vlan绑定_基于MAC的VLAN你了解吗？快来看看吧

基于MAC的VLAN是根据报文的源MAC地址来划分VLAN。设备维护的MAC VLAN表记录了MAC地址和VLAN的对应关系。这种划分方法的最大优点就是当用户物理位置发生变化，例如从一台设备换到其他设备时，VLAN不用重新配置。所以这种根据MAC地址的划分方法也称为基于用户的VLAN。

1. 手动配置静态MAC VLAN

手动配置静态MAC VLAN常用于VLAN中用户相对较少的网络环境。在该方式下，用户需要手动配置MAC VLAN表项，使能基于MAC地址的VLAN功能，并将端口加入MAC VLAN。其原理为：

· 当端口收到的报文为Untagged报文时，根据报文的源MAC地址匹配MAC VLAN表项。首先进行模糊匹配，即查询MAC VLAN表中掩码不是全F的表项，将源MAC地址和掩码相与运算后与MAC VLAN表项中的MAC地址匹配，如果完全相同，则模糊匹配成功，给报文添加表项中对应的VLAN Tag并转发该报文；如果模糊匹配失败，则进行精确匹配，即查询表中掩码为全F的表项。如果报文中的源MAC地址与某MAC VLAN表项中的MAC地址完全相同，则精确匹配成功，给报文添加表项中对应的VLAN Tag并转发该报文；如果没有找到匹配的MAC VLAN表项，则继续按照其他原则(基于IP子网的VLAN、基于协议的VLAN、基于端口的VLAN)确定报文所属的VLAN，给报文添加对应的VLAN Tag并转发该报文。

· 当端口收到的报文为Tagged报文时，如果报文的VLAN ID在该端口允许通过的VLAN ID列表里，则转发该报文；否则丢弃该报文。

2. 动态触发端口加入静态MAC VLAN

手动配置静态MAC VLAN时，如果不能确定从哪些端口收到指定VLAN的报文，就不能把相应端口加入到MAC VLAN。此时可以采用动态触发端口加入静态MAC VLAN的方式。在该方式下，配置MAC VLAN表项后，需要在端口上使能基于MAC的VLAN功能和MAC VLAN动态触发功能，不需要手动把端口加入MAC VLAN。

配置动态触发端口加入静态MAC VLAN后，端口在收到报文时，首先判断报文是否携带VLAN Tag，若带VLAN Tag，则直接获取报文源MAC地址；若不带VLAN Tag，则先进行报文VLAN选择(按照基于MAC的VLAN->基于IP子网的VLAN->基于协议的VLAN->基于端口的VLAN的优先次序为该Untagged报文添加对应的VLAN Tag，并获取该VLAN Tag)，再获取报文源MAC地址，然后根据报文的源MAC地址和VLAN查询静态MAC VLAN表项：

·如果报文源MAC地址与MAC VLAN表项中的MAC地址精确匹配，再检查报文的VLAN ID是否与对应表项中的VLAN ID一致，若一致，通过该报文动态触发端口加入相应VLAN，同时转发该报文；否则丢弃该报文。

·如果报文源MAC地址与MAC VLAN表项的MAC地址不精确匹配，当报文VLAN ID为PVID，判断端口是否允许报文在PVID内转发，若允许，则在PVID中转发该报文，否则丢弃该报文。当报文VLAN ID不为PVID，判断是否报文VLAN ID为Primary VLAN ID且PVID为对应的Secondary VLAN ID，若是，则转发该报文；否则丢弃该报文。处理流程如图1-3所示：

图1-3 动态触发端口加入静态MAC VLAN的处理

· 在端口自动加入MAC VLAN表项中相应的VLAN时，若端口此前未配置允许该VLAN通过，则端口自动以Untagged方式加入该VLAN；若端口此前已配置允许该VLAN通过，则不改变原有配置。

· 如果用户在同一端口上同时使能了手动配置MAC VLAN和动态触发端口加入MAC VLAN，此时该端口选择使用后者的功能。

· 当端口收到的报文与MAC VLAN表项匹配，对该报文进行转发时，根据MAC VLAN的优先级(MAC地址对应VLAN的802.1p优先级)高低来决定报文传输的优先程度。

3. 动态MAC VLAN

动态MAC VLAN是由接入认证过程来动态决定接入用户报文所属的VLAN。该功能需要和接入认证功能(比如端口接入控制方式为MAC-based的802.1X)配合使用，以实现终端的安全、灵活接入。在设备上配置动态MAC VLAN功能以后，还需要在接入认证服务器上配置用户名和VLAN的绑定关系。

如果用户发起认证请求，接入认证服务器先对用户名和密码进行验证，如果验证通过，服务器下发VLAN信息。此时设备根据请求报文的源MAC地址和下发的VLAN信息生成动态MAC VLAN表项(要求与已有的静态MAC VLAN表项不能冲突)，并将MAC VLAN添加到端口允许通过的VLAN列表中。用户下线后，设备自动删除MAC VLAN表项，并将MAC VLAN从端口允许通过的VLAN列表中删除。

有关接入认证功能的详细介绍请参见“安全配置指导”中的“802.1X”和“MAC地址认证”。

备注：内容来自华三官网！