12虚拟局域网VLAN技术

在线代理|网页代理|代理网页|

减肥药排行榜|淘宝最好的减肥药|什么减肥药效果最好|减肥瘦身药|第12章VLAN（虚拟局域网）什么是VLANVLAN是虚拟局域网，是由一个或多个交换机组成的广播域。VLAN是目前非常流行的网络技术，广泛地应用于交换式网络中。我们知道，交换机是第二层设备，不能隔离广播域，也就是交换机所有的端口都在同一个广播域中,广播域是指其中的站点具有相同的网络地址。只有第三层设备,也就是路由器才能隔离广播域，并且，不同广播域之间的通信必须经过路由器进行.传统局域限制了广播域与物理位置,相近的物理位置必须是相同的广播域。传统局域网的结构如图所示如图，在这种网络结构中，由交换机组划分的物理网络与广播域相对应，一个IP或者IPX子网属于一个广播域。因此广播域是按照物理位置划分的，网络中的站点被束缚在所处的物理网络中,而不能够根据需要将其划分至相应的广播域。例如：主机A、主机B和主机C不能属于同一个广播域.为了解决这个问题,引发了VLAN的概念，VLAN就是指网络中的站点不受物理位置的约束,根据不同的需要灵活的加入不同广播域的一种网络技术。一个VLAN=一个广播域一个VLAN=一个广播域=逻辑子网(subnet)口以及所连接的用户进行逻辑分组，例如:◆

同一部门的职员◆

多功能的产品队伍把使用同一网络应用及软件的用户划为一组可以把一个交换机或多个相连的交换机的端口和用户划分为不同的组,通过这种方式，VLAN可以跨越一栋建筑的多层、多个互连的建筑，甚至城域网。VALN的结构如图在这里，每个交换机的一个端口在一个广播域中，分别是VLAN1、VLAN2和VLAN3。这样就保证了主机A、主机B和主机C虽然物理位置不同（连接着不同的交换机)，但是它们属于一个广播域，如果没有路由器相连,VLAN1、VLAN2和VLAN3不能直接通信。交换机在这里虽然是第二层设备，但是却“划分"了广播域。VLAN的特点VLAN有如下特征：一个VLAN中的所有设备都是同一广播域的成员，一个VLAN内的主机发送一个广播，该VLAN的所有其它成员都会收到该广播，该广播将被不是同一VLAN成员的所有端口设备过滤掉。如图所示，VLAN1中的主机11发送广播，VLAN1成员主机12、主机13都会收到,但是，VLAN2中的三台主机就不会收到该广播。一个VLAN是一个逻辑的子网,共享一个网络地址,并且VLAN间的通信必须经过路由器，就像真正的两个网段一样。VLAN成员大多是基于交换机上的端口号来划分的，即可以设置交换机的哪些端口属于哪些VLAN，但是也可以基于设备的MAC地址而动态设置。另外，一个端口只能属于一个VLAN。交换机允许在同一台交换机上可存在多个VLAN,也允许这些VLAN跨越其它交换机。◆

VLAN就像物理网络一样，交换机地址学习以及STP都是基于VLAN，即交换机针对每个VLAN分别进行地址学习和STP.VLAN的优点正是由于VLAN的特性，他有比传统局域网更好的优点:1．易于维护公司正在不断的重组。平均来说。,每年有20%-40％的工作人员需要改变工作位置。这种移动、添加和改变是网络管理员最头疼的事，常常也是网络管理中开支的重点。许多移动需要重新布线，几乎所有的移动都需要分配地址、重新配置HUB和路由器.VLAN提供了一种有效的机制来管理这种业务，从而节省大量的重新配置HUB和路由器的网络维护费用。同一VLAN中的用户，不管其位置如何，都可以使用同一网络地址（IP子网）.当用户从一个地方搬到另外一个地方时,只要他还连接至交换机并且还在同一个VLAN中，他就可以使用原来的网络地址。这种位置改变现在只需要很少的工作：插一根电缆到交换机的一个端口,再把这个端口配到原来的VLAN中，这就是所需的全部工作。由于VLAN需要很少的重新布线、配置和调试，它是对传统的LAN技术的重大改进.路由器的配置不受影响，当用户搬迁时,只要还在原来的子网,路由配置就不用改变。2．有效地控制广播流量每个网络都有广播流量。广播的频率与应用类型、服务器类型、物理分段的数量以及网络资源的使用方式密切相关。虽然在过去几年中已经对应用进行过大量的调节，以减少它们发送的广播流量，但大量应用广播与组播技术的多媒体技术正大量的发展。需要预先测试网络，确保不会有与广播相关的问题。一种有效的方式是对物理网络进行分段,用防火墙隔离各个段，尽可能的减小一个网段的错误影响整个网络的可能性。从而,即使一个网段上有过量的广播数据，但有防火墙提供隔离功能，其它网段不会受影响,这种防火墙功能一般由路有器提供。防火墙的这种分段能力提供了更高的可靠性，是广播流量尽可能减小,从而应用有更多的带宽可用.当两个交换机之间没有路由器时，广播流量被转发至每个交换机端口。常常称这种整个网络中只有一个广播域的网络为平坦型网络。这种网络的好处有：低延迟，搞流通率，易于管理.缺点有：容易受到广播数据包的攻击。VLAN能有效地提供路由器的防火墙功能，从而保护网络不受有害广播数据的影响。另外，VLAN有所有交换机的优点。可以把一个或多个互连的交换机的端口或用户划分为特定的VLAN分组，从而创建防火墙。一个VLAN中的广播数据不会转发至其它VLAN。另外一方面，端口也不会接受任何其它VLAN中的广播数据。这种结构大量的减少广播数据，提供给用户更多的带宽，减少受广播风暴影响的可能性。VLAN分组越小,一个VLAN中的广播风暴所影响的用户就越少。可以根据应用类型以及应用的广播频率来划分VLAN。可以把共享大量广播数据的用户划为一个VLAN，这个VLAN可以跨越整个校园网。3．增强网络安全性过去几年中VLAN的应用增加非常迅速.结果,经常有重要的、机密的数据通过LAN.机密数据需要安全的访问控制机制。LAN的一个缺点就是它太容易被渗透。插入一个可用的接口,一个恶意的用户就可获得整个网段上的数据。分组越大，这种可能性也就越大。一种低成本、易于管理的增加网络安全性的方案就是把网络划分为多个广播域。这样有以下一些好处：◆

控制一个组中的用户数量◆

防止其它用户在没有申请的情况下加入VLAN◆

把未使用的端口划到一个低性能的网段实现这种结构的VLAN相当直观.交换机端口按应用类型和访问级别进行分组。有安全要求的应用和资源一般放在一个安全的VLAN中.交换机限制对安全VLAN的访问。可以根据工作站地址、应用类型和协议类型设置安全控制机制。可以用访问控制列表来增强安全性，在以后将讨论这种技术。这种技术在VLAN之间通讯时特别有用。在安全子网中，路由器也象交换机一样提供安全控制。路由器可以根据工作站地址、应用类型和协议类型甚至时间来设置安全控制机制。4．节约经费在以前几年中，网络管理员已经安装了大量的HUB，这些设备现在大量的被更换为交换设备。网络应用需要更高的到桌面的带宽和性能，所以这些HUB任在许多网络中发挥重要的作用。网络管理员通过把HUB与交换机相连而节省大量资金。每个连到交换机端口的HUB分段可被划分为一个VLAN。共享一个HUB的工作站划归一个VLAN。如果一个工作站想移到另外一个VLAN，工作站必须以到另外一个相应的HUB.用于互连的交换机处理端口之间的通讯并决定适当的目的端口。共享HUB分组越小，网络的分段性能越好，用户越容易分组.通过把HUB连接到交换机，能把HUB作为VLAN的一部分.同样可以通过直接连接到交换机来共享数据和资源.VLAN的分类VLAN可以分为两类:1. 静态VLAN:静态VLAN是由管理员静态分配端口VLAN关系的VLAN。这种VLAN的成员关系只有管理员能改动.虽然静态VLAN需要管理员手工管理，但它安全性高、易于控制、易于监视.在设备变动较少的网络中使用静态VLAN是不错的。静态VLAN又可以称为“基于端口的成员身份",VLAN的划分是按照端口来进行的，通过将端口指派到一个VLAN中来建立VLAN的成员关系。当一台设备接入到网络中时，他会自动使用该端口所属的VLAN，如果该设备换了端口，但仍要访问原来的VLAN，管理员必须手工地把这个新端口加入到原来的VLAN中。2. 动态VLAN：动态VLAN可以动态地决定端口所属的VLAN关系。动态VLAN的功能基于MAC地址，逻辑地址和数据包的类型。当一个终端设备连接至一个未划分的端口时，适当的交换机根据接入设备的MAC查询用户的配置数据库来配置新接入的设备.这种技术的好处是当用户移动时可以减少到设备间的跳线的工作,还有当一个未知的设备接入网络时可以提供中心的报警功能.典型的，这种方式需要更多的工作来管理配置软件的数据库以及配置一个精确的用户数据库.Catalyst1900交换机只支持静态VLAN，不支持动态VLAN，本书中只介绍静态VLAN。VLAN的工作原理使用VLAN的关键是交换机能够区分来自不同VLAN的数据流,并且按照VLAN将它们转发出去。传统的以太网不能对VLAN或子网进行标记，因为他认为该信息是第三层的信息。在VLAN环境中使用帧标记来表明帧属于哪个VLAN，交换机通过读取数据帧头中的帧标记来了解数据帧属于哪个VLAN。交换机为每个VLAN建立一个MAC地址表,当交换机确定数据帧来自某个VLAN后，就到那个VLAN对应的MAC地址表中去查询、转发.VLAN的边界理解VLAN的边界对理解VLAN的操作是非常重要的，在交换的区域扩展VLAN时，有两种定义VLAN边界的方法:本地VLAN、端到端VLAN。 本地VLAN本地VLAN把VLAN的通信限制到一台交换机之中,也就是把一台交换机中多个端口划分为几个VLAN。如图所示这是一个本地VLAN的例子，在本地VLAN中，主机接入交换机端口的链路称为接入链路。本地VLAN的特点：1) 在接入链路中,连接到这个端口上的设备完全不知道存在着一个VLAN，为了保证这一点，交换机负责在帧被发送到末端设备之前将VLAN信息从帧中拿掉。2） 接入链路的端口不能从另一个VLAN接收或者向另一个VLAN发送信息，除非经过路由器。3) 本地VLAN不进行VLAN标记的封装，交换机通过查看VLAN与端口的对应关系来区别不同VLAN的帧,进行转发。下面详细介绍了本地VLAN的工作过程:如图步骤1:交换机为每个VLAN保存了一个MAC地址表，分别记录了该VLAN主机与MAC地址的关系。此时，主机A向主机B发送信息。步骤2:交换机在E1端口收到这个帧。步骤3：交换机1通过查询端口与VLAN的对应关系区别不同VLAN的帧，交换机1查询VLAN1对应的MAC地址表，因为E1端口属于VLAN1。（注意此时交换机不会在帧上封装VLAN标识)步骤4：交换机将该帧转发到端口E2。步骤5：主机B收到该帧。步骤6:如果主机A发送一个广播，广播帧从E1端口进入交换机。步骤7：广播帧从E1端口进入交换机，交换机把该广播帧向MAC地址表1中除了E1端口的所有端口转发。●

端到端VLAN端到端VLAN需要将VLAN信息向多个交换机传输，最终到达目的地.相同的VLAN连接在不同交换机上，VLAN的信息由干道链路（Trunk)来传输。如图这是一个端到端VLAN的例子，交换机A和交换机B都连接着VLAN1和VLAN2，只有相同VLAN的主机才能通信,VLAN信息通过干道链路在两个交换机之间传输。干道链路用于承载多个VLAN，干道链路通常被用来连接两个交换机,或者将交换机连接到路由器。在干道链路中必须有某种方法来识别数据帧是属于哪个VLAN的,这就要用到帧标识，主要的帧标识技术有两种:1。 Cisco交换机间链路（ISL）2。 IEEE802。1Q标准这两种标记技术稍后做介绍。干道链路的特点如下：在干道链路里,交换机要给某个VLAN的数据帧封装VLAN标识，并在干道链路上传输到其它交换机上。干道链路只能通过交换机或者是路由器的快速以太网口fa0/26、fa0/27（PortA、PortB)来传输.干道链路不属于某个具体的VLAN，它只在设备间承载VLAN信息。下面详细介绍了端到端VLAN通过干道链路传输的过程:如图步骤1：交换机为每个VLAN保存了一个MAC地址表，分别记录了该VLAN主机与MAC地址的关系.此时，主机A向主机C发送信息。步骤2：交换机在E1端口收到这个帧。步骤3：交换机A通过查询端口与VLAN的对应关系区别不同VLAN的帧，交换机查询VLAN1对应的MAC地址表，因为E1端口属于VLAN1.由于目的地址在交换机B的E1端口上，交换机通过检查MAC地址表，检查出这不是向本地VLAN发送的帧。步骤4：交换机用标识着VLAN1的一个VLAN标记封装该数据帧,并把该帧转发到干道链路上（PortA）.步骤5:数据帧在干道链路中传输，到达交换机B,交换机B收到该帧后,通过VLAN标记了解到该帧是属于VLAN1。步骤6：交换机拿掉VLAN标记,通过查看交换机B的MAC地址表1，将该帧转发到交换机B的E1端口。对于主机B来讲,VLAN表示的封装和解封装都是透明的。VLAN的帧标识VLAN的帧标识用于标识数据包属于哪个VLAN，主要的帧标识技术有两种：◆

Cisco交换机间链路(ISL）ISL是Cisco专有的协议，Cisco的路由器和交换机都支持这种帧标识技术.ISL通过在帧上添加一个26字节的ISL头来标识VLAN信息.这种技术也可以称为VLAN的封装，这种技术由于添加了ISL头信息,使得帧的长度超过正常的以太网帧的最大传输单元（MTU）的大小（1518字节）.而一个不支持ISL设备收到一个封装ISL的以太网帧，会认为该帧出错。因此使用ISL封装必须双方设备都支持.当VLAN的帧在主干上传输,在帧上添加ISL头和CRC尾，再将帧转发，广播至其它交换机、路由器、终端设备，交换机查看并使用这个标识符.在数据帧传输至终端设以前，交换机将封装的VLAN信息去掉。ISL主要由3部分组成：ISL头、原始帧、4个比特FCS（帧校验序列)。ISL的帧格式如图ISL帧头中，VLAN字段用VLANID标识该帧所属的VLAN，VLANID是一个15比特的值，其中的低10位用于VLAN标识，因此最大支持1024个VLAN。该区域经常被称为“数据包的彩色标志”。◆

IEEE802.1Q标准IEEE802。1Q标准是一种通用的帧标记方法,可以保证多个厂家VLAN的互操作性。IEEE802.1Q标准与ISL不同，它是一种内部标记过程,即用VLAN标识修改现有的以太网帧,而不是在帧上封装信息，这种方式称为VLAN的标记（将VLAN信息插入到帧内）。当VLAN的帧在主干上传输时，帧头被插入一个特殊的标示符。再将帧转发、广播至其它交换机、路由器、终端设备，交换机查看并使用这个标示符.在数据帧传输至终端设以前,交换机从帧中去掉这个标示符。CCNA只要求了解ISL封装。其它的VLAN标识技术如IEEE802。1Q标准、ATMLANE和FDDI802。10就不做介绍了。18.3VALN主干协议(VLANTrunkingPortocol，VTP）为了便于管理整个网络的VLAN，使网络中的VLAN配置保持一致，使用了VTP。VTP是一种消息协议，工作在第二层，它可以在整个网络中管理VLAN的添加、删除和重命名等。VTP可以解决由于VLAN重名引起的安全问题，因为当网络中存在多个VLAN时，容易引起重名，重名引起了VLAN的交叉连接.VTP有很多优点：●

便于对VLAN的管理●

便于保证整个网络VLAN配置的一致●

实现对新VLAN的“即插即用"VTP模式在VTP域中的交换机属于以下的几种操作模式之一：◆

服务器模式(Server）：服务器模式是VTP域中的缺省模式,它的特点：1。 VTP服务器模式可以添加、修改、删除VLAN,并且能修改VTP域中的其它参数（例如VTP宣告版本等）。2. VTP服务器模式将配置信息存储在NVRAM中.3。 VTP服务器模式同步VLAN信息,并且把信息转发给其它交换机。◆

客户机模式(Clinet）:它的特点:1。 VTP客户机模式不能修改VLAN的信息。2。 VTP客户机模式不将配置信息保存在NVRAM中。3. VTP客户机模式同步VALN信息，并把信息转发给其它交换机。◆

透明模式（Transparent）：透明模式的交换机不参与VTP。它的特点：1。 透明模式可以添加、修改、删除VLAN，2。 VTP模式将配置信息保存在NVRAM中。3. VTP模式不同步VLAN信息，但是能够转发同一管理域其它交换机的配置信息。透明模式的配置只在本地生效，不接收其它交换机的配置，也不把本地的配置传输到其它交换机。当配置VTP时，选择一种合适的模式是非常重要的.当需要修改VLAN的配置，并且把修改的信息传给其它交换机时,应该选择服务器模式；当需要望修改VLAN信息时，应该选择客户机模式;当需要在本地修改VLAN并且不影响其它交换机时,应该选择透明模式。VTP通告一个VTP域是由多个使用同一个VTP域名的交换机组成，一个交换机只能属于一个VTP域。缺省情况下是服务器模式。VTP的交换机使用VTP通告来进行VLAN的管理和互相的通信.VTP通告每5分钟发送或者当配置改变时立刻发送，VTP通告使用多点广播地址，即向参与VTP的所有其它交换机发送,VTP通告包含以下信息：●

VTP域的名称:标识该通告属于哪个VTP，不同VTP的通告将被忽略。●

VTP配置版本号：标识配置信息是否为最新，较高的号码代表较新的配置，当収到VTP通告时，交换机查看配置版本号如果比当前的高，就会刷新配置，使用更高版本号的配置；如果相同，则配置信息不变。●

密码信息:用于安全目的，当配置了密码后，只有密码匹配,才能接收通告信息。●

发送通告者ID:标识发送该VTP通告的交换机。VTP工作过程当在VTP服务器模式交换机修改了VLAN信息后，VTP通告通过多点广播地址发送给同一VTP域中的其它交换机，这些交换机通过查看VTP通告的信息(域名、版本号等)以及本机所处的VTP模式来决定如何处理。下面的例子详细介绍了VTP的工作过程：如图，在一个VTP与中有几种模式的交换机,当前它们的配置版本号都为3，当上面的VTPServer模式的交换机新添加了一个VLAN.下面详细说明了VTP的过程步骤1:添加新VLAN的交换机的配置版本号更新(＋1），它的配置版本号变为4。它将信息保存在本机的NVRAM中，并且将改变通告给其它交换机。步骤2：VTPClient模式的交换机收到VTP通告后，检查VTP通告中的VTP域名是否和本机一致,是否配置了密码，密码是否相同，如果以上配置不匹配，交换机就忽略该通告。如果一致，则查看通告中的VTP版本号，因为通告中的版本号（4)比当前版本号高（3），因此交换机将配置信息保存到NVRAM中(同步），并且将该通告转发给其它交换机。步骤3：VTPTransparent模式的交换机收到该通告后，不会将配置信息保存到NVRAM中，但是会将该通告转发到其它交换机。步骤4：其它交换机受到通告后,再执行相同的步骤。VTP修剪（Pruning）VTP修剪的目的是减少不必要的干道链路的数据流来增加网络带宽，提高网络性能.由于干道链路为所有的VLAN传输VLAN的流量，这样就导致了没有VLAN端口的交换机也会收到VLAN的数据,虽然该交换机最终会丢弃这些数据，但是浪费了网络带宽。如图所示属于VLAN10的主机A发送一个广播，VLAN10的广播经过Switch1的干道链路传输到Switch2，Switch2会把该广播向自己所有的Trunk传输，Switch3收到广播的同时,Switch4也收到了该广播，很显然，Switch4并不需要这个广播，因为Switch4并没有VLAN10的端口.为了解决这个问题，使用VTP修剪（Pruning）来“剪掉”发往Switch4的广播，如图所示VTP修剪的配置可以在一台VTP服务器模式的交换机上进行，这样整个VTP域中都会启用VTP修剪，当然也可以在某台设备上对某些VLAN启用VTP修剪功能（本书不作介绍）。有关VTP修剪的配置稍后介绍.Catalyst2900交换机VLAN的配置创建VLAN之前，必须保证交换机在VTP服务器模式或者VTP透明模式。另外,对于在Catalyst2900交换机配置VLAN，还要注意以下几点：Catalyst2900交换机最大支持1005个VLAN。◆

缺省Catalyst2900交换机属于VLAN1,是VTP服务器模式。在Catalyst2900交换机配置VLAN步骤如下:1。 配置VTP（可选）：创建VLAN之前，要决定是否配置VTP来管理整个网络的VLAN。2。 配置干道链路（Trunk)：如果是端到端VLAN，需要将VLAN跨越多个交换机,必须在交换机的快速以太网口配置Trunk.3. 创建和修改VLAN:在交换机的端口加入VLAN之前,必须先创建VLAN。将某个端口加入到某个VLAN中：创建VLAN后，就可以配置VLAN的成员关系。配置VTP缺省情况下,Catalyst2900交换机的VTP配置如下所示●

VTP域名：无●

VTP模式：服务器模式●

VTP陷阱（trap）:启用●

VTP密码:无●

VTP修剪：禁用通过全局模式的VTP配置命令来配置VTP，如下表注意：当向一个已有的VTP与加入一个交换机时，应该将其配置成客户机模式或者透明模式。如果加入一个配置成服务器模式的交换机,有可能该交换机的VTP通高版本号高于其它交换机，就会向VTP域中的其它交换机传播错误的配置信息。另一种方法是使用Swtich＃deletevtp来重置VTP版本号.VTP配置举例：Switch#vlandatabaseSwitch（vlan)#vtppruningenableSwitch＃showvtp，输出结果如下配置干道链路命令说明Switch(vlan)＃vtp[server｜client｜transparent]［domain＋VTP域名]［trap(enable|disable)]［password＋密码]［pruning(enable|disable)］说明：1。 “[］"内为可选项，如果不配置，则缺省生效。2. trap启用时,会导致每次发送一条新的VTP消息,就产生一个SNMP消息。3. 在VTP服务器模式启用Pruning，会在整个VTP域启用VTPPruning。4。 VTP密码必须一致，否则会忽略VTP消息。5. 该命令可以单行配置，也可以多行分别配置。Switch#showvtpstatus查看、验证VTP的配置信息为了允许VLAN通过多个交换机，必须配置Trunk以连接这些交换机，承载VLAN信息。配置Trunk必须在快速以太网端口上进行。配置Trunk的命令如下表例如:Switch（config-if）#switchportmodetrunkSwitch（config-if)＃switchporttrunkencapsulationislSwitch＃showintefacefa0/19switchport，以下是输出结果DISLstate:On,Trunking:On,Encapsulationtype:ISLVTPversion：1VTPversion：1Configurationrevision:6MaximumVLANssupportedlocally：1005NumberofexistingVLANs:3VTPdomainname：neworientalVTPpassword:V