Создание VLAN, назначение на порт и применение VLANIF на Huawei

Шаг 1. Зафиксировать безопасный подход

Сценарий: коммутатор уже работает в инфраструктуре, на нем есть существующая конфигурация, рушить сеть нельзя.

Перед изменениями нужно понять:

• существует ли VLAN уже;
• где VLAN уже используется;
• какой порт нужно менять;
• порт является access, trunk, hybrid или Eth-Trunk;
• нужен ли только L2-сегмент или нужен L3-шлюз;
• есть ли уже Vlanif для этой VLAN;
• не используется ли эта VLAN для management, телефонии, серверов или uplink.
  В этой главе пример VLAN: VLAN 120. Пример access-порта: GigabitEthernet0/0/10. Пример trunk-порта: GigabitEthernet0/0/24.

Шаг 2. Проверить существующие VLAN

<HUAWEI> display vlan
<HUAWEI> display vlan 120

display vlan показывает VLAN на устройстве.
display vlan 120 показывает конкретную VLAN и порты, которые в нее входят.
Если VLAN уже существует, не создавай ее повторно. Сначала проверь, совпадает ли ее назначение с задачей.

Шаг 3. Проверить VLAN на портах

<HUAWEI> display port vlan
<HUAWEI> display current-configuration interface GigabitEthernet0/0/10
<HUAWEI> display current-configuration interface GigabitEthernet0/0/24

display port vlan показывает VLAN-информацию по интерфейсам.
display current-configuration interface показывает текущую конфигурацию конкретного интерфейса.
Проверь:

• текущий port link-type;
• текущую access VLAN;
• список VLAN на trunk;
• PVID на trunk/hybrid;
• description порта;
• не является ли порт uplink или частью важного сервиса.

Шаг 4. Проверить, есть ли VLANIF

<HUAWEI> display current-configuration interface Vlanif120
<HUAWEI> display ip interface brief | include Vlanif120

Vlanif — это L3-интерфейс VLAN.
Если Vlanif120 уже существует, проверь его IP-адрес и назначение. Не создавай второй шлюз для той же VLAN на другом устройстве без проектного решения.

Шаг 5. Создать VLAN

<HUAWEI> system-view
[HUAWEI] vlan batch 120

system-view переводит CLI из пользовательского режима в режим системной конфигурации.
vlan batch создает одну или несколько VLAN одной командой.
Если нужно добавить описание VLAN:

[HUAWEI] vlan 120
[HUAWEI-vlan120] description USERS_FLOOR_2
[HUAWEI-vlan120] quit

vlan открывает режим настройки указанной VLAN.
description добавляет административное описание.

Шаг 6. Назначить VLAN на access-порт

Access-порт используется для конечного устройства без VLAN-тегов: ПК, принтер, камера, терминал, часть серверов.

[HUAWEI] interface GigabitEthernet0/0/10
[HUAWEI-GigabitEthernet0/0/10] description USER_PORT_VLAN_120
[HUAWEI-GigabitEthernet0/0/10] port link-type access
[HUAWEI-GigabitEthernet0/0/10] port default vlan 120
[HUAWEI-GigabitEthernet0/0/10] quit

interface переводит CLI в режим настройки конкретного интерфейса.
port link-type access переводит порт в access-режим.
port default vlan назначает access-порт в указанную VLAN.
Перед изменением живого access-порта убедись, что перенос устройства в новую VLAN не отрежет ему шлюз, DHCP, DNS, телефонию или доступ к нужным сервисам.

Шаг 7. Разрешить VLAN на trunk-порту

Trunk-порт используется между коммутаторами, до гипервизоров, маршрутизаторов, firewall, Wi-Fi контроллеров или точек доступа с несколькими VLAN.

[HUAWEI] interface GigabitEthernet0/0/24
[HUAWEI-GigabitEthernet0/0/24] port link-type trunk
[HUAWEI-GigabitEthernet0/0/24] port trunk allow-pass vlan 120
[HUAWEI-GigabitEthernet0/0/24] quit

port link-type trunk переводит порт в trunk-режим.
port trunk allow-pass vlan добавляет trunk-порт в указанную VLAN и разрешает ее прохождение через порт.
На рабочем trunk не используй port trunk allow-pass vlan all без отдельной причины. Лучше добавлять только нужные VLAN.

Шаг 8. Проверить результат L2-настройки

[HUAWEI] display vlan 120
[HUAWEI] display port vlan
[HUAWEI] display current-configuration interface GigabitEthernet0/0/10
[HUAWEI] display current-configuration interface GigabitEthernet0/0/24

Проверь:

• VLAN 120 создана;
• access-порт находится в VLAN 120;
• trunk действительно пропускает VLAN 120;
• на trunk не появился лишний all;
• соседний коммутатор тоже пропускает VLAN 120, если VLAN должна идти дальше.

Шаг 9. Понять, когда нужен VLANIF

Vlanif нужен, когда коммутатор должен выполнять L3-функции для этой VLAN.

Главное правило: VLAN создает L2-сегмент, а Vlanif создает L3-точку входа в этот сегмент.

Шаг 10. Создать VLANIF как шлюз VLAN

Создавай Vlanif, только если этот коммутатор должен быть шлюзом для VLAN 120.

[HUAWEI] interface Vlanif120
[HUAWEI-Vlanif120] description GW_USERS_FLOOR_2
[HUAWEI-Vlanif120] ip address 192.168.120.1 24
[HUAWEI-Vlanif120] quit

interface Vlanif120 создает или открывает L3-интерфейс VLAN 120.
ip address назначает IP-адрес на интерфейс.
После этого 192.168.120.1 может использоваться как шлюз для хостов в VLAN 120, если маршрутизация и политика сети это допускают.

Шаг 11. Проверить состояние VLANIF

[HUAWEI] display ip interface brief | include Vlanif120
[HUAWEI] display interface Vlanif120

display ip interface brief показывает краткое состояние L3-интерфейсов.
display interface Vlanif120 показывает подробное состояние VLANIF.
VLANIF поднимается только если:

• соответствующая VLAN создана;
• в VLAN есть хотя бы один физический интерфейс или Eth-Trunk в состоянии Up;
• интерфейс не выключен административно;
• нет конфликтов по IP-адресу.
  Если Vlanif120 down, проверь наличие активного порта в VLAN 120.

Шаг 12. Когда VLANIF создавать не нужно

Не создавай Vlanif, если задача только L2:

• добавить VLAN на access-порт;
• протянуть VLAN через trunk;
• сделать изолированный L2-канал;
• передать VLAN до firewall/router, где уже находится шлюз;
• передать VLAN до другого L3-коммутатора, где уже есть Vlanif;
• подключить гипервизор, где VLAN терминируется на виртуальных сетях;
• подключить точку доступа, которая просто получает tagged VLAN.
  Создание лишнего VLANIF может:
• случайно открыть маршрутизацию между сегментами;
• создать второй шлюз;
• сломать DHCP/ARP-логику;
• нарушить изоляцию;
• конфликтовать с адресным планом.

Шаг 13. Когда VLANIF нужен для management

Если коммутатор должен иметь IP-адрес управления в VLAN 120:

[HUAWEI] interface Vlanif120
[HUAWEI-Vlanif120] description MGMT_VLAN_120
[HUAWEI-Vlanif120] ip address 192.168.120.10 24
[HUAWEI-Vlanif120] quit

Если управление должно идти через другой шлюз:

[HUAWEI] ip route-static 0.0.0.0 0.0.0.0 192.168.120.1

ip route-static добавляет статический маршрут.
Не меняй management IP или default route на рабочем коммутаторе без аварийного доступа через console/OOB. Это легко отрезает удаленное управление.

Шаг 14. Проверить связность внутри VLAN

Для L2-проверки:

<HUAWEI> display mac-address vlan 120
<HUAWEI> display mac-address interface GigabitEthernet0/0/10

display mac-address vlan показывает MAC-адреса, изученные в указанной VLAN.
display mac-address interface показывает MAC-адреса, изученные на конкретном интерфейсе.
Если есть VLANIF и IP-адрес:

<HUAWEI> ping 192.168.120.20

ping проверяет IP-доступность хоста.
Если VLANIF не создавался, сам коммутатор не обязан пинговать хосты этой VLAN. Это нормально для чистого L2.

Шаг 15. Проверить соседние устройства

Если VLAN должна проходить через trunk на другой коммутатор:

<HUAWEI> display lldp neighbor brief
<HUAWEI> display current-configuration interface GigabitEthernet0/0/24

На соседнем коммутаторе проверь, что VLAN тоже создана и разрешена на соответствующем trunk.
Типовая ошибка: VLAN добавили на access-порт, но забыли разрешить ее на uplink trunk.

Шаг 16. Сохранить конфигурацию после проверки

<HUAWEI> save

save сохраняет текущую конфигурацию в startup-конфигурацию.
Перед сохранением проверь:

• нужный порт в правильной VLAN;
• trunk пропускает VLAN только там, где нужно;
• VLANIF создан только при необходимости;
• management-доступ не потерян;
• нет лишней маршрутизации между сегментами.

Итоговая конфигурация: VLAN на access-порт без VLANIF

system-view
vlan batch 120
vlan 120
 description USERS_FLOOR_2
 quit
interface GigabitEthernet0/0/10
 description USER_PORT_VLAN_120
 port link-type access
 port default vlan 120
 quit
save

Этот вариант подходит, если нужно просто поместить конечное устройство в VLAN 120, а шлюз находится на другом устройстве или L3 вообще не нужен.

Итоговая конфигурация: VLAN через trunk без VLANIF

system-view
vlan batch 120
interface GigabitEthernet0/0/24
 port link-type trunk
 port trunk allow-pass vlan 120
 quit
save

Этот вариант подходит, если VLAN нужно только передать дальше по L2.

Итоговая конфигурация: VLAN с VLANIF как шлюзом

system-view
vlan batch 120
interface GigabitEthernet0/0/10
 description USER_PORT_VLAN_120
 port link-type access
 port default vlan 120
 quit
interface Vlanif120
 description GW_USERS_FLOOR_2
 ip address 192.168.120.1 24
 quit
save

Этот вариант подходит, если именно этот коммутатор должен быть L3-шлюзом для VLAN 120.

Контрольный чек-лист