交换机高级特性简介

最新推荐文章于 2024-04-29 17:49:01 发布
最新推荐文章于 2024-04-29 17:49:01 发布
阅读量748 收藏 5
点赞数 5
分类专栏： 路由交换 文章标签： 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/TheclearX/article/details/106889668
版权

交换机高级特性简介

前言： 本节主要介绍交换机的一些高级特效，包括MUX VLAN（Multiplex VLAN），端口隔离和端口安全三个机制。

MUX VLAN

MUX VLAN的应用场景

如下图所示：
在这里插入图片描述

  • 假设这是某企业的网络拓扑图，对于企业来说，希望企业内部员工之间可以互相访问，而企业外来访客之间是隔离的，可通过配置每个访客使用不同的VLAN来实现。但如果企业拥有大量的外来访客员工，此时不但需要耗费大量的VLAN ID（每个公司至少消耗一个VLAN ID），还增加了网络维护的难度。
  • MUX VLAN提供的二层流量隔离的机制可以实现企业内部员工之间互相通信，而企业外来访客之间的互访是隔离的。

MUX VLAN的基本概念

MUX VLAN的划分

  • 主VLAN（Principal VLAN）：可以与MUX VLAN内的所有VLAN进行通信。

  • 隔离型从VLAN（Separate VLAN）：只能和Principal VLAN进行通信，和其他类型
    的VLAN完全隔离，Separate VLAN内部也完全隔离。MUX VLAN技术中只能将一个VLAN设置为Separate VLAN

  • 互通型从VLAN（Group VLAN）：可以和Principal VLAN进行通信，在同一Group
    VLAN内的用户也可互相通信，但不能和其他Group VLAN或Separate VLAN内的用
    户通信的VLAN。

结合MUX VLAN几种类型的性质，可以对上图的企业网络进行如下规划：

  1. 由于企业外来用户和企业内部用户都需要访问服务器，故可以将
    服务器部分设为主VLAN（Principal VLAN）
  2. 企业外来用户之间不需要互相通信且不能与企业内部员工互访，故将外来访客划分到隔离型从VLAN（Separate VLAN）
  3. 企业内部员工部门之间需要互相通信且部门之间不能通信，故将每个员工部门划分到互通型从VLAN（Group VLAN） 中。

MUX VLAN配置实现

在这里插入图片描述
LSW1的配置

[Huawei]sysname LSW1
[LSW1]vlan batch 10 20 30 40
[LSW1]vlan 40
[LSW1-vlan40]mux-vlan          #将VLAN 40设置为主 VLAN
[LSW1-vlan40]subordinate group 10                   #将VLAN 10和20设为互通型VLAN
[LSW1-vlan40]subordinate group 20         
[LSW1-vlan40]subordinate separate 30             #将VLAN 30设为隔离型VLAN
###
[LSW1]int g0/0/2
[LSW1-GigabitEthernet0/0/2]port link-type access 
[LSW1-GigabitEthernet0/0/2]port default vlan 40
[LSW1-GigabitEthernet0/0/2]port mux-vlan enable 
[LSW1-GigabitEthernet0/0/2]int g0/0/1
[LSW1-GigabitEthernet0/0/1]port link-type trunk 
[LSW1-GigabitEthernet0/0/1]port trunk allow-pass vlan 10 20 30 40
[LSW1-GigabitEthernet0/0/1]int g0/0/3
[LSW1-GigabitEthernet0/0/3]port link-type trunk 
[LSW1-GigabitEthernet0/0/3]port trunk allow-pass vlan 10 20 30 40

LSW3的配置

[Huawei]sysname LSW3
[LSW3]vlan batch 10 20 30 40
[LSW3] vlan 40
[LSW3-vlan40]mux-vlan 
[LSW3-vlan40]subordinate group 10
[LSW3-vlan40]subordinate group 20
[LSW3-vlan40]subordinate separate 30
[LSW3-vlan40]int e0/0/1
[LSW3-Ethernet0/0/1]port link-type access 
[LSW3-Ethernet0/0/1]port default vlan 10
[LSW3-Ethernet0/0/1]port mux-vlan enable 
[LSW3-Ethernet0/0/1]int e0/0/2
[LSW3-Ethernet0/0/2]port link-type access 
[LSW3-Ethernet0/0/2]port default vlan 10
[LSW3-Ethernet0/0/2]port mux-vlan enable 
[LSW3-Ethernet0/0/2]int e0/0/3
[LSW3-Ethernet0/0/3]port link-type access 
[LSW3-Ethernet0/0/3]port default vlan 20
[LSW3-Ethernet0/0/3]port mux-vlan enable 
[LSW3-Ethernet0/0/3]int e0/0/4
[LSW3-Ethernet0/0/4]port link-type access 
[LSW3-Ethernet0/0/4]port default vlan 20
[LSW3-Ethernet0/0/4]port mux-vlan enable
[LSW3-Ethernet0/0/4]int e0/0/5
[LSW3-Ethernet0/0/5]port link-type trunk 
[LSW3-Ethernet0/0/5]port trunk allow-pass vlan 10 20 30 40

LSW2的配置

[Huawei]sysname LSW2
[LSW2]vlan batch 10 20 30 40
[LSW2]vlan 40
[LSW2-vlan40]mux-vlan
[LSW2-vlan40]subordinate group 10 20
[LSW2-vlan40]subordinate separate 30
[LSW2-Ethernet0/0/5]port link-type trunk 
[LSW2-Ethernet0/0/5]port trunk allow-pass vlan 10 20 30 40
[LSW2-Ethernet0/0/5]int e0/0/1
[LSW2-Ethernet0/0/1]port link-type access 
[LSW2-Ethernet0/0/1]port default vlan 30
[LSW2-Ethernet0/0/1]port mux-vlan enable 
[LSW2-Ethernet0/0/1]int e0/0/2
[LSW2-Ethernet0/0/2]port link-type access 
[LSW2-Ethernet0/0/2]port default vlan 30
[LSW2-Ethernet0/0/2]port mux-vlan enable 
[LSW2-Ethernet0/0/2]int e0/0/3
[LSW2-Ethernet0/0/3]port link-type access 
[LSW2-Ethernet0/0/3]port default vlan 30
[LSW2-Ethernet0/0/3]port mux-vlan enable 
[LSW2-Ethernet0/0/3]int e0/0/4
[LSW2-Ethernet0/0/4]port link-type access 
[LSW2-Ethernet0/0/4]port default vlan 30
[LSW2-Ethernet0/0/4]port mux-vlan enable

利用命令display mux-vlan 分别在LSW1、LSW2和LSW3上查看配置的效果

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

端口隔离

端口隔离应用场景

在这里插入图片描述
为了实现用户之间的二层隔离，可以将不同的用户加入不同的VLAN，但这样会浪费有限的
VLAN资源。采用端口隔离功能，可以实现同一VLAN内端口之间的隔离。用户只需要将端
口加入到同一隔离组中，就可以实现隔离组内端口之间二层数据的隔离。端口隔离功能为
用户提供了更安全、更灵活的组网方案。

端口隔离的基本概念

同一端口隔离组内的用户不能进行二层的通信，但是不同端口隔离组内的用户可以进行正常通行；未划分端口隔离的用户也能与端口隔离组内的用户正常通信。

端口隔离分为二层隔离三层互通和二层三层都隔离两种模式：

  • 如果用户希望隔离同一VLAN内的广播报文，但是不同端口下的用户还可以进行三层
    通信，则可以将隔离模式设置为二层隔离三层互通。
  • 如果用户希望同一VLAN不同端口下用户彻底无法通信，则可以将隔离模式配置为二
    层三层均隔离。
端口隔离配置实现

拓扑图如下所示：
在这里插入图片描述
将VLAN 30中的PC1和PC2放在同一隔离组，PC3和PC4放在同一隔离组，LSW2的配置如下所示：

[LSW2]vlan 30
[LSW2-vlan30]int e0/0/1
[LSW2-Ethernet0/0/1]port link-type access 
[LSW2-Ethernet0/0/1]port default vlan 30
[LSW2-Ethernet0/0/1]port-isolate enable group 1
[LSW2-Ethernet0/0/1]int e0/0/2
[LSW2-Ethernet0/0/2]port link-type access 
[LSW2-Ethernet0/0/2]port default vlan 30
[LSW2-Ethernet0/0/2]port-isolate enable group 1
[LSW2-Ethernet0/0/2]int e0/0/3
[LSW2-Ethernet0/0/3]port link-type access 
[LSW2-Ethernet0/0/3]port default vlan 30
[LSW2-Ethernet0/0/3]port-isolate enable group 2
[LSW2-Ethernet0/0/3]int e0/0/4
[LSW2-Ethernet0/0/4]port link-type access 
[LSW2-Ethernet0/0/4]port default vlan 30
[LSW2-Ethernet0/0/4]port-isolate enable group 2

查看隔离组
在这里插入图片描述
在这里插入图片描述
测试隔离的效果：

  1. 使用PC1去ping PC2
    在这里插入图片描述
  2. 使用PC1去ping PC3
    在这里插入图片描述
    结果分析：同一VLAN的同一隔离组之间无法通信，不同的隔离组之间可以通信。

端口安全

端口安全的应用场景

在这里插入图片描述
如图所示，当网络中存在非法用户时，可以使用端口安全技术保证网络的安全。
端口安全经常使用在下列场景中：

  1. 应用在接入层设备，通过配置端口安全可以防止仿冒用户从其他端口攻击。
  2. 应用在汇聚层设备，通过配置端口安全可以控制接入用户的数量。
端口安全解决方案

在对接入用户的安全性要求较高的网络中，可以配置端口安全功能，将接口学习到的MAC
地址转换为安全MAC地址，接口学习的最大MAC数量达到上限后不再学习新的MAC地址，
只允许学习到MAC地址的设备通信。这样可以阻止其他非信任用户通过本接口和交换机通
信，提高设备与网络的安全性。
安全MAC地址表
做法如下：

  • 接入层交换机的每个接口都开启端口安全功能，并绑定接入用户的MAC地址与VLAN
    信息，当有非法用户通过已配置端口安全的接口接入网络时，交换机会查找对应的
    MAC地址表，发现非法用户的MAC地址与表中的不符，将数据包丢弃。
  • 汇聚层交换机开启端口安全功能，并设置每个接口可学习到的最大MAC地址数，当
    学习到的MAC地址数达到上限时，其他的MAC地址的数据包将被丢弃。
端口安全类型
类型定义特点
安全动态MAC地址使能端口安全而未使能Sticky MAC功能时装换的MAC地址设备重启后需要重新学习。缺省情况下不会被老化，只有在配置安全MAC的老化时间后才可以被老化
安全静态MAC地址使能端口安全时手工配置的静态MAC地址不会被老化，手动保存配置后重启设备不会丢失
Stciky MAC地址使能端口安全后又同时使能Sticky MAC功能后转换得到的MAC地址不会被老化，手工配置后重启设备不会丢失
  • 接口使能端口安全功能时，接口上之前学习到的动态MAC地址表项将被删除，之后学习到的MAC地址将变为安全动态MAC地址。
  • 接口使能Sticky MAC功能时，接口上的安全动态MAC地址表项将转化为StickyMAC地址，之后学习到的MAC地址也变为Sticky MAC地址。
  • 接口去使能端口安全功能时，接口上的安全动态MAC地址将被删除，重新学习动态MAC地址。
  • 接口去使能Sticky MAC功能时，接口上的Sticky MAC地址会转换为安全动态MAC地址。
端口安全限制动作
动作实现说明
restrict丢弃源MAC地址不存在的报文并上警告
protect只丢弃源MAC地址不存在的报文，不上报报警
shutdown接口状态被置为error-down，并上报报警。默认情况下，接口关闭后不会自动恢复
端口安全配置实现

在这里插入图片描述
以LSW3为例

[LSW3]int e0/0/1
[LSW3-Ethernet0/0/1]port link-type access 
[LSW3-Ethernet0/0/1]port default vlan 10
[LSW3-Ethernet0/0/1]port-security enable
[LSW3-Ethernet0/0/1]port-security mac-address sticky
[LSW3-Ethernet0/0/1]port-security mac-address sticky 5489-98c6-5200 vlan 10
...(其他端口一样)

查看在LSW3上绑定的MAC地址表（只绑定了1 2 接口）
在这里插入图片描述
（资料来源华为手册）

TheclearX
关注
  • 5
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
交换机相关高级特性
zhaobinvip的博客
10-01 1074
1．PortFast （速端口）   介绍：通过启用STPPortFast特性，主机端口能够直接过渡到转发状态，而不必经历监听和学习状态。基于上述原因，这种特性能够消除STP延迟，在交换机端口进入up状态之后，将能够立即转发帧。不过，生成树回路检测仍处于工作状态，如果在该端口上探测有回路的存在，则把它置于阻塞状态。   作用：PortFast的目的是尽量缩短端口等待STP收敛的时间，启用p
VLAN应用篇系列：（9）华为交换机 MUX-VLAN功能（部分隔离、部分互通等）
网络之路Blog（其他平台同名）
02-27 1260
拓扑说明 关于华为的MUX-VLAN，分为Principal VLAN（这种称为主VLAN），Subordinate VLAN（这种称为从VLAN，下面又可以划分两种，一种为 Group VLAN【这种为互通性VLAN，也就是属于该组的VLAN的接口主机都能互通】，另外一种Separate VLAN【隔离型VLAN，加入该VLAN的接口主机之间不能互通】），而主VLAN里面通过关联，让交换机支持哪些VLAN属于这些定义的里面，而且从VLAN里面的2种VLAN类型，都可以访问主VLAN的流量跟主机。
MUX VLAN虚拟局域网内实现二层隔离或通信，
weixin_44563202的博客
04-26 1010
mux vlan虚拟局域网内实现端口二层隔离或通信
四、交换机高级特性
最新发布
scy1034446395的博客
04-29 673
1.MUX-VLAN 2.端口隔离 3.ARP代理 4.Super-VLAN（VLAN聚合） 5.QinQ 6.端口镜像
交换机高级特性简介：MUX VLAN、端口隔离功能、端口安全功能简单原理与配置
Skye's Blog
03-30 5755
文章目录MUX VLANMUX VLAN应用场景MUX VLAN基本概念实验配置配置命令端口隔离端口隔离基本概念实验配置配置命令端口安全（Port Security）端口安全基本概念端口安全类型：端口安全限制动作实验配置 MUX VLAN MUX VLAN（Multiplex VLAN）提供了一种通过VLAN进行网络资源控制的机制。通过MUX VLAN提供的二层流量隔离的机制可以实现企业内部员工之...
eNSP之MUX-VLAN
Shass的博客
11-03 2413
eNSP之MUX-VLAN应用场景简介及配置 mux-vlan主要应用场景 工作中，若不同公司之间为了推进同一个项目时，会涉及到不同公司之间相互访问彼此的服务器，共享资源，此时便需要做一些相应的访问隔离。 mux-vlan的主要特点如下： 1）分类：主VLAN、从VLAN，其中从VLAN中又分为了隔离性从VLAN，组从VLAN。 2）特点： ① 所有从VLAN可以和主VLAN通信。 ②组从VLAN中，属于同一VLAN中的用户可以相互访问。 ③隔离型从VLAN中的用户只能访问服务器。 实验环境 根据上述的需求
VLAN技术
weixin_41831214的博客
03-16 1051
复用vlan（MUX VLAN）用于实现客户端和服务器之间的通讯而客户端之间不能通讯。分为主vlan和从vlan，主vlan与从vlan之间可以互通。从vlan又分为团体vlan（group）和隔离vlan（separate），团体vlan之间可以互通，而隔离vlan之间不能互通。团体vlan可以有多个而隔离vlan只能有一个。要上网则交换机连接路由器的那个接口启用主vlan。复用vlan明显缺点...
MUX VLAN
热门推荐
曹世宏的博客
05-21 3万+
MUX VLAN简介： 产生背景： MUX VLAN（Multiplex VLAN）提供了一种通过VLAN进行网络资源控制的机制。 例如，在企业网络中，企业员工和企业客户可以访问企业的服务器。对于企业来说，希望企业内部员工之间可以互相交流，而企业客户之间是隔离的，不能够互相访问。 为了实现所有用户都可访问企业服务器，可通过配置VLAN间通信实现。如果企业规模很大，拥有大量的用户，那么就...
交换机高级特性
10-25
交换机高级特性,个人总结网络文档可以学习参考
交换机高级特性-mux-vlan
01-03
**交换机高级特性：MUX VLAN** MUX VLAN，全称为多虚交（Multiple VLANs on a Single Subinterface），是华为、华三等主流网络设备厂商提供的一种高级VLAN特性。它在传统的VLAN基础上进行扩展，允许多个VLAN在一个...
史上最详细VLAN详解（应用篇）
12-21
讲解了VLAN的应用系列，包括多种方式的划分、VLAN间路由、端口隔离、MUX-VLAN、PVLAN等。史上最详细VLAN详解（原理篇）
交换机高级特性-二层端口隔离
01-03
本篇将深入探讨交换机的高级特性之一——二层端口隔离，以及如何在华为ENSP（Enterprise Network Simulation Platform，企业网络模拟平台）上实现这一功能。 二层端口隔离，也被称为端口隔离组或VLAN隔离，是一种...
交换机冗余环境优化之stp高级特性.doc
02-03
总的来说，交换机冗余环境的优化不仅依赖于STP的基础功能，还需要充分利用这些高级特性来提高网络的可靠性、速度和智能性。通过合理配置和利用PortFast、UplinkFast和BackboneFast，可以显著增强网络的容错能力和...
交换机的高级特性---端口镜像功能.doc
12-16
【交换机的高级特性——端口镜像功能】 在当今信息化社会，网络成为了信息交互的主要载体，无论是政府、金融机构的敏感数据，还是个人日常生活中的各种信息，都离不开网络的传输。随着大数据时代的到来，对网络数据...
【交换机在江湖】第十五章 VLAN隔离篇
dolphin98629的专栏
09-08 4282
小编在上期为大家介绍了多种VLAN互通场景和方式，之后读者又有了新的问题：如何对同一VLAN下用户进行隔离呢，如果实现部分VLAN互通、部分VLAN隔离呢，如何针对某个用户、或某个网段用户进行隔离呢，下面就听小编一一道来 。 场景一、同一VLAN下用户进行隔离 如果不希望同一VLAN下某些用户进行互通，可以通过配置端口隔离实现。 下面小编通过一个实验来详细讲解如何实现端口隔离：
VLAN高级技术（vlan聚合、MUX VLAN、QinQ）
weixin_53220369的博客
06-23 3002
VLAN高级技术（vlan聚合、MUX VLAN、QinQ）
交换机高级特性之MUX-VLAN(多路VLAN)
Hala
11-13 4744
文章目录Multiplex VLAN的原理与配置前言一、实验搭建1.1 MUX-VLAN的配置1.2 验证测试二、分析 Multiplex VLAN的原理与配置 前言 MUX VLAN ( Multiplex VLAN）叫做多路VLAN；提供了一种通过VLAN进行网络资源控制的机制 产生 企业希望内部员工之间可以互相访问，而企业外来访客之间是隔离的，可通过配置每个访客使用不同的VLAN来实现。但如果企业拥有大量的外来访客员工，此时不但需要耗费大量的VLAN ID，还增加了网络维护的难度 使用场景 MUX V
隔离VLAN----mux vlan
一只眠羊的博客
12-04 308
目的： vlan 10里的 PC1与 PC2 不可以通信 vlan 20里的 PC3可以与 PC4通信 配置命令： system-view vlan batch 10 20 100 vlan 100 mux-vlan subordinate separate 10 subordinate group 20 interface ethernet0/0/1 port link-type access port default vlan 10 port mux-vlan enable quit interfac.
CISCO 3750交换机配置详解：基础到高级特性
本手册详细介绍了CISCO 3750交换机的配置过程和关键特性，适合进行日常维护和基础配置。CISCO 3750交换机是一款支持二层和三层功能的交换机，采用EMI（Enhanced Media Interface）设计，具有高级网络管理功能。 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值