VLAN技术详细解析ppt课件

1、. VLAN Virtual LAN .2802.1Q VLAN的基本配置本章学习重点本章学习重点VLAN的基本概念802.1Q VLANSuper VLANPort protectGMRP、GVRPPVLAN.3VLAN概念的提出概念的提出 某单位内部网络情况如上图，其中有3个部门：工程部；销售部；财务部。 现要实现各个部门之间不能互相访问，但部门内部又可以互相访问，而且这些电脑又要分别组成一个小局域网.4什么是什么是VLAN VLAN（Virtual Local Area Network）即虚拟局域网，是一种通过将局域网内的设备逻辑地，而不是物理地划分成一个个网段，从而实现虚拟工作组的技术

2、。.5什么是什么是VLAN（续）（续） VLAN允许管理员创建基于功能或者部门的网络段，而不必受到地理位置的限制。 一个VLAN就是一个广播域。 每个VLAN都有一个VLAN ID，在整个局域网中可以唯一的标识该VLAN。 VLAN的目的是为了分隔不同类型的网络流量。 VLAN间的通信需要通过三层路由引擎或路由软件模块来实现。.6VLAN的好处的好处 共用物理的交换机设备 虚拟工作组，管理上的便利性 实现端口逻辑上的隔离，增强网络安全性 限制广播报文在整个网络中泛洪，控制广播风暴 减少网络移动和改变的代价，节省成本.7VLAN的作用的作用 每一个逻辑上的VLAN相当于一个物理上的一个交换机或者

3、网桥 VLAN可以跨越多个交换机 Trunk可以承载多个VLAN信息Switch AGreenVLANBlackVLAN RedVLANSwitch BGreenVLANBlackVLANRedVLAN Trunk Fast Ethernet.8VLAN的种类的种类 基于端口的VLAN 基于MAC的VLAN 基于IP的VLAN 基于协议的VLAN.9基于端口的基于端口的VLANVLANPortEngineering1, 3, 4Marketing2Sales5Switch A 的的VLAN表表优点: 配置简单缺点: 当连接的网络设备改变时需要对端口进行重新配置.10基于基于MAC的的VLAN优

4、点: 随意改变网络设备的位置缺点: 交换机管理能力要求高Host-1Host-2Host-3Host-4Host-5Host-6Host-7Host-8BDCOM SwitchHost-9VLAN 2VLAN 4VLAN 3Host-10BDCOM SwitchSniffer.11基于基于IP的的VLANHost-1x.x.40.1Host-2x.x.10.2Host-3x.x.10.3Host-4x.x.40.4Host-5x.x.10.6Host-6x.x.30.7Host-7x.x.40.8Host-8x.x.40.9EtherSwitch-12Host-9x.x.30.10VLAN-1

5、0VLAN-40VLAN-30Host-11x.x.30.11EtherSwitch-13Sniffer优点: 容易管理缺点: 需要检查每个ip包的三层报头.12基于协议的基于协议的VLANIPX user-1IP user-2UNIX IPIP user-6AppleTalk user-7IPX ServerEtherSwitch-12AppleTalk user-10VLAN-2VLAN-4VLAN-27AppleTalk ServerIPX user-4IP & IPX user-9IP user-5EtherSwitch-13优点: 基于应用的，可随意改变网络设备的位置缺点:

6、需要查看数据包的三层报文头.13802.1Q VLAN的基本配置本章学习重点本章学习重点VLAN的基本概念802.1Q VLANSuper VLAN、PVLANPort protectGMRP、GVRPPVLAN.14802.1Q 帧格式帧格式 IEEE802.1Q:是国际标准协议，被几乎所有的网络设备生产商所共同支持；上层数据包Destination AddressSource AddressSFDPreamble802.1Q Tag TypeTAG Control InformationMAC Length/TypeFCS7 octets1 octet6 octets6 octets2 o

7、ctets2 octets2 octets4 octets42-1500 octets以太网帧长度范围: 64-1518 bytes VLAN帧长度范围: 64-1522 bytes前置位帧开始标志目的地址源地址81-00TCI优先级 (3bits)VLAN ID (12bits)CFI (1bit).15802.1Q 标签头标签头 Tag Protocol Identifier （TPID） 801.1Q 标签帧标识，值为0 x8100 Tag Control Information（TCI） 标签控制信息，包含： VLAN Identified（VLAN ID） Canonical For

8、mat Indicator（CFI） Priority优先级 (3bits)VLAN ID (12bits)CFI (1bit).16802.1Q 标签头标签头 VLAN Identified（VLAN ID）：这是一个12 位的域，指明VLAN 的ID，一共4096 个，每个支持802.1Q 协议的主机发送出来的数据包都会包含这个域，以指明自己所属的VLAN Canonical Format Indicator（CFI）：这一位主要用于总线型的以太网与FDDI、令牌环网交换数据时的帧格式 Priority：这3 位指明帧的优先级。一共有8 种优先级，主要用于当交换机阻塞时，优先发送优先级高的

9、数据包.17.18VLAN端口状态端口状态Switch_config#show vlan id 2VLAN id: 2, Name: VLAN0002Mode: Static, Total Ports: 8Interface AtttributesF0/4 Trunk, TaggedF0/5 Trunk, TaggedF0/6 AccessF0/7 AccessF0/8 AccessF0/9 AccessF0/10 AccessF0/11 AccessF0/12 AccessF0/13 AccessF0/14 AccessF0/15 AccessF0/16 AccessSwitch_confi

10、g#show vlan id 1VLAN id: 1, Name: DefaultMode: Static, Total Ports: 18Interface AtttributesF0/1 AccessF0/2 AccessF0/3 AccessF0/4 Trunk, unTagged, PVIDF0/5 Trunk, unTagged, PVIDF0/17 AccessF0/18 AccessF0/19 AccessF0/20 AccessF0/21 AccessF0/22 AccessF0/23 AccessF0/24 Access.19802.1Q VLAN名词解释名词解释 acces

11、s接口和trunk口 Tagged帧和 untagged帧.20交换机端口处理报文的流程交换机端口处理报文的流程是否有VLAN信息打上PVID转发丢弃Access端口收报文NY将报文的VLAN信息剥离转发Access端口发报文Access口用于连接PC.21交换机端口处理报文的流程交换机端口处理报文的流程(续续)是否有VLAN信息打上端口PVIDN转发Is trunk allow ?YYN丢弃Trunk口收报文Trunk口发报文端口的PVID和将要发送报文的VLAN信息是否相等Y剥离VLAN信息转发NTrunk口一般用于VLAN交换机之间的级联.22TAG和和UNTAG的区别的区别Tag?Un

12、tag?tag数据是否携带VLAN信息加上端口缺省PVID转发NYuntagIs trunk allow ?Y丢弃N加上端口缺省PVID端口接受数据.23TAG和和UNTAG的区别的区别Tag?Untag?taguntag端口发送数据端口缺省PVID是否等于发送的数据包所含的PVID转发去掉VLAN标记YNtagged一般用于VLAN交换机之间的级联untagged则用于连接PC.24VLAN Trunk VLAN trunk：在交换机之间或交换机与路由器之间，互相连接的端口上配置中继模式，使得属于不同VLAN的数据帧都可以通过这条中继链路进行传输。1234567812345678VLAN 2

13、VLAN 3服务器服务器CDNMHGSwitch ASwitch B.25802.1Q VLAN的基本配置本章学习重点本章学习重点VLAN的基本概念802.1Q VLANSuper VLANPort protectGMRP、GVRPPVLAN.26创建创建VLAN该命令在全局模式操作Switch_config#SwitchenableSwitch#configSwitch_config#vlan 2vlan vlan_id.27删除删除VLAN该命令在全局模式操作Switch_config#SwitchenableSwitch#configSwitch_config#no vlan 2no v

14、lan vlan_id.28给给VLAN命名命名该命令在VLAN配置模式下操作Switch_config_vlan_id#SwitchenableSwitch#configSwitch_config#vlan 2Switch_config_vlan2#name Engineeringname word.29分配交换机端口到分配交换机端口到VLAN中中以下命令在端口模式Switch_config_fsolt num/port num#Switch_config_fsolt num/port num#Switch_config#interface fastEthernet 0/2Switch_co

15、nfig_f0/2#switchport mode accessSwitch_config_f0/2#switchport pvid 2Switchport mode trunk|accessSwitchport pvid vlan_id.30配置举例配置举例 VLAN基本配置基本配置 用在BDOCM Switch上划分VLAN的方式来隔离交换机中的广播，并且提高局域网的安全性 需求：1.PC1所在的部门是sale，PC2所在的部门是Engineering 2.PC1和PC2在不同的广播域 3.PC1和PC2不能互相访问.31VLAN基本配置基本配置Switchenable Switch#co

16、nfig Switch_config#vlan 2Switch_config_vlan2#name SaleSwitch_config_vlan2#exitSwitch_config#vlan 3Switch_config_vlan3#name EngineeringSwitch_config_vlan3#exitSwitch_config#interface fastEthernet 0/2Switch_config_f0/2#switchport pvid 2Switch_config_f0/2#exitSwitch_config#interface fastEthernet 0/3Swi

17、tch_config_f0/3#switchport pvid 3Switch_config_f0/3#exitSwitch_config#exit.32查看查看VLAN 信息信息Switch#show vlanVLAN Status Name Ports- - - -1 Static Default F0/1, F0/4, F0/5, F0/6, F0/7 F0/8, F0/9, F0/10, F0/11, F0/12 F0/13, F0/14, F0/15, F0/16, F0/17 F0/18, F0/19, F0/20, F0/21, F0/22 F0/23, F0/242 Stati

18、c sale F0/23 Static Engineering F0/3可以看到交换机里面配置的所有VLAN信息，并且可以清楚的看出VLAN和端口的对应状态.33VLAN间路由间路由 在二层交换机上划分VLAN之后，各个不同的VLAN之间是不能进行通信的，如果要使各个不同的VLAN之间可以互相通信，那么就要用到路由技术。 例如： 1.二层交换机上联路由器 2.二层交换机上联三层交换机 3.直接使用三层交换机.34VLAN间路由（间路由（1） 二层交换机上联路由器 不论VLAN有多少个，路由器与二层交换机都只用一条网线连接。 在二层交换机和路由器上配置它们之间相连的端口使用Trunk，使多个VL

19、AN共享同一物理链路连接到同一路由器。 这种连接方式要求路由器支持子接口，每个子接口对应一个VLAN，对应一个逻辑子网。.35配置举例配置举例 拓扑结构如图： 在二层交换机上划分VLAN 2，VLAN 3，VLAN 2和VLAN 3是不同的子网。 现要实现VLAN 2和VLAN 3可以互相通信。.36相关的配置相关的配置交换机的所需的配置interface FastEthernet0/1 switchport mode trunk!interface FastEthernet0/2 switchport pvid 2!interface FastEthernet0/3 switchport p

20、vid 3!vlan 1-3路由器所需的配置interface FastEthernet0/0.2 ip address encapsulation dot1Q 2！interface FastEthernet0/0.3 ip address encapsulation dot1Q 3!.37PC所需要的配置所需要的配置PC 1 (VLAN 2中的PC)IP Address. . . . . . . . . . . . . . : 5Subnet Mask . . . .

21、 . . . . . . . . : Default Gateway . . . . . . . . . : PC 2 (VLAN 3中的PC)IP Address. . . . . . . . . . . . . . : 5Subnet Mask . . . . . . . . . . . . : Default Gateway . . . . . . . . . : .38VLAN间路由（间路由（2） 二层交换机上联三层交换机 不论VLAN有多少个，三层交换机与二层交换机都

22、只用一条网线连接。 在二层交换机和三层交换机之间相连的端口使用Trunk，使多个VLAN共享同一物理链路连接到同一台三层交换机。.39配置举例配置举例 拓扑结构如图： 在二层交换机上划分VLAN 2，VLAN 3，VLAN 2和VLAN 3是不同的子网。 现要实现VLAN 2和VLAN 3可以互相通信。.40二层交换机所需要的配置二层交换机所需要的配置interface FastEthernet0/1 switchport mode trunk!interface FastEthernet0/2 switchport pvid 2!interface FastEthernet0/3 switc

23、hport pvid 3!vlan 1-3.41三层交换机所需要的配置三层交换机所需要的配置interface FastEthernet0/1 switchport mode trunk!interface VLAN1 ip address no ip directed-broadcast!interface VLAN2 ip address no ip directed-broadcast!interface VLAN3 ip address 255.255.255

24、.0 no ip directed-broadcast!vlan 1-3.42PC所需要的配置所需要的配置PC 1 (VLAN 2中的PC)IP Address. . . . . . . . . . . . . . : 5Subnet Mask . . . . . . . . . . . . : Default Gateway . . . . . . . . . : PC 2 (VLAN 3中的PC)IP Address. . . . . . . . . . . . . . : 5Subnet Mask

25、 . . . . . . . . . . . . : Default Gateway . . . . . . . . . : .43VLAN间路由（间路由（3） 使用三层交换机 在三层交换机上建立相应的逻辑接口，VLAN与逻辑接口一一对应。使用三层交换机自带的三层路由引擎，就可以实现各个VLAN（逻辑子网）之间的通信了。.44配置举例配置举例 拓扑结构如图，在三层交换机上划分VLAN 2,VLAN 3,VLAN 4,每个VLAN都是单独的逻辑子网，现要使VLAN 2,VLAN 3,VLAN 4可以互相通信。.45三层交换机所需要的配置三层交换机所

26、需要的配置interface FastEthernet0/2 switchport pvid 2!interface FastEthernet0/3 switchport pvid 3!interface FastEthernet0/4 switchport pvid 4!interface VLAN2 ip address !interface VLAN3 ip address !interface VLAN4 ip address ！vlan

27、 1-4.46802.1Q VLAN的基本配置本章学习重点本章学习重点VLAN的基本概念802.1Q VLANSuper VLANPort protectGMRP、GVRPPVLAN.47为什么要有为什么要有Super VLAN按照传统的VLAN做法，每个部门对应一个VLAN，对应着一个三层逻辑子网如果销售部再增加两个人，网络会有什么变化呢？.48Super VLAN Super VLAN 是一种VLAN聚合技术，提供一种机制使处于同一个交换机中分属不同VLAN的主机分配在相同的Ipv4子网中，而且使用同一个默认网关。 当不同Sub VLAN中的主机需要相互之间通讯时，需要在Super VLA

28、N开启ARP代理。.49Super VLAN的特点的特点 若干个小VLAN（Sub VLAN）同属于一个大VLAN（Super VLAN）。 Super VLAN对应IPv4子网地址，所有该Super VLAN的Sub VLAN都属于该子网。 Sub VLAN实现广播域隔离。 不同的Sub VLAN仍保留各自独立的广播域，实现同一子网中的广播的隔离，避免广播风暴的产生。 同一子网Super VLAN中的不同Sub VLAN互通需要Super VLAN开启arp-proxy。 Super VLAN是一个三层的逻辑接口。.50配置举例配置举例 用户PC1，PC2连接在交换机的2和3端口下，这些PC

29、机的ip地址属于/24网段， PC的默认网关是。 要求PC1和PC2可以互相通信，但是PC1和PC2处在不同的二层广播域内。.51交换机所需要的配置交换机所需要的配置interface FastEthernet0/2 switchport pvid 2!interface FastEthernet0/3 switchport pvid 3！interface SuperVLAN2 ip address ip proxy-arp subvlan no ip directed-broadcast sub

30、vlan add 2-3!vlan 1-3.52802.1Q VLAN的基本配置本章学习重点本章学习重点VLAN的基本概念802.1Q VLANSuper VLANPort protectGMRP、GVRPPVLAN.53（三）（三）PVLAN PC1和PC2可以互相访问，PC3和PC4可以互相访问，但PC1和PC2不可以访问PC3和PC4，但这些PC1/2/3/4都可以访问几台服务器SERVER 这样的应用就要使用PVLAN来完成.54PVLAN端口介绍端口介绍 PVLAN （Private VLAN）中端口扮演三种角色 1.Promiscuous （混杂端口） 这种端口一般为上联端口，网络

31、出口。这种端口可以和同一PVLAN里面得所有端口互相通讯 2.Isolated （孤立端口） 这种端口就是孤立端口，一般用于接各个用户。这种端口只能和Promiscuous端口进行通讯。Isolated端口之间不能互相通讯。 3.Community （大众端口） 这种类型得端口之间可以互相通讯，也可以和Promiscuous端口通讯，但是不能同其他Isolated端口互相通讯，这种端口主要应用同一PVLAN中给那些需要互相通讯得一组用户使用.55配置举例配置举例PVLAN 应用一应用一 （1）业务VLAN与服务器VLAN之间通信 用户在二层交换机上划分了VLAN 2，VLAN 3，VLAN 4

32、；VLAN 2和VLAN 3中是客户机，VLAN 4中是服务器。 现要实现所有的VLAN在同一个子网，VLAN 2和VLAN 3之间不能互访，但是VLAN 2和VLAN 3均能访问VLAN 4。.56二层交换机所需要的配置二层交换机所需要的配置interface FastEthernet0/2 switchport mode trunk switchport pvid 2 switchport trunk vlan-allowed 2,4 switchport trunk vlan-untagged 2,4! interface FastEthernet0/3 switchport mode

33、trunk switchport pvid 3 switchport trunk vlan-allowed 3-4 switchport trunk vlan-untagged 3-4!interface FastEthernet0/4 switchport mode trunk switchport pvid 4 switchport trunk vlan-untagged all!.57查看查看VLAN配置配置Switch#show vlanVLAN Status Name Ports- - - -1 Static Default F0/4, F0/5, F0/6, F0/7, F0/8

34、F0/9, F0/10, F0/11, F0/12, F0/13 F0/14, F0/15, F0/16, F0/17, F0/18 F0/19, F0/20, F0/21, F0/22, F0/23 F0/242 Static VLAN0002 F0/1, F0/2, F0/43 Static VLAN0003 F0/3, F0/44 Static VLAN0004 F0/1, F0/2, F0/3, F0/4.58配置举例配置举例PVLAN 应用二应用二 （2）业务VLAN与上联设备之间进行通信 用户在二层交换机上划分了VLAN 2，VLAN 3；VLAN 2和VLAN 3中是客户机。 现

35、要实现所有的VLAN在同一个子网，VLAN 2和VLAN 3之间不能互访，但是VLAN 2和VLAN 3均能与路由器通信。.59交换机所需的配置交换机所需的配置interface FastEthernet0/1 switchport mode trunk switchport trunk vlan-untagged all!interface FastEthernet0/2 switchport mode trunk switchport pvid 2 switchport trunk vlan-allowed 1-2 switchport trunk vlan-untagged 1-2int

36、erface FastEthernet0/3 switchport mode trunk switchport pvid 3 switchport trunk vlan-allowed 1,3 switchport trunk vlan-untagged 1,3.60路由器所需的配置路由器所需的配置interface FastEthernet0/0 ip address ！ 在这里只需要这样一条命令就可以了，如果有其他应用，就适当增加其他应用的配置。.61查看查看VLAN配置配置Switch#show vlanVLAN Status Name

37、Ports- - - -1 Static Default F0/1, F0/2, F0/3, F0/4, F0/5 F0/6, F0/7, F0/8, F0/9, F0/10 F0/11, F0/12, F0/13, F0/14, F0/15 F0/16, F0/17, F0/18, F0/19, F0/20 F0/21, F0/22, F0/23, F0/242 Static VLAN0002 F0/1, F0/23 Static VLAN0003 F0/1, F0/3.62802.1Q VLAN的基本配置本章学习重点本章学习重点VLAN的基本概念802.1Q VLANSuper VLANP

38、ort protectGMRP、GVRPPVLAN.63Port Protect Port Protect：端口隔离，就是说一台交换机的下联端口之间不允许相互通讯，每个下联口都只能与上连口通讯，它能解决多种与以太广播相关的安全问题。 设置隔离功能的端口之间不能再有数据包通信，其他没有隔离的端口之间以及隔离端口和未隔离端口之间的数据包仍然能够正常转发。 端口隔离是靠硬件进行处理的。.64配置举例配置举例 拓扑结构如图 要使PC1和PC2之间不能互相访问，但是PC1和PC2都能和Server互相通信。.65二层交换机所需要的配置二层交换机所需要的配置interface FastEthernet0/

39、1!interface FastEthernet0/2 switchport protected!interface FastEthernet0/3 switchport protected!.66802.1Q VLAN的基本配置本章学习重点本章学习重点VLAN的基本概念802.1Q VLANSuper VLANPort protectGMRP、GVRPPVLAN.67VLAN的配置形式的配置形式 VLAN的配置的形式有两种： 1.静态手工配置 对逐个交换机进行手工配置VLAN 如果有大量的交换机，这种做法就比较麻烦，网络工程师要一台一台的配置VLAN信息和状态，将会有大量的工作要做，并且容易

40、出错。 2.动态配置 VTP GVRP.68动态配置动态配置 VTP：VLAN Trunk Protocol，用于维护全网VLAN信息的一致性；有三种工作模式，服务器模式，客户模式和透明模式。Cisco私有协议 GARP，在一台开启了GVRP的交换机上配置了需要的VLAN信息之后，这种信息会自动的传递到其他的开启了GVRP的交换机上，从而减少了网络工程师的工作量和出错几率，并且节省了很多时间。.69服务器模式服务器模式客户模式客户模式透明模式透明模式 发送发送/转发转发 信息宣告信息宣告 同步同步 不会存贮于不会存贮于NVRAM创建创建vlan修改修改vlan删除删除vlan发送发送/转发转发

41、 信息宣告信息宣告同步同步存贮于存贮于NVRAM创建创建vlan修改修改vlan删除删除vlan转发转发 信息宣告信息宣告不同步不同步存贮于存贮于NVRAMVTP模式模式.70VTP是如何工作的是如何工作的 VTP信息宣告以多点传送的方式来进行 VTP服务器和客户模式下会同步最新版本的宣告信息 VTP信息宣告每隔5分钟或者有变化时发生.71VTP是如何工作的是如何工作的 VTP信息宣告以多点传送的方式来进行 VTP服务器和客户模式下会同步最新版本的宣告信息 VTP信息宣告每隔5分钟或者有变化时发生（30s）.72GARP GARP（Generic Attribute Registration

42、Protocol）是一种通用的属性注册协议，该协议提供了一种机制用于协助同一个交换网内的交换成员之间分发、传播和注册某种信息（如VLAN、组播地址等）。 GARP本身不作为一个实体存在于交换机中，遵循GARP协议的应用实体称为GARP应用，目前主要的GARP应用为GVRP和GMRP。当GARP应用实体存在于交换机的某个端口上时，该端口对应于一个GARP应用实体。.73GARP定时器定时器 GARP成员之间的信息交换借助于消息完成，GARP起主要作用的消息类型有三类，分别为Join、Leave和LeaveAll。 Garp Join Time : 20 centiseconds Garp Leave Time : 60 centiseconds Garp LeaveAll Time : 1000 centiseconds Garp Hold Time : 10 centiseconds.74GMRP&GVRP GMR