目  錄

1 ARP

1.1 ARP簡介

1.1.1 ARP作用

1.1.2 ARP報文結構

1.1.3 ARP地址解析過程

1.1.4 ARP表

1.2 配置ARP

1.2.1 手工添加靜態ARP表項

1.2.2 手工添加多端口ARP表項

1.2.3 配置接口學習動態ARP表項的最大數目

1.2.4 配置動態ARP表項的老化時間

1.2.5 使能動態ARP表項的檢查功能

1.2.6 使能支持自然網段的ARP請求

1.3 ARP顯示和維護

1.4 ARP典型配置舉例

1.4.1 靜態ARP表項配置舉例

1.4.2 多端口ARP表項配置舉例

2 免費ARP

2.1 免費ARP簡介

2.2 配置免費ARP

3 代理ARP

3.1 代理ARP簡介

3.1.1 代理ARP

3.1.2 本地代理ARP

3.2 配置代理ARP功能

3.3 代理ARP顯示和維護

3.4 代理ARP典型配置舉例

3.4.1 代理ARP配置舉例

3.4.2 端口隔離時的本地代理ARP配置舉例

3.4.3 Super VLAN中的本地代理ARP配置舉例

1 ARP

1.1  ARP簡介

1.1.1  ARP作用

ARP（Address Resolution Protocol，地址解析協議）是將IP地址解析為以太網MAC地址（或稱物理地址）的協議。

在局域網中，當主機或其它網絡設備有數據要發送給另一個主機或設備時，它必須知道對方的網絡層地址（即IP地址）。但是僅僅有IP地址是不夠的，因為IP數據報文必須封裝成幀才能通過物理網絡發送，因此發送站還必須有接收站的物理地址，所以需要一個從IP地址到物理地址的映射。ARP就是實現這個功能的協議。

1.1.2  ARP報文結構

ARP報文分為ARP請求和ARP應答報文，報文格式如圖1-1所示。

圖1-1 ARP報文結構

·     硬件類型：表示硬件地址的類型。它的值為1表示以太網地址；

·     協議類型：表示要映射的協議地址類型。它的值為0x0800即表示IP地址；

·     硬件地址長度和協議地址長度分別指出硬件地址和協議地址的長度，以字節為單位。對於以太網上IP地址的ARP請求或應答來說，它們的值分別為6和4；

·     操作類型（OP）：1表示ARP請求，2表示ARP應答；

·     發送端MAC地址：發送方設備的硬件地址；

·     發送端IP地址：發送方設備的IP地址；

·     目標MAC地址：接收方設備的硬件地址。

·     目標IP地址：接收方設備的IP地址。

1.1.3  ARP地址解析過程

假設主機A和B在同一個網段，主機A要向主機B發送信息。如圖1-2所示，具體的地址解析過程如下：

(1)     主機A首先查看自己的ARP表，確定其中是否包含有主機B對應的ARP表項。如果找到了對應的MAC地址，則主機A直接利用ARP表中的MAC地址，對IP數據包進行幀封裝，並將數據包發送給主機B。

(2)     如果主機A在ARP表中找不到對應的MAC地址，則將緩存該數據報文，然後以廣播方式發送一個ARP請求報文。ARP請求報文中的發送端IP地址和發送端MAC地址為主機A的IP地址和MAC地址，目標IP地址和目標MAC地址為主機B的IP地址和全0的MAC地址。由於ARP請求報文以廣播方式發送，該網段上的所有主機都可以接收到該請求，但隻有被請求的主機（即主機B）會對該請求進行處理。

(3)     主機B比較自己的IP地址和ARP請求報文中的目標IP地址，當兩者相同時進行如下處理：將ARP請求報文中的發送端（即主機A）的IP地址和MAC地址存入自己的ARP表中。之後以單播方式發送ARP響應報文給主機A，其中包含了自己的MAC地址。

(4)     主機A收到ARP響應報文後，將主機B的MAC地址加入到自己的ARP表中以用於後續報文的轉發，同時將IP數據包進行封裝後發送出去。

圖1-2 ARP地址解析過程

當主機A和主機B不在同一網段時，主機A就會先向網關發出ARP請求，ARP請求報文中的目標IP地址為網關的IP地址。當主機A從收到的響應報文中獲得網關的MAC地址後，將報文封裝並發給網關。如果網關沒有主機B的ARP表項，網關會廣播ARP請求，目標IP地址為主機B的IP地址，當網關從收到的響應報文中獲得主機B的MAC地址後，就可以將報文發給主機B；如果網關已經有主機B的ARP表項，網關直接把報文發給主機B。

1.1.4  ARP表

設備通過ARP解析到目的MAC地址後，將會在自己的ARP表中增加IP地址到MAC地址的映射表項，以用於後續到同一目的地報文的轉發。

ARP表項分為動態ARP表項和靜態ARP表項。

1. 動態ARP表項

動態ARP表項由ARP協議通過ARP報文自動生成和維護，可以被老化，可以被新的ARP報文更新，可以被靜態ARP表項覆蓋。當到達老化時間、接口down時會刪除相應的動態ARP表項。

2. 靜態ARP表項

靜態ARP表項通過手工配置和維護，不會被老化，不會被動態ARP表項覆蓋。

配置靜態ARP表項可以增加通信的安全性。靜態ARP表項可以限製和指定IP地址的設備通信時隻使用指定的MAC地址，此時攻擊報文無法修改此表項的IP地址和MAC地址的映射關係，從而保護了本設備和指定設備間的正常通信。

靜態ARP表項分為長靜態ARP表項、短靜態ARP表項和多端口ARP表項。

·     在配置長靜態ARP表項時，除了配置IP地址和MAC地址項外，還必須配置該ARP表項所在VLAN和出接口。長靜態ARP表項可以直接用於報文轉發。

·     在配置短靜態ARP表項時，隻需要配置IP地址和MAC地址項。如果出接口是三層以太網接口，短靜態ARP表項可以直接用於報文轉發；如果出接口是VLAN接口，短靜態ARP表項不能直接用於報文轉發，當要發送IP數據包時，先發送ARP請求報文，如果收到的響應報文中的源IP地址和源MAC地址與所配置的IP地址和MAC地址相同，則將接收ARP響應報文的接口加入該靜態ARP表項中，之後就可以用於IP數據包的轉發。

·     多端口ARP表項通過配置短靜態ARP表項和多端口單播MAC/組播MAC地址表項形成，當短靜態ARP表項中的MAC地址與多端口單播MAC/組播MAC地址表項中的MAC地址相同時，則生成多端口ARP表項。當設備要發送IP數據包時，多端口ARP表項將指導IP數據包從多個出端口發送。

1.2  配置ARP

1.2.1  手工添加靜態ARP表項

靜態ARP表項在設備正常工作時間一直有效，當設備的ARP表項所對應的VLAN或VLAN接口被刪除時，如果是長靜態ARP表項則被刪除，如果是已經解析的短靜態ARP表項則重新變為未解析狀態。

表1-1 手工添加靜態ARP表項

1.2.2  手工添加多端口ARP表項

多端口ARP表項由多端口單播/組播MAC地址表項指定VLAN和出端口，由短靜態ARP表項指定VPN和IP地址。多端口ARP表項不會被其它動態、短靜態或長靜態ARP表項覆蓋。

表1-2 手工添加多端口ARP表項

1.2.3  配置接口學習動態ARP表項的最大數目

設備可以通過ARP協議自動生成動態ARP表項。為了防止部分接口下的用戶占用過多的ARP資源，可以通過設置接口學習動態ARP表項的最大數目來進行限製。當接口學習動態ARP表項的最大數目達到所設置的值時，該接口將不再學習動態ARP表項。

表1-3 配置接口學習動態ARP表項的最大數目

1.2.4  配置動態ARP表項的老化時間

為適應網絡的變化，ARP表需要不斷更新。ARP表中的動態ARP表項並非永遠有效，每一條記錄都有一個老化時間，到達老化時間仍得不到刷新的記錄將被從ARP表中刪除。如果在到達老化時間前記錄被刷新，則重新計算老化時間。用戶可以根據網絡實際情況調整老化時間。

表1-4 配置動態ARP的老化時間

1.2.5  使能動態ARP表項的檢查功能

動態ARP表項檢查功能可以控製設備上是否可以學習MAC地址為組播MAC的動態ARP表項。

·     使能ARP表項的檢查功能後，設備上不能學習MAC地址為組播MAC的動態ARP表項。

·     關閉ARP表項的檢查功能後，設備上可以學習MAC地址為組播MAC的動態ARP表項。

表1-5 使能動態ARP表項的檢查功能

1.2.6  使能支持自然網段的ARP請求

學習ARP表項時，在發現ARP報文的源IP地址和入接口IP地址不在同一網段後，使用自然網段進行判斷。

假設Vlan-interface10接口的IP地址為10.10.10.5/24，收到一個源IP地址為10.11.11.1/8的ARP報文，用接口的24位掩碼與10.11.11.1進行與運算，得到的網段地址與接口IP地址不在同一網段，Vlan-interface10接口無法處理這個報文。如果使能支持自然網段的ARP請求功能，則通過接口IP地址所在自然網段的掩碼進行判斷，由於Vlan-interface10接口的IP地址為A類地址，因此默認掩碼應該為8位，於是兩個IP地址就在同一個網段，Vlan-interface10接口就可以學習源IP地址為10.11.11.1的ARP表項了。

表1-6 使能支持自然網段的ARP請求

1.3  ARP顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後ARP的運行情況，通過查看顯示信息驗證配置的效果。

在用戶視圖下，用戶可以執行reset命令清除ARP表中除授權類型外的ARP表項。

表1-7 ARP顯示和維護

1.4  ARP典型配置舉例

1.4.1  靜態ARP表項配置舉例

1. 組網需求

·     Switch連接主機，通過接口GigabitEthernet 3/0/1連接Router。接口GigabitEthernet 3/0/1屬於VLAN 10。

·     Router的IP地址為192.168.1.1/24，MAC地址為00e0-fc01-0000。

為了增加Switch和Router通信的安全性，可以在Switch上配置靜態ARP表項。

2. 組網圖

圖1-3 配置靜態ARP表項組網圖

3. 配置步驟

在Switch上進行下列配置。

# 創建VLAN 10。

<Switch> system-view

[Switch] vlan 10

[Switch-vlan10] quit

# 將接口GigabitEthernet 3/0/1加入到VLAN 10中。

[Switch] interface GigabitEthernet 3/0/1

[Switch- GigabitEthernet3/0/1] port access vlan 10

[Switch- GigabitEthernet3/0/1] quit

# 創建接口Vlan-interface10，並配置IP地址。

[Switch] interface vlan-interface 10

[Switch-vlan-interface10] ip address 192.168.1.2 24

[Switch-vlan-interface10] quit

# 配置一條靜態ARP表項，IP地址為192.168.1.1，對應的MAC地址為00e0-fc01-0000，此條ARP表項對應的出接口為屬於VLAN 10的接口GigabitEthernet3/0/1。

[Switch] arp static 192.168.1.1 00e0-fc01-0000 10 GigabitEthernet3/0/1

# 查看靜態ARP表項信息。

[Switch] display arp static

                Type: S-Static    D-Dynamic    A-Authorized

IP Address       MAC Address     VLAN ID  Interface              Aging Type

192.168.1.1      00e0-fc01-0000  10       GE3/0/1                 N/A   S 

1.4.2  多端口ARP表項配置舉例

1. 組網需求

·     Switch連接服務器群，通過屬於VLAN 10的三個接口GigabitEthernet3/0/1、GigabitEthernet3/0/2和GigabitEthernet3/0/3分別連接三台服務器。

·     服務器群的共享IP地址為192.168.1.1/24，共享MAC地址為00e0-fc01-0000。

配置多端口ARP表項使目的IP為192.168.1.1的IP數據報文能同時發送到三台服務器上。

2. 組網圖

圖1-4 配置多端口ARP表項組網圖

3. 配置步驟

在Switch上進行下列配置。

# 創建VLAN 10。

<Switch> system-view

[Switch] vlan 10

[Switch-vlan10] quit

# 將接口GigabitEthernet3/0/1、GigabitEthernet3/0/2、GigabitEthernet3/0/3加入到VLAN 10中。

[Switch] interface GigabitEthernet 3/0/1

[Switch-GigabitEthernet3/0/1] port access vlan 10

[Switch-GigabitEthernet3/0/1] quit

[Switch] interface GigabitEthernet 3/0/2

[Switch-GigabitEthernet3/0/2] port access vlan 10

[Switch-GigabitEthernet3/0/2] quit

[Switch] interface GigabitEthernet 3/0/3

[Switch-GigabitEthernet3/0/3] port access vlan 10

[Switch-GigabitEthernet3/0/3] quit

# 創建接口Vlan-interface10，並配置IP地址。

[Switch] interface vlan-interface 10

[Switch-vlan-interface10] ip address 192.168.1.2 24

[Switch-vlan-interface10] quit

# 配置多端口單播MAC表項，MAC地址為00e0-fc01-0000，VLAN為10，對應的出接口為GigabitEthernet3/0/1、GigabitEthernet3/0/2和GigabitEthernet3/0/3。

[Switch] mac-address multiport 00e0-fc01-0000 interface GigabitEthernet 3/0/1 to GigabitEthernet 3/0/3 vlan 10

# 配置一條短靜態ARP表項，IP地址為192.168.1.1，對應的MAC地址為00e0-fc01-0000。

[Switch] arp static 192.168.1.1 00e0-fc01-0000

# 查看靜態ARP表項信息。

[Switch] display arp

                Type: S-Static    D-Dynamic    A-Authorized    M-Multiport

IP Address       MAC Address     VLAN ID  Interface              Aging Type

192.168.1.1      00e0-fc01-0000  N/A      N/A                    N/A   M

2 免費ARP

2.1  免費ARP簡介

免費ARP報文是一種特殊的ARP報文，該報文中攜帶的發送端IP地址和目標IP地址都是本機IP地址，報文源MAC地址是本機MAC地址，報文的目的MAC地址是廣播地址。

設備通過對外發送免費ARP報文來實現以下功能：

·     確定其它設備的IP地址是否與本機的IP地址衝突。當其它設備收到免費ARP報文後，如果發現報文中的IP地址和自己的IP地址相同，則給發送免費ARP報文的設備返回一個ARP應答，告知該設備IP地址衝突。

·     設備改變了硬件地址，通過發送免費ARP報文通知其它設備更新ARP表項。

1. 免費ARP報文學習功能的作用

使能了免費ARP報文學習功能後，設備會根據收到的免費ARP報文中攜帶的信息（源IP地址、源MAC地址）對自身維護的ARP表進行修改。設備先判斷ARP表中是否存在與此免費ARP報文源IP地址對應的ARP表項：

·     如果沒有對應的ARP表項，設備會根據該免費ARP報文中攜帶的信息新建ARP表項；

·     如果存在對應的ARP表項，設備會根據該免費ARP報文中攜帶的信息更新對應的ARP表項。

關閉免費ARP報文學習功能後，設備不會根據收到的免費ARP報文來新建ARP表項，但是會更新已存在的對應ARP表項。如果用戶不希望通過免費ARP報文來新建ARP表項，可以關閉免費ARP報文學習功能，以節省ARP表項資源。

2. 定時發送免費ARP功能的作用

定時發送免費ARP功能可以及時通知下行設備更新ARP表項或者MAC地址表項，主要應用場景如下：

(1)     防止仿冒網關的ARP攻擊

如果攻擊者仿冒網關發送免費ARP報文，就可以欺騙同網段內的其它主機，使得被欺騙的主機訪問網關的流量，被重定向到一個錯誤的MAC地址，導致其它主機用戶無法正常訪問網絡。

為了盡量避免這種仿冒網關的ARP攻擊，可以在網關的接口上使能定時發送免費ARP功能。使能該功能後，網關接口上將按照配置的時間間隔周期性發送接口主IP地址和手工配置的從IP地址的免費ARP報文。這樣，每台主機都可以學習到正確的網關，從而正常訪問網絡。

(2)     防止主機ARP表項老化

在實際環境中，當網絡負載較大或接收端主機的CPU占用率較高時，可能存在ARP報文被丟棄或主機無法及時處理接收到的ARP報文等現象。這種情況下，接收端主機的動態ARP表項會因超時而老化，在其重新學習到發送設備的ARP表項之前，二者之間的流量就會發生中斷。

為了解決上述問題，可以在網關的接口上使能定時發送免費ARP功能。使能該功能後，網關接口上將按照配置的時間間隔周期性發送接口主IP地址和手工配置的從IP地址的免費ARP報文。這樣，接收端主機可以及時更新ARP映射表，從而防止了上述流量中斷現象。

(3)     防止VRRP虛擬IP地址衝突

當網絡中存在VRRP備份組時，需要由VRRP備份組的Master路由器周期性的向網絡內的主機發送免費ARP報文，使主機更新本地ARP地址表，從而確保網絡中不會存在IP地址與VRRP虛擬IP地址相同的設備。

由於用戶可以設定VRRP虛擬IP地址和MAC地址對應關係，因此有以下兩種情況：

·     如果當前VRRP虛擬IP地址和虛擬MAC地址對應，則免費ARP報文中的源MAC地址為VRRP虛擬路由器對應的虛擬MAC地址。

·     如果當前VRRP虛擬IP地址和實際MAC地址對應，則免費ARP報文中的源MAC地址為VRRP備份組中Master路由器接口的MAC地址。

(4)     及時更新模糊終結VLAN內設備的MAC地址表

三層以太網子接口上同時配置了模糊終結多個VLAN和VRRP備份組時，為了避免發送過多的VRRP通告報文，需要關閉VLAN終結支持廣播/組播功能，並配置VRRP控製VLAN。此時，為了及時更新各個模糊終結VLAN內設備的MAC地址表項，可以在三層以太網子接口上使能定時發送免費ARP功能。使能該功能後，三層以太網子接口將按照配置的時間間隔周期性發送VRRP虛擬IP地址、接口主IP地址和手工配置的從IP地址的免費ARP報文。這樣，當VRRP主備狀態切換時，各個模糊終結VLAN內設備上可以及時更新為正確的MAC地址表項。

2.2  配置免費ARP

表2-1 配置免費ARP

3 代理ARP

3.1  代理ARP簡介

如果ARP請求是從一個網絡的主機發往同一網段卻不在同一物理網絡上的另一台主機，那麼連接它們的具有代理ARP功能的設備就可以回答該請求，這個過程稱作代理ARP(Proxy ARP)。

代理ARP功能屏蔽了分離的物理網絡這一事實，使用戶使用起來，好像在同一個物理網絡上。

代理ARP分為普通代理ARP和本地代理ARP，二者的應用場景有所區別：

·     普通代理ARP的應用環境為：想要互通的主機分別連接到設備的不同三層接口上，且這些主機不在同一個廣播域中。

·     本地代理ARP的應用環境為：想要互通的主機連接到設備的同一個三層接口上，且這些主機不在同一個廣播域中。

3.1.1  代理ARP

處於同一網段內的主機，當連接到設備的不同三層接口時，可以利用設備的代理ARP功能，通過三層轉發實現互通。

代理ARP的典型應用環境如圖3-1所示。設備Router通過VLAN 10和VLAN20連接兩個網絡，兩個VLAN接口的IP地址不在同一個網段，接口地址分別為192.168.10.99/24、192.168.20.99/24。但是兩個網絡內的主機Host A和Host B的地址通過掩碼的控製，既與相連設備的接口地址在同一網段，同時二者也處於同一個網段。

圖3-1 代理ARP的應用環境

在這種組網情況下，當Host A需要與Host B通信時，由於目的IP地址與本機的IP地址為同一網段，因此Host A廣播發送ARP請求報文，請求Host B的MAC地址。但是，此時的兩台主機處於不同的廣播域中，Host B無法收到Host A的ARP請求報文，當然也就無法應答。

通過在Router上啟用代理ARP功能，可以解決此問題。啟用代理ARP後，Router可以應答Host A的ARP請求。同時，Router相當於Host B的代理，把從其他主機發送過來的報文轉發給它。

代理ARP的優點是，它可以隻被應用在一個設備上（此時該設備的作用相當於網關），不會影響到網絡中其他設備的路由表。代理ARP功能可以在主機沒有配置缺省網關或者主機沒有任何路由能力的情況下使用。

3.1.2  本地代理ARP

本地代理ARP的應用場景如圖3-2所示。VLAN 10為Super VLAN，VLAN 2和VLAN 3為VLAN 10的Sub VLAN。Host A和Host B分別屬於VLAN 2和VLAN 3，且分別連接到被二層隔離的端口GigabitEthernet3/0/3和GigabitEthernet3/0/1上。

圖3-2 本地代理ARP的應用環境

在這種組網情況下，當Host A需要與Host B通信時，由於目的IP地址與本機的IP地址為同一網段，因此Host A會直接發出請求Host B硬件地址的ARP請求。但是，因為連接兩台主機的端口屬於不同的VLAN，Host B無法收到Host A的ARP請求報文。

通過在Switch A上啟用本地代理ARP功能，可以解決此問題。在三層接口GigabitEthernet3/0/2上啟用本地代理ARP後，Switch A會代替Host B回應ARP報文，Host A發給Host B的報文就會通過Switch A進行轉發，從而實現Host A與Host B之間的通信。

本地代理ARP可以在下列二種情況下實現主機之間的三層互通：

·     想要互通的主機分別連接到同一個VLAN中的不同二層隔離端口下；

·     使能Super VLAN功能後，想要互通的主機屬於不同的Sub VLAN。

3.2  配置代理ARP功能

代理ARP和本地代理ARP功能均可在VLAN接口視圖/三層以太網接口視圖/三層以太網子接口視圖/三層聚合接口視圖/三層聚合子接口視圖下進行配置。

表3-1 配置代理ARP功能

表3-2 配置本地代理ARP功能

3.3  代理ARP顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後代理ARP的運行情況，查看顯示信息驗證配置的效果。

表3-3 代理ARP顯示和維護

3.4  代理ARP典型配置舉例

3.4.1  代理ARP配置舉例

1. 組網需求

Host A和Host D配置為同一網段的主機（Host A的IP地址是192.168.10.100/16，Host D的IP地址是192.168.20.200/16），但卻被設備Switch分在兩個不同的子網（Host A屬於VLAN 1，Host D屬於VLAN 2）。

當Host A需要與Host D通信時，由於目的IP地址與本機的IP地址屬於同一網段，Host A會直接發出請求Host D硬件地址的ARP請求。但是，因為兩台主機處於不同的廣播域中，Host D無法收到Host A的ARP請求報文，當然也就無法應答。通過在Switch上啟用代理ARP功能，可以使得處在兩個子網的Host A和Host D互通。

2. 組網圖

圖3-3 配置代理ARP組網圖

3. 配置步驟

# 創建VLAN 2。

<Switch> system-view

[Switch] vlan 2

[Switch-vlan2] quit

# 配置接口Vlan-interface1的IP地址。

[Switch] interface vlan-interface 1

[Switch-Vlan-interface1] ip address 192.168.10.99 255.255.255.0

# 開啟接口Vlan-interface1的代理ARP功能。

[Switch-Vlan-interface1] proxy-arp enable

[Switch-Vlan-interface1] quit

# 配置接口Vlan-interface2的IP地址。

[Switch] interface vlan-interface 2

[Switch-Vlan-interface2] ip address 192.168.20.99 255.255.255.0

# 開啟接口Vlan-interface2的代理ARP功能。

[Switch-Vlan-interface2] proxy-arp enable

配置完成後，Host A和Host D可以互相ping通。

3.4.2  端口隔離時的本地代理ARP配置舉例

1. 組網需求

·     Host A和Host B屬於同一個VLAN，分別與設備Switch B的端口GigabitEthernet3/0/3和GigabitEthernet3/0/1相連；

·     設備Switch B通過端口GigabitEthernet3/0/2端口與Switch A相連；

·     實現被二層隔離的端口GigabitEthernet3/0/3和GigabitEthernet3/0/1能夠三層互通。

2. 組網圖

圖3-4 配置端口隔離時的本地代理ARP組網圖

3. 配置步驟

(1)     配置Switch B

# 在Switch B上端口GigabitEthernet3/0/3、GigabitEthernet3/0/1、GigabitEthernet3/0/2屬於同一VLAN 2；Host A和Host B彼此之間二層報文不能互通。

<Switch B> system-view

[Switch B] port-isolate group 2

[Switch B] vlan 2

[Switch B-vlan2] port GigabitEthernet 3/0/3

[Switch B-vlan2] port GigabitEthernet 3/0/1

[Switch B-vlan2] port GigabitEthernet 3/0/2

[Switch B-vlan2] quit

[Switch B] interface GigabitEthernet 3/0/3

[Switch B-GigabitEthernet3/0/3] port-isolate enable group 2

[Switch B-GigabitEthernet3/0/3] interface GigabitEthernet 3/0/1

[Switch B-GigabitEthernet3/0/1] port-isolate enable group 2

[Switch B-GigabitEthernet3/0/1] interface GigabitEthernet 3/0/2

[Switch B-GigabitEthernet3/0/2] port-isolate uplink-port group 2

(2)     配置設備SwitchA

# 創建VLAN 2，添加端口GigabitEthernet3/0/2到VLAN 2。

<SwitchA> system-view

[SwitchA] vlan 2

[SwitchA-vlan2] port GigabitEthernet 3/0/2

[SwitchA-vlan2] quit

[SwitchA] interface vlan-interface 2

[SwitchA-Vlan-interface2] ip address 192.168.10.100 255.255.0.0

從Host A上ping不通Host B，表明Host A和Host B二層隔離。

# 配置本地代理ARP，實現Host A和Host B之間的三層互通。

[SwitchA-Vlan-interface2] local-proxy-arp enable

從Host A上可以ping通Host B，表明Host A和Host B三層互通了。

3.4.3  Super VLAN中的本地代理ARP配置舉例

1. 組網需求

·     創建Super VLAN：VLAN 10，VLAN接口的IP地址為192.168.10.100/16。

·     創建Sub VLAN：VLAN 2、VLAN 3。

·     端口GigabitEthernet3/0/2屬於VLAN 2，端口GigabitEthernet3/0/1屬於VLAN 3。

·     Host A屬於VLAN 2，與Switch的端口GigabitEthernet3/0/2相連；Host B屬於VLAN 3，與Switch的端口GigabitEthernet3/0/1相連。

由於Host A和Host B屬於不同的Sub VLAN，Host A和Host B之間二層隔離。通過在Switch上配置本地代理ARP功能，可以實現Host A和Host B之間的三層互通。

2. 組網圖

圖3-5 配置Super VLAN中的本地代理ARP組網圖

3. 配置步驟

# 創建Super VLAN，Sub VLAN；添加端口GigabitEthernet3/0/2到VLAN 2，端口GigabitEthernet3/0/1到VLAN 3；配置VLAN 10接口的IP地址為192.168.10.100/16。

<Switch> system-view

[Switch] vlan 2

[Switch-vlan2] port GigabitEthernet 3/0/2

[Switch-vlan2] quit

[Switch] vlan 3

[Switch-vlan3] port GigabitEthernet 3/0/1

[Switch-vlan3] quit

[Switch] vlan 10

[Switch-vlan10] supervlan

[Switch-vlan10] subvlan 2 3

[Switch-vlan10] interface vlan-interface 10

[Switch-Vlan-interface10] ip address 192.168.10.100 255.255.0.0

從Host A上ping不通Host B，表明Host A和Host B二層隔離。

# 配置本地代理ARP，實現Sub VLAN之間的三層互通。

[Switch-Vlan-interface10] local-proxy-arp enable

從Host A上可以ping通Host B，表明Host A和Host B三層互通了。