MUX VLAN產(chǎn)生背景

MUX VLAN（Multiplex VLAN）提供了一種通過(guò)VLAN進(jìn)行網(wǎng)絡(luò)資源控制的機(jī)制。在企業(yè)網(wǎng)絡(luò)中，企業(yè)員工和企業(yè)客戶可以訪問(wèn)企業(yè)的服務(wù)器。對(duì)于企業(yè)來(lái)說(shuō)，希望企業(yè)內(nèi)部員工之間可以互相交流，而企業(yè)客戶之間是隔離的，不能夠互相訪問(wèn)。

為了實(shí)現(xiàn)所有用戶都可訪問(wèn)企業(yè)服務(wù)器，可通過(guò)配置VLAN間通信實(shí)現(xiàn)。如果企業(yè)規(guī)模很大，擁有大量的用戶，那么就要為不能互相訪問(wèn)的用戶都分配VLAN，這不但需要耗費(fèi)大量的VLAN ID，還增加了網(wǎng)絡(luò)管理者的工作量同時(shí)也增加了維護(hù)量。

通過(guò)MUX VLAN提供的二層流量隔離的機(jī)制可以實(shí)現(xiàn)企業(yè)內(nèi)部員工之間互相交流，而企業(yè)客戶之間是隔離的。

基本概念

MUX VLAN分為Principal VLAN和Subordinate VLAN，Subordinate VLAN又分為Separate VLAN和Group VLAN。

• Separate port只能和Principal port進(jìn)行通信，和其他類型的接口實(shí)現(xiàn)完全隔離。
• 每個(gè)Separate VLAN必須綁定一個(gè)Principal VLAN。| |  | Group VLAN（互通型從VLAN） | Group port |
• Group port可以和Principal port進(jìn)行通信，在同一組內(nèi)的接口也可互相通信，但不能和其他組接口或Separate port通信。
• 每個(gè)Group VLAN必須綁定一個(gè)Principal VLAN。|

應(yīng)用場(chǎng)景

根據(jù)MUX VLAN特性，企業(yè)可以用Principal port連接企業(yè)服務(wù)器，Separate port連接企業(yè)客戶，Group port連接企業(yè)員工。這樣就能夠?qū)崿F(xiàn)企業(yè)客戶、企業(yè)員工都能夠訪問(wèn)企業(yè)服務(wù)器，而企業(yè)員工內(nèi)部可以通信、企業(yè)客戶間不能通信、企業(yè)客戶和企業(yè)員工之間不能互訪的目的。

對(duì)于匯聚層設(shè)備，可以為Principal VLAN創(chuàng)建VLANIF接口，VLANIF接口的IP地址可以作為Host或Server的網(wǎng)關(guān)地址。如下圖所示，在匯聚設(shè)備Switch1上配置MUX VLAN，可以靈活實(shí)現(xiàn)接入流量的隔離或者互通。

MUX VLAN配置命令

(1) 配置MUX VLAN中的Principal VLAN：

[Huawei-vlan100] mux-vlan

配置該VLAN為MUX VLAN，即Principal VLAN。如果指定VLAN已經(jīng)用于Principal VLAN，那么該VLAN不能在Super-VLAN、Sub-VLAN的配置中使用。

(2)配置Subordinate VLAN中的Group VLAN：

[Huawei-vlan100] subordinate group { vlan-id1 [ to vlan-id2 ] }

一個(gè)Principal VLAN下最多配置128個(gè)Group VLAN。

(3)配置Subordinate VLAN中的Separate VLAN：

[Huawei-vlan100] subordinate separate vlan-id

一個(gè)Principal VLAN下只能配置一個(gè)Separate VLAN，同一MUX VLAN中Group VLAN和Separate VLAN的VLAN ID不能相同。

(4)使能接口MUX VLAN功能：

[Huawei-GigabitEthernet0/0/1] port mux-vlan enable vlan-id

使能接口的MUX VLAN功能，協(xié)商類型negotiation-auto和negotiation-desirable接口不支持配置port mux-vlan enable。

MUX VLAN配置舉例

配置MUX-VLAN組網(wǎng)圖

在企業(yè)網(wǎng)絡(luò)中，企業(yè)所有員工都可以訪問(wèn)企業(yè)的服務(wù)器。但對(duì)于企業(yè)來(lái)說(shuō)，希望企業(yè)內(nèi)部部分員工之間可以互相交流，而部分員工之間是隔離的，不能夠互相訪問(wèn)。

配置思路

采用如下思路配置MUX VLAN功能：

• 配置主VLAN的MUX VLAN功能。
• 配置Group VLAN功能。
• 配置Separate VLAN功能。
• 配置接口加入VLAN并使能MUX VLAN功能。

操作步驟

(1)創(chuàng)建VLAN2、VLAN3和VLAN4：

<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 2 3 4

(2)配置MUX VLAN中的Group VLAN和Separate VLAN：

[Switch] vlan 2
[Switch-vlan2] mux-vlan
[Switch-vlan2] subordinate group 3
[Switch-vlan2] subordinate separate 4
[Switch-vlan2] quit

(3)配置接口加入VLAN并使能MUX VLAN功能：

[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type access
[Switch-GigabitEthernet1/0/1] port default vlan 2
[Switch-GigabitEthernet1/0/1] port mux-vlan enable vlan 2
[Switch-GigabitEthernet1/0/1] quit
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type access
[Switch-GigabitEthernet1/0/2] port default vlan 3
[Switch-GigabitEthernet1/0/2] port mux-vlan enable vlan 3
[Switch-GigabitEthernet1/0/2] quit
[Switch] interface gigabitethernet 1/0/3
[Switch-GigabitEthernet1/0/3] port link-type access
[Switch-GigabitEthernet1/0/3] port default vlan 3
[Switch-GigabitEthernet1/0/3] port mux-vlan enable vlan 3
[Switch-GigabitEthernet1/0/3] quit
[Switch] interface gigabitethernet 1/0/4
[Switch-GigabitEthernet1/0/4] port link-type access
[Switch-GigabitEthernet1/0/4] port default vlan 4
[Switch-GigabitEthernet1/0/4] port mux-vlan enable vlan 4
[Switch-GigabitEthernet1/0/4] quit
[Switch] interface gigabitethernet 1/0/5
[Switch-GigabitEthernet1/0/5] port link-type access
[Switch-GigabitEthernet1/0/5] port default vlan 4
[Switch-GigabitEthernet1/0/5] port mux-vlan enable vlan 4
[Switch-GigabitEthernet1/0/5] quit