對于不是很常用的MAC VLAN，許多讀者都感到很陌生，讀者QQ群中也經常見到有讀者提到這方面的問題，希望我給予解答。現從筆者編著，目前在全國熱銷的《Cisco/H3C交換機配置與管理完全手冊》（第二版）（與之配套的姊妹篇為《Cisco/H3C交換機高級配置與管理技術手冊》）一書中摘選一部分H3C交換機MAC VLAN內容，希望對這些讀者有所幫助。如要全面了解Cisco和H3C交換機的MAC VLAN相關知識和配置方法，請參見Cisco/H3C交換機配置與管理完全手冊》（第二版）。

        我們在第一篇學習Cisco IOS交換機基于MAC地址劃分VLAN時已體會到，總體來說還是比較麻煩的，要配置VMPS服務器，還要配置VPMS客戶端，而且VMPS服務器目前來說只能由CatOS系統交換機擔當，所以要實現基于MAC地址來劃分VLAN網絡中必須同時有兩種操作系統的Cisco交換機，條件也是比較比較苛刻的。相比之下，本節介紹的H3C交換機基于MAC地址的VLAN劃分就簡單許多。它是按照報文的源MAC地址來定義VLAN成員，將指定報文加入該VLAN的標記后發送。但在H3C以太網交換機中，支持基于MAC地址的VLAN不多，與前面介紹的基于IP子網VLAN一樣，主要有S5500、S5510、S7500E等交換機系列。

   與前面介紹的基于協議VLAN和基于IP子網VLAN一樣，基于MAC地址的VLAN功能也只能在Hybrid端口配置，而且也主要用于在用戶的接入設備的下行端口上進行配置（基于協議VLAN和基于IP子網VLAN也僅在接入設備的下行端口上配置），因此不和聚合功能同時使用。

基于MAC地址VLAN的實現機制

在支持基于MAC地址劃分VLAN的H3C交換機中，劃分方式又有三種形式：手動配置靜態MAC VLAN、動態觸發端口加入靜態MAC VLAN和動態MAC VLAN。

    在手動配置靜態MAC VLAN方式中，管理員需要手動配置MAC VLAN表項，啟動基于MAC劃分VLAN的功能，然后手動將對應的端口加入MAC VLAN。這種方式顯然工作量比較大，常用于MAC VLAN中用戶相對較少的網絡環境。在該方式下，MAC VLAN的劃分原理如下：

l  當端口收到的報文為不帶VLAN標記的報文時，會根據報文的源MAC匹配MAC VLAN表項。首先進行模糊匹配，即查詢表中MASK（MAC地址掩碼）不是全為F（只比較非F的位）的表項。將源MAC和MASK進行邏輯與運算后再與MAC VLAN表項中的MAC地址匹配，如果完全相同，則匹配成功，給報文添加表項中指定的VLAN ID并轉發該報文；如果模糊匹配失敗，則進行精確匹配，即查詢表中MASK為全F的表項。如果報文中的源MAC與MAC VLAN表項中的MAC地址完全相同，則匹配成功，給報文添加表項中指定的VLAN ID并轉發該報文；如果沒有找到匹配MAC VLAN表項，則繼續按照基于IP子網VLAN、協議VLAN、端口VLAN的先后順序進行匹配。

l  當端口收到的報文為帶有VLAN標記的報文時，如果VLAN ID在端口中允許通過的VLAN ID列表里時，則接收該報文；否則丟棄該報文。

    在手動配置靜態MAC VLAN劃分方式中，管理員需要把端口一一加入相應的MAC VLAN，但這里有一個問題，那就是我們有時往往根本不能確定交換機從哪些端口收到屬于MAC VLAN的報文，這時我們就不能通過手動方式把相應端口加入到MAC VLAN。此時，就需要借助另一種更加智能的MAC VLAN配置方式，使用動態觸發端口加入靜態MAC VLAN中。在這種MAC VLAN配置方式中，配置MAC VLAN表項后，管理員只需在端口上啟用基于MAC的VLAN劃分功能和MAC VLAN動態觸發功能，在端口收到與MAC VLAN表項匹配的報文后，可以通過此報文動態觸發端口加入MAC VLAN。其劃分原理如下：

l  當端口收到的報文為不帶VLAN標記的報文時，按圖19-11所示流程進行處理。

l  當收到的報文為帶VLAN標記的報文時，處理方式和基于端口的VLAN一樣：如果端口允許攜帶該VLAN標記的報文通過，則正常轉發；如果不允許，則丟棄該報文。

  【說明】如果用戶在同一端口上同時啟用了手動配置靜態MAC VLAN和動態觸發端口加入靜態MAC VLAN，此時端口對收到的非精確匹配的報文將做丟棄處理。

圖19-11 在收到不帶VLAN標記報文時，動態觸發端口加入靜態MAC VLAN的處理流程

   動態MAC VLAN需要和接入認證（比如基于MAC地址的802.1x認證）配合使用，以實現終端的安全、靈活接入。用戶在交換機上配置動態MAC VLAN功能以后，還需要在接入認證服務器上配置MAC地址和VLAN的關聯關系，這種MAC VLAN的配置就比較麻煩了，本書不做介紹。

19.6.2 手動配置靜態MAC VLAN配置（略）

19.6.3   動態觸發端口加入靜態MAC VLAN配置（略）

    使用時，Laptop1和Laptop2要分別用于兩個部門的員工，兩個部門間使用VLAN100和VLAN200進行隔離。現要求這兩臺筆記本電腦無論在哪個會議室使用，均只能訪問自己部門的服務器，即Server1和Server2。

圖19-11  手動配置靜態MAC VLAN示例拓撲結構

 本示例配置所適用的H3C交換機系列和對應的軟/硬件版本如表19-18所示。

表19-18  示例適用的H3C交換機系列及軟/硬件版本

H3C交換機系列

軟件版本

硬件版本

S5500-SI系列以太網交換機

Release 1207軟件版本

全系列硬件版本（除S5500-20TP-SI）

Release 1301軟件版本

S5500-20TP-SI

S5500-EI系列以太網交換機

Release 2102軟件版本

全系列硬件版本

S7500E系列以太網交換機

Release 6100，Release 6300軟件版本

全系列硬件版本

1. SwitchA的配置

（1）創建VLAN100和VLAN200，并將GigabitEthernet1/0/2配置為Trunk端口，允許VLAN100和VLAN200的報文通過。

<SwitchA> system-view

[SwitchA] vlan 100

[SwitchA-vlan100] quit

[SwitchA] vlan 200

[SwitchA-vlan200] quit

[SwitchA] interface GigabitEthernet1/0/2

[SwitchA-GigabitEthernet1/0/2] port link-type trunk

[SwitchA-GigabitEthernet1/0/2] port trunk permit vlan 100 200

[SwitchA-GigabitEthernet1/0/2] quit

（2）將GigabitEthernet1/0/1配置為Hybrid端口，并使其在發送VLAN 100和VLAN 200的報文時去掉VLAN Tag。

[SwitchA] interface GigabitEthernet1/0/1

[SwitchA-GigabitEthernet1/0/1] port link-type hybrid

[SwitchA-GigabitEthernet1/0/1] port hybrid vlan 100 200 untagged

[SwitchA-GigabitEthernet1/0/1] quit

（3）創建Laptop1的MAC地址與VLAN 100的關聯，創建Laptop2的MAC地址與VLAN 200的關聯，開啟GigabitEthernet1/0/1端口的MAC-VLAN功能。

[SwitchA] mac-vlan mac-address 000d-88f8-4e71 vlan 100

[SwitchA] mac-vlan mac-address 0014-222c-aa69 vlan 200

[SwitchA] interface GigabitEthernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] mac-vlan enable

2. SwitchB的配置

SwitchB的配置與SwitchA完全一致，這里不再贅述。

3. Core Switch的配置

（1）創建VLAN100和VLAN200，并將GigabitEthernet1/0/13和GigabitVLANEthernet
1/0/14端口分別加入這兩個VLAN。

<CoreSwitch> system-view

[CoreSwitch] vlan 100

[CoreSwitch-vlan100] port gigabitethernet 1/0/13

[CoreSwitch-vlan100] quit

[CoreSwitch] vlan 200

[CoreSwitch-vlan200] port gigabitethernet 1/0/14

[CoreSwitch-vlan200] quit

（2）配置GigabitEthernet1/0/3和GigabitEthernet1/0/4端口為Trunk端口，均允許VLAN100和VLAN200的報文通過。從這里也可以看出，同一個VLAN中可以基于多種VLAN劃分方式來添加端口，因為在VLAN 100和VLAN 200中，上一步已通過基于端口VLAN劃分方式添加了gigabitethernet 1/0/13和gigabitethernet 1/0/14兩個Access端口。而此處添加的了Trunk端口（在SwitchA和SwitchB中還通過基于MAC地址劃分方式添加了Hybird端口）。

[CoreSwitch] interface GigabitEthernet1/0/3

[CoreSwitch-GigabitEthernet1/0/3] port link-type trunk

[CoreSwitch-GigabitEthernet1/0/3] port trunk permit vlan 100 200

[CoreSwitch-GigabitEthernet1/0/3] quit

[CoreSwitch] interface GigabitEthernet1/0/4

[CoreSwitch-GigabitEthernet1/0/4] port link-type trunk

[CoreSwitch-GigabitEthernet1/0/4] port trunk permit vlan 100 200

[CoreSwitch-GigabitEthernet1/0/4] quit