對于不是很常用的MAC VLAN，許多讀者都感到很陌生，讀者QQ群中也經常見到有讀者提到這方面的問題，希望我給予解答?，F從筆者編著，目前在全國熱銷的《Cisco/H3C交換機配置與管理完全手冊》(第二版)(與之配套的姊妹篇為《Cisco/H3C交換機高級配置與管理技術手冊》)一書中摘選一部分H3C交換機MAC VLAN內容，希望對這些讀者有所幫助。如要全面了解Cisco和H3C交換機的MAC VLAN相關知識和配置方法，請參見Cisco/H3C交換機配置與管理完全手冊》(第二版)。

19.6 H3C交換機基于MAC地址VLAN配置 與Cisco IOS中的基于MAC地址VLAN一樣，H3C交換機中的基于MAC地址VLAN也是一種動態VLAN劃分方式。它并不會把某個端口靜態地劃分到一個特定的VLAN，而是要根據所連主機的MAC地址來動態選擇加入到對應的VLAN中。

我們在第一篇學習Cisco IOS交換機基于MAC地址劃分VLAN時已體會到，總體來說還是比較麻煩的，要配置VMPS服務器，還要配置VPMS客戶端，而且VMPS服務器目前來說只能由CatOS系統交換機擔當，所以要實現基于MAC地址來劃分VLAN網絡中必須同時有兩種操作系統的Cisco交換機，條件也是比較比較苛刻的。相比之下，本節介紹的H3C交換機基于MAC地址的VLAN劃分就簡單許多。它是按照報文的源MAC地址來定義VLAN成員，將指定報文加入該VLAN的標記后發送。但在H3C以太網交換機中，支持基于MAC地址的VLAN不多，與前面介紹的基于IP子網VLAN一樣，主要有S5500、S5510、S7500E等交換機系列。

與前面介紹的基于協議VLAN和基于IP子網VLAN一樣，基于MAC地址的VLAN功能也只能在Hybrid端口配置，而且也主要用于在用戶的接入設備的下行端口上進行配置(基于協議VLAN和基于IP子網VLAN也僅在接入設備的下行端口上配置)，因此不和聚合功能同時使用。

基于MAC地址VLAN的實現機制

在支持基于MAC地址劃分VLAN的H3C交換機中，劃分方式又有三種形式：手動配置靜態MAC VLAN、動態觸發端口加入靜態MAC VLAN和動態MAC VLAN。

1.手動配置靜態MAC VLAN

在手動配置靜態MAC VLAN方式中，管理員需要手動配置MAC VLAN表項，啟動基于MAC劃分VLAN的功能，然后手動將對應的端口加入MAC VLAN。這種方式顯然工作量比較大，常用于MAC VLAN中用戶相對較少的網絡環境。在該方式下，MAC VLAN的劃分原理如下：

l當端口收到的報文為不帶VLAN標記的報文時，會根據報文的源MAC匹配MAC VLAN表項。首先進行模糊匹配，即查詢表中MASK(MAC地址掩碼)不是全為F(只比較非F的位)的表項。將源MAC和MASK進行邏輯與運算后再與MAC VLAN表項中的MAC地址匹配，如果完全相同，則匹配成功，給報文添加表項中指定的VLAN ID并轉發該報文;如果模糊匹配失敗，則進行精確匹配，即查詢表中MASK為全F的表項。如果報文中的源MAC與MAC VLAN表項中的MAC地址完全相同，則匹配成功，給報文添加表項中指定的VLAN ID并轉發該報文;如果沒有找到匹配MAC VLAN表項，則繼續按照基于IP子網VLAN、協議VLAN、端口VLAN的先后順序進行匹配。

l當端口收到的報文為帶有VLAN標記的報文時，如果VLAN ID在端口中允許通過的VLAN ID列表里時，則接收該報文;否則丟棄該報文。

2.動態觸發端口加入靜態MAC VLAN

在手動配置靜態MAC VLAN劃分方式中，管理員需要把端口一一加入相應的MAC VLAN，但這里有一個問題，那就是我們有時往往根本不能確定交換機從哪些端口收到屬于MAC VLAN的報文，這時我們就不能通過手動方式把相應端口加入到MAC VLAN。此時，就需要借助另一種更加智能的MAC VLAN配置方式，使用動態觸發端口加入靜態MAC VLAN中。在這種MAC VLAN配置方式中，配置MAC VLAN表項后，管理員只需在端口上啟用基于MAC的VLAN劃分功能和MAC VLAN動態觸發功能，在端口收到與MAC VLAN表項匹配的報文后，可以通過此報文動態觸發端口加入MAC VLAN。其劃分原理如下：

l當端口收到的報文為不帶VLAN標記的報文時，按圖19-11所示流程進行處理。

l當收到的報文為帶VLAN標記的報文時，處理方式和基于端口的VLAN一樣：如果端口允許攜帶該VLAN標記的報文通過，則正常轉發;如果不允許，則丟棄該報文。

【說明】如果用戶在同一端口上同時啟用了手動配置靜態MAC VLAN和動態觸發端口加入靜態MAC VLAN，此時端口對收到的非精確匹配的報文將做丟棄處理。

圖19-11在收到不帶VLAN標記報文時，動態觸發端口加入靜態MAC VLAN的處理流程

3.動態MAC VLAN

動態MAC VLAN需要和接入認證(比如基于MAC地址的802.1x認證)配合使用，以實現終端的安全、靈活接入。用戶在交換機上配置動態MAC VLAN功能以后，還需要在接入認證服務器上配置MAC地址和VLAN的關聯關系，這種MAC VLAN的配置就比較麻煩了，本書不做介紹。

在動態MAC VLAN中，用戶訪問網絡時，接入認證服務器先對用戶進行認證，如果認證通過，服務器下發VLAN信息。交換機會根據用戶報文的源MAC地址和下發的VLAN信息生成MAC VLAN表項，并將MAC VLAN添加到端口允許通過的VLAN列表中。用戶下線后，交換機自動刪除MAC VLAN表項，并將MAC VLAN從端口允許通過的VLAN列表中刪除。

19.6.2手動配置靜態MAC VLAN配置(略)

19.6.3 動態觸發端口加入靜態MAC VLAN配置(略)

19.6.4 手動配置靜態MAC VLAN配置示例 本示例拓撲結構如圖19-11所示。SwitchA和SwitchB的GigabitEthernet1/0/1端口分別連接到兩個會議室，Laptop1和Laptop2是會議用筆記本電腦，會在兩個會議室間移動使用。Laptop1和Laptop2的MAC地址分別為000d-88f8-4e71、0014-222c-aa69。

使用時，Laptop1和Laptop2要分別用于兩個部門的員工，兩個部門間使用VLAN100和VLAN200進行隔離?，F要求這兩臺筆記本電腦無論在哪個會議室使用，均只能訪問自己部門的服務器，即Server1和Server2。

圖19-11手動配置靜態MAC VLAN示例拓撲結構

本示例配置所適用的H3C交換機系列和對應的軟/硬件版本如表19-18所示。

表19-18示例適用的H3C交換機系列及軟/硬件版本

H3C交換機系列

軟件版本

硬件版本

S5500-SI系列以太網交換機

Release 1207軟件版本

全系列硬件版本(除S5500-20TP-SI)

Release 1301軟件版本

S5500-20TP-SI

S5500-EI系列以太網交換機

Release 2102軟件版本

全系列硬件版本

S7500E系列以太網交換機

Release 6100，Release 6300軟件版本

全系列硬件版本

1.SwitchA的配置

(1)創建VLAN100和VLAN200，并將GigabitEthernet1/0/2配置為Trunk端口，允許VLAN100和VLAN200的報文通過。

system-view

[SwitchA]vlan100

[SwitchA-vlan100]quit

[SwitchA]vlan200

[SwitchA-vlan200]quit

[SwitchA]interfaceGigabitEthernet1/0/2

[SwitchA-GigabitEthernet1/0/2]port link-type trunk

[SwitchA-GigabitEthernet1/0/2]port trunk permit vlan100 200

[SwitchA-GigabitEthernet1/0/2]quit

(2)將GigabitEthernet1/0/1配置為Hybrid端口，并使其在發送VLAN 100和VLAN 200的報文時去掉VLAN Tag。

[SwitchA]interfaceGigabitEthernet1/0/1

[SwitchA-GigabitEthernet1/0/1]port link-type hybrid

[SwitchA-GigabitEthernet1/0/1]port hybrid vlan100 200untagged

[SwitchA-GigabitEthernet1/0/1]quit

(3)創建Laptop1的MAC地址與VLAN 100的關聯，創建Laptop2的MAC地址與VLAN 200的關聯，開啟GigabitEthernet1/0/1端口的MAC-VLAN功能。

[SwitchA]mac-vlan mac-address000d-88f8-4e71vlan100

[SwitchA]mac-vlan mac-address0014-222c-aa69vlan200

[SwitchA]interfaceGigabitEthernet 1/0/1

[SwitchA-GigabitEthernet1/0/1]mac-vlan enable

2.SwitchB的配置

SwitchB的配置與SwitchA完全一致，這里不再贅述。

3.Core Switch的配置

(1)創建VLAN100和VLAN200，并將GigabitEthernet1/0/13和GigabitVLANEthernet

1/0/14端口分別加入這兩個VLAN。

system-view

[CoreSwitch]vlan100

[CoreSwitch-vlan100]portgigabitethernet 1/0/13

[CoreSwitch-vlan100]quit

[CoreSwitch]vlan200

[CoreSwitch-vlan200]portgigabitethernet 1/0/14

[CoreSwitch-vlan200]quit

(2)配置GigabitEthernet1/0/3和GigabitEthernet1/0/4端口為Trunk端口，均允許VLAN100和VLAN200的報文通過。從這里也可以看出，同一個VLAN中可以基于多種VLAN劃分方式來添加端口，因為在VLAN 100和VLAN 200中，上一步已通過基于端口VLAN劃分方式添加了gigabitethernet 1/0/13和gigabitethernet 1/0/14兩個Access端口。而此處添加的了Trunk端口(在SwitchA和SwitchB中還通過基于MAC地址劃分方式添加了Hybird端口)。

[CoreSwitch]interfaceGigabitEthernet1/0/3

[CoreSwitch-GigabitEthernet1/0/3]port link-type trunk

[CoreSwitch-GigabitEthernet1/0/3]port trunk permit vlan100 200

[CoreSwitch-GigabitEthernet1/0/3]quit

[CoreSwitch]interfaceGigabitEthernet1/0/4

[CoreSwitch-GigabitEthernet1/0/4]port link-type trunk

[CoreSwitch-GigabitEthernet1/0/4]port trunk permit vlan100 200

[CoreSwitch-GigabitEthernet1/0/4]quit