编者按：移动办公指随时随地可以办公，但事实上，当单位各部门都设置了独立的安全措施后，想移动办公的笔记本电脑就处处受制而不能上网了。如何解决这个问题呢？
此时管理员可以采用动态VLAN的方法，将这些笔记本的MAC地址记录下来，通过MAC地址划分VLAN。不论他们在那个办公环境中，都可以被分配到正确的VLAN里面。本文将介绍VMPS，即VLAN Management Policy Server是如何解决此类应用的配置难题。
一．动态VLAN凭什么能解决问题？
动态的VLAN形成很简单，由交换机端口自己决定它属于哪个VLAN时，就形成了动态的VLAN。其实，动态的VLAN就是一个简单的映射，这个映射取决于工程师创建的MAC数据库文件。分配给动态VLAN的端口被激活后，交换机就缓存初始帧的源M A C地址。随后，交换机便向一个称为VMPS （VLAN管理策略服务器）的外部服务器发出请求，VMPS中包含一个文本文件，文件中存有进行VLAN映射的M A C地址。交换机对这个文件进行下载，然后对文件中的M A C地址进行校验。如果在文件列表中找到M A C地址，交换机就将端口分配给列表中的VLAN。
如果列表中没有M A C地址，交换机就将端口分配给默认的VLAN（假设已经定义默认了VLAN）。在动态VLAN中，如果在列表中没有M A C地址，而且也没有定义默认的VLAN，端口不会被激活，这是维护网络安全一种非常好的的方法。
VMPS即VLAN Management Policy Server，是一种基于源MAC地址动态的、在交换机端口上划分VLAN的方法。当某个端口的主机移动到另一个端口后，VMPS动态的为其指定VLAN。不过基于CISCO IOS系列中低端交换不支持一般不支持VMPS的功能，它只能成为VLAN查询协议（VLAN Query Protocol）的客户机。
一旦启动了VMPS，包含MAC地址到VLAN映射的数据库就会从TFTP服务器下载到VMPS服务器。然后，VMPS使用UDP端口监听来自VQP客户机的请求。当VMPS服务器收到来自VMPS客户机的请求后，它将在本地数据库里查找MAC地址到VLAN的映射条目信息。VMPS将对请求进行响应，如果被指定的VLAN局限于一组端口，VMPS将验证对发出请求的端口进行验证：
* 如果请求端口的VLAN被允许的，VMPS向客户发送VLAN的名称；
* 如果请求端口的VLAN不与允许的，并且VMPS不是处于安全模式，VMPS将发送“access-denied”访问被拒绝的信息；
* 如果请求端口的VLAN不与允许的，但VMPS处于安全模式，VMPS将发送“port-shutdown”端口关闭的信息。
另外，如果数据库里的VLAN信息和端口的当前VLAN信息不匹配，并且该端口连接的有活动主机，VMPS将发送“access-denied”、“fallback VLAN name”或者“port-shutdown”、“new VLAN name”信息。如果交换机从VMPS那里收到“access-denied”的信息，交换机将堵塞来自该MAC地址，前往或从该端口返回的流量，交换机将继续监视去往该端口的数据包，并且当交换机识别到一个新的地址后，它会向VMPS发出查询信息.如果交换机从VMPS那里收到“port-shutdown”信息。
注意：交换机将禁用该端口，必须手工的将该端口启用才能正式使用。
浏览URL http://www.qqread.com/network/d17/c388478.html
更多内容请看电信运营商专栏、VLAN技术、VLAN协议专题，或进入讨论组讨论。
相关专题
- 华为路由器交换机VLAN配置实例 (22880次浏览)
- 交换机 VLAN配置基础及实例 (18361次浏览)
- VLAN技术浅谈 (5815次浏览)
- CISCO交换机VLAN配置指南(一) (5646次浏览)
- CISCO交换机VLAN配置指南(二) (4195次浏览)
- 交换机VLAN的配置 (4037次浏览)
- 第三层交换技术实现VLAN间通信 (3778次浏览)
- 第三层交换技术及在VLAN子网规划中的应用 (3413次浏览)
- CISCO交换机VLAN配置指南(三) (3062次浏览)
- CISCO交换机VLAN配置思路 (2462次浏览)
