【精品论文】VLAN技术白皮书

1、vlan技术白皮书=摘要：vlan（virtual local areanetwork）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。ieee于1999年颁布了用以标准化vlan实现方案的802.1q协议标准草案。 关键词：vlan vlan聚合 pvlan gvrp vtp 1、vlan概述vlan（virtual local areanetwork）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。ieee于1999年颁布了用以标准化vlan实现方案的802.1q协议标准草案。

2、vlan是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了vlan头，用vlan id把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。 2、vlan在交换机上的实现方法，可以大致划分为4类：（1）、 基于端口划分的vlan这种划分vlan的方法是根据以太网交换机的端，口来划分，比如quidway s3526的14端口为vlan 10，517为vlan 20，1824为vlan 30，当然，这些属于同一vlan的端口可以不连续，如何配置，由管理员决定，如果有多

3、个交换机，例如，可以指定交换机 1的16端口和交换机 2 的14端口为同一vlan，即同一vlan可以跨越数个以太网交换机，根据端口划分是目前定义vlan的最广泛的方法，ieee 802.1q规定了依据以太网交换机的端口来划分vlan的国际标准。这种划分的方法的优点是定义vlan成员时非常简单，只要将所有的端口都指定义一下就可以了。它的缺点是如果vlan a的用户离开了原来的端口，到了一个新的交换机的某个端口，那么就必须重新定义。（2）、基于mac地址划分vlan这种划分vlan的方法是根据每个主机的mac地址来划分，即对每个mac地址的主机都配置他属于哪个组。这种划分vlan的方法的最大优点

4、就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，vlan不用重新配置，所以，可以认为这种根据mac地址的划分方法是基于用户的vlan，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个vlan组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，vlan就必须不停的配置。（3）、基于网络层划分vlan这种划分vlan的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是

5、根据网络地址，比如ip地址，但它不是路由，与网络层的路由毫无关系。它虽然查看每个数据包的ip地址，但由于不是路由，所以，没有rip，ospf等路由协议，而是根据生成树算法进行桥交换。这种方法的优点是用户的物理位置改变了，不需要重新配置所属的vlan，而且可以根据协议类型来划分vlan，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别vlan，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查ip帧头，需要更高的技术，同时也更费时。当

6、然，这与各个厂商的实现方法有关。4、根据ip组播划分vlanip 组播实际上也是一种vlan的定义，即认为一个组播组就是一个vlan，这种划分的方法将vlan扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。鉴于当前业界vlan发展的趋势，考虑到各种vlan划分方式的优缺点，为了最大程度上地满足用户在具体使用过程中需求，减轻用户在vlan的具体使用和维护中的工作量，quidway s系列交换机采用根据端口来划分vlan的方法。vlan技术简介因为vlan技术与局域网技术息息相关，所以在介绍vlan之前，我们首先来了解一下局域

7、网的有关知识。局域网（lan）通常被定义为一个单独的广播域，主要使用hub，网桥，或交换机等网络设备连接同一网段内的所有节点。同处一个局域网之内的网络节点之间可以不通过网络路由器直接进行通信；而处于不同局域网段内的设备之间的通信则必须经过网络路由器。图一所示为使用路由器构建的典型的局域网环境。图一所示网络中，通过使用路由器划分出不同的局域网段。其中，位于圆形区域之内的部分就是一个个相互独立的局域网段。为了便于在本文中进行说明，我们为不同的网段进行了编号。需要注意的一点就是，每一个局域网所连接的路由器接口都属于该局域网广播域的一部分。随着网络的不断扩展，接入设备逐渐增多，网络结构日趋复杂，必须使

8、用更多的路由器才能将不同的用户划分到各自的广播域中，在不同的局域网之间提供网络互连。这样做的一个缺陷就是随着网络中路由器数量的增多，网络时延逐渐加长，从而导致网络数据传输速度的下降。这主要是因为数据在从一处局域网传递到另一处局域网时，必须经过路由器的路由操作，路由器根据数据包中的相应信息确定数据包的目标地址，然后再选择合适的路径转发出去。vlan，又称虚拟局域网，是由位于不同物理局域网段的设备组成。虽然vlan所连接的设备来自不同的网段，但是相互之间可以进行直接通信，好像处于同一网段中一样，由此得名虚拟局域网。相比较传统的局域网布局，vlan技术更加灵活。为了创建虚拟网络，需要对已有的网络拓扑

9、结构进行相应的调整。还是连接相同的网络终端，通过如图所示的交换网络提供了同样的网络连接。虽然图二所示的网络比起图一所示网络在速度和网络时延方面都有了很大的改进和提高，但是同样存在一些不足。其中，最突出的一点就是现在所有的网络节点都处于同一个广播域内，大大增加了网络中所有设备之间的数据流量。随着网络的不断扩充，很有可能出现广播风暴，导致整个网络无法使用。vlan技术入门vlan是英文virtual localarea network的缩写，即虚拟局域网。一方面，vlan建立在局域网交换机的基础之上；另一方面，vlan是局域交换网的灵魂。这是因为通过vlan用户能方便地在网络中移动和快捷地组建宽带

10、网络，而无需改变任何硬件和通信线路。这样，网络管理员就能从逻辑上对用户和网络资源进行分配，而无需考虑物理连接方式。 vlan充分体现了现代网络技术的重要特征：高速、灵活、管理简便和扩展容易。是否具有vlan功能是衡量局域网交换机的一项重要指标。网络的虚拟化是未来网络发展的潮流。vlan与普通局域网从原理上讲没有什么不同，但从用户使用和网络管理的角度来看，vlan与普通局域网最基本的差异体现在：vlan并不局限于某一网络或物理范围，vlan中的用户可以位于一个园区的任意位置，甚至位于不同的国家。vlan具有以下优点：控制网络的广播风暴采用vlan技术，可将某个交换端口划到某个vlan中，而一个v

11、lan的广播风暴不会影响其它vlan的性能。确保网络安全共享式局域网之所以很难保证网络的安全性，是因为只要用户插入一个活动端口，就能访问网络。而vlan能限制个别用户的访问，控制广播组的大小和位置，甚至能锁定某台设备的mac地址，因此vlan能确保网络的安全性。简化网络管理网络管理员能借助于vlan技术轻松管理整个1112网络。例如需要为完成某个项目建立一个工作组网络，其成员可能遍及全国或全世界，此时，网络管理员只需设置几条命令，就能在几分钟内建立该项目的vlan网络，其成员使用vlan网络，就像在本地使用局域网一样。 vlan的分类主要有以下几种：基于端口的vlan基于端口的vlan是划分虚

12、拟局域网最简单也是最有效的方法，这实际上是某些交换端口的集合，网络管理员只需要管理和配置交换端口，而不管交换端口连接什么设备。基于mac地址的vlan由于只有网卡才分配有mac地址，因此按mac地址来划分vlan实际上是将某些工作站和服务器划属于某个vlan。事实上，该vlan是一些mac地址的集合。当设备移动时，vlan能够自动识别。网络管理需要管理和配置设备的mac地址，显然当网络规模很大，设备很多时，会给管理带来难度。基于第3层的vlan基于第3层的vlan是采用在路由器中常用的方法：ip子网和ipx网络号等。其中，局域网交换机允许一个子网扩展到多个局域网交换端口，甚至允许一个端口对应于

13、多个子网。基于策略的vlan基于策略的vlan是一种比较灵活有效的vlan划分方法。该方法的核心是采用什么样的策略？目前，常用的策略有（与厂商设备的支持有关）：按mac地址按ip地址按以太网协议类型按网络的应用等vlan的标准对vlan的标准，我们只是介绍两种比较通用的标准，当然也有一些公司具有自己的标准，比如cisco公司的isl标准，虽然不是一种大众化的标准，但是由于cisco catalyst交换机的大量使用，isl也成为一种不是标准的标准了。 802.10vlan标准在1995年，cisco公司提倡使用ieee802.10协议。在此之前，ieee802.10曾经在全球范围内作为vlan

14、安全性的同一规范。cisco公司试图采用优化后的802.10帧格式在网络上传输framtagging模式中所必须的vlan标签。然而，大多数802委员会的成员都反对推广802.10。因为，该协议是基于frametagging方式的。 802.1q在1996年3月，ieee802.1internetworking委员会结束了对vlan初期标准的修订工作。新出台的标准进一步完善了vlan的体系结构，统一了fram-etagging方式中不同厂商的标签格式，并制定了vlan标准在未来一段时间内的发展方向，形成的802.1q的标准在业界获得了广泛的推广。它成为vlan史上的一块里程碑。802.1q的出

15、现打破了虚拟网依赖于单一厂商的僵局，从一个侧面推动了vlan的迅速发展。另外，来自市场的压力使各大网络厂商立刻将新标准融合到他们各自的产品中。关于trunk方式- trunk是独立于vlan的、将多条物理链路模拟为一条逻辑链路的vlan与vlan之间的连接方式。采用trunk方式不仅能够连接不同的vlan或跨越多个交换机的相同vlan，而且还能增加交换机间的物理连接带宽，增强网络设备间的冗余。由于在基于交换机的vlan划分当中，交换机的各端口分别属于各vlan段，如果将某一vlan端口用于网络设备间的级联，则该网络设备的其他vlan中的网络终端就无法与隶属于其他网络设备的vlan网络终端进行通

16、信。有鉴于此，网络设备间的级联必须采用trunk方式，使得该端口不隶属于任何vlan，也就是说该端口所建成的网络设备间的级联链路是所有vlan进行通信的公用通道。vlan新用途虽然vlan并非最好的网络技术，但这种用于网络结点逻辑分段的方法正为许多企业所使用。vlan采用多种方式配置于企业网络中，包括网络安全认证、使无线用户在802.11b接入点漫游、隔离ip语音流及在不同协议的网络中传输数据等。六年前引进vlan的时候，多数vlan都是基于ieee 802.1q和802.1p标准的。802.1q规范用于将vlan用户信息载入以太网帧，而802.1p使二层交换机具有流量优先和实施动态多址滤波的

17、能力。当初引进vlan时，它被看作是一个简化地址管理的方法，可以使it人员在网络的任意点对服务器和pc机进行物理配置，并将pc机加入到组中。多数网络设备的软件可用于将媒体访问控制（mac）地址与vlan相关联，当客户从一个端口移动到另一个端口时，可以使其自动连接到网络上。vlan的应用最近，休斯顿在4栋22层的建筑物中建立了网络及其子网，包括122个法庭、法律事务所和审判厅，这种建筑物非常适合建立vlan，因为将122个私人子网合并到一个vlan中要比将用户插入端口组容易得多。vlan和静态ip地址也可用于安全机制。所有工作于这里的客户都分配了一个静态ip地址，通过alcatel的omnisw

18、itch路由器和omnicore5052主干网交换器连接到网络中。这种配置方式使法官和律师在不同的法庭中都可以进行工作。这种设置可控制许可用户的访问权限以及限制未注册用户的访问，因而可以提供安全性。接入网络的唯一方法就是必须拥有一个ip地址，而且这些pc机都连接在其中的一个vlan上。vlan的漫游功能massachusetts的/pidgewater州立学院配置了100多个enterasys公司的roamabout 802.11b/a无线接入点，因而学生在整个校园中都可以访问web和e-mail。如果没有对无线流量进入自己的vlan进行隔离，那么对于希望在校园范围内保持网络连接的移动用户来说

19、，它将成为一场噩梦。将所有的无线流量置于一个vlan中，可以确保当用户从一个接入点移动到另一个接入点时不会掉线。而实际上当整个校园中配置的enterasys接入点只有150英尺的范围时，这种情况很容易发生。在宿舍、教室和管理机构中，利用cisco和enterasys混合的可堆叠交换器来连接到无线接入点。克服了一些交叉厂商的vlan配置问题之后，现在可以在校园的任意地方漫游，无论是连接到cisco还是enterasys交换器上，都可以保持连接在同一vlan上。vlan管理vlan不仅可用于安全和网络管理，对于混合型网络的管理来说，它同样不失为一个有益的工具。有人利用enterasys公司的sma

20、rtswitch可堆叠交换器和smartswitch router主干网交换器来在整个子网上建立vlan，这些子网是运行多种协议的。医疗数据库建立在vax小型机上，这种应用运行于遗留的decnet协议之上。decnet的确使用了大量的广播流量，可将这些流量置于其自己的vlan上，因而decnet数据流只能够到达一定的网段。netware 4.11服务器在网络上运行的情况与此类似。它只为novell服务器及用户创建独立的ipx vlan，这使多数基于ip和windows nt/2000服务器的网络不会陷入ipx和decnet流量的海洋中。隔离voip流量进入vlan也成为3com、cisco、a

21、lcatel、nortel和avaya等ip电话厂商的一个标准推荐。所有这些厂商的交换器和ip pbx设备都支持802.1q技术，这就隔离了ip语音流进入其自己的vlan。厂商和用户都认为，在其虚拟段保持语音可能是非常有用的，作为一个隔离语音流的方法，它可以达到故障诊断的目的。如果有大流量的广播或大的文件下载，它也能确保语音质量不会下降。如何在交换机上配置vlan我们知道，传统的局域网ethernet 使用具有冲突检测的载波监听多路访问( csma / cd )方法。在csma / cd 网络中，节点可以在它们有数据需要发送的任何时候使用网络。在节点传输数据之前，它进行监听以了解网络是否很繁忙

22、。如果不是，则节点开始传送数据。如果网络正在使用，则节点等待。如果两个节点进行监听，没有听到任何东西，而开始同时使用线路，则会出现冲突。在发送数据时，它如果使用广播地址，那么在此网段上的所有pc都将收到数据包，这样一来如果该网段pc众多，很容易引起广播风暴。而冲突和广播风暴是影响网络性能的重要因素。为解 决这一问题，引入1112了虚拟局域网（vlan的）概念。虚拟网络是在整个网络中通过网络交换设备建立的虚拟工作组。虚拟网在逻辑上等于osi模型的第二层的广播域，与具体的物理网及地理位置无关。虚拟工作组可以包含不同位置的部门和工作组，不必在物理上重新配置任何端口，真正实现了网络用户与它们的物理位置

23、无关。虚拟网技术把传统的广播域按需要分割成各个独立的子广播域，将广播限制在虚拟工作组中，由于广播域的缩小，网络中广播包消耗带宽所占的比例大大降低，网络的性能得到显著的提高。我们结合下面的图来看看讲下。图1所表示的是两层楼中的相同性质的部门划分到一个vlan中，这样，会计的数据不会向市场的机器上广播，也不会和市场的机器发生数据冲突。所以vlan有效的分割了冲突域和广播域。我们可以在交换机的某个端口上定义vlan ，所有连接到这个特定端口的终端都是虚拟网络的一部分，并且整个网络可以支持多个vlan。vlan通过建立网络防火墙使不必要的数据流量减至最少，隔离各个vlan间的传输和可能出现的问题，使网

24、络吞吐量大大增加，减少了网络延迟。在虚拟网络环境中，可以通过划分不同的虚拟网络来控制处于同一物理网段中的用户之间的通信。这样一来有效的实现了数据的保密工作，而且配置起来并不麻烦，网络管理员可以逻辑上重新配置网络，迅速、简单、有效地平衡负载流量，轻松自如地增加、删除和修改用户，而不必从物理上调整网络配置。既然vlan有那么多的优点，我们为什么不了解它从而把vlan技术应用到我们的现实网络管理中去呢。好的让我们通过实际的在catalyst 1900交换机上来配置静态vlan的例子来看看如何在交换机上配置vlan。图1 在catalyst 1900 上的两个vlan设置好超级终端，连接上1900交换

25、机后（可以参考1900系列以太网交换机快速入门指南或其他的cisco参考资料），会出现如下的主配置界面：-1 user(s) now active on management console.user interface menum menusk command linei ip configurationenter selection:我们简单介绍下，这儿显示了三个选项，m menus 是主菜单，主要是交换机的初始配置和监控交换机的运行状况。k command line是命令行，很象路由器里面用命令来配置和监控路由器一样，主要是通过命令来操作。i ip configuration 是配置ip

26、地址、子网掩码和默认网管的一个选项。这是第一次连上交换机显示的界面，如果你已经配置好了ip configuration，那么下次登陆的时候将没有这个选项。因为用命令配置简洁明了，清晰易懂，所以我们通过 k command line 来实现vlan的配置的。设置好超级终端，连接上1900交换机后（可以参考1900系列以太网交换机快速入门指南或其他的cisco参考资料），会出现如下的主配置界面：-1 user(s) now active on management console.user interface menum menusk command linei ip configuratione

27、nter selection:我们简单介绍下，这儿显示了三个选项，m menus 是主菜单，主要是交换机的初始配置和监控交换机的运行状况。k command line是命令行，很象路由器里面用命令来配置和监控路由器一样，主要是通过命令来操作。i ip configuration 是配置ip地址、子网掩码和默认网管的一个选项。这是第一次连上交换机显示的界面，如果你已经配置好了ip configuration，那么下次登陆的时候将没有这个选项。因为用命令配置简洁明了，清晰易懂，所以我们通过 k command line 来实现vlan的配置的。我们选择 k command line ，进入命令行配

28、置enter selection:k 回车cli session with the switch is open.to end the cli session,enter exit .现在我们进入到了交换机的普通用户模式，就象路由器一样，这种模式只能查看现在的配置，不能更改配置，并且能够使用的命令很有限。我们输入enable，进入特权模式：enable#config tenter configuration commands,one per line.end with cntl/z(config)#为了安全和方便起见，我们给这个交换机起个名字，并且设置登陆密码。(config)#hostnam

29、e 1900switch1900switch(config)# enable password level 15 goodwork1900switch(config)#注意：密码必须是4-8位的字符。交换机密码的设置和路由器稍微不同，交换机用 level 级别的大小来决定密码的权限。level 1 是进入命令行界面的密码，也就是说，设置了 level 1 的密码后，你下次连上交换机，并输入 k 后，就会让你输入密码，这个密码就是 level1 设置的密码。而 level 15 是你输入了enable命令后让你输入的特权模式密码。路由器里面是使用 enable password 和 enable

30、 screet做此区分的。好拉，我们已经设置好了名字和密码这样就足够安全了，让我们设置vlan。vlan的设置分以下2步：1 设置vlan名称2 应用到端口我们先设置vlan的名称。使用 vlan vlan号 name vlan名称。 在特权配置模式下进行配置：1900switch (config)#vlan 2 name accounting1900switch (config)#vlan 3 name marketing我们新配置了2个vlan，为什么vlan号从2开始呢？这是因为默认情况下，所有的端口否放在vlan 1上，所以要从2开始配置。1900系列的交换机最多可以配置1024个vl

31、an，但是，只能有64个同时工作，当然了，这是理论上的，我们应该根据自己网络的实际需要来规划vlan的号码。配置好了vlan名称后我们要进入每一个端口来设置vlan。在交换机中，要进入某个端口比如说第4个端口，要用 interface ethernet 0/4，好的，结合上面给出的图我们让端口2、3、4和5属于vlan2 ，端口17-22属于vlan3 。命令是vlan-membership static/ dynamic vlan号 。 静态的或者动态的两者必须选择一个，后面是刚才配置的vlan号。好的，我们看结果：1900switch(config)#interface ethernet

32、0/21900switch(config-if)#vlan-membership static 21900switch(config-if)#int e0/31900switch(config-if)#vlan-membership static 21900switch(config-if)#int e0/41900switch(config-if)#vlan-membership static 21900switch(config-if)#int e0/51900switch(config-if)#vlan-membership static 21900switch(config-if)#i

33、nt e0/171900switch(config-if)#vlan-membership static 3。1900switch(config-if)#int e0/221900switch(config-if)#vlan-membership static 31900switch(config-if)#好的，我们已经把vlan都定义到了交换机的端口上了。这儿，我们只是配置的静态的，关于动态的，我们在后面会有提及的。到现在为止，我们已经把交换机的vlan配置好了，怎么样，没有你想象的那么复杂吧。为了验证我们的配置，我们在特权模式使用show vlan命令。输出如下：1900switch(co

34、nfig)#show vlanvlan name status ports-1 default enabled 1,6-16,22-24,aui,a,b2 acconting enabled 2-53 marketing enabled 17-221002 fddi-default suspended1003 token-ring-defau sus1112pended1004 fddinet-default suspended1005 trnet-default suspended这是一个24口的交换机，并且带有aui和两个100兆端口（a、b），可以看出来，我们的设置已经正常工作了，什么，

35、还要不要保存running configure？当然不用了，交换机是即时自动保存的，所以不用我们使用命令来保存设置了。当然了，你也可以使用 show vlan vlan号 的命令来查看某个vlan，比如show vlan2 , show vlan 3. 还可以使用show vlan-membership ，改命令主要是显示交换机上的每一个端口静态或动态的属于哪个vlan。以上是给交换机配置静态vlan的过程，下面我们看看动态的vlan。动态的v l a n 形成很简单，由端口自己决定它属于哪个v l a n 时，就形成了动态的v l a n 。不过，这并不意味着就一层不变了，它只是一个简单的映

36、射，这个映射取决于网络管理员创建的数据库。分配给动态v l a n 的端口被激活后，交换机就缓存初始帧的源m a c 地址，随后，交换机便向一个称为vmps （v l a n 管理策略服务器）的外部服务器发出请求，v m p s 中包含一个文本文件，文件中存有进行v l a n 映射的m a c 地址。交换机对这个文件进行下载，然后对文件中的m a c 地址进行校验。如果在文件列表中找到m a c 地址，交换机就将端口分配给列表中的v l a n 。如果列表中没有m a c 地址，交换机就将端口分配给默认的v l a n （假设已经定义默认了v l a n ）。如果在列表中没有m a c 地址

37、，而且也没有定义默认的v l a n ，端口不会被激活。这是维护网络安全一种非常好的的方法。从表面上看，动态v l a n 的优势很大，但它也有致命的缺点，即创建数据库是一项非常艰苦而且非常繁琐的工作。如果网络上有数千个工作站，则有大量的输入工作要做。即使有人能胜任这项工作，也还会出现与动态的v la n 有关的很多问题。另外，保持数据库为最新也是要随时进行的非常费时的工作。所以不经常用到它，这里我们就不做详细的讲解，可以参考相关的cisco的文档资料。这么样，没有你想象的那么复杂吧。我们已经把vlan配置好了，那么vlan的另一部分不容忽视的工作，就是前期的对网络的规划。就是说，哪些机器在一

38、个vlan中，各自的ip地址、子网掩码如何分配，以及vlan之间互相通讯的问题。只有规划计划好了，才能够在配置和以后的使用维护过程中轻松省事。lan的网络管理过去常常在网络里使用路由器和集线器，而现在很多网络使用交换机，怎样面对路由网络和交换技术的挑战吗？目前，交换机在网络市场上占据了主导地位，其中原因是：首先是交换机性价比高，其次是结构灵活，可以随着未来应用的变化而灵活配置。数字最能说明问题。在有一个100mbps上行链路的交换机里，每个10mbps受控交换机端口的成本为100美元。路由选择技术并不真正按给每个端口分配一个用户的方式来分段网络，每个路由器端口的成本至少是交换机端口的三四倍，因

39、而管理负担大得惊人。尽管用路由器分段的网络只有tcp/ip通信量，但由于成本高，性能不高，子网太多，并且配置工作量大，所以很快就行不通了。相比而言，交换机和集线器一样，是即插即用设备。目前正在出现具有“自学”功能的路由选择设备，采用所支持的协议自动配置端口。在缺省情况下，纯交换网络是平面网络。如果每个节点都有自己的交换端口，网络就很难发生争用情况，即入站通信量与节点的出站通信量发生资源争用，反之亦然。相比而言，在传统的共享网段或者环里，每个节点的吞吐量随着节点的增多而下降，例如有25个节点的10baset网络只能给每个节点平均提供400kbps带宽，而有专业交换端口的节点却拥有10mbps吞吐

40、量。一般被节点用于做广告或者寻找目前未知的广播技术可大大提供这种网络的吞吐量，而通常的单址广播帧只能广播到一个目的地节点和中间交换端口。自从网桥流行的那一天起，我们就知道我们实际上并不希望有数千个节点的广播域，因为广播风暴无法预测且难以控制。把平面网络变成较小的广播域，无异于使交换网络变成一种丰富多彩的调色板。与其用路由器定义任意大小的子网，倒不如用交换机建立vlan。vlan的管理vlan与交换网络密不可分，但实施vlan要重新定义管理环境。vlan定义的逻辑域涉及网络里的可能视图，因而网络管理平台可显示ip图像，有时还会显示基于ipx的图像。如果部署vlan，其拓扑可能与上述视图不匹配。当

41、vlan部署完毕之后，你很可能对根据逐个vlan监视通信量并生成警报这一点感兴趣。在目前，大多数基于交换机的vlan是专用的。ieee 802.1p委员会开发出一种多址广播标准，使vlan成员可以在取消vlan广播抑制任务的情况下通信。在可互操作的软件和硬件里实现上述标准之前，vlan配置仍将要求维护单一供应商交换机环境。即使在单一供应商vlan里，网络管理也是一种挑战，例如检查vlan对话要求管理软件处理的统计信息不同于检查常见的lan或ip子网对话：rmon mib和rmon-2 mib分别提供确定lan和子网信息的框架，而vlan配置必须定义自己的mib，或者配置如何根据其他mib获得上

42、述信息。此外，为了提供连贯的vlan行为特性图，管理软件要收集并合并来自多个rmon检测器的数据。如果上述问题很严重，就要考虑捕捉多交换机valn数据的地方只限于中间交换机链路或者主干网。在大型网络里，主干几乎都在100mbps以上，高速控制器的部署与常见vlan不一样，而且成本很高。vlan的配置如果根据交换机端口定义vlan，通常很容易用某种拖放软件把一个或多个用户分配到特定的vlan。在非交换环境里，移动、添加或更改操作很麻烦，有可能要改动接线板上的跳线充一个集线器端口移动到另一个端口。然而，改动vlan分配仍然要靠人工进行：在大型网络里，这样做很费时，因而很多联网供应商鼓吹采用vlan

43、可以简化移动、添加和更改操作。基于mac地址的vlan分配方案确实可使某些移动、添加和更改操作自动化。如果用户根据mac地址被分配到一个vlan或多个vlan，他们的计算机可以连接交换网络的任何一个端口，所有通信量均能正确无误地到达目的地。显然，管理员要进行vlan初始分配，但用户移动到不同的物理连接不需要在管理控制台进行人工干预；例如有很多移动用户的站，他们并非总是连接同一端口或许因为办公室都是临时性的，采用基于mac地址的vlan可避免很多麻烦。传统的layer3技术怎么样呢？这里离开vlan最近的是ip子网：每个子网需要一个路由器端口，因为通信量只能通过一个路由器从一个子网移动到另一个子

44、网。由于ip32位地址提供的地址空间很有限，所以很难分配子网地址，还有看你是否熟悉二进制算法。因此，在ip网络里执行移动、添加和更改操作很困难，速度慢，容易出错，而且费用大。另外，在公司更换isp或者采用新安全策略时，可能有必要重新编号网络，这对于大型网络来说是无法想像的。实际上，如果有人采用现有的有子网的路由ip网络，并根据ip地址访问任意vlan成员，路由器就可能会被不必要的通信量淹没。如果很多子网里都有valn成员，常用的vlan广播必须通过路由器才能达到所有成员。此外，糟糕的是广域链路会生成额外广播通信量；有wan连接服务的vlan成员数通常应该保持在最低水平。实际上，基于layer3

45、地址的vlan成员值有可能在增强和修改现有子网分布方面很有用，例如可通过一个全子网给vlan添加两个新节点，或者可用两个子网组成一个vlan而无须重新编号。cabletron的securefast virtual networking layer3交换技术采用路由服务器模型而1112不是传统的路由选择模型。第一个信息包传送到路由服务器进行常规路由计算，但交换机能记忆路径，因而后续信息包可在layer2交换，而无须查对路由表。由于有了基于纯layer3地址的vlan，所以ip地址可以作为通用网络id，允许任何人连接任何数据链路，从而获得全网络访问，大大简化移动、添加和更改任务。但是，还有其他方法

46、解决ip子网引起的管理问题。dhcp（动态主机配置协议）已经在连接时给用户分配地址的其他技术，都可用于解决上述问题。vlan的测试传统上，共享介质如ethernet冲突网段或者令牌环，已经成为网络管理的级别单元，连接网段或环任何地方的协议分析仪都可捕捉所以节点自己发生的所有对话。集线器的snmp代理捕捉整个网段通信量，错误和广播统计信息。rmon检测器（一种网络监视器或手持式故障排除设备）可检测共享介质发生的所有重大事件。这些设备提供测试手段即基本数据捕捉作业，旨在有效管理网络。交换网络必须装备类似的工具。网络数或者环数成倍增加，因而必备的设备也相应地成倍增加。对于老式10baset来说，大多

47、数独立rmon检测器的价格比较昂贵。同时，任何网段的通信量都可能只有一个源和一个目的地，使问题分析变得很困难。即使是很简单的问题，如观察广播是否正确无误地传送到vlan成员，而不传送到其他节点，也要把协议分析仪和一个三端口中继器连接到vlan的每个网段上。但情况并非很糟糕。常用的连接部件如nic，连接器，电缆和端口可用以前的方法测试，它们并不受交换结构的影响。服务器，路由器，打印机和工作站发生的问题可能会很难解决。如何路由器采用netbios桥结vlan不当，可以从vlan里的任何一个节点诊断出来。其他问题如冲突，应该可以消除掉，因为介质不再是共享介质，或者共享程度不象以前那么高。针对交换网络

48、测试设备不足的问题，交换机供应商做了很多工作。很多交换机都可配置一个监视端口，以便连接协议分析仪或者其他监视器。在有的交换机里，可以配置监视端口检查任何两个端口之间的通信量。在少数基于底板的交换机里，监视端口可用于捕捉交换机传送的所有通信量。这些监视工作可以通过神奇的电子技术来实现，而不影响交换机的性能，如果你的交换机没有监视端口，并且每个端口都没有rmon，就不能执行监视作业，即使可以执行也很难且代价昂贵。因此购买交换机必须考虑它有没有监视端口。另外，很多交换机供应商还为每个端口配备了rmon代理。如果基本的交换机硬件没有集成rmon设备，它不会削弱系统的总体性能。结束语大供应商旨在支持基于

49、端口、mac地址和layer3地址建立vlan。也有一种说法是支持基于应用的vlan成员，从而压缩视频或音频数据流的多址广播支持。当vlan定义很丰富而且灵活的时候，其他令人感兴趣的管理服务才可能走向成熟。特别地，管理员再也不必为了建立vlan成员而把一个图标拖到一个映象上去，vlan可采用策略管理动态定义。随着可动态定义的vlan产品和方案的推出和实施，配置和管理网络节点所面对的挑战也将发生根本性的转变。对于陷于沉重管理事务的管理员来说，vlan似乎并不能改变他们的窘境，因为他们必须忘却某些基于路由器的联网原理。但无论如何，每个管理员都将要面对交换式网络，而vlan是实现商业目标的重要工具。

50、企业网中的vlan设计- 在企业网络刚刚兴起之时，由于规模小、应用面窄、对internet接入认识程度低以及关于网络安全和管理知识贫乏等原因，使得企业网仅仅局限于交换模式状态。交换技术主要有2种方式: 基于以太网的帧交换和基于atm的信元交换，它相对于共享式网络性能有很大提高，但对于所有处于一个ip网段或ipx网段的网络设备来说，却同在一个广播域中。当工作站数量较多和信息流较大时，容易形成广播风暴，严重影响了网络运行速度，甚至容易造成网络瘫痪。怎样避免这个问题出现呢？采用划分网络的办法是个不错的选择。- 在采用交换技术的网络模式中，一般采用划分物理网段的手段进行网络结构的划分。从效率和安全性等

51、方面来看，这种结构划分有一定缺陷，而且在很大程度上限制了网络的灵活性。因为如果要将一个广播域分开，必须另外购买交换机，并且需要重新进行人工布线。好在虚拟局域网（virtual local areanetwork，vlan）技术的出现解决了上述问题。实际上，vlan就是一个广播域，它不受地理位置的限制，可以跨多个局域网交换机。一个vlan可以根据部门职能、对象组或者应用来将不同地理位置的网络用户划分为一个逻辑网段。对于局域网交换机，其每一个端口只能标记一个vlan，一个vlan中的所有端口拥有一个广播域，而处于不同vlan的端口则共享不同的广播域，这样就避免了广播风暴的产生。可以说，在一个交换网

52、络中，vlan提供了网段和机构的弹性组合机制。- 通常，一个规模较大的企业，其下属一般拥有多个二级单位，为保证对不同职能部门管理的方便性和安全性以及整体网络运行的稳定性，可以采用vlan划分技术，进行虚拟网络划分。下面，我们通过对一个实际案例的分析，让大家了解和掌握应用vlan技术的真谛。网络状况- 某大型起重设备总公司下属有2个二级单位，主要进行研发、服务与销售等工作。由于地理位置相对较远，业务规模尚未发展壮大，在企业成立之初，公司总部、二级单位1和二级单位2分别建立了独立的网络环境，各网络系统均采用以交换技术为主的方式，3网主干均采用千兆以太网技术。公司总部中心交换机采用了cisco ca

53、talyst 6506产品，它是带有三层路由的引擎，可使企业网具有很强的升级能力。各二级单位的中心交换机采用了cisco catalyst 4006。其他二级和三级交换机采用了cisco catalyst 3500系列交换机，主要因为catalyst 3500系列交换机具有很高的性能和可堆叠能力。需求分析- 由于业务发展迅猛，总公司与2个二级单位迫切需要畅通无阻的信息交流，从而让公司总部能对2个下属单位进行更直接和更有效的管理，进而达到三方信息共享的目的，所以将彼此相互独立的3个子网联成一个统一网络势在必行。- 图1所示的是起重设备总公司3个子网互联形成统一网络的示意图，3个子网是采用千兆以太

54、网技术进行互联的。为了避免在主干引发瓶颈问题，各子网在互联时采用了trunk技术(即双千兆技术)，使网络带宽达到4gb，这样，既增加了带宽，又提供了链路的冗余，还提高了整体网络高速、稳定和安全的运行性能。- 然而，由于网络规模不断扩大，信息流量逐渐加大，人员管理变得日益复杂，给企业网的安全、稳定和高效运行带来新的隐患，如何消除这些隐患呢？vlan划分技术能为此排忧解难。- 根据起重设备总公司业务发展需要，我们将联网后的统一网络划分为5个虚拟子网，分别是: 经理办子网、财务子网、供销子网和信息中心子网，其余部分划为一个子网。- 由于统一网络的ip地址处于192.168.0.0网段，所以我们可以将

55、各vlan的ip地址分配如下。- 经理办子网：192.168.1.0192.168.2.0/22 网关：192.168.1.1- 财务子网： 192.168.3.0192.168.5.0/22 网关：192.168.3.1- 供销子网： 192.168.6.0192.168.8.0/22 网关：192.168.6.1- 信息中心子网：192.168.7.0/24 网关：192.168.7.1- 服务器子网：192.168.100.0/24 网关：192.168.100.1- 其余子网： 192.168. 8.0192.168.9.0/22 网关：192.168.8.1详细设计- 在划分vlan时，cisco的产品主要基于21112种标准协议：isl和802.1q。isl