实现了广播隔离，需要三层通信去由Super-VLAN的网关地址来单播转发。
2、成员角色：
（1）Super-VLAN——聚合VLAN（超级VLAN）
① 一个SW可以创建多个Super-VLAN；一个聚合VLAN可以关联多个子VLAN，为这些Sub-VLAN提供三层（VLANIF）接口，保证Sub-VLAN之间及与外网的通信。
② Super-VLAN不属于任何物理接口（即Super-VLAN下不允许划分物理接口）；
③ Super-VLANIF接口的状态是否UP取决于其下属的Sub-VLAN下的物理接口是否存在UP（只要有一个Sub-VLAN拥有UP状态的物理接口既能保证Super-VLANIF的UP）
（2）Sub-VLAN———子VLAN
① Sub-VLAN所属的物理接口为终端设备提供接入（可以理解为就是普通的VLAN）
② Sub-VLAN不能创建VLANIF接口，只用来对用户进行二层隔离（划分广播域）
③ 同一个Super-VLAN内的Sub-VLAN子网应该一致，由Super-VLAN提供网关服务。
3、通信规则：
（1）Sub-VLAN与其他设备的二层通信
不同设备同Sub-VLAN间二层通信时只封装或者携带Sub-VLAN所属的VLAN标签
（2）Sub-VLAN之间通信
同一个Super-VLAN内的Sub-VLAN子网一致，这样这些Sub-VLAN内的成员通信时不会通过网关转发数据，这些接入成员会自行发送
ARP包请求目标的MAC地址，但是每个Sub-VLAN就是一个广播域，所以子网内成员的广播包在不同Sub-VLAN之间是无法传递的。
解决方法：
在Super-VLAN开启ARP代理功能，由Super-VLANIF接口代替Sub-VLAN成员请求或者回复同子网内的ARP信息。
（3）Sub-VLAN三层通信
Sub-VLAN子网成员需要跨网段访问目标时，会请求子网网关的MAC地址，Super-VLANIF接口可以和任何一个Sub-VLAN成员通信，所以会
响应子网成员的地址请求信息。
解决方法：
在Super-VLAN上开启VLANIF接口，配置子网网关地址即可。
端口隔离是SW设备的阻止本地端口发送的报文到达其他端口，不受网络协议层的限制（二层VLAN，三层-IP网段等）；在本地限制指定端口的数据发往特定端口的功能。
4、单向端口隔离
配置单向端口隔离后，此接口不能访问指定接口，指定接口可以访问此接口，其他接口不受限制。
[SW-1]int G0/0/1
[SW-1-GigabitEthernet0/0/1]am isolate G0/0/2 //本接口G0/0/1针对G0/0/2做单向隔离
（1）本G0/0/1接口发往G0/0/2接口的数据受到限制
（2）G0/0/2接口的数据任然可以正常到达G0/0/1接口
（3）他接口与G0/0/1不受任何限制，正常交互。
5、端口隔离组
（1）同一个隔离组内的成员不可以互相通信
（2）不同隔离组之间的成员可以互相通信
（3）非隔离组接口可以和隔离组内成员互相通信
注意： Super-VLAN内不允许存在物理成员；网关地址只需配置在Super-VLANIF接口即可。
二、MUX VLAN
1、通信特点
利用VLAN来控制网络资源访问的技术；MUX VLAN定义了两级VLAN ，Principal VLAN（主VLAN）和Subordinate VLAN 和Subordinate VLAN(从VLAN)；对主vlan的通信不受限制；通过对从vlan进行控制或者隔离。
2、通信规则
（1）角色：Principal Port—-主端口
互通： 主端口可以和同一个集合的MUX VLAN内所有的成员互相通信
不通：无
（2）角色：Group Port——-组端口
互通：可以和主端口互相通信；可以和同一组VLAN内成员通信；可以跨设备和同一组VLAN内成员通信。
不通：不能和隔离端口成员通信；不能和其他组vlan 成员通信
（3）角色：Separate Port—–隔离端口
互通：可以和主端口互相通信；可以跨设备和同一Separate VLAN（隔离vlan）内成员通信。
不通：不能和隔离端口成员通信；不能和其他组vlan 成员通信
3、成员角色：
（1）Principal VLAN（主VLAN ）
一个SW可以创建多个主VLAN ；
一个主VLAN可以关联多个从VLAN
Principal Port 主VLAN所属的端口
（2）Subordinate VLAN（从VLAN）
Separate VLAN 隔离型VLAN：一个MUX VLAN内只能有一个隔离型VLAN。
Separate Port 隔离端口
Group VLAN 互通型VLAN：一个MUX VLAN可以有多个互通型VLAN
Group VLAN 互通端口
4、三层互通
（1）在主VLAN上开启VLAN IF接口配置网关，为所有的从VLAN成员提供跨网段服务
（2）主VLAN的access成员接入网关设备
5、注意
MUX vlan的vlan成员不能在加入聚合vlan
MUX vlan的主vlan不支持VLANIF—-只能添加路由设备，把路由设备接入进主vlan所属的端口
MUX VLAN本地有效在多台SW使用此特性的时请在所有的SW上都配置相同的配置
一个MUX vlan组只能有一个主vlan ，只能有一个隔离vlan，可以有多个互通vlan；一台SW可以创建多个MUX-vlan组
三、QinQ
1、基本QinQ
通信特点：
① 基本QinQ基于端口实现。当SW的接口类型被配置为dot1q-tunnel模式后，该端口收到的报文，不论是否带有VLAN标签，都会为该数据打上本端口的缺省VLAN标签。
② 基本QinQ配置简单，但是不能灵活地为用户或业务选取外层VLAN标签。
2、灵活QinQ
通信特点：
① 灵活QinQ可以为不同的数据流打上不同的外层标签（可以通过用户数据的vlan标签及802.1q优先级封装不同标签。）
② 基本QinQ配置简单，但是不能灵活地为用户或业务选取外层VLAN标签。
注意：进行QinQ的SW上无需存在用户的VLAN也可以放行用户标签的数据，只需做好对用户数据的新标签封装的VLAN存在即可（及vlan 10为用户，vlan 100为新qinq的vlan。只需在qinq的SW上创建VLAN–100即可）
作用： 使得相同或者不同VLAN之间的用户实穿越同一VLAN实现互相通信
四、VLAN Mapping
1、定义
VLAN Mapping通过修改报文携带的VLAN Tag来实现不同VLAN的相互映射
2、作用
（1）解决相同VLAN ID的用户数据跨域第三方VLAN，实现相同VLAN 之间逻辑上的直接互联，达到二层互通和统一管理的目的。
（2）解决不同VLAN ID的之间逻辑上的直接互联，达到二层互通和统一管理的目的。
3、Vlan-Mapping配置
（1）Vlan-Mapping功能可以为替换已经存在VLAN标签的数据，并且在带有映射后数据返回时自动还原数据之映射前的标签
（2）只有Hybrid及Trunk类型的接口支持此功能
（3）对于Vlan-Mapping接口只需tagger 映射后的标签，无需配置untagger，用户vlan无需放行或者剥离标签
五、拓扑
六、基本配置与分析
实验背景
1、本市A公司对B公司进行了兼并重组，现需对在原有网络基础上实现以下需求
2、向ISP申请了二层专线实现总部与分部互访（ISP采用VLAN 100为此用户服务）
3、向ISP申请了固定公网100.1.1.2为公司提供公网访问的需求
需求
PC与路由器连接SW的接口配置为Access；
SW与SW互联的接口默认配置为trunk，如有特殊需求可以自行决定接口类型
所有的网段的网关地址为.1（例：Vlanif-2—–172.168.1.1/24）
1、所有接入此网络的PC的网关部署在总部的SW-1-1
[SW-1-1]int Vlanif 100
[SW-1-1-Vlanif100]ip address 172.168.100.1 255.255.255.0
[SW-1-1-Vlanif100]dhcp select relay
[SW-1-1-Vlanif100]dhcp relay server-ip 172.168.2.2
其他类似
2、总部与分部行政部门内部需要互相通信
不同vlan，相同网段做聚合；
在SW-1-1上做聚合
[SW-1-1]vlan 100
[SW-1-1-vlan100]aggregate-vlan
[SW-1-1-vlan100]access-vlan 10 30
3、所有接入此网络的来宾之间不能互相访问，也不能访问公司其他网络
[SW-1-2]vlan 150
[SW-1-2-vlan150] mux-vlan //VLAN 150开启MUX vlan功能，并定义VLAN 150为Principal VLAN（主VLAN）
[SW-1-2-vlan150]subordinate separate 152 //定义VLAN 152为此VLAN 150的辅VLAN--隔离型VLAN
[SW-1-1]acl 3010
[SW-1-1-acl-adv-3010]rule 5 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.2.0 0.0.0.255
[SW-1-1-acl-adv-3010]rule 10 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.100.0 0.0.0.255
[SW-1-1-acl-adv-3010]rule 15 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.200.0 0.0.0.255
[SW-1-1-acl-adv-3010]rule 20 deny ip source 192.168.150.0 0.0.0.255 destination 192.168.160.0 0.0.0.255
[SW-1-1-acl-adv-3010] rule 25 permit ip
[SW-1-1]traffic-filter inbound acl 3010
[SW-1-1]acl 3030
[SW-1-1-acl-adv-3030] rule 5 deny ip source 192.168.160.0 0.0.0.255 destination 172.168.200.0 0.0.0.255
[SW-1-1-acl-adv-3030] rule 10 deny ip source 192.168.160.0 0.0.0.255 destination 172.168.100.0 0.0.0.255
[SW-1-1]traffic-filter outbound acl 3030
PC1 ping 172.168.200.254（PC6）
PC2 ping 192.168.160.254（PC8）
PC2 ping 114.114.114.114 （公网）
通过以上输出结果可知，已实现需求。
4、分部生产车间1与车间2共享一个网段与网关，可以互相单播通信
不同vlan，相同网段做聚合；
在SW-1-1上做聚合
[SW-1-1]vlan 200
[SW-1-1-vlan200]aggregate-vlan //对VLAN 200开启聚合VLAN功能，同时定义VLAN 200为此聚合组的Super-VLAN
[SW-1-1-vlan200]access-vlan 201 202 //定义VLAN 201 202为此聚合VLAN的子VLAN
PC5 ping 172.168.200.254 （PC6）
ipconfig
5、所有接入此网络的PC可以访问以114.114.114.114为代表的公网
NAT
[ISP]ip route-static 0.0.0.0 0.0.0.0 100.1.1.2
[DHCP]acl 2020
[DHCP-acl-basic-2020]rule 5 permit //匹配内网所有
[DHCP]int g0/0/0
[DHCP-GigabitEthernet0/0/0]ip address 100.1.1.2 255.255.255.0
[DHCP-GigabitEthernet0/0/0]nat outbound 2020 //g0/0/0接口下出方向挂接nat
PC8 ping 114.114.114.114
PC3 ping 114.114.114.114
6、所有接入此网络的PC的IP信息通过总部的DHCP服务器获取
DHCP配置
DHCP中继
[DHCP]ip pool 160 //建立地址池名称为160
[DHCP-ip-pool-160]gateway-list 192.168.160.1 //设置下发网关为192.168.160.1
[DHCP-ip-pool-160]network 192.168.160.0 mask 255.255.255.0 //分发地址段位192.168.160.0/24
[DHCP-ip-pool-160]lease day 3 hour 0 minute 0 //设置IP地址租期为3天0小时0分钟
[DHCP-ip-pool-160]dns-list 114.114.114.114 //设置下发DNS地址为114.114.114.114
[SW-1-1]int Vlanif 160
[SW-1-1-Vlanif160]ip address 192.168.160.1 255.255.255.0
[SW-1-1-Vlanif160]dhcp select relay //本接口开启DHCP中继功能
[SW-1-1-Vlanif160]dhcp relay server-ip 172.168.2.2 //指定DHCP服务器地址
PC>ipconfig /renew
七、设备完整配置
SW-1-1
<SW-1-1>di cu
#
sysname SW-1-1
#
vlan batch 2 10 30 100 150 to 152 160 162 200 to 202
#
......
#
dhcp enable
#
diffserv domain default
#
acl number 3010
rule 5 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.2.0 0.0.0.255
rule 10 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.100.0 0.0.0.255
rule 15 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.200.0 0.0.0.255
rule 20 deny ip source 192.168.150.0 0.0.0.255 destination 192.168.160.0 0.0.0.255
rule 25 permit ip
acl number 3030
rule 5 deny ip source 192.168.160.0 0.0.0.255 destination 172.168.200.0 0.0.0.255
rule 10 deny ip source 192.168.160.0 0.0.0.255 destination 172.168.100.0 0.0.0.255
//规则编号为3030的语句，拒绝源的IP数据访问192.168.160.0/24访问172.168.100.0/24
#
drop-profile default
#
vlan 100
aggregate-vlan //开启此vlan的vlan聚合功能
access-vlan 10 30 //将vlan 10 30这些Sub-vlan（副vlan） 加入进本super-VLAN（超级/主vlan）中
vlan 150
aggregate-vlan
access-vlan 152
vlan 160
aggregate-vlan
access-vlan 162
vlan 200
aggregate-vlan
access-vlan 201 to 202
#
interface Vlanif1
#
interface Vlanif2
ip address 172.168.2.1 255.255.255.0
#
interface Vlanif100
ip address 172.168.100.1 255.255.255.0
dhcp select relay
dhcp relay server-ip 172.168.2.2
#
interface Vlanif150
ip address 192.168.150.1 255.255.255.0
dhcp select relay //本接口开启DHCP中继功能
dhcp relay server-ip 172.168.2.2 //指定DHCP服务器地址（作用是将DHCP的广播包邮中继接口单播 送给DHCP服务器）
#
interface Vlanif151
#
interface Vlanif160
ip address 192.168.160.1 255.255.255.0
dhcp select relay
dhcp relay server-ip 172.168.2.2
#
interface Vlanif200
ip address 172.168.200.1 255.255.255.0
arp-proxy inter-sub-vlan-proxy enable //启本超级vlan对副vlan之间的ARP代理功能（使得从vlan之间的主机成员可以互相通信）
dhcp select relay
dhcp relay server-ip 172.168.2.2
#
interface MEth0/0/1
#
interface GigabitEthernet0/0/1
port link-type access
port default vlan 2
#
......
#
interface GigabitEthernet0/0/22
port link-type trunk
port trunk allow-pass vlan 10 30
#
interface GigabitEthernet0/0/23
port link-type trunk
port trunk allow-pass vlan 10 30 162 201 to 202
#
interface GigabitEthernet0/0/24
port link-type trunk
port trunk allow-pass vlan 2 to 99 101 to 149 151 to 159 161 to 199 201 to 202
#
interface NULL0
#
ospf 1 router-id 3.3.3.3
area 0.0.0.0
network 172.168.2.1 0.0.0.0
network 192.168.150.1 0.0.0.0
network 192.168.160.1 0.0.0.0
network 172.168.100.1 0.0.0.0
network 172.168.200.1 0.0.0.0
#
traffic-filter inbound acl 3010
traffic-filter outbound acl 3030 //挂接ACL策略
#
SW-1-2
[SW-1-2]di cu
#
sysname SW-1-2
#
vlan batch 150 to 152
#
......
#
dhcp enable
#
diffserv domain default
#
drop-profile default
#
vlan 150
mux-vlan //VLAN 150开启MUX vlan功能，并定义VLAN 150为Principal VLAN（主VLAN）
subordinate separate 152 //定义VLAN152为此VLAN 150的辅VLAN--互通型VLAN
#
......
#
interface MEth0/0/1
#
interface GigabitEthernet0/0/1
port link-type access
port default vlan 152
port mux-vlan enable //接口开启MUX vlan功能（会依据接口所属的VLAN来定义接口类型是主端口，还是互通或者隔离端口）
#
interface GigabitEthernet0/0/2
port link-type access
port default vlan 152//设置此隧道接口的默认vlan 为152，无论此接口收到的数据是否携带vlan标签，都会封装vlan 152的标签。
port mux-vlan enable
#
interface GigabitEthernet0/0/3
......
#
interface GigabitEthernet0/0/24
port link-type trunk
port trunk allow-pass vlan 152
#
......
SW-1-3
<SW-1-3>di cu
#
sysname SW-1-3
#
vlan batch 10 30 100
#
.......
#
interface MEth0/0/1
#
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
#
......
#
interface GigabitEthernet0/0/22
port link-type trunk
port trunk allow-pass vlan 2 to 4094
#
......
DHCP-SErver
<DHCP>di cu
[V200R003C00]
#
sysname DHCP
#
......
#
dhcp enable //先开启DHCP功能
#
acl number 2020
rule 5 permit
#
ip pool 150 //建立地址池名称为150
gateway-list 192.168.150.1 //设置下发网关为192.168.150.1
network 192.168.150.0 mask 255.255.255.0 //分发地址段位192.168.150.0/24
lease day 3 hour 0 minute 0 //设置IP地址租期为3天0小时0分钟
dns-list 114.114.114.114 //设置下发DNS地址为114.114.114.114
#
ip pool 160
gateway-list 192.168.160.1
network 192.168.160.0 mask 255.255.255.0
lease day 3 hour 0 minute 0
dns-list 114.114.114.114
#
ip pool 100
gateway-list 172.168.100.1
network 172.168.100.0 mask 255.255.255.0
lease day 3 hour 0 minute 0
dns-list 114.114.114.114
#
ip pool 200
gateway-list 172.168.200.1
network 172.168.200.0 mask 255.255.255.0
lease day 3 hour 0 minute 0
dns-list 114.114.114.114
#
......
#
interface GigabitEthernet0/0/0
ip address 100.1.1.2 255.255.255.0
nat outbound 2020
#
interface GigabitEthernet0/0/1 //进入连接终端设备的接口（一般这个接口为GW）
ip address 172.168.2.2 255.255.255.0
dhcp select global //此接口调用全局模式下配置的地址池下发地址
#
interface GigabitEthernet0/0/2
#
interface NULL0
#
ospf 1 router-id 2.2.2.2
area 0.0.0.0
network 100.1.1.2 0.0.0.0
network 172.168.2.2 0.0.0.0
#
ip route-static 0.0.0.0 0.0.0.0 100.1.1.1
#
......
AR2
<ISP>di cu
[V200R003C00]
#
sysname ISP
#
......
#
interface GigabitEthernet0/0/0
ip address 100.1.1.1 255.255.255.0
#
......
#
interface LoopBack0
ip address 114.114.114.114 255.255.255.255
#
ospf 1 router-id 114.114.114.114
area 0.0.0.0
network 100.1.1.1 0.0.0.0
network 114.114.114.114 0.0.0.0
#
ip route-static 0.0.0.0 0.0.0.0 100.1.1.2
#
......
SW-1
<SW-1>di cu
#
sysname SW-1
#
vlan batch 2 10 30 100 152 162 201 to 202
#
......
#
interface GigabitEthernet0/0/23
qinq vlan-translation enable //开启此接口 的灵活QinQ功能
port hybrid untagged vlan 100 //对vlan 100的数据剥离标签发出
port vlan-stacking vlan 1 to 1000 stack-vlan 100 //将进入测接口的数据，带有vlan 1 to 1000 标签的数据在其基础上再加封装vlan 100的标签
#
interface GigabitEthernet0/0/24
port link-type trunk
undo port trunk allow-pass vlan 1
port trunk allow-pass vlan 2 to 4094
#
.......
SW-2
<SW-2>di cu
#
sysname SW-2
#
vlan batch 2 10 30 100 152 162 201 to 202
#
......
#
interface GigabitEthernet0/0/23
qinq vlan-translation enable
port hybrid untagged vlan 100
port vlan-stacking vlan 1 to 1000 stack-vlan 100
#
interface GigabitEthernet0/0/24
port link-type trunk
undo port trunk allow-pass vlan 1
port trunk allow-pass vlan 2 to 4094
#
......
SW-2-1
<SW-2-1>di cu
#
sysname SW-2-1
#
vlan batch 10 30 100 162 201 to 202
#
......
#
interface GigabitEthernet0/0/22
port link-type trunk
port trunk allow-pass vlan 10 30 162
#
interface GigabitEthernet0/0/23
port link-type trunk
port trunk allow-pass vlan 30 162 201 to 202
#
interface GigabitEthernet0/0/24
port link-type trunk
port trunk allow-pass vlan 2 to 4094
#
.....
SW-2-2
<SW-2-2>di cu
#
sysname SW-2-2
#
vlan batch 200 to 202
#
.......
#
interface GigabitEthernet0/0/5
port link-type access
port default vlan 201
#
interface GigabitEthernet0/0/6
port link-type access
port default vlan 202
#
......
#
interface GigabitEthernet0/0/24
port link-type trunk
port trunk allow-pass vlan 2 to 4094
#
......
SW-2-3
<SW-2-3>di cu
#
sysname SW-2-3
#
vlan batch 10 30 100 160 to 162 1600
#
......
#
drop-profile default
#
vlan 160
mux-vlan
subordinate separate 162
#
......
#
interface GigabitEthernet0/0/4
port link-type access
port default vlan 30
#
interface GigabitEthernet0/0/5
#
interface GigabitEthernet0/0/6
#
interface GigabitEthernet0/0/7
port link-type access
port default vlan 162
port mux-vlan enable
#
interface GigabitEthernet0/0/8
port link-type access
port default vlan 162
port mux-vlan enable
#
......
#
interface GigabitEthernet0/0/22
port link-type trunk
port trunk allow-pass vlan 10 30 162
#
.......
我是艺博东，努力上进的日子，才是最踏实且幸福的。也欢迎你和我一起讨论，我们下期见。
发布者：全栈程序员-用户IM，转载请注明出处：https://javaforall.cn/169380.html原文链接：https://javaforall.cn
【正版授权，激活自己账号】： Jetbrains全家桶Ide使用，1年售后保障，每天仅需1毛
【官方授权 正版激活】： 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...
