TCPIP路由交換技術(shù)（第二版）課件 項(xiàng)目4 配置管理虛擬局域網(wǎng)

項(xiàng)目4配置管理虛擬局域網(wǎng)授課教師：管秀君吉林交通職業(yè)技術(shù)學(xué)院學(xué)習(xí)目標(biāo)

了解VLAN的產(chǎn)生及其劃分方式掌握VLAN的工作原理學(xué)會(huì)VLAN的典型配置掌握GVRP協(xié)議及基本配置思維導(dǎo)圖

了解VLAN技術(shù)0

1VLAN的典型配置02組建安全隔離的小型局域網(wǎng)03CONTENTS目錄GVRP協(xié)議及配置04學(xué)習(xí)任務(wù)4.1了解VLAN技術(shù)4.1.1

VLAN概念VLAN介紹VirtualLocalAreaNetwork（虛擬局域網(wǎng)），簡(jiǎn)稱VLAN，是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯地劃分成一個(gè)個(gè)網(wǎng)段從而實(shí)現(xiàn)虛擬工作組的技術(shù)。劃分VLAN的主要作用就是隔離廣播域。VLAN在網(wǎng)絡(luò)中的應(yīng)用示意圖：VLAN優(yōu)勢(shì)虛擬局域網(wǎng)將一組位于不同物理網(wǎng)段上的用戶在邏輯上劃分在一個(gè)局域網(wǎng)內(nèi)，在功能和操作上與傳統(tǒng)LAN基本相同，可以提供一定范圍內(nèi)終端系統(tǒng)的互聯(lián)。VLAN與傳統(tǒng)的LAN相比，具有以下優(yōu)勢(shì)：1．減少移動(dòng)和改變的代價(jià)2．虛擬工作組3．不受設(shè)備限制4．限制廣播包，提高帶寬的利用率5．增強(qiáng)通訊的安全性6．增強(qiáng)網(wǎng)絡(luò)的健壯性7．降低管理維護(hù)的成本4.1.2

VLAN的劃分方式基于端口劃分VLAN基于端口劃分VLAN的這種方法是根據(jù)以太網(wǎng)交換機(jī)的端口來劃分。下面我們來幾個(gè)例子。如圖所示，交換機(jī)的端口1為VLAN1，端口2為VLAN2，端口3、4為VLAN3。當(dāng)然，這些屬于同一VLAN的端口可以不連續(xù)，如何配置，由管理員決定?；贛AC地址劃分VLAN這種劃分VLAN的方法是根據(jù)每個(gè)主機(jī)的MAC地址來劃分的，即對(duì)所有主機(jī)都根據(jù)它的MAC地址配置主機(jī)屬于哪個(gè)VLAN。下圖所示，交換機(jī)維護(hù)一張VLAN映射表，這個(gè)VLAN表記錄著MAC地址和VLAN的對(duì)應(yīng)關(guān)系。這種劃分VLAN的方法的最大優(yōu)點(diǎn)就是當(dāng)用戶物理位置移動(dòng)時(shí)，即從一個(gè)交換機(jī)換到其他的交換機(jī)時(shí)，VLAN不用重新配置，所以，可以認(rèn)為這種根據(jù)MAC地址的劃分方法是基于用戶的VLAN?；趨f(xié)議劃分VLAN根據(jù)二層數(shù)據(jù)幀中協(xié)議字段進(jìn)行VLAN的劃分。如果一個(gè)物理網(wǎng)絡(luò)中既有EthernetⅡ又有LLC等多種數(shù)據(jù)幀通信的時(shí)候，可以采用這種VLAN的劃分方法，如圖所示。基于IP子網(wǎng)劃分VLAN基于IP子網(wǎng)的VLAN根據(jù)報(bào)文中的IP地址決定報(bào)文屬于哪個(gè)VLAN，同一個(gè)IP子網(wǎng)的所有報(bào)文屬于同一個(gè)VLAN。這樣可以將同一個(gè)IP子網(wǎng)中的用戶劃分在一個(gè)VLAN內(nèi)。如圖所示，交換機(jī)根據(jù)IP地址劃分了VLAN。主機(jī)設(shè)置的IP地址處于10.1.1.0地址段的同屬于一個(gè)VLAN1，處于10.2.1.0地址段的主機(jī)處于VLAN2，處于10.3.1.0地址段的主機(jī)屬于VLAN3。10.1.1.010.2.1.010.3.1.04.1.3

VLAN的幀格式IEEE802.1Q幀結(jié)構(gòu)中興系列交換機(jī)，均采用的是IEEE組織定義的802.1Q協(xié)議來實(shí)現(xiàn)VLAN功能。IEEE802.1Q是VLAN的正式標(biāo)準(zhǔn)，定義了同一個(gè)物理鏈路上承載多個(gè)子網(wǎng)的數(shù)據(jù)流的方法。IEEE802.1Q定義了VLAN幀格式，為識(shí)別幀屬于哪個(gè)VLAN提供了一個(gè)標(biāo)準(zhǔn)的方法。這個(gè)格式統(tǒng)一了標(biāo)識(shí)VLAN的方法，有利于保證不同廠家設(shè)備配置的VLAN可以互通。IEEE802.1Q幀結(jié)構(gòu)802.1Q標(biāo)簽頭包含了2個(gè)字節(jié)的TPID和2個(gè)字節(jié)的TCI：1、TPID：TagProtocolIdentifier協(xié)議標(biāo)志固定值為0x8100，該值表明該幀承載的是802.1Q/802.1p標(biāo)簽信息2、TCI：TagControlInformation控制信息Priority：3bit,幀的優(yōu)先級(jí),共有8種優(yōu)先級(jí)，0－7CanonicalFormatIndicator(CFI)：CFI值為0說明是規(guī)范格式，1為非規(guī)范格式VLANIdentified(VLANID):12bit,指明VLAN的ID，共4096個(gè)以太網(wǎng)幀報(bào)文類型在一個(gè)交換網(wǎng)絡(luò)環(huán)境中，以太網(wǎng)的幀有兩種格式：不帶標(biāo)簽的報(bào)文untaggedframe帶標(biāo)簽的報(bào)文taggedframe4.1.4

VLAN鏈路類型VLAN的鏈路類型VLAN的鏈路類型VLAN有三種鏈路類型：

Access

Trunk

HybridTrunkVLAN1VLAN2VLAN3AccessVLAN1VLAN2VLAN3VLAN1VLAN2VLAN3AccessAccess鏈路Access鏈路一般是指網(wǎng)絡(luò)設(shè)備與主機(jī)之間的鏈路一個(gè)Access端口只屬于一個(gè)VLANAccess端口發(fā)送不帶標(biāo)簽的報(bào)文缺省所有端口都包含在vlan1中，且都是AccessportTrunk鏈路Trunk鏈路一般是指網(wǎng)絡(luò)設(shè)備與網(wǎng)絡(luò)設(shè)備之間的鏈路一個(gè)Trunk端口可以屬于多個(gè)VLANTrunkport通過發(fā)送帶標(biāo)簽的報(bào)文來區(qū)別某一數(shù)據(jù)包屬于哪一VLAN標(biāo)簽遵守IEEE802.1q協(xié)議標(biāo)準(zhǔn)Hybrid鏈路1、Hybrid端口可以用于交換機(jī)之間連接，也可以用于接用戶的計(jì)算機(jī)2、Hybrid端口可以屬于多個(gè)VLAN，可以接收和發(fā)送多個(gè)VLAN的報(bào)文3、Hybrid端口與Trunk端口的不同之處Hybrid端口可以允許多個(gè)VLAN的報(bào)文不打標(biāo)簽Trunk端口只允許缺省VLAN的報(bào)文不打標(biāo)簽在同一個(gè)交換機(jī)上Hybrid端口和Trunk端口不能并存VLAN幀的轉(zhuǎn)發(fā)過程VLAN幀的轉(zhuǎn)發(fā)過程

當(dāng)Access端口收到幀時(shí)該幀不包含802.1Qtagheader，將被打上端口的PVID

當(dāng)Access端口發(fā)送幀時(shí)剝離802.1Qtagheader，發(fā)出的幀為普通以太網(wǎng)幀VLAN幀的轉(zhuǎn)發(fā)過程1、當(dāng)Trunk端口收到幀時(shí)如果該幀不包含802.1Qtagheader，將打上端口的PVID

如果該幀包含802.1Qtagheader，則不改變2、當(dāng)Trunk端口發(fā)送幀時(shí)當(dāng)該幀的VLANID與端口的PVID不同時(shí)，直接透?jìng)鳟?dāng)該幀的VLANID與端口的PVID相同時(shí)，則剝離802.1QtagheaderVLAN幀的轉(zhuǎn)發(fā)過程1、當(dāng)Hybrid端口收到幀時(shí)如果該幀不包含802.1Qtagheader，將打上端口的PVID

如果該幀包含802.1Qtagheader，則不改變2、當(dāng)Hybrid端口發(fā)送幀時(shí)該幀包含802.1Qtagheader,是否保留tagheader需根據(jù)Hybrid端口的設(shè)置來決定若端口設(shè)置為允許該VLAN的幀tagged，則保留tagheader

若端口設(shè)置為允許該VLAN的幀untagged，則剝離802.1Qtagheader下課，謝謝！授課教師：管秀君吉林交通職業(yè)技術(shù)學(xué)院CLASSOVER,THANKYOU!項(xiàng)目4配置管理虛擬局域網(wǎng)授課教師：管秀君吉林交通職業(yè)技術(shù)學(xué)院學(xué)習(xí)任務(wù)4.2VLAN的典型配置4.2.1

VLAN的配置命令VLAN的配置命令1、創(chuàng)建指定VLAN，并進(jìn)入VLAN模式ZXR10(config)#vlan<vlan-id>3、設(shè)置端口的VLAN鏈路類型ZXR10(config)#interface<interface-name>ZXR10（config-if）#switchportmode{access|trunk|hybrid}2、為創(chuàng)建的VLAN命名Switch(config-vlan)#name<vlan-name>VLAN的配置命令4、把以太網(wǎng)端口加入到指定VLANAccess端口只能加入到1個(gè)VLAN，Trunk端口和Hybrid端口可以加入到多個(gè)VLAN中。（1）把Access端口加入到指定VLANSwitch(config)#interface

<interface-name>Switch(config-if)#switchportaccessvlan{<vlan-id>|<vlan-name>}（2）讓Trunk端口透?jìng)髦付╒LANSwitch(config)#interface<interface-name>Switch(config-if)#switchportmodetrunkSwitch(config-if)#switchporttrunkallowedvlan

<vlan-id>VLAN的配置命令5、設(shè)置以太網(wǎng)端口的nativeVLAN（PVID）（1）設(shè)置Trunk端口的NativeVLANSwitch(config)#interface<interface-name>Switch(config-if)#switchporttrunknativevlan{<vlan-id>|<vlan-name>}（2）設(shè)置Hybrid端口的NativeVLANSwitch(config)#interface

<interface-name>VLAN的配置命令6、創(chuàng)建VLAN三層接口Switch(config)#interfacevlan<vlan-id>7、打開/關(guān)閉VLAN三層接口Switch(config)#interfacevlan

<vlan-id>Switch(config-if)#noshutdown8、顯示VLAN配置Switch#showvlan

{<brief>|<vlan-id>|<vlan-name>}9、把某一端口從VLAN中刪除Switch(config)#interface

<interface-name>Switch(config-if)#noswitchportaccessvlanVLAN的配置命令10、VLAN許可、刪除等命令格式：Switch(config-if)#switchporttrunkallowedvlan{all|[add|remove|except]}vlan-list

其中：vlan-list可以是一個(gè)VLAN或以vlann-vlan

m表示一組VLAN，如10～20；all是許可VLAN列表包含所有VLAN；add表示將指定VLAN列表加入許可VLAN列表；remove表示將指定VLAN列表從許可VLAN列表中刪除；except表示將除列出的VLAN列表外的所有VLAN加入許可VLAN列表。4.2.2

VLAN的基本配置實(shí)例問題提出在組建辦公區(qū)域網(wǎng)絡(luò)時(shí)發(fā)現(xiàn)有些部門的辦公地點(diǎn)不在一起，一個(gè)部門的辦公人員可能分布在不同辦公樓內(nèi)。要求將公司分別在不同地點(diǎn)的多個(gè)辦公室（二三個(gè)辦公室）的計(jì)算機(jī)連接起來，形成一個(gè)公司辦公區(qū)域局域網(wǎng)絡(luò)，實(shí)現(xiàn)公司辦公室內(nèi)部可以相互訪問。BADC銷售部銷售部財(cái)務(wù)部財(cái)務(wù)部任務(wù)驗(yàn)證：ApingC:連通BpingD:連通ApingB:不通三樓的摟層交換機(jī)SW3四樓的摟層交換機(jī)SW4Fa0/24Fa0/24Fa0/10Fa0/20Fa0/10Fa0/201、交換機(jī)SW3上的配置如下：Switch(config)#hostname

SW3SW3(config)#vlan10SW3(config-vlan)#namexiaoshoubuSW3(config-vlan)#exitSW3(config)#vlan

20SW3(config-vlan)#namecaiwubuSW3(config-vlan)#exitSW3(config)#interfacefastEthernet0/10SW3(config-if)#switchportmodeaccessSW3(config-if)#switchportaccessvlan

10SW3(config-if)#exitSW3(config)#interfacefastEthernet

0/20SW3(config-if)#switchportmodeaccess

SW3(config-if)#switchportaccessvlan

20SW3(config-if)#exitSW3(config)#interfacefastEthernet

0/24SW3(config-if)#switchportmodetrunk

SW3#showinterfacestrunk

PortModeEncapsulationStatusNativevlanFa0/24on802.1qtrunking1

PortVlansallowedontrunkFa0/241-1005

PortVlansallowedandactiveinmanagementdomainFa0/241,10,20

PortVlansinspanningtreeforwardingstateandnotprunedFa0/241,10,202、Fa0/24口的VＬＡＮ配置驗(yàn)證3、SW3的VLAN配置驗(yàn)證下課，謝謝！授課教師：管秀君吉林交通職業(yè)技術(shù)學(xué)院CLASSOVER,THANKYOU!項(xiàng)目4配置管理虛擬局域網(wǎng)授課教師：管秀君吉林交通職業(yè)技術(shù)學(xué)院項(xiàng)目實(shí)戰(zhàn)任務(wù)4.3組建安全隔離的小型局域網(wǎng)項(xiàng)目背景某公司人力資源部、財(cái)務(wù)處、市場(chǎng)部、技術(shù)部分別建立了自己的局域網(wǎng)。并在這四個(gè)部門之間實(shí)現(xiàn)了資源共享。但是，網(wǎng)路規(guī)模的擴(kuò)大，客戶端的計(jì)算機(jī)配置越來超高，各個(gè)客戶現(xiàn)之間通過網(wǎng)絡(luò)傳輸文件的速度越來越慢，經(jīng)過技術(shù)人員分析，公司交換以太網(wǎng)只隔離了沖突域，但AＲＰ等病毒是在一個(gè)廣播域內(nèi)的，為此需要將公司人力資源部、財(cái)務(wù)處、市場(chǎng)部、技術(shù)部各自的局城網(wǎng)劃分為更小的迎輯網(wǎng)格，每個(gè)迎輯網(wǎng)格（VLAN），可以起到隔離廣播和單播流量。而且隨著公司業(yè)務(wù)的發(fā)展，公司為市場(chǎng)部新建了營(yíng)銷大樓，同時(shí)在市場(chǎng)部中設(shè)立了財(cái)務(wù)科，為了信息的安全，要求公司人力資源部、財(cái)務(wù)處、市場(chǎng)部、技術(shù)部各局域網(wǎng)之間隔離，但是各部門自己內(nèi)部是連通的。實(shí)施條件C1BC2D技術(shù)部市場(chǎng)部財(cái)務(wù)處財(cái)務(wù)科公司總部SW1營(yíng)銷大摟SW2Fa0/24Fa0/24Fa0/6-17Fa0/18-23Fa0/1-15Fa0/16-20A人力資源部Fa0/1-5方案實(shí)施（一）繪制網(wǎng)絡(luò)拓?fù)鋱D數(shù)據(jù)規(guī)劃（二）方案規(guī)劃設(shè)計(jì)部門VLANVLAN名稱計(jì)算機(jī)連接交換機(jī)/端口IP地址子網(wǎng)掩碼默認(rèn)網(wǎng)關(guān)人力資源部10RLZYBPC1-1SW1/Fa0/1192．168．10．1255．255．255．0192．168．10．254PC1-5SW1/Fa0/5192．168．10．5技術(shù)部20JSBPC1-6SW1/Fa0/6192．168．20．6192．168．20．254PC1-17SW1/Fa0/17192．168．20．17財(cái)務(wù)處30CWCPC1-18SW1/Fa0/18192．168．30．18192．168．30．254PC1-23SW1/Fa0/23192．168．30．23市場(chǎng)部40SCBPC2-1SW2/Fa0/1192．168．40．1192．168．40．254PC2-15SW2/Fa0/15192．168．40．15財(cái)務(wù)科30CWCPC2-16SW2/Fa0/16192．168．30．16192．168．30．254PC2-20SW2/Fa0/20192．168．30．20實(shí)施步驟（三）交換機(jī)SW1的配置（１）為交換機(jī)命名為SW1并創(chuàng)建VLAN10，創(chuàng)建VLAN10命名為RLZYBSwitch(config)#hostnameSW1SW1(config)#vlan10SW1(config-vlan)#nameRLZYBSW1(config-vlan)#exit（2）創(chuàng)建VLAN20，創(chuàng)建VLAN20命名為JSBSW1(config)#vlan20SW1(config-vlan)#nameJSBSW1(config-vlan)#exit（3）創(chuàng)建VLAN30，創(chuàng)建VLAN10命名為CWCSW1(config)#vlan30SW1(config-vlan)#nameCWC（三）交換機(jī)SW1的配置（4）將Fa0/1-5加入到VLAN10中SW1(config)#interfacerangefastEthernet0/1-5SW1(config-if-range)#switchportmodeaccess

SW1(config-if-range)#switchportaccessvlan10SW1(config-if-range)#exit（5）將Fa0/6-17加入到VLAN20中SW1(config)#interfacerangefastEthernet0/6-17SW1(config-if-range)#switchportmodeaccessSW1(config-if-range)#switchportaccessvlan20SW1(config-if-range)#exit（6）將Fa0/8-23加入到VLAN30中SW1(config)#interfacerangefastEthernet0/18-23SW1(config-if-range)#switchportmodeaccessSW1(config-if-range)#switchportaccessvlan30實(shí)施步驟（三）交換機(jī)SW1的配置（7）將Fa0/24口設(shè)置成trunkSW1(config)#interfacefastEthernet0/24SW1(config-if)#switchportmodetrunk

（8）讓Fa0/24口透?jìng)鱒LAN30SW1(config-if)#switchporttrunkallowedvlan30SW1(config-if)#exit實(shí)施步驟（四）交換機(jī)SW2的配置（１）為交換機(jī)命名為SW2并創(chuàng)建VLAN30，創(chuàng)建VLAN30命名為CWCSwitch(config)#hostnameSW2SW2(config)#vlan30SW2(config-vlan)#nameCWCSW2(config-vlan)#exit（2）創(chuàng)建VLAN40，創(chuàng)建VLAN40命名為SCBSW2(config)#vlan40SW2(config-vlan)#nameSCBSW2(config-vlan)#exit實(shí)施步驟（四）交換機(jī)SW2的配置（3）將Fa0/16-20加入到VLAN30中SW2(config)#interfacerangefastEthernet0/16-20SW2(config-if-range)#switchportmodeaccess

SW2(config-if-range)#switchportaccessvlan30SW2(config-if-range)#exit（4）將Fa0/1-15加入到VLAN40中SW2(config)#interfacerangefastEthernet0/1-15SW2(config-if-range)#switchportmodeaccess

SW2(config-if-range)#switchportaccessvlan40SW2(config-if-range)#exit實(shí)施步驟（四）交換機(jī)SW2的配置（5）將Fa0/24口設(shè)置成trunkSW2(config)#interfacefastEthernet0/24SW2(config-if)#switchportmodetrunk

（6）讓Fa0/24口透?jìng)鱒LAN30SW2(config-if)#switchporttrunkallowedvlan30SW2(config-if)#exit（五）對(duì)各計(jì)算機(jī)機(jī)的IP進(jìn)行配置實(shí)施步驟（六）測(cè)試各計(jì)算機(jī)機(jī)（部門）之間的連通性實(shí)施步驟（六）測(cè)試各計(jì)算機(jī)機(jī)（部門）之間的連通性實(shí)施步驟下課，謝謝！授課教師：管秀君吉林交通職業(yè)技術(shù)學(xué)院CLASSOVER,THANKYOU!項(xiàng)目4配置管理虛擬局域網(wǎng)授課教師：管秀君吉林交通職業(yè)技術(shù)學(xué)院拓展任務(wù)4.4GVRP協(xié)議及配置4.4.1GVRP協(xié)議交GARP（GenericAttributeRegistrationProtocol）是一種通用的屬性注冊(cè)協(xié)議，它為處于同一個(gè)交換網(wǎng)內(nèi)的交換成員之間提供了分發(fā)、傳播、注冊(cè)某種信息的一種手段，如VLAN、多播組地址等。GARP本身不作為一個(gè)實(shí)體在交換機(jī)中存在。遵循GARP協(xié)議的應(yīng)用實(shí)體稱為GARP應(yīng)用。目前主要的GARP應(yīng)用為GVRP和GMRP。GVRP概述GVRP工作原理GVRP是VLAN注冊(cè)協(xié)議，英文全稱是GARPVLANRegistrationProtocol。GVRP基于GARP的工作機(jī)制，是GARP的一種應(yīng)用，它維護(hù)交換機(jī)中的VLAN動(dòng)態(tài)注冊(cè)信息并傳播該信息到其他的交換機(jī)中。根據(jù)VLAN注冊(cè)信息，交換機(jī)了解到干道鏈路對(duì)端有哪些VLAN，自動(dòng)配置干道鏈路，只允許對(duì)端交換機(jī)需要的VLAN在干道鏈路上傳輸。GVRP成員通過聲明或回收聲明告訴別的GVRP成員希望對(duì)方注冊(cè)或注銷自己的VLAN信息，并根據(jù)別的GVRP成員的聲明或回收聲明注冊(cè)或注銷對(duì)方的VLAN信息。GVRP的應(yīng)用實(shí)體在協(xié)議中被稱為GVRPParticipant，在交換機(jī)內(nèi)每一個(gè)參與協(xié)議的端口可以看為一個(gè)應(yīng)用實(shí)體，如圖4-18所示。GVRP注冊(cè)過程通過“聲明→注冊(cè)”的過程，使得鏈路兩端口都具備VLAN2屬性，則該VLAN2的幀允許在此鏈路上傳遞。GVRP端口注冊(cè)模式GVRP端口注冊(cè)模式（1）Normal模式允許該端口動(dòng)態(tài)注冊(cè)、注銷VLAN，傳播動(dòng)態(tài)VLAN以及手動(dòng)配置的VLAN信息，這是端口默認(rèn)模式。（2）Fixed模式禁止該端口動(dòng)態(tài)注冊(cè)、注銷VLAN，只傳播手動(dòng)配置的靜態(tài)VLAN信息，不傳播動(dòng)態(tài)VLAN信息。也就是說被設(shè)置為fixed模式的Trunk口，即使允許所有VLAN通過，實(shí)際通過的VLAN也只能是手動(dòng)配置的那些VLAN。（3）Forbidden模式禁止該端口動(dòng)態(tài)注冊(cè)、注銷VLAN，不傳播除VLAN1以外的任何的VLAN信息。也就是說被配置為Forbidden模式的Trunk口，即使允許所有VLAN通過，實(shí)際通過的VLAN也只能是缺省VLAN，即VLAN1。4.4.2GVRP配置中興交換機(jī)中GVRP設(shè)置GVRP配置命令對(duì)接的是中興的設(shè)備中興交換機(jī)中GVRP設(shè)置主要包括以下內(nèi)容：1．使能/關(guān)閉系統(tǒng)GVRP功能zte(config)##setgvrp