Cisco交換機(jī)VLAN的配置

Cisco交換機(jī)VLAN的配置

重點(diǎn)內(nèi)容：交換機(jī)VLAN的概念及其應(yīng)用；掌握VLAN的配置方法；理解Trunk連接及VTP協(xié)議；掌握用VTP管理VLAN的方法；掌握三層交換機(jī)SVI的配置實(shí)現(xiàn)VLAN間通信；

一、VLAN的根本概念VLAN(VitrualLocalAreaNetwork)全稱虛擬局域網(wǎng)，就是將局域網(wǎng)上的用戶或資源按照一定的原那么進(jìn)行劃分，把一個(gè)物理網(wǎng)絡(luò)劃分為假設(shè)干個(gè)小的“邏輯網(wǎng)絡(luò)”，這種小的邏輯網(wǎng)絡(luò)就是虛擬局域網(wǎng)。虛擬局域網(wǎng)實(shí)際上就是一種利用交換機(jī)對(duì)局域網(wǎng)進(jìn)行邏輯分段的一種技術(shù)，交換機(jī)可以把一個(gè)局域網(wǎng)〔LAN〕劃分為假設(shè)干個(gè)相對(duì)獨(dú)立的邏輯網(wǎng)絡(luò)，每個(gè)邏輯網(wǎng)絡(luò)內(nèi)的計(jì)算機(jī)可以直接通信，不同邏輯網(wǎng)絡(luò)的計(jì)算機(jī)之間不能直接通信，除非通過(guò)路由器或三層交換機(jī)設(shè)備。VLAN是建立在局域網(wǎng)的交換機(jī)上，它以軟件方式實(shí)現(xiàn)邏輯網(wǎng)絡(luò)的劃分與管理。所以，邏輯網(wǎng)絡(luò)的用戶或站點(diǎn)可以根據(jù)功能、部門等因素來(lái)劃分而無(wú)需考慮電腦所處的物理位置，只要以太網(wǎng)交換機(jī)是互連的，同一邏輯網(wǎng)絡(luò)的電腦既可以連接在同一個(gè)局域網(wǎng)上的交換機(jī)，也可以連接在不同局域網(wǎng)的交換機(jī)上，但它們之間的通信就像在同一個(gè)物理網(wǎng)段上一樣。二、VLAN的劃分方法

1、靜態(tài)VLAN靜態(tài)VLAN按交換機(jī)的端口來(lái)劃分，即將以太網(wǎng)交換機(jī)上的端口分配給某一個(gè)VLAN，這些端口一直保持這種配置關(guān)系直到人工改變它們，每個(gè)VLAN可以使用一個(gè)或幾個(gè)交換機(jī)端口，這種方法因?yàn)榕渲萌菀浊移桨残暂^高，所以是比較常用的方法；缺點(diǎn)是當(dāng)用戶主機(jī)發(fā)生移動(dòng)時(shí)，可能就需要重新配置。2、動(dòng)態(tài)VLAN1)、按MAC地址來(lái)劃分由網(wǎng)管指定有哪些主機(jī)的網(wǎng)卡地址組成一個(gè)VLAN。優(yōu)點(diǎn)是當(dāng)主機(jī)搬遷時(shí)，其所在的VLAN不會(huì)發(fā)生變化，只要主機(jī)的網(wǎng)卡不變，它將一直屬于原VLAN的成員，無(wú)需網(wǎng)管對(duì)交換機(jī)軟件進(jìn)行重新配置，但缺點(diǎn)是配置工作量很大。2)、按IP地址來(lái)劃分由網(wǎng)管指定有哪些IP地址屬于一個(gè)VLAN。優(yōu)點(diǎn)是當(dāng)主機(jī)搬遷時(shí)，其所在的VLAN不會(huì)發(fā)生變化。缺點(diǎn)是IP地址可人為更改，會(huì)帶來(lái)平安隱患。由于第二層交換機(jī)不能識(shí)別IP地址，所以這種劃分方法只能用于第三層交換機(jī)。1、創(chuàng)立VLANCatalyst2950交換機(jī)最多可以配置250個(gè)VLAN，VLANID取值為1-4094，其中1號(hào)VLAN是自動(dòng)生成的，不能刪除，默認(rèn)情況下，交換機(jī)的所有接口都屬于VLAN1；1002-1005是保存給令牌環(huán)網(wǎng)和FDDI網(wǎng)絡(luò)的，以太網(wǎng)中不能使用；1006-4094屬于擴(kuò)展VLAN，一般也不要使用。所以在2950交換機(jī)上創(chuàng)立VLAN時(shí)，一般使用2-1001的ID號(hào)，使用時(shí)不必使用連續(xù)的值。舉例如下：sw2950#vlandatabase//vlandatabase命令用于進(jìn)入VLAN配置狀態(tài)sw2950(vlan)#vlan20namemarket//創(chuàng)立一個(gè)編號(hào)為20、名稱為market的vlansw2950(vlan)#vlan30namesales//創(chuàng)立一個(gè)編號(hào)為30、名稱為sales的vlansw2950(vlan)#exitsw2950(vlan)#novlan20//刪除Vlan20Sw2950#showvlan //查看VLAN配置情況2、為VLAN分配端口

舉例如下：sw2950(config)#interfacefastethernet0/1//進(jìn)入快速以太網(wǎng)0槽位的1號(hào)端口sw2950(config-if)#switchportaccessvlan20//將該端口分配給Vlan20sw2950(config-if)#interfacefa0/11//進(jìn)入0/11端口，fa為快速以太網(wǎng)的簡(jiǎn)寫sw2950(config-if)#switchportaccessvlan30//將該端口分配給Vlan30sw2950#showinterfacef0/1//查看快速以太網(wǎng)0/1端口信息SW1(config)#interfacerangefastEthernet0/6-10SW1(config)#switchportmodeaccess//將交換機(jī)端口模式設(shè)置為access模式SW1(config)#switchportaccessvlan10//將0模塊的6-10端口劃分為vlan10SW1(config)#exitSW1(config)#interfacerangefastEthernet0/11-15SW1(config)#switchportmodeaccessSW1(config)#switchportaccessvlan20SW1(config)#exit3、Trunk的配置

當(dāng)兩臺(tái)或兩臺(tái)以上的交換機(jī)相連后，在沒(méi)有劃分VLAN時(shí)，連接在各交換機(jī)上的所有計(jì)算機(jī)都可以直接通信，但劃分VLAN后，只有屬于同一個(gè)VLAN的計(jì)算機(jī)間可以通信，為了實(shí)現(xiàn)不同交換機(jī)中同一VLAN間的計(jì)算機(jī)可以相互通信，就要將交換機(jī)之間相連的端口定義為Trunk〔干線〕模式，而交換機(jī)間相連的線稱為VLAN中繼或VLAN干線。通過(guò)在交換機(jī)相互連接的端口上配置中繼模式，就可以使不同VLAN的數(shù)據(jù)幀都可以通過(guò)這條中繼鏈路進(jìn)行傳輸。而中繼鏈路上接收到數(shù)據(jù)幀時(shí)，交換機(jī)必須采用某種方法來(lái)識(shí)別數(shù)據(jù)幀是屬于那個(gè)VLAN的，所以在配置Trunk時(shí)可以封裝以下某種技術(shù)，需要說(shuō)明的是通常交換機(jī)在配置Trunk時(shí)采用默認(rèn)的識(shí)別技術(shù)，所以一般不為trunk鏈路設(shè)置封裝協(xié)議。思科交換機(jī)支持以下4種識(shí)別技術(shù)。ISL：用于互聯(lián)多臺(tái)交換機(jī)的Cisco專有封裝協(xié)議。IEEE802.1Q：通過(guò)在幀頭插入一個(gè)VLAN標(biāo)識(shí)符來(lái)標(biāo)識(shí)VLAN，稱為“幀標(biāo)記”。局域網(wǎng)仿真：用于通過(guò)ATM網(wǎng)絡(luò)傳輸VLAN的一種IEEE標(biāo)準(zhǔn)方法。802.10：在FDDI幀中傳輸VLAN信息的一種Cisco專有方法。交換機(jī)的端口模式分為access模式、trunk模式和Multi模式，默認(rèn)情況下為access模式。例：將兩臺(tái)Cisco2950交換機(jī)相連的12號(hào)端口定義為Trunk模式。Sw1(config)#interfacefa0/12//進(jìn)入快速以太網(wǎng)0槽位的第12號(hào)端口Sw1(config-if)#switchportmodetrunk/將該端口設(shè)置為trunk模式Sw1(config-if)#switchporttrunkencapsulationdot1q//為trunk鏈路封裝802.1q協(xié)議4、配置VTP

VTP〔VLANTrunkProtocol〕全稱虛擬局域網(wǎng)中繼協(xié)議，主要用來(lái)管理VLAN的刪除、添加、修改等操作的一致性，在同一個(gè)VTP域內(nèi)，VTP通過(guò)中繼端口在交換機(jī)間傳送VTP信息，從而使一個(gè)VTP域內(nèi)的交換機(jī)能夠共享VLAN信息。所以，如果交換機(jī)數(shù)量較多，為了方便管理，可以采用VTP對(duì)VLAN進(jìn)行統(tǒng)一管理。VTP常用模式有效勞端模式和客戶端模式，作為效勞端模式的交換機(jī)需要定義VLAN信息，并播送給客戶端使用，而作為客戶端模式的交換機(jī)不需要定義VLAN編號(hào)，可以直接接收并使用來(lái)自效勞端交換機(jī)的VLAN設(shè)置信息。如果在VTP效勞器上把某VLAN刪除，那么各個(gè)VTP客戶機(jī)上相應(yīng)的VLAN也會(huì)被刪除。在此特別說(shuō)明的是思科交換機(jī)具備有此功能，而其他品牌的交換機(jī)在配置VTP時(shí)客戶端可能也需要?jiǎng)?chuàng)立VLAN信息。舉例如下：1〕、設(shè)置交換機(jī)SW1為VTP效勞器，域名為testSW1#vlandatabase//進(jìn)入VLAN配置子模式SW1(vlan)#vlan10namevlan10SW1(vlan)#vlan20namevlan20SW1(vlan)#vtpserver//將vtp模式設(shè)置為server模式SW1(vlan)#vtpdomaintest//設(shè)置vtp域名為test，與客戶端域名保持一致SW1(vlan)#vtppruning//啟用vtp修剪功能(模擬器無(wú)此功能)SW1(vlan)#exitSW1#conftSW1(config)#intfa0/12SW1(config-if)#switchportmodetrunk//將f0/12端口設(shè)置為trunk模式SW1(config-if)#switchporttrunkencapsulationisl//可選項(xiàng)，模擬器中不支持isl識(shí)別協(xié)議SW1(config-if)#endSW1(config)#interfacerangefa0/1-3//進(jìn)入快速以太網(wǎng)0槽位的1至3號(hào)端口SW1(config-if-range)#switchportmodeaccess//設(shè)置端口模式為access模式SW1(config-if-range)#switchportaccessvlan10//將1到3號(hào)端口劃分到vlan10SW1(config)#interfacerangefa0/4-6SW1(config-if-range)#switchportmodeaccessSW1(config-if-range)#switchportaccessvlan202〕、設(shè)置交換機(jī)SW2為VTP客戶端SW2#vlandatabaseSW2(vlan)#vtpdomaintest//設(shè)置vtp域名為test，與效勞端域名保持一致SW2(vlan)#vtpclient//設(shè)置交換機(jī)SW2為客戶端，學(xué)習(xí)SW1的vlan信息W2(vlan)#eixt//退出vlan配置子模式SW2(config)#intfa0/12SW2(config-if)#switchportmodetrunkSW2(config-if)#exitSW2(config)#interfacerangefa0/1-3SW2(config-if-range)#switchportmodeaccessSW2(config-if-range)#switchportaccessvlan10//無(wú)需創(chuàng)立vlan10可直接參加vlan10SW2(config)#interfacerangefa0/4-6SW2(config-if-range)#switchportmodeaccessSW2(config-if-range)#switchportaccessvlan205、配置三層交換機(jī)SVI實(shí)現(xiàn)VLAN間通信

要實(shí)現(xiàn)VLAN間計(jì)算機(jī)的相互通信，除了使用路由器外，還有就是利用三層交換機(jī)的路由功能也可以實(shí)現(xiàn)VLAN間的通信。方法是通過(guò)在三層交換機(jī)上配置SVI〔交換機(jī)虛擬接口〕，即為不同的VLAN編號(hào)配置IP地址，不過(guò)在配置三層交換機(jī)的SVI之前，先要在交換機(jī)的全局配置模式下使用IPRouting命令啟用三層交換機(jī)的路由功能。舉例如下：SW3500(config)#iprouting//啟用三層交換機(jī)的路由功能SW3500(config)#interfacevlan10//創(chuàng)立虛擬接口vlan10SW3500config-if)#ipaddress192.168.10.1255.255.255.0//為虛擬接口設(shè)置IP地址SW3500(config-if)#noshutdown//激活端口SW3500(config-if)#exitSW3500(config)#interfacevlan20SW3500(config-if)#ipSW3500(config-if)#noshutdownSW3500(config-if)#exit如果三層交換機(jī)與路由器相連，那么交換機(jī)與路由器相連的端口需要配置IP地址，在配置IP地址之前先需要使用noswitchport命令開(kāi)啟端口的三層路由功能，這樣就可以為三層交換機(jī)的某一端口配置IP地址了，舉例如下：SW3500(config)#interfacefastethernet0/12SW3500(config-if)#noswitchport//開(kāi)啟端口的路由功能SW3500(config-if)#ipSW3500(config-if)#noshutdownSW3500(config-if)#exit6、配置端口聚合

端口聚合〔Aggregate-port〕又稱鏈路聚合，是指兩臺(tái)交換機(jī)之間在物理上將多個(gè)端口連接起來(lái)，將多條鏈路聚合成一條邏輯鏈路。從而增大鏈路帶寬，解決交換網(wǎng)絡(luò)中因帶寬引起的網(wǎng)絡(luò)瓶頸問(wèn)題。多條物理鏈路之間能夠相互冗余備份，其中任意一條鏈路斷開(kāi)，不會(huì)影響其他鏈路的正常數(shù)據(jù)的轉(zhuǎn)發(fā)。例：兩臺(tái)交換機(jī)分別通過(guò)f0/1和f0/2兩個(gè)端口連接成兩條trunk鏈路，現(xiàn)在要將兩條trunk鏈路配置成聚合端口，以提高鏈路帶寬。如圖13-4所示。Sw1Sw2F0/1F0/2F0/1F0/2圖13-4Sw1(config)#interfaceaggregateport1//創(chuàng)立聚合端口AG1Sw1(config-if)#switchportmodetrunk//配置AG模式為trunkSw1(config-if)#exitSw1(config-if)#interfacerangefastethernet0/1-2//進(jìn)入接口0/1和0/2Sw1(config-if-range)#port-group1//將接口0/1和0/2劃分到AG17、配置端口平安交換機(jī)的端口平安特性可以只允許特定MAC地址的設(shè)備接入到網(wǎng)絡(luò)中，從而可以防止用戶將非法或未授權(quán)的設(shè)備接入網(wǎng)絡(luò)，并且可以限制端口接入的設(shè)備數(shù)量，防止用戶將過(guò)多的設(shè)備接入到網(wǎng)絡(luò)中。例：一臺(tái)sw2950思科交換機(jī)的F0/1和F0/2端口分別接著PC1和PC2這兩臺(tái)計(jì)算機(jī)，現(xiàn)在PC3計(jì)算機(jī)試圖接入交換機(jī)的F0/1端口來(lái)訪問(wèn)網(wǎng)絡(luò)資源，我們可以通過(guò)配置F0/1端口的平安特性來(lái)阻止PC3設(shè)備的接入。如圖13-5所示。Pc1Sw2950F0/1F0/2Pc2Pc3圖13-5Sw2950#conftSw2950(config)#intfa0/1Sw2950(config-if)#switchportport-security//啟用端口平安特性Sw2950(config-if)#switchportport-securitymacSw2950(config-if)#switchportport-securitymaximum1Sw2950(config-if)#switchportport-securityviolationshutdown提示：1、為PC1的網(wǎng)卡MAC地址，MAC地址為16進(jìn)制，模擬器中無(wú)此功能。2、配置端口只允許1個(gè)平安MAC地址，即保證只有PC1可以接入此端口。3、當(dāng)端口產(chǎn)生違規(guī)〔即MAC地址不匹配〕時(shí)，交換機(jī)將自動(dòng)關(guān)閉端口，模擬器中無(wú)此功能。8、配置生成樹(shù)協(xié)議〔STP〕為了提高網(wǎng)絡(luò)穩(wěn)定性，網(wǎng)絡(luò)中通常會(huì)提供冗余鏈路，但是冗余鏈路會(huì)形成物理環(huán)路，從而引發(fā)播送風(fēng)暴，MAC地址不穩(wěn)定等問(wèn)題，甚至導(dǎo)致網(wǎng)絡(luò)癱瘓，而STP〔SpanningTreeProtocol，生成樹(shù)協(xié)議〕正是克服冗余網(wǎng)絡(luò)中透明橋接的問(wèn)題而創(chuàng)立的。STP是一個(gè)既能夠防止環(huán)路，又能夠提供冗余線路的第二層管理協(xié)議。為了使交換網(wǎng)絡(luò)正常運(yùn)行，STP網(wǎng)絡(luò)上的任何兩個(gè)終端之間只有一條有效路徑。STP使用生成樹(shù)算法求解沒(méi)有環(huán)路的最正確路徑，使一些備用路徑處于阻塞狀態(tài)。在大型網(wǎng)絡(luò)中，特別是有多個(gè)VLAN的時(shí)候，配置STP就很重要了。STP通過(guò)在交換機(jī)之間傳遞橋接協(xié)議數(shù)據(jù)單元〔BPDU〕來(lái)相互告知諸如交換機(jī)的橋ID、鏈路性質(zhì)、根橋ID等信息，以確定根橋、決定哪些端口處于轉(zhuǎn)發(fā)狀態(tài)，哪些端口處于阻斷狀態(tài)，以免引發(fā)網(wǎng)絡(luò)環(huán)路。STP采用生成樹(shù)算法，在網(wǎng)絡(luò)中通過(guò)交換機(jī)的優(yōu)先級(jí)等信息選舉一臺(tái)根交換機(jī)，再以根交換機(jī)為根節(jié)點(diǎn)在網(wǎng)絡(luò)中形成一棵沒(méi)有環(huán)路的樹(shù)，從而解決鏈路環(huán)路引發(fā)的問(wèn)題。當(dāng)網(wǎng)絡(luò)中的主要鏈路出現(xiàn)故障時(shí)，STP技術(shù)重新在網(wǎng)絡(luò)進(jìn)行生成樹(shù)計(jì)算，將備份鏈路恢復(fù)，從而到達(dá)鏈路冗余的效果，又能解決環(huán)路問(wèn)題。例：三臺(tái)思科交換機(jī)相互連接在一起〔如圖13-6所示〕，以形成冗余鏈路來(lái)提高網(wǎng)絡(luò)穩(wěn)定性，但擔(dān)憂冗余鏈路會(huì)造成環(huán)路問(wèn)題，導(dǎo)致數(shù)據(jù)包在環(huán)路中死循環(huán)。應(yīng)如何配置才能解決此問(wèn)題？圖13-6SW1SW2SW3F0/1F0/1F0/1F0/2F0/2F0/1SW1(config)#spanning-tree//啟用生成樹(shù)協(xié)議SW1(config)#spanning-treemoderstp//設(shè)置模式為RSTPSW2(config)#spanning-tree//啟用生成樹(shù)協(xié)議SW2(config)#spanning-treemoderstp//設(shè)置模式為RSTPSW3(config)#spanning-tree//啟用生成樹(shù)協(xié)議SW3(config)#spanning-treemoderstp//設(shè)置模式為RSTPSW1(config)#spanning-treepriority40969、查看配置信息Sw1#showvlan //查看交換機(jī)VLAN配置狀態(tài)SW1#showspanning-tree//查看交換機(jī)上spanning-tree的整體配置Sw1#showrunning-config //查看當(dāng)前配置文件四、三層交換機(jī)VLAN配置案例

1、案例背景某校計(jì)算機(jī)系承辦市中考電腦閱卷任務(wù)，市教育局要求學(xué)校提供四百臺(tái)電腦供改卷教師使用，同時(shí)需要4臺(tái)配置性能較高的效勞器以供四百臺(tái)客戶端電腦訪問(wèn)。該校計(jì)算機(jī)系四百臺(tái)電腦分布在7間機(jī)房中，共由4個(gè)IP網(wǎng)段組成。為了平安起見(jiàn)，要求處在4個(gè)網(wǎng)段的電腦相互之間不能訪問(wèn)，但所有的電腦均要求能訪問(wèn)這4臺(tái)效勞器，網(wǎng)絡(luò)拓?fù)鋱D如圖13-7所示。經(jīng)研究，可以通過(guò)配置三層交換機(jī)以實(shí)現(xiàn)以上要求。具體配置及IP地址分配方案如下所述：假設(shè)機(jī)房一、二的網(wǎng)線分別接在三層交換機(jī)的F0/1和F0/2端口，機(jī)房三、四的網(wǎng)線分別接在三層交換機(jī)的F0/6和F0/7端口，機(jī)房五、六的網(wǎng)線分別接在三層交換機(jī)的F0/11和F0/12端口，機(jī)房七的網(wǎng)線接在三層交換機(jī)的F0/16端口，效勞器接在三層交換機(jī)的F0/21端口。3、網(wǎng)絡(luò)拓?fù)鋱D

2、各機(jī)房IP地址分配機(jī)房一、二：IP：，網(wǎng)關(guān)：機(jī)房三、四：IP：，網(wǎng)關(guān)：機(jī)房五、六：IP：，網(wǎng)關(guān)：機(jī)房七：IP：，網(wǎng)關(guān)：效勞器：IP：網(wǎng)關(guān)：192.168.12.2544、配置三層交換機(jī) 本例以銳捷三層交換機(jī)為例，具體配置命令如下所示：S3760>en14//以14級(jí)權(quán)限進(jìn)入Password://輸入14級(jí)密碼“ruijie”S3760#conftS3760(config)#1)、創(chuàng)立5個(gè)vlans3760(config)#vlan10s3760(config-vlan)#vlan20s3760(config-vlan)#vlan30s3760(config-vlan)#vlan40s3760(config-vlan)#vlan50s3760(config-vlan)#exit2〕、將端口劃分到相應(yīng)的VLANs3760(config)#intrangef0/1-5s3760(config-if-range)#switchportmodeaccesss3760(config-if-range)#switchportaccessvlan10s3760(config-if-range)#exits3760(config)#intrangef0/6-10s3760(config-if-range)#switchportmodeaccesss3760(config-if-range)#switchportaccessvlan20s3760(config-if-range)#exits3760(config)#intrangef0/11-15s3760(config-if-range)#switchportmodeaccesss3760(config-if-range)#switchportaccessvlan30s3760(config-if-range)#exits3760(config)#intrangef0/16-20s3760(config-if-range)#switchportmodeaccesss3760(config-if-range)#switchportaccessvlan40s3760(config-if-range)#exits3760(config)#intrangef0/21-22s3760(config-if-range)#switchportmodeaccesss3760(config-if-range)#switchportaccessvlan50s3760(config-if-range)#exit3〕、為各個(gè)VLAN分別配置IP地址s3760(config)#intvlan10s3760(config-if)#ipadd192.168.7.254255.255.255.0s3760(config-if)#noshuts3760(config-if)#exits3760(config)#intvlan20s3760(config-if)#ipadd192.168.8.254255.255.255.0s3760(config-if)#noshuts3760(config-if)#exits3760(config)#intvlan30s3760(config-if)#ipadd192.168.10.254255.255.255.0s3760(config-if)#noshuts3760(config-if)#exits3760(config)#intvlan40s3760(config-if)#ipadd192.168.11.254255.255.255.0s3760(config-if)#noshuts3760(config-if)#exits3760(config)#intvlan50s3760(config-if)#ipadd192.168.12.254255.255.255.0s3760(config-if)#noshuts3760(config-if)#exit4〕、創(chuàng)立訪問(wèn)控制列表〔ACL〕s3760(config)#access101denyips3760(config)#access101denyips376