Создание изолированного L2-канала между двумя коммутаторами Huawei

Шаг 1. Зафиксировать вводные

Исходное состояние:

• есть два коммутатора Huawei с VRP: SW-A и SW-B;
• коммутаторы соединены напрямую;
• межкоммутаторные порты выключены и не настроены;
• клиентские порты выключены и не настроены;
• канал должен пропускать любой L2-трафик внутри выделенного сегмента;
• канал должен быть изолирован от остальной сети.

Пример схемы:

Перед применением замени номера портов, VLAN и описания на рабочие значения из схемы сети.

Шаг 2. Выбрать VLAN для изолированного канала

Используй отдельную VLAN, которая не применяется в остальной сети. В примере используется VLAN 4000.
Правила изоляции:

• не создавать Vlanif4000;
• не назначать IP-адрес на эту VLAN;
• не добавлять VLAN 4000 на магистрали, где она не нужна;
• не включать VLAN 4000 в общие allow-list;
• не использовать port trunk allow-pass vlan all;
• не использовать VLAN 1 как рабочую VLAN канала.
  Vlanif — это L3-интерфейс VLAN. Если создать Vlanif4000 с IP-адресом и маршрутизацией, сегмент перестанет быть чисто L2-изолированным.

Шаг 3. Войти в режим конфигурации на SW-A

<SW-A> system-view

system-view переводит CLI из пользовательского режима в режим системной конфигурации.

Шаг 4. Создать изолированную VLAN на SW-A

[SW-A] vlan batch 4000

vlan batch создает одну или несколько VLAN одной командой. VLAN должна существовать до добавления портов.

Шаг 5. Настроить клиентский порт на SW-A

[SW-A] interface GigabitEthernet0/0/1
[SW-A-GigabitEthernet0/0/1] description ISOLATED_L2_CLIENT_A
[SW-A-GigabitEthernet0/0/1] shutdown
[SW-A-GigabitEthernet0/0/1] port link-type access
[SW-A-GigabitEthernet0/0/1] port default vlan 4000
[SW-A-GigabitEthernet0/0/1] quit

interface переводит CLI в режим настройки конкретного интерфейса.
description добавляет административное описание порта.
shutdown административно выключает интерфейс на время настройки.
port link-type access переводит порт в access-режим.
port default vlan назначает access-порт в указанную VLAN.
Access-порт принимает нетегированный трафик от конечного устройства и помещает его в VLAN 4000.

Шаг 6. Настроить межкоммутаторный порт на SW-A

[SW-A] interface GigabitEthernet0/0/24
[SW-A-GigabitEthernet0/0/24] description ISOLATED_L2_TO_SW-B_GE0/0/24
[SW-A-GigabitEthernet0/0/24] shutdown
[SW-A-GigabitEthernet0/0/24] port link-type trunk
[SW-A-GigabitEthernet0/0/24] undo port trunk allow-pass vlan 1
[SW-A-GigabitEthernet0/0/24] port trunk allow-pass vlan 4000
[SW-A-GigabitEthernet0/0/24] quit

port link-type trunk переводит порт в trunk-режим.
undo отменяет указанную настройку.
port trunk allow-pass vlan добавляет trunk-порт в указанную VLAN и разрешает ее прохождение через порт.
На межкоммутаторном trunk разрешается только VLAN 4000. Это ключевая часть изоляции.

Шаг 7. Проверить конфигурацию SW-A до включения портов

[SW-A] display current-configuration interface GigabitEthernet0/0/1
[SW-A] display current-configuration interface GigabitEthernet0/0/24
[SW-A] display vlan 4000

display current-configuration interface показывает текущую конфигурацию выбранного интерфейса.
display vlan показывает VLAN и порты, входящие в нее.
Проверь:

• клиентский порт находится в access-режиме;
• клиентский порт добавлен в VLAN 4000;
• межкоммутаторный порт находится в trunk-режиме;
• на trunk разрешена только VLAN 4000;
• VLAN 1 не оставлена на trunk без необходимости;
• Vlanif4000 не создан.

Шаг 8. Войти в режим конфигурации на SW-B

<SW-B> system-view

Шаг 9. Создать изолированную VLAN на SW-B

[SW-B] vlan batch 4000

Шаг 10. Настроить клиентский порт на SW-B

[SW-B] interface GigabitEthernet0/0/1
[SW-B-GigabitEthernet0/0/1] description ISOLATED_L2_CLIENT_B
[SW-B-GigabitEthernet0/0/1] shutdown
[SW-B-GigabitEthernet0/0/1] port link-type access
[SW-B-GigabitEthernet0/0/1] port default vlan 4000
[SW-B-GigabitEthernet0/0/1] quit

Шаг 11. Настроить межкоммутаторный порт на SW-B

[SW-B] interface GigabitEthernet0/0/24
[SW-B-GigabitEthernet0/0/24] description ISOLATED_L2_TO_SW-A_GE0/0/24
[SW-B-GigabitEthernet0/0/24] shutdown
[SW-B-GigabitEthernet0/0/24] port link-type trunk
[SW-B-GigabitEthernet0/0/24] undo port trunk allow-pass vlan 1
[SW-B-GigabitEthernet0/0/24] port trunk allow-pass vlan 4000
[SW-B-GigabitEthernet0/0/24] quit

Шаг 12. Проверить конфигурацию SW-B до включения портов

[SW-B] display current-configuration interface GigabitEthernet0/0/1
[SW-B] display current-configuration interface GigabitEthernet0/0/24
[SW-B] display vlan 4000

Проверь:

• настройки SW-B зеркально соответствуют SW-A;
• VLAN 4000 создана;
• access-порт добавлен в VLAN 4000;
• trunk пропускает только VLAN 4000;
• Vlanif4000 не создан.

Шаг 13. Включить межкоммутаторные порты

На SW-A:

[SW-A] interface GigabitEthernet0/0/24
[SW-A-GigabitEthernet0/0/24] undo shutdown
[SW-A-GigabitEthernet0/0/24] quit

На SW-B:

[SW-B] interface GigabitEthernet0/0/24
[SW-B-GigabitEthernet0/0/24] undo shutdown
[SW-B-GigabitEthernet0/0/24] quit

undo shutdown административно включает интерфейс.

Шаг 14. Проверить межкоммутаторный линк

На обоих коммутаторах:

display interface GigabitEthernet0/0/24
display lldp neighbor brief

display interface показывает физическое и канальное состояние интерфейса, счетчики ошибок, скорость, duplex и текущую нагрузку.
display lldp neighbor brief показывает краткую информацию о соседних устройствах по LLDP.
Проверь:

• порт находится в состоянии UP/UP;
• скорость и duplex совпадают с ожидаемыми;
• сосед по LLDP соответствует фактической схеме;
• не растут CRC, input errors, output errors, drops.

Шаг 15. Включить клиентские порты

На SW-A:

[SW-A] interface GigabitEthernet0/0/1
[SW-A-GigabitEthernet0/0/1] undo shutdown
[SW-A-GigabitEthernet0/0/1] quit

На SW-B:

[SW-B] interface GigabitEthernet0/0/1
[SW-B-GigabitEthernet0/0/1] undo shutdown
[SW-B-GigabitEthernet0/0/1] quit

Шаг 16. Проверить L2-связность внутри канала

На обоих коммутаторах:

display mac-address vlan 4000

display mac-address vlan показывает MAC-адреса, изученные в указанной VLAN.
Проверь:

• MAC-адрес локального клиента изучен на клиентском порту;
• MAC-адрес удаленного клиента изучен на межкоммутаторном trunk;
• MAC-адреса из VLAN 4000 не появляются на портах остальной сети.
  Если на клиентах настроены IP-адреса из одной подсети, дополнительно проверь ping между ними. IP-маршрутизация на коммутаторах для этого не нужна.

Шаг 17. Проверить изоляцию от остальной сети

На обоих коммутаторах:

display current-configuration | include Vlanif4000
display vlan 4000

Проверь:

• команда по Vlanif4000 не возвращает настроенный L3-интерфейс;
• в VLAN 4000 входят только клиентский порт и межкоммутаторный trunk;
• другие uplink/trunk-порты не состоят в VLAN 4000;
• на маршрутизаторах и L3-коммутаторах нет шлюза для этой VLAN.

Шаг 18. Сохранить конфигурацию на SW-A

[SW-A] save

save сохраняет текущую конфигурацию в startup-конфигурацию, чтобы настройки сохранились после перезагрузки.

Шаг 19. Сохранить конфигурацию на SW-B

[SW-B] save

Итоговая конфигурация SW-A

system-view
vlan batch 4000
interface GigabitEthernet0/0/1
 description ISOLATED_L2_CLIENT_A
 shutdown
 port link-type access
 port default vlan 4000
 undo shutdown
 quit
interface GigabitEthernet0/0/24
 description ISOLATED_L2_TO_SW-B_GE0/0/24
 shutdown
 port link-type trunk
 undo port trunk allow-pass vlan 1
 port trunk allow-pass vlan 4000
 undo shutdown
 quit
save

Итоговая конфигурация SW-B

system-view
vlan batch 4000
interface GigabitEthernet0/0/1
 description ISOLATED_L2_CLIENT_B
 shutdown
 port link-type access
 port default vlan 4000
 undo shutdown
 quit
interface GigabitEthernet0/0/24
 description ISOLATED_L2_TO_SW-A_GE0/0/24
 shutdown
 port link-type trunk
 undo port trunk allow-pass vlan 1
 port trunk allow-pass vlan 4000
 undo shutdown
 quit
save

Когда нужен не access, а прозрачный tagged-канал

Текущая схема подходит, если конечные устройства подключаются нетегированно и должны оказаться в одном L2-сегменте.
Если нужно прозрачно передавать от клиента уже тегированный трафик нескольких VLAN, простой access-порт не подойдет. Для такого сценария обычно проектируют отдельный trunk, QinQ или VLAN mapping по утвержденной схеме сети.

Контрольный чек-лист