計算機硬件與網(wǎng)絡(luò)第五次課虛擬局域網(wǎng)VLAN實現(xiàn)

計算機硬件與網(wǎng)絡(luò)第五次課虛擬局域網(wǎng)VLAN實現(xiàn)VLAN課題引入

隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，現(xiàn)在很多企業(yè)和部門都建立了內(nèi)部局域網(wǎng)，但是，隨著網(wǎng)絡(luò)規(guī)模的增大也帶來了一些問題：網(wǎng)內(nèi)數(shù)據(jù)傳輸量增大，網(wǎng)速變得越來越慢！計算機遭受黑客攻擊，關(guān)鍵部門存在安全隱患！同一部門的人員分布不同的地域，不能相對集中辦公！VLAN的定義注意事項： VLAN（VirtualLocalAreaNetwork）的中文名為"虛擬局域網(wǎng)"，是一種將局域網(wǎng)設(shè)備從邏輯上劃分（注意，不是從物理上劃分）成一個個網(wǎng)段，從而實現(xiàn)虛擬工作組的新興數(shù)據(jù)交換技術(shù)。

例如：對于我校的校園網(wǎng)，有不同的部分組成：辦公部門、學(xué)校機房、教師家屬樓等部分組成。為了保證各部分的相對獨立，又使每部分處于同一個網(wǎng)絡(luò)內(nèi)，內(nèi)部能互相訪問，這就需要劃分VLAN，使辦公部門處于一個VLAN內(nèi)、學(xué)校機房處于一個VLAN內(nèi)、教師家屬樓處于一個VLAN內(nèi)，這樣就能保證他們之間的數(shù)據(jù)互不干擾，也不影響各自的通信效率了。VLAN在交換機中的實現(xiàn)分段靈活性

安全性第三層第二層第一層銷售部人力資源部工程部一個VLAN=一個廣播域=邏輯網(wǎng)段(子網(wǎng))VLAN（VirtualLocalAreaNetwork）VLAN是在一個物理網(wǎng)絡(luò)上劃分出來的邏輯網(wǎng)絡(luò)。這個網(wǎng)絡(luò)對應(yīng)于OSI模型的第二層網(wǎng)絡(luò)。VLAN的劃分不受網(wǎng)絡(luò)端口的實際物理位置的限制。VLAN有著和普通物理網(wǎng)絡(luò)同樣的屬性。第二層的單播、廣播和多播幀在一個VLAN內(nèi)轉(zhuǎn)發(fā)、擴散，而不會直接進(jìn)入其他的VLAN之中。VLAN技術(shù)1234交換機廣播幀交換機收到廣播幀后，只轉(zhuǎn)發(fā)到屬于同一VLAN的其他端口。廣播域廣播幀廣播域VLAN特點安全隔離，不同VLAN之間不能直接訪問，需通過路由設(shè)備相連，才可以互相訪問。隔離廣播不受物理位置限制基于安全性的考慮

在規(guī)模較大的網(wǎng)絡(luò)系統(tǒng)內(nèi)，各網(wǎng)絡(luò)節(jié)點的數(shù)據(jù)需要相對保密。譬如公司的網(wǎng)絡(luò)中，財務(wù)部門的數(shù)據(jù)不應(yīng)被其他部門的人員采集到，可以通過劃分VLAN，進(jìn)行部門隔離，不同部門使用不同的VLAN，可以實現(xiàn)一定的安全性。基于網(wǎng)絡(luò)性能的考慮

大型網(wǎng)絡(luò)中有大量的廣播信息，如果不加以控制，會使網(wǎng)絡(luò)性能急劇下降，甚至產(chǎn)生網(wǎng)絡(luò)風(fēng)暴，使網(wǎng)絡(luò)阻塞。因此需要采用VLAN將網(wǎng)絡(luò)分割成多個廣播域，將廣播信息限制在每個廣播域內(nèi)，從而降低了整個網(wǎng)絡(luò)的廣播流量，提高了性能。基于組織結(jié)構(gòu)的考慮

同一部門的人員分布在不同的地域，需要數(shù)據(jù)的共享，則可以跨地域（跨交換機）將其設(shè)置在同一個VLAN中。對VLAN的劃分主要是基于下列因素的：劃分VLAN的方法

基于端口的VLAN

基于協(xié)議的VLAN

基于MAC層分組的VLAN

基于子網(wǎng)的VLAN基于交換機的端口

VLAN的類型:PortVLANF0/1F0/2F0/3Port-vlan原理交換機端口MAC地址VLANIDF0/1A10F0/2B20F0/3C10F0/1F0/2F0/3ABCVlan10Vlan20Vlan10ABACXVLAN在交換機中的實現(xiàn)數(shù)據(jù)1交換機內(nèi)部數(shù)據(jù)1數(shù)據(jù)2數(shù)據(jù)2101102Portvlan的配置將一組接口加入某一個VLANSwitch(config)#interfacerangefastethernet0/1-10，fastethernet0/15，fastethernet0/20Switch(config-if-range)#switchportaccessvlan20注：連續(xù)接口0/1-10，不連續(xù)接口用逗號隔開，但一定要寫明模塊編號創(chuàng)建VLAN100，將它命名為test的例子Switch#configureterminalSwitch(config)#vlan100Switch(config-vlan)#nametestSwitch(config-vlan)#end把ethernet0/10作為access口加入了VLAN100Switch#configureterminalSwitch(config)#interfacefastethernet0/10Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportaccessvlan100Switch(config-if)#end配置PortVLAN-AccessSwitchAVLAN30VLAN20VLAN10SwitchBVLAN30VLAN20VLAN10跨交換機VLAN間通信分布在兩個交換機上的VLAN10和VLAN20的各自的成員如果要互通。就需要在A交換機上VLAN10中取一個端口和交換機B上設(shè)為VLAN10的某個端口作級聯(lián)連接。VLAN20也是這樣。那么如果交換機上劃了10個VLAN就需要分別連10條線作級聯(lián)，端口效率就太低了。SwitchAVLAN30VLAN20VLAN10SwitchBVLAN30VLAN20VLAN10TagVLAN傳輸多個VLAN的信息,實現(xiàn)同一VLAN跨越不同的交換機只需要交換機之間有一條級聯(lián)線，并將對應(yīng)的端口設(shè)置為Trunk，這條線路就可以承載交換機上所有VLAN的信息?？缃粨Q機VLAN之間的通信:TagVLAN目的,源MAC地址類型,數(shù)據(jù)重新計算幀檢測序列2字節(jié)標(biāo)記協(xié)議標(biāo)識

2字節(jié)標(biāo)記控制信息

IEEE802.1Q數(shù)據(jù)幀標(biāo)記協(xié)議標(biāo)識（TPID）:固定值0x8100,表示該幀載有802.1q標(biāo)記信息標(biāo)記控制信息（TCI）:Priority3比特表示優(yōu)先級,Canonicalformatindicator1比特用于總線型以太網(wǎng)、FDDI、令牌環(huán)網(wǎng)。VlanID12比特表示VID，范圍1－4094IEEE802.1Q802.1Q數(shù)據(jù)幀只在交換機的trunk鏈路上傳輸，對于用戶是完全透明的。默認(rèn)條件下，Trunk上會轉(zhuǎn)發(fā)交換機上存在的所有VLAN的數(shù)據(jù)。A交換機1交換機2802.1Q工作原理B數(shù)據(jù)幀Tag標(biāo)簽配置TagVLAN-Trunk把Fa0/1配成Trunk口Switch#configureterminalSwitch(config)#interfacefastethernet0/1Switch(config-if)#switchportmodetrunk下面是一個把端口0/15配置為TRUNK端口，但是不包含在VLAN2的例子：Switch(config)#interfacefastethernet0/15Switch(config-if)#switchporttrunkallowedvlanremove2Switch(config-if)#end配置TagVLAN-Trunk下面是一個把端口0/15配置為TRUNK端口，但是不包含VLAN2的例子：Switch(config)#interfacefastethernet0/15Switch(config-if)#switchporttrunkallowedvlanremove2Switch(config-if)#endSwitch#showinterfacesfastethernet0/15switchportInterfaceSwitchportModeAccessNativeProtectedVLANlists------------------------------------------------------------------Fa0/15EnabledTrunk11Enabled1,3-4094Switch#showvlanVLANNameStatusPorts----------------------------------------------1defaultactiveFa0/1,Fa0/2,Fa0/3,Fa0/4Fa0/6,Fa0/7,Fa0/8,Fa0/9Fa0/10,Fa0/11,Fa0/12,Fa0/13Fa0/18,Fa0/19,Fa0/20,Fa0/212VLAN0002activeFa0/5,Gi0/24VLAN0004activeFa0/14,Fa0/15,Fa0/16,Fa0/175VLAN0005activeFa0/22,Fa0/23,Fa0/24,Gi0/1配置TagVLAN-TrunkVLAN的實現(xiàn) Portvlan基于交換機端口進(jìn)行VLAN的劃分一個端口只能屬于一個VLAN一個VLAN可以包含多個端口接口模式為access用于連接最終用戶設(shè)備Tagvlan一個端口可以屬于多個VLAN默認(rèn)情況下屬于所有VLAN接口模式為trunk用于交換機之間級聯(lián)將VLAN信息保存到flash中

Switch#writememory

從flash中清除VLAN信息

Switch#deleteflash:vlan.dat保存/清除VLAN信息VLAN間路由VLAN10VLAN20VLAN30隔離的廣播域通過VLAN的劃分，不同VLAN間不能夠直接訪問VLAN10VLAN20VLAN30VLAN間通信的方法VLAN10VLAN30VLAN20多條鏈路連接多個VLAN使用路由器進(jìn)行VLAN間路由VLAN10VLAN30VLAN20InterfaceFA1Subinterface1.1Subinterface1.2Subinterface1.3一條鏈路連接多個VLAN使用路由器進(jìn)行VLAN間路由三層交換機在功能上實現(xiàn)了VLAN的劃分、VLAN內(nèi)部的二層交換和VLAN間路由的功能。VLAN20VLAN30VLAN10使用三層交換機進(jìn)行VLAN間路由配置方法第