华为交换机各种配置实例（2）

交换机配置（七）DHCP配置

1，交换机作DHCP Server

『配置环境参数』

1.      PC1、PC2的网卡均采用动态获取IP地址的方式

2.      PC1连接到交换机的以太网端口0/1，属于VLAN10；PC2连接到交换机的以太网端口0/2，属于VLAN20

3.      三层交换机SwitchA的VLAN接口10地址为10.1.1.1/24，VLAN接口20地址为10.1.2.1/24

『组网需求』

1.      PC1可以动态获取10.1.1.0/24网段地址，并且网关地址为10.1.1.1；PC2可以动态获取10.1.2.0/24网段地址，并且网关地址为10.1.2.1

『DHCP Server配置流程流程』

可以完成对直接连接到三层交换机的PC机分配IP地址，也可以对通过DHCP中继设备连接到三层交换机的PC机分配IP地址。

分配地址的方式可以采用接口方式，或者全局地址池方式。

【SwitchA采用接口方式分配地址相关配置】

1.        创建（进入）VLAN10

[SwitchA]vlan 10

2.        将E0/1加入到VLAN10

[SwitchA-vlan10]port Ethernet 0/1

3.        创建（进入）VLAN接口10

[SwitchA]interface Vlan-interface 10

4.        为VLAN接口10配置IP地址

[SwitchA-Vlan-interface10]ip address 10.1.1.1 255.255.255.0

5.        在VLAN接口10上选择接口方式分配IP地址

[SwitchA-Vlan-interface10]dhcp select interface

6.        禁止将PC机的网关地址分配给用户

[SwitchA]dhcp server forbidden-ip 10.1.1.1

【SwitchA采用全局地址池方式分配地址相关配置】

1.        创建（进入）VLAN10

[SwitchA]vlan 10

2.        将E0/1加入到VLAN10

[SwitchA-vlan10]port Ethernet 0/1

3.        创建（进入）VLAN接口10

[SwitchA]interface Vlan-interface 10

4.        为VLAN接口10配置IP地址

[SwitchA-Vlan-interface10]ip address 10.1.1.1 255.255.255.0

5.        在VLAN接口10上选择全局地址池方式分配IP地址

[SwitchA-Vlan-interface10]dhcp select global

6.        创建全局地址池，并命名为”vlan10”

[SwitchA]dhcp server ip-pool vlan10

7.        配置vlan10地址池给用户分配的地址范围以及用户的网关地址

[SwitchA-dhcp-vlan10]network 10.1.1.0 mask 255.255.255.0

[SwitchA-dhcp-vlan10]gateway-list 10.1.1.1

8.        禁止将PC机的网关地址分配给用户

[SwitchA]dhcp server forbidden-ip 10.1.1.1

【补充说明】

以上配置以VLAN10的为例，VLAN20的配置参照VLAN10的配置即可。在采用全局地址池方式时，需新建一个与”vlan10”不同名的全局地址池。

经过以上配置，可以完成为PC1分配的IP地址为10.1.1.0/24，同时PC1的网关地址为10.1.1.1；为PC2分配的IP地址为10.1.2.0/24，同时PC2的网关地址为10.1.2.1。

VLAN接口默认情况下以全局地址池方式进行地址分配，因此当VLAN接口配置了以全局地址池方式进行地址分配后，查看交换机当前配置时，在相应的VLAN接口下无法看到有关DHCP的配置。

利用全局地址池方式，可以完成为用户分配与三层交换机本身VLAN接口地址不同网段的IP地址。

2，DHCP Relay配置

『配置环境参数』

1.      DHCP Server的IP地址为192.168.0.10/24

2.      DHCP Server连接在交换机的G1/1端口，属于vlan100，网关即交换机vlan接口100的地址192.168.0.1/24

3.      E0/1-E0/10属于vlan10，网段地址10.10.1.1/24

4.      E0/11-E0/20属于vlan20，网段地址10.10.2.1/24

『组网需求』

1.      在SwitchA上配置DHCP Relay使下面用户动态获取指定的相应网段的IP地址

2.      PC1、PC2均可以ping通自己的网关，同时PC1、PC2之间可以互访

『交换机DHCP Relay配置流程』

DHCP Relay的作用则是为了适应客户端和服务器不在同一网段的情况，通过Relay，不同子网的用户可以到同一个DHCP Server申请IP地址，这样便于地址池的管理和维护。

【SwitchA相关配置】

1.        全局使能DHCP功能（缺省情况下，DHCP功能处于使能状态）

[SwitchA]dhcp enable

2.        创建（进入）VLAN100

[SwitchA]vlan 100

3.        将G1/1加入到VLAN100

[SwitchA-vlan100]port GigabitEthernet 1/1

4.        创建（进入）VLAN接口100

[SwitchA]interface Vlan-interface 100

5.        为VLAN接口100配置IP地址

[SwitchA-Vlan-interface100]ip address 192.168.0.1 255.255.255.0

6.        创建（进入）VLAN10

[SwitchA]vlan 10

7.        将E0/1-E0/10加入到VLAN10

[SwitchA-vlan10]port Ethernet 0/1 to Ethernet 0/10

8.        创建（进入）VLAN接口10

[SwitchA]interface Vlan-interface 10

9.        为VLAN接口10配置IP地址

[SwitchA-Vlan-interface10]ip address 10.10.1.1 255.255.255.0

10.    使能VLAN接口10的DHCP中继功能

[SwitchA-Vlan-interface10]dhcp select relay

11.    为VLAN接口10配置DHCP服务器的地址

[SwitchA-Vlan-interface10]ip relay address 192.168.0.10

12.    创建（进入）VLAN20

[SwitchA-vlan10]vlan 20

13.    将E0/11-E0/20加入到VLAN20

[SwitchA-vlan20]port Ethernet 0/11 to Ethernet 0/20

14.    创建（进入）VLAN接口20

[SwitchA]interface Vlan-interface 20

15.    为VLAN接口20配置IP地址

[SwitchA-Vlan-interface20]ip address 10.10.2.1 255.255.255.0

16.    使能VLAN接口20的DHCP中继功能

[SwitchA-Vlan-interface20]dhcp select relay

17.    为VLAN接口20配置DHCP服务器的地址

[SwitchA-Vlan-interface20]ip relay address 192.168.0.10

【补充说明】

也可以在全局配置模式下，使能某个或某些VLAN接口上的DHCP中继功能，例如：[SwitchA]dhcp select relay interface Vlan-interface 10

3，DHCP Snooping

『配置环境参数』

1.      DHCP Server连接在交换机SwitchA的G1/1端口，属于vlan10，IP地址为10.10.1.253/24

2.      端口E0/1和E0/2同属于vlan10

『组网需求』

1.      PC1、PC2均可以从指定DHCP Server获取到IP地址

2.      防止其他非法的DHCP Server影响网络中的主机

『交换机DHCP-Snooping配置流程』

当交换机开启了DHCP-Snooping后，会对DHCP报文进行侦听，并可以从接收到的DHCP Request或DHCP Ack报文中提取并记录IP地址和MAC地址信息。另外，DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转发DHCP Offer报文，而不信任端口会将接收到的DHCP Offer报文丢弃。这样，可以完成交换机对假冒DHCP Server的屏蔽作用，确保客户端从合法的DHCP Server获取IP地址。

【SwitchA相关配置】

1.        创建（进入）VLAN10

[SwitchA]vlan 10

2.        将端口E0/1、E0/2和G1/1加入到VLAN10

[SwitchA-vlan10]port Ethernet 0/1 Ethernet 0/2 GigabitEthernet 1/1

3.        全局使能dhcp-snooping功能

[SwitchA]dhcp-snooping

4.        将端口G1/1配置为trust端口，

[SwitchA-GigabitEthernet1/1]dhcp-snooping trust

【补充说明】

由于DHCP服务器提供给用户包含了服务器分配给用户的IP地址的报文――”dhcp offer”报文，由G1/1端口进入SwitchA并进行转发，因此需要将端口G1/1配置为”trust”端口。如果SwitchA上行接口配置为Trunk端口，并且连接到DHCP中继设备，也需要将上行端口配置为”trust”端口。

交换机配置（八）配置文件管理

（1）文件常用操作

  1，命令 display current-configuration:查看以太网交换机的当前配置

  2，命令 display saved-configuration：查看以太网交换机的启动配置

  3，命令 reset saved-configuration：擦除Flash Memory中的配置文件，以太网交换机下次上电时，系统将采用缺省的配置参数进行初始化。

（2）FTP文件上传与下载

1. 组网需求

交换机作为FTP Server，远端的PC作为FTP Client。在FTP Server上作了如下配置：配置了一个FTP用户名为switch，密码为hello，对该用户授权了交换机上Flash根目录的读写权限。交换机上的一个VLAN接口的IP地址为1.1.1.1，PC的IP地址为2.2.2.2，交换机和PC之间路由可达。

交换机的应用程序switch.app保存在PC上。PC通过FTP向远端的交换机上传switch.app，同时将交换机的配置文件vrpcfg.txt下载到PC实现配置文件的备份。

2. 组网图（略）

3. 配置步骤

1) 交换机上的配置

# 用户登录到交换机上。（用户可以在本地通过Console口登录到交换机上，也可以通过telnet远程登录到交换机上。各种登录方式请参见入门模块的描述。）

# 在交换机上开启FTP服务，设置好用户名、密码和路径：

[Quidway] ftp server enable

[Quidway] local-user switch

[Quidway-luser-switch] service-type ftp ftp-directory flash:

[Quidway-luser-switch] password simple hello

2) 在PC上运行FTP Client程序，同交换机建立FTP连接，同时通过上载操作把交换机的应用程序switch.app上载到交换机的Flash根目录下，同时从交换机上下载配置文件vrpcfg.txt。FTP Client应用程序由用户自己购买、安装，Quidway系列交换机不附带此软件。

注意：如果交换机的Flash memory空间不够大，请删除Flash中原有的应用程序然后再上载新的应用程序到交换机Flash中。

3) 在上载完毕后，用户在交换机上进行升级操作。

# 用户可以通过命令boot boot-loader来指定下载的程序为下次启动时的应用程序，然后重启交换机，实现交换机应用程序的升级。

boot boot-loader switch.app

reboot

（3）TFTP文件上传与下载

1. 组网需求

交换机作为TFTP Client，PC作为TFTP Server，在TFTP Server上配置了TFTP的工作路径。交换机上的一个VLAN接口的IP地址为1.1.1.1，交换机和PC相连的端口属于该VLAN，PC的IP地址为1.1.1.2。

交换机的应用程序switch.app保存在PC上。交换机通过TFTP从TFTP Server上下载switch.app，同时将交换机的配置文件vrpcfg.txt上传到TFTP Server的工作目录实现配置文件的备份。

2. 组网图（略）

3. 配置步骤

1) 在PC上启动了TFTP Server，配置TFTP Server的工作目录。

2) 交换机上的配置

# 用户登录到交换机上。（用户可以在本地通过Console口登录到交换机上，也可以通过telnet远程登录到交换机上。各种登录方式请参见入门模块的描述。）

  注意：如果交换机的Flash memory空间不够大，请删除Flash中原有的应用程序然后再下载新的应用程序到交换机的Flash中。

# 进入系统视图。

system-view

[Quidway]

# 配置VLAN接口的IP地址为1.1.1.1，同时保证与PC相连的端口属于这个VLAN。（本例中以VLAN 1为例。）

[Quidway] interface vlan 1

[Quidway-vlan-interface1] ip address 1.1.1.1 255.255.255.0

[Quidway-vlan-interface1] quit

# 将交换机的应用程序switch.app从TFTP Server下载到交换机。

[Quidway] tftp  get //1.1.1.2/switch.app switch.app

# 将交换机的配置文件vrpcfg.txt上传到TFTP Server。

[Quidway] tftp put vrpcfg.txt //1.1.1.2/vrpcfg.txt

# 执行quit命令退回到用户视图下。

[Quidway] quit

# 用户可以通过命令boot boot-loader来指定下载的程序为下次启动时的应用程序，然后重启交换机，实现交换机应用程序的升级。

boot boot-loader switch.app

reboot

交换机配置（九）远程管理配置

1，WEB方式

『WEB方式远程管理交换机配置流程』

首先必备条件要保证PC可以与SwitchB通信，比如PC可以ping通SwitchB。

如果想通过WEB方式管理交换机，必须首先将一个用于支持WEB管理的文件载入交换机的flash中，该文件需要与交换机当前使用的软件版本相配套。WEB管理文件的扩展名为”tar”或者”zip”，可以从网站上下载相应的交换机软件版本时得到。

需要在交换机上添加WEB管理使用的用户名及密码，该用户的类型为telnet类型，而且权限为最高级别3。

注意，在将WEB管理文件载入交换机flash时，不要将文件进行解压缩，只需将完整的文件载入交换机即可(向交换机flash载入WEB管理文件的方法，请参考本配置实例中交换机的系统管理配置章节)。

【SwitchB相关配置】

1.查看交换机flash里面的文件(保证WEB管理文件已经在交换机flash中)

dir /all

Directory of flash:/

-rwxrwx 1 noone nogroup 442797 Apr 02 2000 13:09:50 wnm-xxx.zip

2.添加WEB管理的用户，用户类型为”telnet”，用户名为”huawei”，密码为”wnm”

[SwitchB]local-user huawei

[SwitchB-luser-huawei]service-type telnet level 3

[SwitchB-luser-huawei]password simple wnm

3.配置交换机管理地址

[SwitchB]interface vlan 100

[SwitchB-Vlan-interface100]ip addr 192.168.0.2 255.255.255.0

4.对HTTP访问用户的控制（Option）

[SwitchB]ip http acl acl_num/acl_name

相关学习帖：

[url]http://bbs.51cto.com/viewthread.php?tid=401882&fpage=1&highlight=web[/url]

2，TELNET方式

【TELNET密码验证配置】

只需输入password即可登陆交换机。

1.        进入用户界面视图

[SwitchA]user-interface vty 0 4

2.        设置认证方式为密码验证方式

[SwitchA-ui-vty0-4]authentication-mode password

3.        设置登陆验证的password为明文密码”huawei”

[SwitchA-ui-vty0-4]set authentication password simple huawei

4.        配置登陆用户的级别为最高级别3(缺省为级别1)

[SwitchA-ui-vty0-4]user privilege level 3

5.        或者在交换机上增加super password(缺省情况下，从VTY用户界面登录后的级别为1级，无法对设备进行配置操作。必须要将用户的权限设置为最高级别3，才可以进入系统视图并进行配置操作。低级别用户登陆交换机后，需输入super password改变自己的级别)例如，配置级别3用户的super password为明文密码”super3”

[SwitchA]super password level 3 simple super3

【TELNET本地用户名和密码验证配置】

需要输入username和password才可以登陆交换机。

1.        进入用户界面视图

[SwitchA]user-interface vty 0 4

2.        配置本地或远端用户名和口令认证

[SwitchA-ui-vty0-4]authentication-mode scheme

3.        配置本地TELNET用户，用户名为”huawei”，密码为”huawei”，权限为最高级别3(缺省为级别1)

[SwitchA]local-user huawei

[SwitchA-user-huawei]password simple huawei

[SwitchA-user-huawei]service-type telnet level 3

4.        在交换机上增加super password

[SwitchA]super password level 3 simple super3

 

【TELNET RADIUS验证配置】

以使用华为3Com公司开发的CAMS 作为RADIUS服务器为例

1.        进入用户界面视图

[SwitchA]user-interface vty 0 4

2.        配置远端用户名和口令认证

[SwitchA-ui-vty0-4]authentication-mode scheme

3.        配置RADIUS认证方案，名为”cams”

[SwitchA]radius scheme cams

4.        配置RADIUS认证服务器地址10.110.51.31

[SwitchA-radius-cams]primary authentication 10.110.51.31 1812

5.        配置交换机与认证服务器的验证口令为”huawei”

[SwitchA-radius-cams]key authentication huawei

6.        送往RADIUS的报文不带域名

[SwitchA-radius-cams]user-name-format without-domain

7.        创建（进入）一个域，名为”huawei”

[SwitchA]domain huawei

8.        在域”huawei”中引用名为”cams”的认证方案

[SwitchA-isp-huawei]radius-scheme cams

9.        将域”huawei”配置为缺省域

[SwitchA]domain default enable huawei

【TELNET访问控制配置】

1.        配置访问控制规则只允许10.1.1.0/24网段登录

[SwitchA]acl number 2000

[SwitchA-acl-basic-2000]rule deny source any

[SwitchA-acl-basic-2000]rule permit source 10.1.1.0 0.0.0.255

2.        配置只允许符合ACL2000的IP地址登录交换机

[SwitchA-ui-vty0-4]acl 2000 inbound

相关学习帖：

[url]http://bbs.51cto.com/viewthread.php?tid=349090&fpage=1&highlight=telnet[/url]

3，SSH方式

1. 组网需求

配置终端（SSH Client）与以太网交换机建立本地连接。终端采用SSH协议进行登录到交换机上，以保证数据信息交换的安全。

2. 组网图（略）

3. 配置步骤（SSH认证方式为口令认证）

[Quidway] rsa local-key-pair create

&  说明：如果此前已完成生成本地密钥对的配置，可以略过此项操作。

[Quidway] user-interface vty 0 4

[Quidway-ui-vty0-4] authentication-mode scheme

[Quidway-ui-vty0-4] protocol inbound ssh

[Quidway] local-user client001

[Quidway-luser-client001] password simple huawei

[Quidway-luser-client001] service-type ssh

[Quidway] ssh user client001 authentication-type password

SSH的认证超时时间、重试次数以及服务器密钥更新时间可以采取系统默认值，这些配置完成以后，您就可以在其它与以太网交换机连接的终端上，运行支持SSH1.5的客户端软件，以用户名client001，密码huawei，访问以太网交换机了。

交换机配置（十）STP配置

『配置环境参数』

1. SwitchA选用华为-3com公司的高中端交换机，如S8500或者S6500系列交换机

2. SwitchB和SwitchC选用华为-3com公司的低端交换机，如S3500或者S3550系列交换机

3. SwitchD、SwitchE和SwitchF选用华为­-3com公司的低端交换机，如S3000或者S2000系列交换机

『组网需求』

1. 所有设备运行STP(Spanning Tree Protocol)生成树协议

2. 以SwitchB为根网桥，阻断网络中的环路，并能达到链路冗余备份的效果

『交换机STP配置流程』

通过改变交换机或者端口的STP优先级，从而达到手工指定网络中的根网桥，以及端口的STP角色，完成阻断环路及链路的冗余备份。

【SwitchB相关配置】

1.全局使能STP功能（缺省情况下，DHCP功能处于使能状态）

[SwitchB]stp enable

2.将SwtichB配置为树根(两种方法：将SwitchB的Bridge优先级设置为0，或者直接将SwitchB指定为树根，两种方法一个效果)

[SwitchB]stp priotity 0

[SwitchB]stp root primary

3.在各个指定端口上启动根保护功能(在此例中，SwtichB的所有端口都是制定端口)

[SwitchB]interface Ethernet 0/1

[SwitchB-Ethernet-0/1]stp root-protection

【SwitchC相关配置】

1.全局使能STP功能（缺省情况下，DHCP功能处于使能状态）

[SwitchB]stp enable

2.将SwtichC配置为备份树根(两种方法：将SwitcCB的Bridge优先级设置为4096，或者直接将SwitchC指定为备份树根，两种方法一个效果)

[SwitchB]stp priotity 4096

[SwitchB]stp root secondary

3.在指定端口上启动根保护功能(在此例中，SwtichC的端口0/1、0/2和0/3是指定端口)

[SwitchB]interface Ethernet 0/1

[SwitchB-Ethernet-0/1]stp root-protection

【其他Switch的相关配置】

将接PC机的端口stp功能关闭，或者配置为边缘端口，并使能BPDU保护功能

[SwitchD­-Ethernet0/4]stp disable

[SwitchD­-Ethernet0/5]stp edged-port enable

[SwitchD­]stp bpdu-protection

【补充说明】

配置了”bpdu-protection”以后，如果某个边缘端口收到BPDU报文，则该边缘端口将会被关闭，必须由手工进行恢复。

当端口上配置了”stp root-protection”以后，该端口的角色只能是指定端口，且一旦该端口上收到了优先级高的配置消息，则该端口的状态将被配置为侦听状态，不再转发报文，当在足够长的时间内没有收到更优的配置消息时，端口会恢复原来的正常状态。

 

 

交换机配置（十一）私有VLAN配置

『配置环境参数』

PC1的IP地址为10.1.1.1/24，PC2的IP地址为10.1.1.2/24，PC3的IP地址为10.1.1.3/24，服务器的IP地址为10.1.1.253/24；PC1、PC2和PC3分别连接到交换机的端口E0/1 、E0/2和 E0/3，端口分属于VLAN10、20和30，服务器连接到交换机的端口G2/1，属于VLAN100。

『交换机Isolate-user-VLAN完成端口隔离配置流程』

等同于原有命令行中的PVLAN，利用VLAN配置视图中，Isolate-user-VLAN命令(原有命令行中的Primary-VLAN)来完成。

『配置过程』

【SwitchA相关配置】

1.创建（进入）VLAN10，将E0/1加入到VLAN10

[SwitchA]vlan 10

[SwitchA-vlan10]port Ethernet 0/1

2.创建（进入）VLAN20，将E0/2加入到VLAN20

[SwitchA]vlan 20

[SwitchA-vlan20]port Ethernet 0/2

3.创建（进入）VLAN30，将E0/3加入到VLAN30

[SwitchA]vlan 30

[SwitchA-vlan30]port Ethernet 0/3

4.创建（进入）VLAN100，将G2/1加入到VLAN100

[SwitchA]vlan 100

[SwitchA-vlan100]port GigabitEthernet 2/1

5.将VLAN100配置为Isolate-user-VLAN

[SwitchA-vlan100]Isolate-user-VLAN enable

6.在系统视图模式下，配置Isolate-user-VLAN与各个secondary VLAN之间的映射关系

[SwitchA]isolate-user-vlan 100 secondary 10 20 30

【补充说明】

此功能配置主要用于对用户主机进行二层隔离。

在配置Isolate-user-VLAN与secondary VLAN之间的映射关系之前，Isolate-user-VLAN与secondary VLAN必须都包含物理端口。

配置了映射关系之后，不可以再对Isolate-user-VLAN或secondary VLAN进行端口增减的操作，必须先解除映射关系。

交换机配置（十二）端口trunk、hybrid应用配置

1，端口trunk应用

『配置环境参数』

1.PC1的IP地址为10.1.1.1/24，PC2的IP地址为10.1.1.2/24，PC3的IP地址为10.1.1.3/24，PC4的IP地址为10.1.1.4/24；

2.PC1和PC2分别连接到交换机SwitchA的端口E0/1和E0/2，端口分属于VLAN10和20；PC3和PC4分别连接在交换机SwitchB的端口E0/10和E0/20，端口分别属于VLAN10和20。

3.SwitchA通过端口G2/1，连接到SwitchB的端口G1/1；SwitchA的端口G2/1和SwitchB的端口G1/1均是Trunk端口，而且允许VLAN10和VLAN20通过。

『组网需求』

1.SwitchA与SwitchB之间相同VLAN的PC之间可以互访。

2.SwitchA与SwitchB之间不同VLAN的PC之间禁止互访。

『交换机Trunk端口配置流程』

利用将端口配置为Trunk端口来完成在不同交换机之间透传VLAN，达到属于相同VLAN的PC机，跨交换机进行二层访问；或者不同VLAN的PC机跨交换机进行三层访问的目的。

『配置过程』

【SwitchA相关配置】

1.创建（进入）VLAN10，将E0/1加入到VLAN10

[SwitchA]vlan 10

[SwitchA-vlan10]port Ethernet 0/1

 

2. 创建（进入）VLAN20，将E0/2加入到VLAN20

[SwitchA]vlan 20

[SwitchA-vlan20]port Ethernet 0/2

3.将端口G2/1配置为Trunk端口，并允许VLAN10和VLAN20通过

[SwitchA]interface GigabitEthernet 1/1

[SwitchA-GigabitEthernet1/1]port link-type trunk

[SwitchA-GigabitEthernet1/1]port trunk permit vlan 10 20

【SwitchB相关配置】

1.创建（进入）VLAN10，将E0/10加入到VLAN10

[SwitchA]vlan 10

[SwitchA-vlan10]port Ethernet 0/10

2.创建（进入）VLAN20，将E0/20加入到VLAN20

[SwitchA]vlan 20

[SwitchA-vlan20]port Ethernet 0/20

3.将端口G2/1配置为Trunk端口，并允许VLAN10和VLAN20通过

[SwitchA]interface GigabitEthernet 2/1

[SwitchA-GigabitEthernet2/1]port link-type trunk

[SwitchA-GigabitEthernet2/1]port trunk permit vlan 10 20

2，端口hybrid应用

『配置环境参数』

1.PC1、PC2和PC3分别连接到二层交换机SwitchA的端口E0/1 、E0/2和 E0/3，端口分属于VLAN10、20和30，服务器连接到端口G2/1，属于VLAN100。

2.PC1的IP地址为10.1.1.1/24，PC2的IP地址为10.1.1.2/24，PC3的IP地址为10.1.1.3/24，服务器的IP地址为10.1.1.254/24。

『组网需求』

1.PC1和PC2之间可以互访；

2.PC1和PC3之间可以互访；

3.PC1、PC2和PC3都可以访问服务器；

4.其余的PC间访问均禁止。

『交换机Hybrid端口配置流程』

利用Hybrid端口的特性――一个端口可以属于多个不同的VLAN，来完成分属不同VLAN内的同网段PC机的访问需求。

『配置过程』

【SwitchA相关配置】

1.创建（进入）VLAN10，将E0/1加入到VLAN10

[SwitchA]vlan 10

[SwitchA-vlan10]port Ethernet 0/1

2.创建（进入）VLAN20，将E0/2加入到VLAN20

[SwitchA]vlan 20

[SwitchA-vlan20]port Ethernet 0/2

3.创建（进入）VLAN30，将E0/3加入到VLAN30

[SwitchA]vlan 30

[SwitchA-vlan30]port Ethernet 0/3

4.创建（进入）VLAN100，将G2/1加入到VLAN100

[SwitchA]vlan 100

[SwitchA-vlan100]port GigabitEthernet 2/1

5.配置端口E0/1为Hybrid端口，能够接收VLAN20、30和100发过来的报文

[SwitchA]interface Ethernet 0/1

[SwitchA-Ethernet0/1]port link-type hybrid

[SwitchA-Ethernet0/1]port hybrid vlan 20 30 100 untagged

6.配置端口E0/2为Hybrid端口，能够接收VLAN10和100发过来的报文

[SwitchA]interface Ethernet 0/2

[SwitchA-Ethernet0/2]port link-type hybrid

[SwitchA-Ethernet0/2]port hybrid vlan 10 100 untagged

7.配置端口E0/3为Hybrid端口，能够接收VLAN10和100发过来的报文

[SwitchA]interface Ethernet 0/3

[SwitchA-Ethernet0/3]port link-type hybrid

[SwitchA-Ethernet0/3]port hybrid vlan 10 100 untagged

8.配置端口G2/1为Hybrid端口，能够接收VLAN10、20和30发过来的报文

[SwitchA]interface GigabitEthernet 2/1

[SwitchA-GigabitEthernet2/1]port link-type hybrid

[SwitchA-GigabitEthernet2/1]port hybrid vlan 10 20 30 untagged

【补充说明】

对于Hybrid端口来说，可以同时属于多个VLAN。这些VLAN分别是该Hybrid端口的PVID，以及手工配置的”untagged”及”tagged”方式的VLAN。一定要注意对应端口的VLAN配置，保证报文能够被端口进行正常的收发处理。

此应用在二层网络中，对相同网段的主机进行访问权限的控制。

S系列交换机实现不同VLAN之间互访的配置

一、组网需求：

交换机配置了4个VLAN，分别为VLAN1，VLAN2，VLAN3，VLAN4，要求VLAN1可以与VLAN2，3，4互访，但是VLAN2，3，4之间不能互访，用Hybrid端口属性实现此功能。

二、组网图：

无

三、配置步骤：

1.      创建VLAN2

[Quidway]vlan 2

2.      创建VLAN3

[Quidway-vlan2]vlan 3

3.      创建VLAN4

[Quidway-vlan3]vlan 4

4.      进入端口Ethernet1/0/1

[Quidway-vlan4] interface Ethernet1/0/1 

5.      将端口设置为hybrid模式

[Quidway-Ethernet1/0/1]port link-type hybrid

6.      设置端口pvid为1

[Quidway-Ethernet1/0/1]port hybrid pvid vlan 1

7.      允许VLAN1，2，3，4不打标签通过

[Quidway-Ethernet1/0/1]port hybrid vlan 1 to 4 untagged

8.      进入端口Ethernet1/0/2

[Quidway-Ethernet1/0/1]interface Ethernet1/0/2

9.      将端口设置为hybrid模式

[Quidway-Ethernet1/0/2]port link-type hybrid     

10.  设置端口pvid为2

[Quidway-Ethernet1/0/2]port hybrid pvid vlan 2

11.  允许VLAN1，2不打标签通过

[Quidway-Ethernet1/0/2]port hybrid vlan 1 to 2 untagged

12.  进入端口Ethernet1/0/3

[Quidway-Ethernet1/0/2]interface Ethernet1/0/3 

13.  将端口设置为hybrid模式

[Quidway-Ethernet1/0/3]port link-type hybrid                      

14.  设置端口pvid为3

[Quidway-Ethernet1/0/3]port hybrid pvid vlan 3

15.  允许VLAN1，3不打标签通过

[Quidway-Ethernet1/0/3]port hybrid vlan 1 3 untagged

16.  进入端口Ethernet1/0/4

[Quidway-Ethernet1/0/3]interface Ethernet1/0/4

17.  将端口设置为hybrid模式                 

[Quidway-Ethernet1/0/4]port link-type hybrid

18.  设置端口pvid为4

[Quidway-Ethernet1/0/4]port hybrid pvid vlan 4                    

19.  允许VLAN1，4不打标签通过

[Quidway-Ethernet1/0/4]port hybrid vlan 1 4 untagged    

四、配置关键点：

1. 利用交换机以太网端口的Hybrid特性，可以实现PVLAN的功能。

2. 采用Hybrid属性实现的PVLAN功能和PVLAN的工作机制存在较大差异，上述情况只适用于网络流量，网络用户较少的应用。