第四天 交换机高级特性

MUX VLAN

MUX VLAN应用场景

MUX VLAN 混杂vlan
二层流量控制的方法
是根据vlan编号控制的

• 如图所示，服务器与汇聚层交换机相连，为了实现所有用户都可访问企业服务器，可通过配置VLAN间通信来实现。
• 对于企业来说，希望企业内部员工之间可以互相访问，而企业外来访客之间是隔离的，可通过配置每个访客使用不同的VLAN来实现。但如果企业拥有大量的外来访客员工，此时不但需要耗费大量的VLAN ID，还增加了网络维护的难度。
• MUX VLAN提供的二层流量隔离的机制可以实现企业内部员工之间互相通信，而企业外来访客之间的互访是隔离的。

MUX VLAN基本概念

• 如图所示，根据MUX VLAN特性，解决方案如下：
• 企业管理员可以将服务器划分到Principal VLAN。
• MUX VLAN技术中只能将一个VLAN设置为Separate VLAN，所以可以将外来访客划分到Separate VLAN。
• 由于可以将多个VLAN设置为Group VLAN，所以可以将企业员工划分到Group VLAN，企业内部不同部门之间通过划分到不同的VLAN进行隔离。
  这样就能够实现：
• • 企业外来访客、企业员工都能够访问企业服务器。
• • 企业员工部门内部可以通信，而企业员工部门之间不能通信。
• • 企业外来访客间不能通信、外来访客和企业员工之间不能互访。

MUX VLAN配置实现

//如图所示，希望实现企业外来访客、企业员工都能够访问企业服务器，而企业同部门员工可以通信，不同部门员工不能通信；企业外来访客间不能通信；企业外来访客和企业员工之间不能互访。
//将企业服务器划分到Principal VLAN，Principal VLAN为VLAN 40；
//企业外来访客划分到Separate VLAN，Separate VLAN为VLAN 30；
//企业员工划分到Group VLAN，Group VLAN为VLAN 10与VLAN 20，VLAN 10分配给财务部，VLAN 20分配给市场部，各部门之间二层隔离。
SWB配置：
sysname SWB
#
vlan batch 10 20 30 40
#
vlan 10
 description Financial VLAN
vlan 20
 description Marketing VLAN
vlan 30
 description Client VLAN
vlan 40
 description Principal VLAN
 mux-vlan                                //将VLAN 40设置为Principal VLAN
 subordinate separate 30               //将VLAN 30设置为Separate VLAN
 subordinate group 10 20              //将VLAN 10与VLAN 20设置为Group VLAN
#
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 10 20 30 40
#
interface GigabitEthernet0/0/2
 port link-type trunk
 port trunk allow-pass vlan 10 20 30 40
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 40
 port mux-vlan enable                  //在接口下开启MUX VLAN功能
SWC配置：
sysname SWC
#
vlan batch 10 20 30 40
#
vlan 10
 description Financial VLAN
vlan 20
 description Marketing VLAN
vlan 30
 description Cilent VLAN
vlan 40
 description Principal VLAN
 mux-vlan
 subordinate separate 30
 subordinate group 10 20
#
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 10 20 30 40
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
 port mux-vlan enable
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 10
 port mux-vlan enable
#
interface GigabitEthernet0/0/4
 port link-type access
 port default vlan 20
 port mux-vlan enable
#
interface GigabitEthernet0/0/5
 port link-type access
 port default vlan 20
 port mux-vlan enable
SWD配置：
sysname SWD
#
vlan batch 10 20 30 40
#
vlan 10
 description Financial VLAN
vlan 20
 description Marketing
vlan 30
 description Client VLAN
vlan 40
 description Principal VLAN
 mux-vlan
 subordinate separate 30
 subordinate group 10 20
#
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk allow-pass vlan 10 20 30 40
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 30
 port mux-vlan enable
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 30
 port mux-vlan enable

实验

//设置mux-vlan 为主vlan
[SWB-vlan40]mux-vlan
//设置从vlan的 小组vlan
[SWB-vlan40]subordinate group 10 20
//设置从vlan的 隔离 vlan
[SWB-vlan40]subordinate separate 30
//需要在每台交换机都配置此命令
//端口上开启mux-vlan   先配置link-type
[SWB-GigabitEthernet0/0/3]port mux-vlan enable 

Super vlan

超级vlan，聚合vlan
需求： 解决了IP地址划分的问题 为了节约IP
设计思想：把不同vlan聚合成一个super vlan
这样他们就可以使用同一个网段，共用同一个网关
并且保持不同的子vlan之间隔离广播

Super和mux 之间有一些共同的地方，，mux也可以实现super的有些功能 但是这里就例如（洗衣机可以洗衣服，手搓版也可以洗
空调可以制冷，风扇也可以）专业的事情交给专业的东西去做 Super更倾向于公网上用，做IP地址节约使用（ISP IDC机房）
Mux更倾向于内网做二层隔离使用，二层控制（企业内网）

VLAN Aggregation - 通信原理

//开启子vlan之间的arp代理功能
[SW1-Vlanif10]arp-proxy inter-sub-vlan-proxy enable

实验

//配置主vlan
[SW1-vlan10]aggregate-vlan
//配置子vlan
[SW1-vlan10]access-vlan 3001 3002

端口隔离

交换机本地物理隔离
轻量级，不影响其他交换机

端口隔离应用场景

• 为了实现用户之间的二层隔离，可以将不同的用户加入不同的VLAN，但这样会浪费有限的VLAN资源。采用端口隔离功能，可以实现同一VLAN内端口之间的隔离。用户只需要将端口加入到同一隔离组中，就可以实现隔离组内端口之间二层数据的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。

端口隔离基本概念

• 端口隔离分为二层隔离三层互通和二层三层都隔离两种模式：
• 如果用户希望隔离同一VLAN内的广播报文，但是不同端口下的用户还可以进行三层通信，则可以将隔离模式设置为二层隔离三层互通。
• 如果用户希望同一VLAN不同端口下用户彻底无法通信，则可以将隔离模式配置为二层三层均隔离。

端口隔离配置实现

• 如图所示，同项目组的员工都被划分到VLAN 10中，其中属于企业内部的员工允许相互通信，属于企业外部的员工不允许相互通信，外部员工与内部员工之间允许通信。
• 配置命令：
• port-isolate enable命令用来使能端口隔离功能，默认将端口划入隔离组group 1。
• 如果希望创建新的group组，使用命令port-isolate enable group后面接所要创建的隔离组组号。
• 可以在系统视图下执行port-isolate mode all命令配置隔离模式为二层三层都隔离。
• 查看命令：
• 使用display port-isolate group all命令可以查看所有创建的隔离组情况。
• 使用display port-isolate group X（组号）命令可以查看具体的某一个隔离组接口情况。

实验

//加入隔离组，把接口加入通一个隔离组  那么他们在物理上就被隔离了  广播和单播都不通
[SW2-GigabitEthernet0/0/1]port-isolate enable group 1 
//开启vlan内部arp代理
[SW1-Vlanif10]arp-proxy inner-sub-vlan-proxy enable

端口安全

• 一个接口可以对应多个mac
• 一个mac只能对应一个接口

端口安全应用场景

• 应用在接入层设备，通过配置端口安全可以防止仿冒用户从其他端口攻击。
• 应用在汇聚层设备，通过配置端口安全可以控制接入用户的数量。

端口安全类型

• 接口使能端口安全功能时，接口上之前学习到的动态MAC地址表项将被删除，之后学习到的MAC地址将变为安全动态MAC地址。
• 接口使能Sticky MAC功能时，接口上的安全动态MAC地址表项将转化为Sticky MAC地址，之后学习到的MAC地址也变为Sticky MAC地址。
• 接口去使能端口安全功能时，接口上的安全动态MAC地址将被删除，重新学习动态MAC地址。
• 接口去使能Sticky MAC功能时，接口上的Sticky MAC地址会转换为安全动态MAC地址。

端口安全限制动作

端口安全配置实现

• 如图所示，园区网络要求保障接入用户的安全性。财务部人员流动性较低，可以使用端口安全技术静态绑定接入用户的MAC与VLAN信息；市场部的人员流动性较高，使用端口安全技术的动态MAC地址学习保证接入用户的合法性。

命令解释：
interface interface-type interface-number //进入接口视图。 
port-security enable//使能端口安全功能。 
//缺省情况下，未使能端口安全功能。
port-security mac-address sticky//使能接口Sticky MAC功能。 
//缺省情况下，接口未使能Sticky MAC功能。
port-security max-mac-num max-number//配置接口Sticky MAC学习限制数量。 
//使能接口Sticky MAC功能后，缺省情况下，接口学习的MAC地址限制数量为1。
port-security protect-action { protect | restrict | shutdown }//配置端口安全保护动作。可选 
//缺省情况下，端口安全保护动作为restrict。
port-security mac-address sticky mac-address vlan vlan-id//手动配置一条sticky-mac表项。 可选

端口安全配置验证

配置命令、实验

//正常一个动态mac地址对应一个接口 经过300秒会老化， 重启交换机和关闭端口都会清空mac地址表
//查看mac地址表
[SW1]dis mac-address 
//配置端口mac的老化时间
[SW1-GigabitEthernet0/0/1]port-security aging-time 
//允许最大mac地址数量 为2个
[SW1-GigabitEthernet0/0/1]port-security max-mac-num 2
//开启端口安全
[SW1-GigabitEthernet0/0/1]port-securit enable 

//当接口超过可学习mac地址数量时，采取保护措施。
//protect表示丢弃数据帧
//restrict表示丢弃数据帧并向网管设备告警
//shutdown表示关闭端口，需要使用restart命令重新开启端口.
[SW1-GigabitEthernet0/0/1]port-security protect-action shutdown 

//让mac地址表不老化，重启交换机也不会老化
[SW1-GigabitEthernet0/0/1]port-security mac-address sticky

//删除mac地址表中的某个mac
[SW1]undo mac-address 5489-98b5-4636 vlan 10