华为Hybrid接口+实验案例

r囧r小猫 2023-07-13 10:55 87阅读 0赞

**目录**

Hybrid接口

VLAN的基本概念

Hybrid接口的特点

Hybrid工作原理

实验案例

--------------------

## **Hybrid接口** ##

> **Hybrid接口是华为设备的一种特殊二层接口模式，类似于之前介绍的Access接口和Trunk接口，是一个工作在二层的接口技术，可以对数据打 VLAN标签 或 不打VLAN标签 ，在正式介绍Hybrid接口之前，首先回顾下之前的VLAN知识。**

## **VLAN的基本概念** ##

> **VLAN（Virtual Local Area Network）即虚拟局域网，是将一个物理的LAN在逻辑上划分成多个广播域（多个VLAN ）的通信技术。VLAN内的主机间可以直接通信，而VLAN间不能直接互通，从而将广播报文限制在一个VLAN内。**

**由于VLAN之间的隔离，所以一些类似蠕虫病毒等的攻击被限制在一个VLAN中，提高了安全性、同时也方便管理人员对网络进行管理。**

## **Hybrid接口的特点** ##

**按照VLAN接口封装类型，华为交换机的接口主要有三种模式：Access 、Trunk和 Hybrid。其中Access 、Trunk接口和之前的 Cisco技术并无差异，Hybrid接口是华为设备特有的接口模式。**

> **Hybrid接口和Trunk接口的相同之处是都可以允许多个VLAN的流量通过并打标签，**
> 
> **不同之处在于 Hybrid接口可以允许多个VLAN的报文发送时不打标签。**

**Hybrid接口作为华为交换机的特有属性接口，其特点如下：**

>  *  华为交换机接口默认为Hybrid模式。
>  *  既可以实现 Access接口的功能，也可以实现Trunk接口的功能。
>  *  不借助三层设备即可实现跨VLAN通信和访问控制。
> 
> 相对于 Access 接口和Trunk接口具有更高的灵活性与可控性。

**Hybrid接口的作用体现为可以实现二层的流量隔离与互通。**

> **流量隔离： Hybrid接口本身拥有强大的访问控制能力，通过对接口的配置可以隔离来自于同一个VLAN的流量，也可以隔离来自于不同VLAN的流量。**
> 
> **流量互通：Hybrid接口可以使不同的 VLAN之间在二层实现通信。**

# #

## Hybrid工作原理 ##

> **Hybrid接口能够灵活地控制一个接口上数据帧VLAN标签的添加和移除。**
> 
> **例如，在接口对端的设备是交换机的情况下，可以配置接口允许某一些VLAN的数据帧携带VLAN标签通过该接口，而另外一些VLAN则不携带VLAN标签发出，在接口对端设备是终端主机的情况下，可以配置发送到这些接口的数据帧不携带任何VLAN标签。**

**Hybrid接口的工作原理涉及接口的三个属性，分别是 untag列表，tag列表及PVID（ Port－ base VLAN**

**ID，基于端口的 VLAN ID）。**

> **untag列表;对通过的数据帧进行去标签然后发送数据帧**
> 
> **tag列表：直接发送经过的数据帧，不进行特殊处理**
> 
> **PVID：默认的PVID是vlan1，如果经过的是空白数据帧，则打上这个PVID的标识。**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70][]

交换机从F0/0接口接收到一个原始数据帧，所以用接口的PVID（VLAN3）进行标记并接收数据帧。交换机从F0/1接口接收到一个携带VLAN 9标签的数据帧、因VLAN 9在该接口的tag列表中，所以允许接收并保留其标签进入交换机。另外，当通过F0／2发送数据时，携带VLAN 3标签的数据顿，因其标签（VLAN 3）在接口F0／2接口的 untag列表中，所以发送原始的数据帧；携带VLAN 5标签的数据帧，因其标签（VLAN 5）在F0／2接口的tag列表中。所以保留标签，发送携带VLAN 5标签的数据帧；而携带VLAN 9标签的数据帧，在发送时，因其标签VLAN 9既不在接口F0/2的 untag列表中，又不在接口的tag列表中，所以直接丢弃数据。

**在华为设备中，每种类型的接口都有默认的PVID，如表所示。**

<table style="width:500px;"> 
 <tbody> 
  <tr> 
   <td> <p style="margin-left:0pt;">接口类型</p> </td> 
   <td>PVID</td> 
  </tr> 
  <tr> 
   <td>Access</td> 
   <td>其归属的VLAN</td> 
  </tr> 
  <tr> 
   <td>Trunk</td> 
   <td>默认vlan1</td> 
  </tr> 
  <tr> 
   <td>Hybrid</td> 
   <td>默认vlan1</td> 
  </tr> 
 </tbody> 
</table>

> **功能特性上说， Hybrid接ロ中的 untag列表和PVID用于实现Access 特性，而tag列表用于实现 Trunk特性。但又不限于此，因为 Hybrid接口相比于 Access接口和 Trunk接ロ可以更加灵活，适用各种场景。**

PS：PVID封装的数据帧是通过802．1Q打了标签的

**看这个图，理解一下vlan和PVID**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 1][]

> **Hybrid接口和 Trunk接口都可以给多个不同的VLAN打标签，也可以传输多个VLAN的流量；但是 Hybrid接ロ可以允许多个不同VLAN的报文发送时不打标签，而 Trunk接ロ只允许默认VLAN的报文发送时不打标签。**

# 实验案例 #

**某公司有生产部客户端、销售部客户端、财务部客户端和两台服务器提供网络资源，并且分别属于VLAN1、VLAN2、VLAN3和VLAN10。要求实现生产部客户端和销售部客户端只能访问服务器1，并且生产部客户端和销售部客户端之间可以相互访问。财务部客户端只能访问服务器2，并且和任何部门之间隔离。**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 2][]

**面对这样的需求，传统的解决办法如下：**

**通过三层设备配置VLAN之间互通再通过ACL实现访问控制即可实现。**

**为服务器购买一块 Trunk网卡，将服务器和S2之间的链路配置为 Trunk链路，可以使其他三个VLAN通过，再配合二层ACL（ 基于MAC地址实现过滤 ）即可实现。**

**虽然通过三层设备和ACL可以满足需求，但是流量一旦通过三层转发，其转发效率就远远低于二层，购买Truk网卡又需要额外的成本支出，而通过华为的Hybrid接口可以轻而易举地解决类似问题。**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 3][]

**要求：**

**生产部客户端和销售部客户端可以相互访问，且只能访问服务器1。**

**财务部客户端不能和任何部门通信，只能访问服务器2。**

**根据要求搭建好拓扑。**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 4][]

在s1上进行的操作

[s1]vlan batch 2 3 10
    [S1]inter g0/0/1
    
    [S1-GigabitEthernet0/0/1]port link-type hybrid	//配置接口模式为 hybrid
    
    [S1-GigabitEthernet0/0/1]port hybrid pvid vlan 1	//配置接口PVID为1
    
    [S1-GigabitEthernet0/0/1]port hybrid untagged vlan 1 to 2	//untag列表添加vlan1和vlan2
    
    [S1-GigabitEthernet0/0/1]int g0/0/2
    [S1-GigabitEthernet0/0/2]port link-type hybrid
    
    [S1-GigabitEthernet0/0/2]port hybrid pvid vlan 1
    
    [S1-GigabitEthernet0/0/2]port hybrid untagged vlan 1 to 2
    
    [S1-GigabitEthernet0/0/2]int g0/0/3
    
    [S1-GigabitEthernet0/0/3]port link-type hybrid
    
    [S1-GigabitEthernet0/0/3]port hybrid pvid vlan 10
    
    [S1-GigabitEthernet0/0/3]port hybrid untagged vlan 3 10
    
    [S1-GigabitEthernet0/0/3]int g0/0/4
    
    [S1-GigabitEthernet0/0/4]port link-type hybrid
    
    [S1-GigabitEthernet0/0/4]port hybrid pvid vlan 1
    
    [S1-GigabitEthernet0/0/4]port hybrid untagged vlan 1 to 2
    
    [S1-GigabitEthernet0/0/4]port hybrid tagged vlan 3 10
    
    [S1-GigabitEthernet0/0/4]quit

在S2上的配置

[S2]vlan batch 2 3 10
    [S2]int g0/0/1
    
    [S2-GigabitEthernet0/0/1]port link-type hybrid
    
    [S2-GigabitEthernet0/0/1]port hybrid pvid vlan 1
    
    [S2-GigabitEthernet0/0/1]port hybrid untagged vlan 1 to 2
    
    [S2-GigabitEthernet0/0/1]port hybrid tagged vlan 3 10
    
    [S2-GigabitEthernet0/0/1]int g0/0/2
    
    [S2-GigabitEthernet0/0/2]port link-type hybrid
    
    [S2-GigabitEthernet0/0/2]port hybrid pvid vlan 2
    
    [S2-GigabitEthernet0/0/2]port hybrid untagged vlan 1 to 2
    
    [S2-GigabitEthernet0/0/2]int g0/0/3
    
    [S2-GigabitEthernet0/0/3]port link-type hybrid
    
    [S2-GigabitEthernet0/0/3]port hybrid pvid vlan 3
    
    [S2-GigabitEthernet0/0/3]port hybrid untagged vlan 3 10
    
    [S2-GigabitEthernet0/0/3]quit

验证网络是否通信

PC>ping 10.1.1.13
    
    Ping 10.1.1.13: 32 data bytes, Press Ctrl_C to break
    From 10.1.1.11: Destination host unreachable
    From 10.1.1.11: Destination host unreachable
    From 10.1.1.11: Destination host unreachable
    From 10.1.1.11: Destination host unreachable
    From 10.1.1.11: Destination host unreachable
    
    --- 10.1.1.13 ping statistics ---
      5 packet(s) transmitted
      0 packet(s) received
      100.00% packet loss
    PC>ping 10.1.1.200
    
    Ping 10.1.1.200: 32 data bytes, Press Ctrl_C to break
    From 10.1.1.11: Destination host unreachable
    From 10.1.1.11: Destination host unreachable
    From 10.1.1.11: Destination host unreachable
    From 10.1.1.11: Destination host unreachable
    From 10.1.1.11: Destination host unreachable
    
    --- 10.1.1.200 ping statistics ---
      5 packet(s) transmitted
      0 packet(s) received
      100.00% packet loss

PC>ping 10.1.1.12
    
    Ping 10.1.1.12: 32 data bytes, Press Ctrl_C to break
    From 10.1.1.12: bytes=32 seq=1 ttl=128 time=32 ms
    From 10.1.1.12: bytes=32 seq=2 ttl=128 time=31 ms
    From 10.1.1.12: bytes=32 seq=3 ttl=128 time=31 ms
    From 10.1.1.12: bytes=32 seq=4 ttl=128 time=31 ms
    From 10.1.1.12: bytes=32 seq=5 ttl=128 time=47 ms
    
    --- 10.1.1.12 ping statistics ---
      5 packet(s) transmitted
      5 packet(s) received
      0.00% packet loss
      round-trip min/avg/max = 31/34/47 ms
    
    PC>ping 10.1.1.100
    
    Ping 10.1.1.100: 32 data bytes, Press Ctrl_C to break
    From 10.1.1.100: bytes=32 seq=1 ttl=255 time=79 ms
    From 10.1.1.100: bytes=32 seq=2 ttl=255 time=46 ms
    From 10.1.1.100: bytes=32 seq=3 ttl=255 time=32 ms
    From 10.1.1.100: bytes=32 seq=4 ttl=255 time=47 ms
    From 10.1.1.100: bytes=32 seq=5 ttl=255 time=46 ms
    
    --- 10.1.1.100 ping statistics ---
      5 packet(s) transmitted
      5 packet(s) received
      0.00% packet loss
      round-trip min/avg/max = 32/50/79 ms

**PC1 ping PC3不通，ping server2不会通信**

**但是可以和PC2、server1通信，因此达到了目的**

** **

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200311201344852.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200311201200787.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20200311194917744.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20200311203432741.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20200311203806649.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgxNTE0MA==,size_16,color_FFFFFF,t_70