華為設備配置單臂路由實現(xiàn)VLAN間通信

1、華為設備配置單臂路由實現(xiàn)VLAN間通信為解決物理接口數(shù)量有限的問題，可以通過在一個物理接口上配置多個子接口，這些子接口分別對應不同 VLAN，這樣只需連接一個物理接口即可實現(xiàn) 不同VLAN之間的數(shù)據(jù)通信。組網需求如圖1所示，交換機下掛三個不同網段的PC,由于此組網中的交換機為二層交換機，無法實現(xiàn)不同VLAN間的三層互通，因此在USG上配置子接口用于實現(xiàn)不同VLAN間的三層互通。同時，出于安全考慮，要求：VLAN10禾口 VLAN20 內的主機能夠相互訪問。VLAN30 內的主機可以訪問 VLAN10禾口 VLAN20 內的主機，但是 VLAN10 和 VLAN20 內的主機都不能訪問VLAN3

2、0 內的主機。配置思路1在USG的接口 Eth0/0/0 上啟用子接口功能，分別對應不同的VLAN，實現(xiàn)不同VLAN 間的三層互通。2在USG上創(chuàng)建兩個不同的安全區(qū)域，將各子接口加入不同的安全區(qū)域，同時配置域間包過濾策略，實現(xiàn)VLAN間訪問控制。其中， Ethernet 0/0/0.10和Ethernet 0/0/0.20 屬于同一個安全區(qū)域，使 VLAN10禾口 VLAN20 內的主 機能夠相互訪問。3在交換機上配置 VLAN，并且將接口加入到對應的VLAN中。4配置各VLAN內的主機的IP地址和缺省網關，其中默認網關應配置為對應 的子接口的IP地址。操作步驟1配置USG。# 創(chuàng)建并配置以太

3、網子接口Ethernet 0/0/0.10。 system-viewUSG in terface Ethernet 0/0/0.10USG-Ethernet0/0/0.10 vian-type dot1q 10USG-Ethernet0/0/0.10 ip address 10.1.10.1 24USG-Ethernet0/0/0.10 quit#創(chuàng)建并配置以太網子接口Ethernet 0/0/0.20。 system-viewUSG in terface Ethernet 0/0/0.20USG-Ethernet0/0/0.20 vian-type dot1q 20USG-Ethernet0

4、/0/0.20 ip address 10.1.20.1 24USG-Ethernet0/0/0.20 quit#創(chuàng)建并配置以太網子接口Ethernet 0/0/0.30。 system-viewUSG in terface Ethernet 0/0/0.30USG-Ethernet0/0/0.30 vian-type dot1q 30USG-Ethernet0/0/0.30 ip address 10.1.30.1 24USG-Ethernet0/0/0.30 quit#創(chuàng)建兩個安全區(qū)域，并將各子接口加入不同的安全區(qū)域。USG firewall zone name ian1USG-zo ne

5、-la n1 set priority 60USG-zo ne-la n1 add in terface Ethernet0/0/0.10USG-zo ne-la n1 add in terface Ethernet0/0/0.20USG-zone-lan1 quitUSG firewall zone name lan2USG-zo ne-la n2 set priority 70USG-zo ne-la n2 add in terface Ethernet0/0/0.30USG-zo ne-la n2 quit#配置域間包過濾策略，使VLAN30內的主機可以訪問VLAN10和VLAN20內的

6、主機，但是VLAN10和VLAN20內的主機都不能訪問VLAN30內的主機。USG policy in terz one lan1 lan2 outbo undUSG-lan2-lan1-outbound policy 0USG-lan2-lan1-outbound-0 policy source 10.1.30.0 0.0.0.255USG-lan2-lan1-outbound-0 action permitUSG-la n2-la n1-outbou nd-0 quitUSG-la n2-la n1-outbou ndquitUSG policy in terzo ne lan1 lan2

7、inboundUSG-lan2-lan1-inbound policy 0USG-lan2-lan1-inbound-0 policy source 10.1.10.0 0.0.0.255USG-lan2-lan1-inbound-0 policy source 10.1.20.0 0.0.0.255USG-lan2-lan1-inbound-0 policy destination 10.1.30.0 0.0.0.255USG-lan2-lan1-inbound-0 action denyUSG-la n2-la n1-i nbou nd-0 quitUSG-la n2-la n1-i nb

8、ou nd quit 2配置交換機。說明：以下配置以 Quidway S2300為例進行說明，實際應用中請參考對應交換機的相關文檔。#創(chuàng)建 VLAN10、VLAN20 禾口 VLAN30，將 Ethernet 0/0/2 加入 VLAN10 ， 將 Ethernet 0/0/3 加入 VLAN20，將 Ethernet 0/0/4 加入 VLAN30。Switch vlan batch 10 20 30Switch in terface ethernet 0/0/2Switch-Ethernet0/0/2 port lin k-type accessSwitch-Ethernet0/0/2 p

9、ort default vlan 10Switch-Ethernet0/0/2 quitSwitch in terface ethernet 0/0/3Switch-Ethernet0/0/3 port lin k-type accessSwitch-Ethernet0/0/3 port default vlan 20Switch-Ethernet0/0/3 quitSwitch in terface ethernet 0/0/4Switch-Ethernet0/0/4 port lin k-type accessSwitch-Ethernet0/0/4 port default vlan 3

10、0Switch-Ethernet0/0/4 quit#配置接口 Ethernet 0/0/1 為 VLAN Trunk 接口，并允許 VLAN 10、VLAN20、 VLAN30 通過。Switch in terface Ethernet 0/0/1 Switch-Ethernet0/0/1 port lin k-type trunkSwitch-Ethernet0/0/1 port trunk allow-pass vlan 10 20 30Switch-Ethernet0/0/1 quit3配置各VLAN內的主機的IP地址和缺省網關。其中：VLAN10內主機的缺省網關配置為10.1.10.

11、1/24 。VLAN20內主機的缺省網關配置為10.1.20.1/24 。VLAN30內主機的缺省網關配置為10.1.30.1/24 。結果驗證配置完成后，查看VLAN10、VLAN20、VLAN30的主機能否按要求進行訪問。1檢查 VLAN10內的主機是否能夠同VLAN20內的主機相互通信。假設VLAN20 內存在IP地址為10.1.20.2/24的主機。在VLAN10 中的主機上執(zhí)行ping 10.1.20.2 命令，能夠 pi ng 通VLAN20 內的主機。C:pi ng 10.1.20.2Pi nging ping 10.1.20.2 with 32 bytes of data:Re

12、ply from pi ng 10.1.20.2: bytes=32 time1ms TTL=128Reply from pi ng 10.1.20.2: bytes=32 time1ms TTL=128Reply from pi ng 10.1.20.2: bytes=32 time1ms TTL=128Reply from pi ng 10.1.20.2: bytes=32 time1ms TTL=128Ping statistics for ping 10.1.20.2 :Packets: Sent = 4,Received =4,Lost = 0 ,Approximates round

13、 trip times in milli-seco nds:Minimum =Oms,Maximum =Oms,Average =Oms 2檢查VLAN30 內的主機是否可以訪問 VLAN10禾口 VLAN20 VLAN20 內存在IP地址為10.1.20.2/24 的主機。在VLAN30 ping 10.1.20.2 命令，能夠 pi ng 通VLAN20 內的主機。C:pi ng 10.1.20.2Pinging ping 10.1.20.2 with 32 bytes of data:Reply from pi ng 10.1.20.2: bytes=32 time1ms TTL=128

14、Reply from pi ng 10.1.20.2: bytes=32 time1ms TTL=128Reply from pi ng 10.1.20.2: bytes=32 time1ms TTL=128Reply from pi ng 10.1.20.2: bytes=32 time1ms TTL=128Ping statistics for ping 10.1.20.2 :Packets: Sent = 4,Received =4,Lost = 0 ,Approximates round trip times in milli-seco nds:Minimum =0ms,Maximum =0ms,Average =0ms3檢查 VLAN10禾口 VLAN20 內的主機是否能訪問VLAN30VLAN30 內存在IP地址為10.1.30.2/24 的主機。在VLAN10 ping 10.1.30.2 命令，將不能 pi ng 通VLAN30 內的主機。C:pi ng 10.1.3