VLAN透?jìng)髋渲门e例

1、目錄1介紹1.1 特性簡(jiǎn)介1.2 特性關(guān)鍵技術(shù)點(diǎn)2特性使用指南2.1 使用場(chǎng)合2.2 配置指南2.2.1 配置混合模式橋組2.3 注意事項(xiàng)3配置舉例3.1 VLAN透?jìng)鞯湫蛻?yīng)用組網(wǎng)3.1.1 組網(wǎng)需求3.1.2 物理連接圖3.1.3 配置步驟3.2 SecPathF100-AVLAN透?jìng)鹘M網(wǎng)3.2.1 組網(wǎng)需求3.2.2 物理連接圖3.2.3 配置步驟3.3 故障排除3.3.1 故障排除命令3.3.2 故障現(xiàn)象舉例4關(guān)鍵命令4.1 bridgeenable4.2 bridgebridge-setenable4.3 bridgevlanid-transparent-transmitenable4

2、.4 insulate5相關(guān)資料5.1 其它相關(guān)資料1 介紹1.1 特性簡(jiǎn)介在混合模式下，橋支持VLAND透?jìng)魈匦允侵福和ㄟ^(guò)對(duì)加入橋組的設(shè)備出接口配置支持VLANID透?jìng)鳎梢允箞?bào)文從該接口送出時(shí)，不對(duì)報(bào)文的VLANID做任何修改。使能橋出接口VLANID透?jìng)?，則報(bào)文從該接口發(fā)出時(shí)保留報(bào)文入橋時(shí)的VLANID,如果沒(méi)有VLANID不增加VLANID。1.2 特性關(guān)鍵技術(shù)點(diǎn)配置了VLANS傳后，防火墻不會(huì)對(duì)報(bào)文的VLANtag進(jìn)行任何的修改和去除等操作。從而可以實(shí)現(xiàn)VLANtag的透明傳輸，保證不同VLAN間的隔離、同一VLAN之間的互通。2 特性使用指南2.1 使用場(chǎng)合當(dāng)系統(tǒng)中存在VLAN&a

3、mp;B署，不同的VLA也間需要進(jìn)行隔離,而且所有VLAN的防火墻策略（比如配置在接口上的防火墻包過(guò)濾）是一樣的。2.2 配置指南混合模式下橋接功能的配置步驟分為以下幾步：使能橋組功能使能一個(gè)橋組。將接口加入到橋組中使能橋組下接口的VLANS傳功能2.2.1 配置混合模式橋組步驟操作說(shuō)明|操作命令1使能橋組功能H3Cbridgeenable2使能一個(gè)橋組H3Cbridgebridge-setenable步驟操作說(shuō)明操作命令3進(jìn)入接口視圖H3Cinterfacetypenumber4將接口加入到橋組中H3C-GigabitEthernet0/0bridge-setbridge-set5在接口卜配

4、置VLANS傳H3C-GigabitEthernet0/0bridgevlanid-transparent-transmitenable2.3 注意事項(xiàng)當(dāng)配置VLANS傳功能時(shí)，需要注意以下事項(xiàng)：子接口不支持VLANS傳。F100A設(shè)備的四個(gè)LAN接口需要執(zhí)行undoinsulate命令聚合成一個(gè)接口才能使用VLAN1傳功能。VLAN1傳與交換機(jī)的Trunk功能并不相同，當(dāng)與交換機(jī)互通時(shí)，如果希望SecPath防火墻與交換機(jī)的管理VLAN互通，需要借助子接口來(lái)實(shí)現(xiàn)。即將配置了與交換機(jī)管理VLANID相同的子接口加入到橋組，并創(chuàng)建相應(yīng)的橋組虛接口（BVI接口），配置同一網(wǎng)段地址，則防火墻的橋組虛

5、接口就可以與交換機(jī)管理VLA般口互通。3 配置舉例3.1 VLAN透?jìng)鞯湫蛻?yīng)用組網(wǎng)3.1.1 組網(wǎng)需求客戶端PGAC屬于VLAN100客戶端PC,B、D屬于VLAN200客戶端PGM屬于VLAN99用來(lái)模擬屬于不同VLAN的用戶。在交換機(jī)1和交換機(jī)2與防火墻相連接口上都要配置成Trunk模式，保證帶Tag標(biāo)記的報(bào)文能夠透?jìng)鳌＝粨Q機(jī)Switch1和Switch2的管理VLANVLAN99要求VLAN100ffiVLAN200tg夠互相隔離，交換機(jī)可以通過(guò)管理VLAN99f防火墻3.1.2物理連接圖圖1VLAN透?jìng)鹘M網(wǎng)圖3.1.3 配置步驟1 .使用的版本Comwaresoftware,Versi

6、on3.40,ESS16222 .支持產(chǎn)品SecPathF1000-A/F1000-S/F100-E/F100-A3 .配置防火墻當(dāng)前視圖配置命令簡(jiǎn)單說(shuō)明H3Cfirewallpacket-filterdefaultpermit防火墻包過(guò)濾默認(rèn)改為允許H3Cbridgeenable使能橋組功能H3Cbridge1enable創(chuàng)建橋組1H3Cbridge99enable創(chuàng)建橋組99H3CinterfaceBridge-template99創(chuàng)建橋組虛接口BVI99H3C-Bridge-template99ipaddress99.1.1.2255.255.255.0配置管理地址H3C-Bridge-

7、template99quit退回系統(tǒng)視圖H3CinterfaceGigabitEthernet0/0進(jìn)入連接g0/0的接口視圖H3C-GigabitEthernet0/0bridge-set1將接口g0/0加入到橋組1H3C-GigabitEthernet0/0bridgevlanid-transparent-transmitenable使能接口VLANS傳H3C-GigabitEthernet0/0interfaceGigabitEthernet0/1進(jìn)入連接g0/1的接口視圖當(dāng)前視圖配置命令簡(jiǎn)單說(shuō)明H3C-GigabitEthernet0/1bridge-set1將接口g0/1加入到橋組1

8、H3C-GigabitEthernet0/1bridgevlanid-transparent-transmitenable使能接口VLANS傳H3C-GigabitEthernet0/1quit退回系統(tǒng)視圖H3CinterfaceGigabitEthernet0/0.99創(chuàng)建子接口g0/0.99H3C-GigabitEthernet0/0.99bridge-set99將接口g0/0.99加入到橋組99H3C-GigabitEthernet0/0.99vlan-typedot1qvid99設(shè)置接口封裝類型并加入到VLAN99H3C-GigabitEthernet0/0.99quit退回系統(tǒng)視圖H

9、3CinterfaceGigabitEthernet0/1.99創(chuàng)建子接口g0/1.99H3C-GigabitEthernet0/1.99bridge-set99將接口g0/1.99加入到橋組99H3C-GigabitEthernet0/1.99vlan-typedot1qvid99設(shè)置接口封裝類型并加入到VLAN99H3C-GigabitEthernet0/1.99quit退回系統(tǒng)視圖1H3Cfirewallzonetrust進(jìn)入trust區(qū)域視圖H3C-zone-trustaddinterfaceGigabitEthernet。/。將接口g0/0加入到trust區(qū)域H3C-zone-tru

10、staddinterfaceGigabitEthernet0/0.99將接口g0/0.99加入到trust區(qū)域H3C-zone-trustaddinterfaceBridge-template99將接口Bridge-template99力口入至1Jtrust區(qū)域H3C-zone-trustquit退回系統(tǒng)視圖1H3Cfirewallzoneuntrust進(jìn)入untrust區(qū)域視圖H3C-zone-untrustaddinterfaceGigabitEthernet0/1將接口g0/1加入至Uuntrust區(qū)域H3C-zone-untrustaddinterfaceGigabitEthernet

11、0/1.99將接口g0/1.99力口入至Uuntrust區(qū)域H3C-zone-untrustquit退回系統(tǒng)視圖4 .驗(yàn)證結(jié)果(1) 連通測(cè)試同在VLAN100F的A和C能夠透過(guò)防火墻連通，同樣在VLAN200F的B和D也能透過(guò)防火墻連通。不同VLAN間不能互通。(2) 管理操作通過(guò)客戶端M可以ping通Switchl、Switch2的管理VLAN!址和SecPathF1000-A的BVI99接口地址，并且可以進(jìn)行管理。M無(wú)法與A、B、C、D互通。在Switch2進(jìn)行端口鏡像，抓包測(cè)試從A向C進(jìn)行ping包測(cè)試，發(fā)現(xiàn)tag標(biāo)記沒(méi)有改變圖2APingC的抓包測(cè)試從B向D進(jìn)行ping包測(cè)試，發(fā)現(xiàn)t

12、ag標(biāo)記沒(méi)有改變圖3BPingD的抓包測(cè)試3.2SecPathF100-AVLAN透?jìng)鹘M網(wǎng)3.2.1 組網(wǎng)需求客戶端PGAC屬于VLAN100客戶端PC,B、D屬于VLAN200用來(lái)模擬屬于不同VLAN勺用戶，在交換機(jī)1和交換機(jī)2與防火墻相連接口上都要配置成Trunk模式，保證帶Tag標(biāo)記的報(bào)文能夠透?jìng)鳌?.2.2 物理連接圖圖4VLAN透?jìng)鹘M網(wǎng)圖3.2.3 配置步驟1 .使用的版本Comwaresoftware,Version3.40,ESS16222 .支持產(chǎn)品SecPathF100-A3 .配置防火墻當(dāng)前視圖配置命令簡(jiǎn)單說(shuō)明H3Cfirewallpacket-filterdefaultp

13、ermit防火墻包過(guò)濾默認(rèn)改為允許H3Cundoinsulate取消以太網(wǎng)接口隔離H3Cbridgeenable使能橋組功能H3Cbridge1enable創(chuàng)建橋組1H3CinterfaceEthernet0/0進(jìn)入連接e0/0的接口視圖H3C-Ethernet0/0bridge-set1將接口e0/0加入到橋組1H3C-Ethernet0/0bridgevlanid-transparent-transmitenable使能接口VLAN透?jìng)鱄3C-Ethernet0/0interfaceEthernet1/2進(jìn)入連接e1/2的接口視圖H3C-Ethernet1/2bridge-set1將接口e

14、1/2加入到橋組1H3C-Ethernet1/2bridgevlanid-transparent-transmitenable使能接口VLAN透?jìng)鱄3C-Ethernet1/2quit退回系統(tǒng)視圖H3Cfirewallzonetrust進(jìn)入trust區(qū)域視圖H3C-zone-trustaddinterfaceEthernet。/。將接口e0/0加入到trust區(qū)域H3C-zone-trustquit退回系統(tǒng)視圖H3Cfirewallzoneuntrust進(jìn)入untrust區(qū)域視圖H3C-zone-untrustaddinterfaceEthernet1/2將接口e1/2加入至Uuntrust區(qū)

15、域H3C-zone-untrustquit退回系統(tǒng)視圖4 .驗(yàn)證結(jié)果(1)連通測(cè)試同在VLAN100F的A和C能夠透過(guò)防火墻連通，同樣在VLAN200F的B和D也能透過(guò)防火墻連通。不同VLAN間不能互通。在Switch2進(jìn)行端口鏡像，抓包測(cè)試從A向C進(jìn)行ping包測(cè)試，發(fā)現(xiàn)tag標(biāo)記沒(méi)有改變圖5SecPathF100-A上APingC的抓包測(cè)試從B向D進(jìn)行ping包測(cè)試，發(fā)現(xiàn)tag標(biāo)記沒(méi)有改變圖6SecPathF100-A上BPingD的抓包測(cè)試3.3故除排除3.3.1故障排除命令操作命令打開(kāi)網(wǎng)橋的以太幀轉(zhuǎn)發(fā)調(diào)試信息開(kāi)關(guān)debuggingbridgeeth-forwardinginterfac

16、einterface-typeinterface-number關(guān)閉網(wǎng)橋的以太幀轉(zhuǎn)發(fā)調(diào)試信息開(kāi)關(guān)undodebuggingbridgeeth-forwardinginterfaceinterface-typeinterface-number打開(kāi)網(wǎng)橋的IP轉(zhuǎn)發(fā)調(diào)試開(kāi)關(guān)debuggingbridgeip-forwarding關(guān)閉網(wǎng)橋的IP轉(zhuǎn)發(fā)調(diào)試開(kāi)關(guān)undodebuggingbridgeip-forwarding顯示網(wǎng)橋模塊中所有或指定的橋組的信息displaybridgeinformationbridge-setbridge-set顯示MAO址轉(zhuǎn)發(fā)表的信息displaybridgeaddress-

17、tablebridge-setbridge-set|interfaceinterface-typeinterface-number|macmac-addressstatic|dynamic顯示橋組中接口的流量統(tǒng)計(jì)數(shù)據(jù)displaybridgetrafficbridge-setbridge-set|interfaceinterface-typeinterface-number顯示接口上的以太幀過(guò)濾統(tǒng)計(jì)信息displayfirewallethernet-frame-filterall|interfaceinterface-typeinterface-number清除MAO址轉(zhuǎn)發(fā)表resetbrid

18、geaddress-tablebridge-setbridge-set|interfaceinterface-typeinterface-number清除橋組中接口的流量統(tǒng)計(jì)數(shù)據(jù)resetbridgetrafficbridge-setbridge-set|interfaceinterface-typeinterface-number清除ACL規(guī)則過(guò)濾情況的統(tǒng)計(jì)信息resetfirewallethernet-frame-filterall|interfaceinterface-typeinterface-number3.3.2故障現(xiàn)象舉例在混合模式下使能VLANS傳的功能步驟比較少，如果VLAN

19、S傳不成功，可以從下面幾個(gè)方面來(lái)考慮：防火墻默認(rèn)包過(guò)濾規(guī)則為deny沒(méi)有使能橋組功能沒(méi)有在相應(yīng)接口使能VLAN®傳，例如，僅使能了一個(gè)方向的VLANS傳，而另一個(gè)方向沒(méi)有使能沒(méi)有將接口加入安全域4關(guān)鍵命令配置本特性的關(guān)鍵命令有：bridgeenablebridgebridge-setenablebridgevlanid-transparent-transmitenable另外，F(xiàn)100-A設(shè)備如果在LAN口上使能VLANS傳，還需要配置insulate命令,4.1 bridgeenable【命令】bridgeenableundobridgeenable【視圖】系統(tǒng)視圖【參數(shù)】無(wú)【描述

20、】bridgeenable命令用來(lái)使能網(wǎng)橋功能，undobridgeenable命令用來(lái)禁止網(wǎng)橋功能。當(dāng)存在已使能的橋組時(shí)，不能使用undobridgeenable命令來(lái)禁用網(wǎng)橋功能，需要先通過(guò)undobridgebridge-setenable命令刪除橋組。缺省情況下，系統(tǒng)禁止網(wǎng)橋功能。只有使能網(wǎng)橋功能，網(wǎng)橋的配置才能生效?！九e例】#使能網(wǎng)橋功能。H3Cbridgeenable4.2 bridgebridge-setenable【命令】bridgebridge-setenableundobridgebridge-setenable【視圖】系統(tǒng)視圖【參數(shù)】bridge-set:網(wǎng)橋組編號(hào)，取值

21、范圍為1255?！久枋觥縝ridgebridge-setenable命令用來(lái)使能橋組的橋接功能，undobridgebridge-setenable命令用來(lái)禁止橋組的橋接功能。缺省情況下，禁止橋組的橋接功能。只有使能橋組的橋接功能，橋組的配置才能生效?！九e例】#使能橋組1的橋接功能。H3Cbridge1enable4.3 bridgevlanid-transparent-transmitenablebridgevlanid-transparent-transmitenableundobridgevlanid-transparent-transmitenable【視圖】接口視圖【參數(shù)】無(wú)【描述】

22、bridgevlanid-transparent-transmitenable命令用來(lái)使能VLANID透?jìng)鞴δ?。undobridgevlanid-transparent-transmitenable命令用來(lái)關(guān)閉VLANID透?jìng)鞴δ?。VLANID透?jìng)魇侵竿ㄟ^(guò)對(duì)加入橋組設(shè)備的出接口配置支持VLANID透?jìng)鳎菇涌谥苯愚D(zhuǎn)發(fā)報(bào)文，不對(duì)該報(bào)文中的VLANID做任何處理。通過(guò)VLANID透?jìng)鳎梢允辜尤霕蚪M的非以太出接口也能轉(zhuǎn)發(fā)帶有VLANID的報(bào)文，而不會(huì)因此丟失VLANID,并且即使加入橋組設(shè)備的出接口上有VLANID的情況下，也不會(huì)改變報(bào)文原有的VLANID,從而實(shí)現(xiàn)不同VLAN勺隔離。當(dāng)以太網(wǎng)子接

23、口配置VLANID后，該子接口只會(huì)接收這個(gè)VLAN的數(shù)據(jù)，這就決定了該橋組負(fù)責(zé)傳輸哪些VLAN的數(shù)據(jù)。在使能了VLANID透?jìng)鞴δ芤院?，系統(tǒng)不對(duì)報(bào)文的VLANID做任何處理，兩端相連的交換機(jī)可以看成是直接相連的。為了正常通信，用戶需要給兩端交換機(jī)的trunk口配置相同的VLANID。缺省情況下，關(guān)閉VLANID透?jìng)鞴δ堋！九e例】#在GigabitEthernet0/0口上使能VLANID透?jìng)鞴δ?。H3CinterfaceGigabitEthernet0/0H3C-GigabitEthernet0/0bridgevlanid-transparent-transmitenable4.4 insul

24、ate【命令】insulateundoinsulate【視圖】系統(tǒng)視圖【參數(shù)】無(wú)【描述】insulate命令用來(lái)配置LAN以太網(wǎng)接口之間進(jìn)行隔離，undoinsulate命令用來(lái)配置LAN以太網(wǎng)接口之間不進(jìn)行隔離。當(dāng)LAN以太網(wǎng)接口處于隔離模式時(shí)，各個(gè)LAN以太網(wǎng)接口工作在第三層，作為可路由接口使用，即可以為其配置各種第三層屬性，如IP地址等。當(dāng)LAN以太網(wǎng)接口處于非隔離模式時(shí)，各個(gè)LAN以太網(wǎng)接口工作在Hub方式，即工作在物理層，不能為其配置如IP地址等第三層屬性。當(dāng)LAN以太網(wǎng)接口工作在非隔離模式下時(shí)，可以通過(guò)配置一個(gè)管理IP地址以對(duì)其進(jìn)行管理或使其提供網(wǎng)絡(luò)服務(wù)（例如Telnet、SNMP

25、NA邙）。由于接口性質(zhì)的因素，只能在第一個(gè)LAN口（即編號(hào)最小的）上配置子接口。在隔離模式下擴(kuò)展出來(lái)的另外三個(gè)LAN口都不能配置子接口，且第一個(gè)LAN口上配置的子接口只能在非隔離模式下工作。僅SecPathF100-A防火墻、SecPathV100-S安全網(wǎng)關(guān)支持此命令。缺省情況下，LAN以太網(wǎng)接口之間相互隔離。【舉例】#將各個(gè)LAN以太網(wǎng)接口進(jìn)行隔離。H3Cinsulate#當(dāng)接口之間被隔離后，所有LAN以太網(wǎng)接口（Ethernet。/。、Ethernet0/1、Ethernet0/2、Ethernet0/3）都可見(jiàn)，并可以為其進(jìn)行單獨(dú)配置如IP地址等第三層屬性。<H3C>dis

26、playipinterfacebrief*down:administrativelydown(s):spoofingInterfaceProtocolDescriptionIPAddressPhysicalAux0nup(s)Aux0Inteunassigned.dowEncrypt2/0downEncrypt2/.unassigneddownEthernet0/0downEthernet0.unassignedupEthernet0/1downEthernet0.unassignedupEthernet0/2downEthernet0.unassigneddownEthernet0/3downEthernet0.unassigneddownEthernet1/0downEthernet1.unassigneddownEthernet1/1downEthernet1.unassigneddownEthernet1/2downEthernet1.unassigneddown#配置不將LAN以太網(wǎng)接口之間進(jìn)行隔離。H3Cundoinsulate# 當(dāng)接口之間未被隔離時(shí)，可以看到只有一個(gè)管理接口Ethernet0/0可見(jiàn)，其它所有LAN以太網(wǎng)接口都將不可見(jiàn)。可以在管理接口上配置IP地址作為管理IP地址。# H3C>displayipinterfacebrief# down:ad