VLAN-VPN典型配置
VLAN-VPN配置過程如下：
一 組網需求：
要求Switch A和Switch C所連接的用戶網絡之間能夠互通非VLAN 10的報文。
二 組網圖：
Switch A、Switch C為S3900交換機，Switch B為其他廠商的交換機（假設采用的TPID值為0x9100）。
三 配置步驟：
H3C 3100-SI 5100 3600 5600系列交換機VLAN-VPN典型配置
Switch A的配置
1．配置Switch A的端口Ethernet1/0/2的TPID值為0x9100，端口屬于VLAN 10
- <SwitchA> system-view
- [SwitchA] vlan 10
- [SwitchA-vlan10] quit
- [SwitchA] interface Ethernet1/0/2
- [SwitchA-Ethernet1/0/2] vlan-vpn tpid 9100
- [SwitchA-Ethernet1/0/2] port link-type trunk
- [SwitchA-Ethernet1/0/2] port trunk permit vlan 10
2．配置Switch A的端口Ethernet1/0/1為VLAN-VPN端口，端口屬于VLAN 10
- [SwitchA] interface Ethernet1/0/1
- [SwitchA-Ethernet1/0/1] port access vlan 10
- [SwitchA-Ethernet1/0/1]stp disable
- [SwitchA-Ethernet1/0/1]undo NTDP enable
- [SwitchA-Ethernet1/0/1] vlan-vpn enable
- [SwitchA-Ethernet1/0/1] quit
配置Switch B
由于Switch B為其他廠商的設備，此處只介紹一下配置要求：將Switch B的端口Ethernet3/1/1和Ethernet3/1/2配置為Trunk端口，且都屬于VLAN 10。
3．補充說明：
報文從Switch A=>Switch C的轉發過程如下：
來自用戶私網側的報文進入Switch A的端口Ethernet1/0/1后，由于此端口為VLAN-VPN端口，報文外層被打上了端口缺省的VLAN Tag（VLAN ID為10），然后轉發至Ethernet1/0/2。
由于Ethernet1/0/2配置了VLAN-VPN TPID，交換機將報文外層VLAN Tag中的TPID值改為用戶設定值0x9100，然后發送到公網網絡。
報文進入公網中Switch B的端口Ethernet1/0/1。Switch B將該報文在VLAN 10內轉發，從Switch B的端口Ethernet1/0/2發送到另一側的用戶網絡，進入Switch C的端口Ethernet1/0/2。Switch C將該報文在VLAN 10內轉發，發送至端口Ethernet1/0/1。由于端口Ethernet1/0/1為Access端口，交換機去掉報文的外層VLAN Tag，恢復原來的報文。
反方向的轉發過程相同。
VLAN-VPN配置要點：如果端口上使能了GVRP, GMRP, NTDP, STP, 802.1X, MAC-authentication和IRF，則不能使能VLAN-VPN
【編輯推薦】
