VLAN特性聚合、MUX VLAN、QinQ、映射

无论如何，不许退缩，不许不努力，决不许放弃！

文章目录

一、VLAN聚合
二、MUX VLAN
三、QinQ
四、VLAN Mapping
五、拓扑
六、基本配置与分析
七、设备完整配置

作为一名资深工程师，你会用这些的高级 VLAN 特性么？
VLAN特性映射、聚合、MUX VLAN、QinQ；DHCP，DHCP中继，NAT，ACL。

一、VLAN聚合

聚合VLAN产生的背景：
不同VLAN隔离二层通信（主要目的划分广播域），为了实现互通需要借助三层通信，这样每个VLAN都属于一个子网，需要自己的IP子网和网关，随着网络中VLAN数量的增加，IP子网也会剧增，但是实际每个子网不会被完全利用，这样会有大量的IP地址浪费；另外每个子网都需要自己的网络号，网关，子网广播地址都不能用做主机的IP地址，这些地址也会被浪费掉。

1、通信特点：

VLAN聚合定义了两层VLAN：Super-VLAN和Sub-VLAN；每个Sub-VLAN是一个广播域；Super-VLAN是Sub-VLAN的上级VLAN，一个Super-VLAN可以和多个Sub-VLAN关联。给Super-VLAN定义IP子网与配属网关，这样这些Sub-VLAN就可以共享一个网关地址，减少了子网号和子网广播地址，而每个Sub-VLAN作为一个独立的广播域实现了广播隔离，需要三层通信去由Super-VLAN的网关地址来单播转发。

2、成员角色：

（1）Super-VLAN------聚合VLAN（超级VLAN）

① 一个SW可以创建多个Super-VLAN；一个聚合VLAN可以关联多个子VLAN，为这些Sub-VLAN提供三层（VLANIF）接口，保证Sub-VLAN之间及与外网的通信。
② Super-VLAN不属于任何物理接口（即Super-VLAN下不允许划分物理接口）；
③ Super-VLANIF接口的状态是否UP取决于其下属的Sub-VLAN下的物理接口是否存在UP（只要有一个Sub-VLAN拥有UP状态的物理接口既能保证Super-VLANIF的UP）

（2）Sub-VLAN---------子VLAN

① Sub-VLAN所属的物理接口为终端设备提供接入（可以理解为就是普通的VLAN）
② Sub-VLAN不能创建VLANIF接口，只用来对用户进行二层隔离（划分广播域）
③ 同一个Super-VLAN内的Sub-VLAN子网应该一致，由Super-VLAN提供网关服务。

3、通信规则：

（1）Sub-VLAN与其他设备的二层通信
不同设备同Sub-VLAN间二层通信时只封装或者携带Sub-VLAN所属的VLAN标签

（2）Sub-VLAN之间通信
同一个Super-VLAN内的Sub-VLAN子网一致，这样这些Sub-VLAN内的成员通信时不会通过网关转发数据，这些接入成员会自行发送
ARP包请求目标的MAC地址，但是每个Sub-VLAN就是一个广播域，所以子网内成员的广播包在不同Sub-VLAN之间是无法传递的。
解决方法：
在Super-VLAN开启ARP代理功能，由Super-VLANIF接口代替Sub-VLAN成员请求或者回复同子网内的ARP信息。

（3）Sub-VLAN三层通信
Sub-VLAN子网成员需要跨网段访问目标时，会请求子网网关的MAC地址，Super-VLANIF接口可以和任何一个Sub-VLAN成员通信，所以会
响应子网成员的地址请求信息。
解决方法：
在Super-VLAN上开启VLANIF接口，配置子网网关地址即可。

端口隔离是SW设备的阻止本地端口发送的报文到达其他端口，不受网络协议层的限制（二层VLAN，三层-IP网段等）；在本地限制指定端口的数据发往特定端口的功能。

4、单向端口隔离

配置单向端口隔离后，此接口不能访问指定接口，指定接口可以访问此接口，其他接口不受限制。

[SW-1]int G0/0/1
[SW-1-GigabitEthernet0/0/1]am isolate G0/0/2 //本接口G0/0/1针对G0/0/2做单向隔离

（1）本G0/0/1接口发往G0/0/2接口的数据受到限制
（2）G0/0/2接口的数据任然可以正常到达G0/0/1接口
（3）他接口与G0/0/1不受任何限制，正常交互。

5、端口隔离组

（1）同一个隔离组内的成员不可以互相通信
（2）不同隔离组之间的成员可以互相通信
（3）非隔离组接口可以和隔离组内成员互相通信

注意： Super-VLAN内不允许存在物理成员；网关地址只需配置在Super-VLANIF接口即可。

二、MUX VLAN

1、通信特点

利用VLAN来控制网络资源访问的技术；MUX VLAN定义了两级VLAN ，Principal VLAN（主VLAN）和Subordinate VLAN 和Subordinate VLAN(从VLAN)；对主vlan的通信不受限制；通过对从vlan进行控制或者隔离。

2、通信规则

（1）角色：Principal Port----主端口
互通：主端口可以和同一个集合的MUX VLAN内所有的成员互相通信
不通：无

（2）角色：Group Port-------组端口
互通：可以和主端口互相通信；可以和同一组VLAN内成员通信；可以跨设备和同一组VLAN内成员通信。
不通：不能和隔离端口成员通信；不能和其他组vlan 成员通信

（3）角色：Separate Port-----隔离端口
互通：可以和主端口互相通信；可以跨设备和同一Separate VLAN（隔离vlan）内成员通信。
不通：不能和隔离端口成员通信；不能和其他组vlan 成员通信

3、成员角色：

（1）Principal VLAN（主VLAN ）
一个SW可以创建多个主VLAN ；
一个主VLAN可以关联多个从VLAN
Principal Port 主VLAN所属的端口

（2）Subordinate VLAN（从VLAN）
Separate VLAN 隔离型VLAN：一个MUX VLAN内只能有一个隔离型VLAN。
Separate Port 隔离端口

Group VLAN 互通型VLAN：一个MUX VLAN可以有多个互通型VLAN
Group VLAN 互通端口

4、三层互通

（1）在主VLAN上开启VLAN IF接口配置网关，为所有的从VLAN成员提供跨网段服务
（2）主VLAN的access成员接入网关设备

5、注意

MUX vlan的vlan成员不能在加入聚合vlan
MUX vlan的主vlan不支持VLANIF----只能添加路由设备，把路由设备接入进主vlan所属的端口
MUX VLAN本地有效在多台SW使用此特性的时请在所有的SW上都配置相同的配置
一个MUX vlan组只能有一个主vlan ，只能有一个隔离vlan，可以有多个互通vlan；一台SW可以创建多个MUX-vlan组

三、QinQ

1、基本QinQ

通信特点：

① 基本QinQ基于端口实现。当SW的接口类型被配置为dot1q-tunnel模式后，该端口收到的报文，不论是否带有VLAN标签，都会为该数据打上本端口的缺省VLAN标签。
② 基本QinQ配置简单，但是不能灵活地为用户或业务选取外层VLAN标签。

2、灵活QinQ

通信特点：

① 灵活QinQ可以为不同的数据流打上不同的外层标签（可以通过用户数据的vlan标签及802.1q优先级封装不同标签。）
② 基本QinQ配置简单，但是不能灵活地为用户或业务选取外层VLAN标签。

注意：进行QinQ的SW上无需存在用户的VLAN也可以放行用户标签的数据，只需做好对用户数据的新标签封装的VLAN存在即可（及vlan 10为用户，vlan 100为新qinq的vlan。只需在qinq的SW上创建VLAN–100即可）

作用： 使得相同或者不同VLAN之间的用户实穿越同一VLAN实现互相通信

四、VLAN Mapping

1、定义

VLAN Mapping通过修改报文携带的VLAN Tag来实现不同VLAN的相互映射

2、作用

（1）解决相同VLAN ID的用户数据跨域第三方VLAN，实现相同VLAN 之间逻辑上的直接互联，达到二层互通和统一管理的目的。
（2）解决不同VLAN ID的之间逻辑上的直接互联，达到二层互通和统一管理的目的。

3、Vlan-Mapping配置

（1）Vlan-Mapping功能可以为替换已经存在VLAN标签的数据，并且在带有映射后数据返回时自动还原数据之映射前的标签
（2）只有Hybrid及Trunk类型的接口支持此功能
（3）对于Vlan-Mapping接口只需tagger 映射后的标签，无需配置untagger，用户vlan无需放行或者剥离标签

五、拓扑

六、基本配置与分析

实验背景

1、本市A公司对B公司进行了兼并重组，现需对在原有网络基础上实现以下需求
2、向ISP申请了二层专线实现总部与分部互访（ISP采用VLAN 100为此用户服务）
3、向ISP申请了固定公网100.1.1.2为公司提供公网访问的需求

需求

PC与路由器连接SW的接口配置为Access；
SW与SW互联的接口默认配置为trunk，如有特殊需求可以自行决定接口类型
所有的网段的网关地址为.1（例：Vlanif-2-----172.168.1.1/24）

1、所有接入此网络的PC的网关部署在总部的SW-1-1

[SW-1-1]int Vlanif 100
[SW-1-1-Vlanif100]ip address 172.168.100.1 255.255.255.0
[SW-1-1-Vlanif100]dhcp select relay
[SW-1-1-Vlanif100]dhcp relay server-ip 172.168.2.2

其他类似

2、总部与分部行政部门内部需要互相通信

不同vlan，相同网段做聚合；

在SW-1-1上做聚合

[SW-1-1]vlan 100
[SW-1-1-vlan100]aggregate-vlan
[SW-1-1-vlan100]access-vlan 10 30

3、所有接入此网络的来宾之间不能互相访问，也不能访问公司其他网络

[SW-1-2]vlan 150
[SW-1-2-vlan150] mux-vlan                //VLAN 150开启MUX vlan功能，并定义VLAN 150为Principal VLAN（主VLAN）
[SW-1-2-vlan150]subordinate separate 152 //定义VLAN 152为此VLAN 150的辅VLAN--隔离型VLAN

[SW-1-1]acl 3010
[SW-1-1-acl-adv-3010]rule 5 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.2.0 0.0.0.255
[SW-1-1-acl-adv-3010]rule 10 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.100.0 0.0.0.255
[SW-1-1-acl-adv-3010]rule 15 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.200.0 0.0.0.255
[SW-1-1-acl-adv-3010]rule 20 deny ip source 192.168.150.0 0.0.0.255 destination 192.168.160.0 0.0.0.255
[SW-1-1-acl-adv-3010] rule 25 permit ip[SW-1-1]traffic-filter inbound acl 3010[SW-1-1]acl 3030
[SW-1-1-acl-adv-3030] rule 5 deny ip source 192.168.160.0 0.0.0.255 destination 172.168.200.0 0.0.0.255
[SW-1-1-acl-adv-3030] rule 10 deny ip source 192.168.160.0 0.0.0.255 destination 172.168.100.0 0.0.0.255[SW-1-1]traffic-filter outbound acl 3030

PC1 ping 172.168.200.254（PC6）

PC2 ping 192.168.160.254（PC8）
PC2 ping 114.114.114.114 （公网）

通过以上输出结果可知，已实现需求。

4、分部生产车间1与车间2共享一个网段与网关，可以互相单播通信

不同vlan，相同网段做聚合；

在SW-1-1上做聚合

[SW-1-1]vlan 200
[SW-1-1-vlan200]aggregate-vlan      //对VLAN 200开启聚合VLAN功能，同时定义VLAN 200为此聚合组的Super-VLAN
[SW-1-1-vlan200]access-vlan 201 202 //定义VLAN 201 202为此聚合VLAN的子VLAN

PC5 ping 172.168.200.254 （PC6）

ipconfig

5、所有接入此网络的PC可以访问以114.114.114.114为代表的公网

NAT

[ISP]ip route-static 0.0.0.0 0.0.0.0 100.1.1.2[DHCP]acl 2020
[DHCP-acl-basic-2020]rule 5 permit            //匹配内网所有[DHCP]int g0/0/0
[DHCP-GigabitEthernet0/0/0]ip address 100.1.1.2 255.255.255.0
[DHCP-GigabitEthernet0/0/0]nat outbound 2020  //g0/0/0接口下出方向挂接nat

PC8 ping 114.114.114.114

PC3 ping 114.114.114.114

6、所有接入此网络的PC的IP信息通过总部的DHCP服务器获取

DHCP配置
DHCP中继

[DHCP]ip pool 160                                          //建立地址池名称为160
[DHCP-ip-pool-160]gateway-list 192.168.160.1               //设置下发网关为192.168.160.1
[DHCP-ip-pool-160]network 192.168.160.0 mask 255.255.255.0 //分发地址段位192.168.160.0/24
[DHCP-ip-pool-160]lease day 3 hour 0 minute 0              //设置IP地址租期为3天0小时0分钟
[DHCP-ip-pool-160]dns-list 114.114.114.114                 //设置下发DNS地址为114.114.114.114[SW-1-1]int Vlanif 160
[SW-1-1-Vlanif160]ip address 192.168.160.1 255.255.255.0
[SW-1-1-Vlanif160]dhcp select relay                //本接口开启DHCP中继功能
[SW-1-1-Vlanif160]dhcp relay server-ip 172.168.2.2 //指定DHCP服务器地址

PC>ipconfig /renew

七、设备完整配置

SW-1-1

<SW-1-1>di cu
#
sysname SW-1-1
#
vlan batch 2 10 30 100 150 to 152 160 162 200 to 202
#
......
#
dhcp enable
#
diffserv domain default
#
acl number 3010rule 5 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.2.0 0.0.0.255rule 10 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.100.0 0.0.0.255rule 15 deny ip source 192.168.150.0 0.0.0.255 destination 172.168.200.0 0.0.0.255rule 20 deny ip source 192.168.150.0 0.0.0.255 destination 192.168.160.0 0.0.0.255rule 25 permit ip
acl number 3030rule 5 deny ip source 192.168.160.0 0.0.0.255 destination 172.168.200.0 0.0.0.255rule 10 deny ip source 192.168.160.0 0.0.0.255 destination 172.168.100.0 0.0.0.255//规则编号为3030的语句，拒绝源的IP数据访问192.168.160.0/24访问172.168.100.0/24
#
drop-profile default
#
vlan 100aggregate-vlan     //开启此vlan的vlan聚合功能access-vlan 10 30  //将vlan 10 30这些Sub-vlan（副vlan） 加入进本super-VLAN（超级/主vlan）中
vlan 150aggregate-vlanaccess-vlan 152
vlan 160aggregate-vlanaccess-vlan 162
vlan 200aggregate-vlanaccess-vlan 201 to 202
#
interface Vlanif1
#
interface Vlanif2ip address 172.168.2.1 255.255.255.0
#
interface Vlanif100ip address 172.168.100.1 255.255.255.0dhcp select relaydhcp relay server-ip 172.168.2.2
#
interface Vlanif150ip address 192.168.150.1 255.255.255.0dhcp select relay                //本接口开启DHCP中继功能dhcp relay server-ip 172.168.2.2 //指定DHCP服务器地址（作用是将DHCP的广播包邮中继接口单播 送给DHCP服务器）
#
interface Vlanif151
#
interface Vlanif160ip address 192.168.160.1 255.255.255.0dhcp select relaydhcp relay server-ip 172.168.2.2
#
interface Vlanif200ip address 172.168.200.1 255.255.255.0arp-proxy inter-sub-vlan-proxy enable  //启本超级vlan对副vlan之间的ARP代理功能（使得从vlan之间的主机成员可以互相通信）dhcp select relaydhcp relay server-ip 172.168.2.2
#
interface MEth0/0/1
#
interface GigabitEthernet0/0/1port link-type accessport default vlan 2
#
......
#
interface GigabitEthernet0/0/22port link-type trunkport trunk allow-pass vlan 10 30
#
interface GigabitEthernet0/0/23port link-type trunkport trunk allow-pass vlan 10 30 162 201 to 202
#
interface GigabitEthernet0/0/24port link-type trunkport trunk allow-pass vlan 2 to 99 101 to 149 151 to 159 161 to 199 201 to 202
#
interface NULL0
#
ospf 1 router-id 3.3.3.3area 0.0.0.0network 172.168.2.1 0.0.0.0network 192.168.150.1 0.0.0.0network 192.168.160.1 0.0.0.0network 172.168.100.1 0.0.0.0network 172.168.200.1 0.0.0.0
#
traffic-filter inbound acl 3010
traffic-filter outbound acl 3030  //挂接ACL策略
#

SW-1-2

[SW-1-2]di cu
#
sysname SW-1-2
#
vlan batch 150 to 152
#
......
#
dhcp enable
#
diffserv domain default
#
drop-profile default
#
vlan 150mux-vlan                 //VLAN 150开启MUX vlan功能，并定义VLAN 150为Principal VLAN（主VLAN）                               subordinate separate 152 //定义VLAN152为此VLAN 150的辅VLAN--互通型VLAN
#
......
#
interface MEth0/0/1
#
interface GigabitEthernet0/0/1port link-type accessport default vlan 152port mux-vlan enable //接口开启MUX vlan功能（会依据接口所属的VLAN来定义接口类型是主端口，还是互通或者隔离端口）
#
interface GigabitEthernet0/0/2port link-type accessport default vlan 152//设置此隧道接口的默认vlan 为152，无论此接口收到的数据是否携带vlan标签，都会封装vlan 152的标签。port mux-vlan enable
#
interface GigabitEthernet0/0/3
......
#
interface GigabitEthernet0/0/24port link-type trunkport trunk allow-pass vlan 152
#
......

SW-1-3

<SW-1-3>di cu
#
sysname SW-1-3
#
vlan batch 10 30 100
#
.......
#
interface MEth0/0/1
#
interface GigabitEthernet0/0/1port link-type accessport default vlan 10
#
......
#
interface GigabitEthernet0/0/22port link-type trunkport trunk allow-pass vlan 2 to 4094
#
......

DHCP-SErver

<DHCP>di cu
[V200R003C00]
#sysname DHCP
#......
#
dhcp enable  //先开启DHCP功能
#
acl number 2020  rule 5 permit
#
ip pool 150                                //建立地址池名称为150 gateway-list 192.168.150.1                //设置下发网关为192.168.150.1network 192.168.150.0 mask 255.255.255.0  //分发地址段位192.168.150.0/24lease day 3 hour 0 minute 0               //设置IP地址租期为3天0小时0分钟dns-list 114.114.114.114                  //设置下发DNS地址为114.114.114.114
#
ip pool 160gateway-list 192.168.160.1     network 192.168.160.0 mask 255.255.255.0 lease day 3 hour 0 minute 0 dns-list 114.114.114.114
#
ip pool 100gateway-list 172.168.100.1 network 172.168.100.0 mask 255.255.255.0 lease day 3 hour 0 minute 0 dns-list 114.114.114.114
#
ip pool 200gateway-list 172.168.200.1 network 172.168.200.0 mask 255.255.255.0 lease day 3 hour 0 minute 0 dns-list 114.114.114.114
#
......
#
interface GigabitEthernet0/0/0ip address 100.1.1.2 255.255.255.0 nat outbound 2020
#
interface GigabitEthernet0/0/1 //进入连接终端设备的接口（一般这个接口为GW）ip address 172.168.2.2 255.255.255.0 dhcp select global            //此接口调用全局模式下配置的地址池下发地址
#
interface GigabitEthernet0/0/2
#
interface NULL0
#
ospf 1 router-id 2.2.2.2 area 0.0.0.0 network 100.1.1.2 0.0.0.0 network 172.168.2.2 0.0.0.0
#
ip route-static 0.0.0.0 0.0.0.0 100.1.1.1
#
......

AR2

<ISP>di cu
[V200R003C00]
#sysname ISP
#
......
#
interface GigabitEthernet0/0/0ip address 100.1.1.1 255.255.255.0
#
......
#
interface LoopBack0ip address 114.114.114.114 255.255.255.255
#
ospf 1 router-id 114.114.114.114 area 0.0.0.0 network 100.1.1.1 0.0.0.0 network 114.114.114.114 0.0.0.0
#
ip route-static 0.0.0.0 0.0.0.0 100.1.1.2
#
......

SW-1

<SW-1>di cu
#
sysname SW-1
#
vlan batch 2 10 30 100 152 162 201 to 202
#
......
#
interface GigabitEthernet0/0/23qinq vlan-translation enable    //开启此接口 的灵活QinQ功能port hybrid untagged vlan 100   //对vlan 100的数据剥离标签发出port vlan-stacking vlan 1 to 1000 stack-vlan 100  //将进入测接口的数据，带有vlan 1 to 1000 标签的数据在其基础上再加封装vlan 100的标签
#
interface GigabitEthernet0/0/24port link-type trunkundo port trunk allow-pass vlan 1port trunk allow-pass vlan 2 to 4094
#
.......

SW-2

<SW-2>di cu
#
sysname SW-2
#
vlan batch 2 10 30 100 152 162 201 to 202
#
......
#
interface GigabitEthernet0/0/23qinq vlan-translation enableport hybrid untagged vlan 100port vlan-stacking vlan 1 to 1000 stack-vlan 100
#
interface GigabitEthernet0/0/24port link-type trunkundo port trunk allow-pass vlan 1port trunk allow-pass vlan 2 to 4094
#
......

SW-2-1

<SW-2-1>di cu
#
sysname SW-2-1
#
vlan batch 10 30 100 162 201 to 202
#
......
#
interface GigabitEthernet0/0/22port link-type trunkport trunk allow-pass vlan 10 30 162
#
interface GigabitEthernet0/0/23port link-type trunkport trunk allow-pass vlan 30 162 201 to 202
#
interface GigabitEthernet0/0/24port link-type trunkport trunk allow-pass vlan 2 to 4094
#
.....

SW-2-2

<SW-2-2>di cu
#
sysname SW-2-2
#
vlan batch 200 to 202
#
.......
#
interface GigabitEthernet0/0/5port link-type accessport default vlan 201
#
interface GigabitEthernet0/0/6port link-type accessport default vlan 202
#
......
#
interface GigabitEthernet0/0/24port link-type trunkport trunk allow-pass vlan 2 to 4094
#
......

SW-2-3

<SW-2-3>di cu
#
sysname SW-2-3
#
vlan batch 10 30 100 160 to 162 1600
#
......
#
drop-profile default
#
vlan 160mux-vlansubordinate separate 162
#
......
#
interface GigabitEthernet0/0/4port link-type accessport default vlan 30
#
interface GigabitEthernet0/0/5
#
interface GigabitEthernet0/0/6
#
interface GigabitEthernet0/0/7port link-type accessport default vlan 162port mux-vlan enable
#
interface GigabitEthernet0/0/8port link-type accessport default vlan 162port mux-vlan enable
#
......
#
interface GigabitEthernet0/0/22port link-type trunkport trunk allow-pass vlan 10 30 162
#
.......

我是艺博东，努力上进的日子，才是最踏实且幸福的。也欢迎你和我一起讨论，我们下期见。