VLNA配置任务概览

各配置任务间的逻辑关系：

trunk端口 禁止vlan1通过 trunk不允许vlan1命令_VLAN

VLAN配置任务概览：

配置任务

描述

划分VLAN

创建并划分VLAN，将没有二层互通需求的用户进行隔离，可增强网络的安全性、减少广播流量，同时也减少了广播风暴的产生。

配置通过VLANIF实现VLAN间互访

划分VLAN后，不同VLAN的用户不能直接互通。不同VLAN的用户如果有互通需求，可通过配置VLANIF接口实现VLAN间的三层互通。

配置通过流策略实现VLAN内隔离

划分VLAN后，同一VLAN的用户可以直接互通，同一VLAN的部分用户间如果需要隔离，可通过配置MQC实现VLAN内的二层隔离。

配置同流策略实现VLNA内互访控制

配置通过VLANIF实现VLAN间互访后，不同VLAN的用户可以三层互通，不同VLAN的部分用户如果需要单向访问或者需要隔离，可通过配置流策略实现。

配置管理VLAN

如果用户要通过网管集中管理设备，则要在划分VLAN后，配置管理VLAN。

VLAN缺省配置：

参数

缺省值

Hybrid

缺省VLAN

VLAN1

接口加入的VLAN

接口以Untagged方式加入VLAN 1（即port hybrid untagged vlan 1）

Damping time

0s

Disabled

配置注意事项：

  • 建议独立规划业务VLAN和管理VLAN，以便业务VLAN上发生的任何广播风暴不会影响到设备的管理。
  • 实际运用中，Trunk接口需要透传哪些VLAN就透传哪些VLAN，最好不使用port trunk allow-pass vlan all
  • 由于设备所有的接口都默认加入VLAN1，因此当网络中存在VLAN1的未知单播、组播或者广播报文时，可能会引起广播风暴。因此VLAN1的使用要注意如下事项。
  • 对于不需要加入VLAN1的接口要及时退出VLAN1，以避免环路。
  • 在Eth-Trunk、环形组网环境下建议接口退出VLAN1。
  • 在与接入设备对接时，接入设备的上行接口建议不要透传VLAN1，防止在VLAN1中产生广播风暴。

VLAN配置命令行

创建VLAN配置VLAN接口类型等：

#
 sysname Router_1
#
vlan batch 2 to 3          //创建VLAN2和VLAN3
#
interface Ethernet2/0/1    //将连接User_1的接口配置为Access类型，缺省VLAN为VLAN2
 port link-type access
 port default vlan 2
#
interface Ethernet2/0/2    //将连接User_3的接口配置为Access类型，缺省VLAN为VLAN3
 port link-type access
 port default vlan 3
#
interface Ethernet2/0/3    //配置Router_1和Router_2互连的接口配置为Trunk类型，允许VLAN2和VLAN3通过
 port link-type trunk
 port trunk allow-pass vlan 2 to 3
#
return

配置VLANIF接口实现VLAN间通信的示列：

#
 sysname Router
#
vlan batch 10 20  //创建VLAN
#
interface Vlanif10  //创建VLANIF接口
 ip address 10.10.10.1 255.255.255.0  //相同VLAN内PC终端的网关地址
#
interface Vlanif20
 ip address 10.10.20.1 255.255.255.0
#
interface Ethernet2/0/1
 port link-type access  //和PC终端相连，接口类型为Access
 port default vlan 10  //接口加入VLAN
#
interface Ethernet2/0/2
 port link-type access
 port default vlan 20
#
return

配置单臂路由：

trunk端口 禁止vlan1通过 trunk不允许vlan1命令_trunk端口 禁止vlan1通过_02



命令行：

路由器配置：

#R1
interface GigabitEthernet0/0/0.1
 dot1q termination vid 10 
  //dot1q termination vid 用来配置子接口Dot1q终结的单层VLAN ID。
 ip address 10.1.1.254 255.255.255.0 
 arp broadcast enable 
 //arp broadcast命令用来使能终结子接口的ARP广播功能。
#
interface GigabitEthernet0/0/0.2
 dot1q termination vid 20
 ip address 20.1.1.254 255.255.255.0 
 arp broadcast enable
#

交换机配置：

#
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 10 20
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 20
#

配置三层交换：

trunk端口 禁止vlan1通过 trunk不允许vlan1命令_trunk端口 禁止vlan1通过_03



配置信息：

LSW2，LSW3：

#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 20
#
interface GigabitEthernet0/0/3
 port link-type trunk
 port trunk allow-pass vlan 10 20
#

配置VlAN内Proxy ARP：

当VLAN内配置了端口隔离时，属于相同VLAN的用户间无法实现互通。在关联了VLAN的接口上使能VLAN内Proxy ARP功能，可以实现用户间三层互通。

//配置命令行c
interface vlanif 10 //进入接口视图
arp-proxy inner-sub-vlan-procy enable
//使能VLAN内Proxy ARP

配置VLAN间Procy ARP：

当属于同一网段但属于不同VLAN的用户间要实现三层互通时，可以在关联了VLAN的接口上使能VLAN间Proxy ARP功能。例如在Super-VLAN对应的VLANIF接口上使能VLAN间Proxy ARP功能，实现Sub-VLAN间用户互通。

//配置命令行c
interface vlanif 10 //进入接口视图
arp-proxy inter-sub-vlan-procy enable
//使能VLAN内Proxy ARP