华为交换机vla配置各步骤详解
如下图所示，假设公司有三个部门分别规划为三个网段，技术部192.168.1.0/24，财务部192.168.2.0/24，销售部192.168.3.0/24。
此时我们不需要对这台交换机做任何操作，这样三个部门之间的计算机是不能进行互访的，只能在同一网段也就是同部门的计算机才可以通信。因为分别属于不同网段的计算机如果需要进行通信是需要依靠三层网络设备如路由器、三层交换机等以路由的方式去进行实现的。那为了比较符合实际工作场景以及相关知识的完整性，我下面再进行详细阐述，请继续往下看！
VLAN技术
VLAN（Virtual Local Area Netork）即虚拟局域网。它是将一个物理的局域网在逻辑上划分成多个广播域的技术。通过在交换机上配置VLAN，可以实现在同一个VLAN内的计算机进行互访，而不同VLAN间的计算机被进行隔离不能互访。默认情况下交换机的所有端口属于VLAN1，我们说交换机的工作原理，交换机是通过MAC地址表进行二层转发，当技术部的一台计算机PC1 192.168.1.1/24第一次要与PC2 192.168.1.2/24通信时，需要发送一个ARP查询包以获取到PC2的MAC地址，这个ARP查询包目的MAC地址为“FF-FF-FF-FF-FF-FF”，以广播泛洪地形式发送出去。此时同一默认VLAN1下的所有主机都会收到这个广播数据帧，我们称它们在同一个广播域。也就是说虽然其他两个部门已经属于不同的网段，但还都会收到这个PC1产生的ARP广播包。
超大的广播域会带来大量的广播风暴和安全隐患，一方面广播信息消耗了网络整体的带宽，另一方面，收到广播信息的计算机还要消耗一部分CPU时间来对它进行处理，而解决这个问题的方法就是去划分VLAN隔离广播域。所以我们一般的做法是不同部门会去划分为不同的VLAN，如下所示，我们对一台华为交换机进行VLAN划分。
system-vie
[Huaei]vlan batch 10 20 30 //使用batch可批量创建VLAN
[Huaei]int e0/0/1
[Huaei-Ether0/0/1]port link-type aess //将端口类型配置为Aess
[Huaei-Ether0/0/1]port default vlan 10 //将端口划分到VLAN10
[Huaei-Ether0/0/1]int e0/0/2
[Huaei-Ether0/0/2]port link-type aess
[Huaei-Ether0/0/2]port default vlan 10
[Huaei-Ether0/0/2]quit
[Huaei]port-group VLAN20 //也可以定义多个端口为一组的方式一次性将VLAN划入
[Huaei-port-group-vlan20]group-member e0/0/3 to e0/0/4
[Huaei-port-group-vlan20]port link-type aess
[Huaei-port-group-vlan20]port default vlan 20
[Huaei]port-group VLAN30
[Huaei-port-group-vlan30]group-member e0/0/5 to e0/0/6
[Huaei-port-group-vlan30]port link-type aess
[Huaei-port-group-vlan30]port default vlan 30
我们将三个部门划分为三个VLAN，这样一来不同VLAN下的计算机就不能相互通信了，即使所有的计算机都属于同一网段比如都是192.168.1.0/24也是不能进行通信的。
访问控制列表技术
访问控制列表简称为 ACL（Acess Control List），它使用包过滤技术，在网络设备上通过读取数据包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。
通常局域网中的计算机一般都是需要对外进行访问的，每台计算机都会设置上一个网关IP地址。
而这个网关IP一般就是设置在一台三层交换机上，如下图所示，为了能让三个部门的计算机能访问互联网，我们这里计算机采用连接的是一台三层交换机，并在这台三层交换机上配置上这三个VLAN网段的网关IP地址。
[Huaei]int Vlanif 10 //进入VLANIF模式
[Huaei-Vlanif10]ip address 192.168.1.254 255.255.255.0 //直接配置IP地址和掩码即可
[Huaei-Vlanif10]int vlan 20
[Huaei-Vlanif20]ip address 192.168.2.254 24 //也可以直接写掩码位
[Huaei-Vlanif20]int vlan 30
[Huaei-Vlanif30]ip address 192.168.3.254 24
这样虽然三个部门属于三个网段VLAN，各计算机之间通过这台三层交换机是可以相互进行通信的了。
那么为了能够实现不同部门不能进行互访，此时我们就需要在这台三层交换机配置访问控制列表。配置参考如下
[Huaei]acl 3000 //创建acl规则，拒绝访问其他两个部门
[Huaei-acl-adv-3000]rule 5 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
[Huaei-acl-adv-3000]rule 10 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.3.0 0.0.0.255
[Huaei-acl-adv-3000]rule 15 deny ip source 192.168.2.0 0.0.0.255 destination 192.168.3.0 0.0.0.255
[Huaei]traffic classifier VLAN //创建名为VLAN的流分类
[Huaei-classifier-VLAN]if-match acl 3000 //将ACL与流分类关联
[Huaei]traffic behavior VLAN //创建名为VLAN的流行为
[Huaei-behavior-VLAN]deny //配置流行为动作为拒绝报文通过
[Huaei-behavior-VLAN]quit
[Huaei]traffic policy VLAN // //创建名为VLAN的流策略
[Huaei-trafficpolicy-VLAN]classifier VLAN behavior VLAN //将流分类VLAN与流行为VLAN关联
[Huaei-trafficpolicy-VLAN]quit
[Huaei]traffic-policy VLAN global inbound //全局应用流策略
配置完成后，各部门之间也就不能相互访问了。
端口隔离技术
我们可以将不同的端口加入不同的VLAN，但这样会浪费有限的VLAN资源。采用端口隔离功能，可以实现同一VLAN内端口之间的隔离。用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层数据的隔离。如下图三个部门处于同一网段中，我们将每个端口加入到隔离组中。
[Huaei]int e0/0/1
[Huaei-Ether0/0/1]port-isolate enable group 5
[Huaei-Ether0/0/1]int e0/0/3
[Huaei-Ether0/0/3]port-isolate enable group 5
[Huaei-Ether0/0/3]int e0/0/5
[Huaei-Ether0/0/5]port-isolate enable group 5
这样端口隔离的端口之间无法相互通信，所以端口隔离功能为用户提供了更安全的方案。这样虽然也实现了禁止不同部门的计算机相互访问，同部门的计算机也是无法访问了。
以上就是在一台48口交换机下接入计算机分别属于三个部门，禁止各个部门间相互访问的实现了，在实际工作中划分VLAN并配置ACL实现尤为常见
奇闻怪事
- 黎姿老公马廷强前妻 黎姿老公马廷强前妻是谁
- 紫禁城闹鬼是真的吗 紫禁城闹鬼是怎么回事
- 80年黄河透明棺材事件 80年代黄河透明棺材始末
- 51区外星人录像是真的吗 51区外星人真的存在吗
- 姜潮麦迪娜恋爱过程 姜潮麦迪娜怎么认识的
- 根达亚文明大概离现在多久 根达亚文明距今多少
- 赤塔事件真的还是假的 赤塔事件到底怎么回事
- 百慕大三角在哪个国家 百慕大三角在哪个国家的
- 邓超出轨安以轩：邓超出轨安以轩是不是真的
- 中国十大闹鬼最凶的地方 中国十大闹鬼最凶的地
- 湘西鬼结婚事件：湘西鬼结婚事件真假
- 中国昆仑山10大灵异绝密档案 中国昆仑山10大灵异
- 李维嘉的父亲是谁 李维嘉父母是哪里人
- 朱秀华事件是不是真的 朱秀华事件的真相是什么
- 太湖冤魂：太湖冤魂事件真假
- 爪哇虎和东北虎谁厉害 爪哇虎和东北虎谁厉害一