求助 动态VLAN的原理

谁能说明白动态VLAN的VMPS服务器对于一个VQP协议查询的MAC地址是如何做出响应的。如果MAC地址是没有在vmps的数据库中，那么处于不同模式下的VMPS服务器如何处理这个查询。
还有就是如果一个端口已经动态分配了一个VLAN，但是连接在这个端口上的设备更换了，这个更换的设备的MAC地址在VMPS数据库中是关联着另一个VLAN的。那么这个端口的VLAN会更改为当前更换设备所关联的vlan吗？
求大神指点
1 ]! S+ S9 `" a, T- {

感谢楼主 感谢攻城狮论坛 每天签到得积分(连续签到金币翻倍) 希望越办越好

open模式:
% L- f+ f/ R. H% b$ ~( G9 s' H  q当端口未指定VLAN:
- ?. L! S$ |" F0 X4 L8 D3 E' t6 E ◆如果该端口的MAC地址与之相关联的VLAN信息被许可,VMPS将向客户返回VLAN名.
9 \0 ~/ J1 F7 D2 U◆如果该端口的MAC地址与之相关联的VLAN信息不被许可,VMPS将向客户返回"access-denied"信息.
, K* [6 T1 L% R2 F& \当端口已经指定VLAN:  
1 s$ K/ |; G* t5 M◆如果数据库里的VLAN与MAC地址相关联的信息和端口的当前VLAN关联信息不匹配,并配置的有fallback VLAN名,那么VMPS将返回fallback VLAN名给客户机.  
◆如果数据库里的VLAN与MAC地址相关联的信息和端口的当前VLAN关联信息不匹配,并没有配置fallback VLAN名,那么VMPS将返回"access-denied"信息给客户机.

4 t+ q$ A# o* t( I% R4 Osecure模式
当端口未指定VLAN:  
◆如果该端口的MAC地址与之相关联的VLAN信息被许可,VMPS将向客户返回VLAN名.
◆如果该端口的MAC地址与之相关联的VLAN信息不被许可,端口将被关闭.
+ p8 F# h. H$ @: Y$ ^1 t
) j: J* E$ ]1 a2 X( h3 _. X& r当端口已经指定VLAN:  
如果数据库里的VLAN与MAC地址相关联的信息和端口的当前VLAN关联信息不匹配,即使有配置fallback VLAN名,端口仍将被关闭.
# q# r5 P/ F) `9 Z6 Z
multiple模式:  
当多个MAC地址(主机)处于同一VLAN的时候,多个MAC地址可以对应一个动态端口.如果动态端口的链路down掉,端口将被还原成未指定状态,并且在指定VLAN之前,VMPS将对这些地址重新检查;如果这些主机位于不同的VLAN,VMPS将向客户返回最新的MAC地址到VLAN映射的信息.当然,你也可以在VMPS上指定fallback VLAN名.如果该端口未指定任何VLAN,VMPS将把端口和发起请求的MAC地址进行比较:
◆如果主机的MAC地址在数据库中不存在,并且VMPS上指定的有fallback VLAN名,那么将向客户机返回fallback VLAN名信息.  
◆如果主机的MAC地址在数据库中不存在,但VMPS上未指定fallback VLAN名,那么将向客户机返回"access-denied"信息.  如果该端口已经指定任何VLAN,VMPS将把端口和发起请求的MAC地址进行比较:不管VMPS上有没有配置fallback VLAN名,只要VMPS处于secure模式,那么它就将反馈 "port-shutdown"信息给客户机.有的时候我们也可能看到非法的VMPS客户机请求,如下两种:  
1 f; _4 P1 Y2 Q4 j/ x◆当VMPS上未配置fallback VLAN名,并且数据库里没有相应的MAC地址到VLAN的映射信息.  
' O5 I% r* r2 E  }◆当端口已经被指定了VLAN,并且VMPS不处于multiple模式,但是VMPS收到了第二个不同MAC地址的VMPS客户机请求信息

在一些规模适中的公司里面，员工可能在不同的写字楼的楼层里面抱着笔记本频繁奔波于不同部门或会议室，当他们要访问本部门的服务器的时候，如果不在自己部门的vlan里面访问台式机的文件，就会出现拒绝访问的后果，很多人需要跑回原来的办公室才能取回文件。

　　

7 J: Y7 N" Z7 p: L　　此时管理员可以采用动态vlan的方法，将这些笔记本的mac地址记录下来，通过mac地址划分vlan。不论他们在那个办公环境中，都可以被分配到正确的vlan里面。本文将介绍vmps，即vlan management policy server是如何解决此类应用的配置难题。

一．动态vlan凭什么能解决问题？
3 m9 M6 s0 X3 [8 M. i7 u$ _& P
. N  b: a- y5 E0 t+ `" {: d# e  U0 M　　动态的vlan形成很简单，由交换机端口自己决定它属于哪个vlan时，就形成了动态的vlan。其实，动态的vlan就是一个简单的映射，这个映射取决于工程师创建的mac数据库文件。分配给动态vlan的端口被激活后，交换机就缓存初始帧的源m a c地址。随后，交换机便向一个称为vmps （vlan管理策略服务器）的外部服务器发出请求，vmps中包含一个文本文件，文件中存有进行vlan映射的m a c地址。交换机对这个文件进行下载，然后对文件中的m a c地址进行校验。如果在文件列表中找到m a c地址，交换机就将端口分配给列表中的vlan。
% z! m5 o; o6 n6 @. n. R
% M  m& t( Y; t0 X6 f/ U9 T- ]　　
* ?4 O, R9 z2 ~6 I. P4 o7 v
, r4 }% z3 ?: h0 v5 l　　如果列表中没有m a c地址，交换机就将端口分配给默认的vlan（假设已经定义默认了vlan）。在动态vlan中，如果在列表中没有m a c地址，而且也没有定义默认的vlan，端口不会被激活，这是维护网络安全一种非常好的的方法。

7 [7 X1 q# U/ r3 u6 L7 _　　

$ B+ c, m$ \7 _" o6 l+ i　　vmps即vlan management policy server，是一种基于源mac地址动态的、在交换机端口上划分vlan的方法。当某个端口的主机移动到另一个端口后，vmps动态的为其指定vlan。不过基于cisco ios系列中低端交换不支持一般不支持vmps的功能，它只能成为vlan查询协议（vlan query protocol）的客户机。
; k1 L5 ^1 {9 H7 `1 g% [# [. ?
　　一旦启动了vmps，包含mac地址到vlan映射的数据库就会从tftp服务器下载到vmps服务器。然后，vmps使用udp端口监听来自vqp客户机的请求。当vmps服务器收到来自vmps客户机的请求后，它将在本地数据库里查找mac地址到vlan的映射条目信息。vmps将对请求进行响应，如果被指定的vlan局限于一组端口，vmps将验证对发出请求的端口进行验证：

  B& _# M+ |2 g' R+ k* 如果请求端口的vlan被允许的，vmps向客户发送vlan的名称；

* 如果请求端口的vlan不与允许的，并且vmps不是处于安全模式，vmps将发送“access-denied”访问被拒绝的信息；
1 r0 o& o7 c, m7 B" p" n( |) V
; K& t. {$ c( }3 ?* 如果请求端口的vlan不与允许的，但vmps处于安全模式，vmps将发送“port-shutdown”端口关闭的信息。

1 g/ U4 j$ }8 L) i* A2 h　　另外，如果数据库里的vlan信息和端口的当前vlan信息不匹配，并

且该端口连接的有活动主机，vmps将发送“access-denied”、“fallback vlan name”或者“port-shutdown”、“new vlan name”信息。如果交换机从vmps那里收到“access-denied”的信息，交换机将堵塞来自该mac地址，前往或从该端口返回的流量，交换机将继续监视去往该端口的数据包，并且当交换机识别到一个新的地址后，它会向vmps发出查询信息.如果交换机从vmps那里收到“port-shutdown”信息。

　　注意：交换机将禁用该端口，必须手工的将该端口启用才能正式使用。

Rockyw 发表于 2018-3-23 13:35
1 s9 w5 a0 g7 F  Oopen模式:
: K7 ]( u+ r4 C+ V  O# s当端口未指定VLAN:
◆如果该端口的MAC地址与之相关联的VLAN信息被许可,VMPS将向客户返回VLA ...

1 b+ y" B$ j% y7 R2 T大神啊，我知道动态VLAN的工作原理，可我就是弄不明白这个问题。
3 ~. d! k0 Y0 s5 B4 p0 e9 A就是假设在VMPS的数据库中已经配置了MAC地址1属于VLAN2,MAC地址2属于VLAN3，并且客户端交换机上所有的动态端口都是允许VLAN2和VLAN3的，也就是没有端口限制哪个VLAN不允许在此端口上运行。假设端口1现在所分配的VLAN是2，那么我现在想把MAC地址2的设备连接到端口1上那么这个端口的VLAN会被VMPS服务器分配为VLAN3吗?

laozibi 发表于 2018-3-23 16:20
; Q0 i! `- R$ V! a2 Q+ u7 g在一些规模适中的公司里面，员工可能在不同的写字楼的楼层里面抱着笔记本频繁奔波于不同部门或会议室，当他 ...

, C' [% y  U- d大神啊，我知道动态VLAN的工作原理，可我就是弄不明白这个问题。
就是假设在VMPS的数据库中已经配置了MAC地址1属于VLAN2,MAC地址2属于VLAN3，并且客户端交换机上所有的动态端口都是允许VLAN2和VLAN3的，也就是没有端口限制哪个VLAN不允许在此端口上运行。假设端口1现在所分配的VLAN是2，那么我现在想把MAC地址2的设备连接到端口1上那么这个端口的VLAN会被VMPS服务器分配为VLAN3吗?

看帖看完了至少要顶一下！

膜拜神贴，后面的请保持队形~

xiaocuo 发表于 2018-3-24 09:56
大神啊，我知道动态VLAN的工作原理，可我就是弄不明白这个问题。
; e, B+ X, h0 o0 b( v' S  o: b就是假设在VMPS的数据库中已经配置了MA ...

别想了，动手做实验吧

看了LZ的帖子，我只想说一句很好很强大！