《Vlan技术及配置.doc》由会员分享，可在线阅读，更多相关《Vlan技术及配置.doc（8页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、VLAN技术白皮书发布时间： 2004-03-14 22:31:24 浏览次数：5 来源于：南阳国际IT认证中心 关键词 VLAN，VLAN聚合，PVLAN， GVRP，VTP 1 VLAN概述 VLAN（Virtual Local Area Network）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。 VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播域（或称虚拟LAN，即VLAN），每一个VLAN都包含一组有着相同需求的计算机工作站，与
2、物理上形成的LAN有着相同的属性。但由于它是逻辑地而不是物理地划分，所以同一个VLAN内的各个工作站无须被放置在同一个物理空间里，即这些工作站不一定属于同一个物理LAN网段。一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。 VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。 VLAN在交换机上的实现
3、方法，可以大致划分为4类: 1、 基于端口划分的VLAN 这种划分VLAN的方法是根据以太网交换机的端口来划分，比如Quidway S3526的14端口为VLAN 10，517为VLAN 20，1824为VLAN 30，当然，这些属于同一VLAN的端口可以不连续，如何配置，由管理员决定，如果有多个交换机，例如，可以指定交换机 1 的16端口和交换机 2 的14端口为同一VLAN，即同一VLAN可以跨越数个以太网交换机，根据端口划分是目前定义VLAN的最广泛的方法，IEEE 802.1Q规定了依据以太网交换机的端口来划分VLAN的国际标准。 这种划分的方法的优点是定义VLAN成员时非常简单，只要
4、将所有的端口都指定义一下就可以了。它的缺点是如果VLAN A的用户离开了原来的端口，到了一个新的交换机的某个端口，那么就必须重新定义。 2、基于MAC地址划分VLAN 这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组。这种划分VLAN的方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在
5、每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停的配置。 3、基于网络层划分VLAN 这种划分VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如IP地址，但它不是路由，与网络层的路由毫无关系。它虽然查看每个数据包的IP地址，但由于不是路由，所以，没有RIP，OSPF等路由协议，而是根据生成树算法进行桥交换， 这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理
6、者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。 这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。 4、根据IP组播划分VLAN IP 组播实际上也是一种VLAN的定义，即认为一个组播组就是一个VLAN，这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。 鉴于当前业界
7、VLAN发展的趋势，考虑到各种VLAN划分方式的优缺点，为了最大程度上地满足用户在具体使用过程中需求，减轻用户在VLAN的具体使用和维护中的工作量，Quidway S系列交换机采用根据端口来划分VLAN的方法如何在交换机上配置VLAN我们知道，传统的局域网Ethernet 使用具有冲突检测的载波监听多路访问( CSMA / CD )方法。在CSMA / CD 网络中，节点可以在它们有数据需要发送的任何时候使用网络。在节点传输数据之前，它进行监听以了解网络是否很繁忙。如果不是，则节点开始传送数据。如果网络正在使用，则节点等待。如果两个节点进行监听，没有听到任何东西，而开始同时使用线路，则会出现冲
8、突。在发送数据时，它如果使用广播地址，那么在此网段上的所有PC都将收到数据包，这样一来如果该网段PC众多，很容易引起广播风暴。而冲突和广播风暴是影响网络性能的重要因素。为 解 决这一问题，引入了虚拟局域网（VLAN的概念。 虚拟网络是在整个网络中通过网络交换设备建立的虚拟工作组。虚拟网在逻辑上等于OSI模型的第二层的广播域，与具体的物理网及地理位置无关。虚拟工作组可以包含不同位置的部门和工作组，不必在物理上重新配置任何端口，真正实现了网络用户与它们的物理位置无关。虚拟网技术把传统的广播域按需要分割成各个独立的子广播域，将广播限制在虚拟工作组中，由于广播域的缩小，网络中广播包消耗带宽所占的比例大
9、大降低，网络的性能得到显著的提高。我们结合下面的图来看看讲下。图1所表示的是两层楼中的相同性质的部门划分到一个VLAN中，这样，会计的数据不会向市场的机器上广播，也不会和市场的机器发生数据冲突。所以VLAN有效的分割了冲突域和广播域。我们可以在交换机的某个端口上定义VLAN ，所有连接到这个特定端口的终端都是虚拟网络的一部分，并且整个网络可以支持多个VLAN。VLAN通过建立网络防火墙使不必要的数据流量减至最少，隔离各个VLAN间的传输和可能出现的问题，使网络吞吐量大大增加，减少了网络延迟。在虚拟网络环境中，可以通过划分不同的虚拟网络来控制处于同一物理网段中的用户之间的通信。这样一来有效的实现
10、了数据的保密工作，而且配置起来并不麻烦，网络管理员可以逻辑上重新配置网络，迅速、简单、有效地平衡负载流量，轻松自如地增加、删除和修改用户，而不必从物理上调整网络配置。既然VLAN有那么多的优点，我们为什么不了解它从而把VLAN技术应用到我们的现实网络管理中去呢。好的让我们通过实际的在Catalyst 1900交换机上来配置静态VLAN的例子来看看如何在交换机上配置VLAN。图1 在Catalyst 1900 上的两个VLAN设置好超级终端，连接上1900交换机后（可以参考1900系列以太网交换机快速入门指南或其他的CISCO参考资料），会出现如下的主配置界面： -1 user(s) now a
11、ctive on Management Console.User Interface MenuM MenusK Command LineI IP ConfigurationEnter Selection:我们简单介绍下，这儿显示了三个选项，M Menus 是主菜单，主要是交换机的初始配置和监控交换机的运行状况。K Command Line 是命令行，很象路由器里面用命令来配置和监控路由器一样，主要是通过命令来操作。I IP Configuration 是配置IP地址、子网掩码和默认网管的一个选项。这是第一次连上交换机显示的界面，如果你已经配置好了IP Configuration，那么下次登陆的
12、时候将没有这个选项。因为用命令配置简洁明了，清晰易懂，所以我们通过 K Command Line 来实现VLAN的配置的。设置好超级终端，连接上1900交换机后（可以参考1900系列以太网交换机快速入门指南或其他的CISCO参考资料），会出现如下的主配置界面： -1 user(s) now active on Management Console.User Interface MenuM MenusK Command LineI IP ConfigurationEnter Selection:我们简单介绍下，这儿显示了三个选项，M Menus 是主菜单，主要是交换机的初始配置和监控交换机的运行
13、状况。K Command Line 是命令行，很象路由器里面用命令来配置和监控路由器一样，主要是通过命令来操作。I IP Configuration 是配置IP地址、子网掩码和默认网管的一个选项。这是第一次连上交换机显示的界面，如果你已经配置好了IP Configuration，那么下次登陆的时候将没有这个选项。因为用命令配置简洁明了，清晰易懂，所以我们通过 K Command Line 来实现VLAN的配置的。我们选择 K Command Line ，进入命令行配置Enter Selection:K 回车CLI session with the switch is open.To end t
14、he CLI session,enter Exit .现在我们进入到了交换机的普通用户模式， 就象路由器一样，这种模式只能查看现在的配置，不能更改配置，并且能够使用的命令很有限。我们输入enable，进入特权模式：enable#config tEnter configuration commands,one per line.End with CNTL/Z(config)#为了安全和方便起见，我们给这个交换机起个名字，并且设置登陆密码。(config)#hostname 1900Switch1900Switch(config)# enable password level 15 goodwor
15、k1900Switch(config)#注意：密码必须是4-8位的字符。交换机密码的设置和路由器稍微不同，交换机用 level 级别的大小来决定密码的权限。Level 1 是进入命令行界面的密码，也就是说，设置了 level 1 的密码后，你下次连上交换机，并输入 K 后，就会让你输入密码，这个密码就是 level 1 设置的密码。而 level 15 是你输入了enable命令后让你输入的特权模式密码。路由器里面是使用 enable password 和 enable screet做此区分的。好拉，我们已经设置好了名字和密码这样就足够安全了，让我们设置VLAN。VLAN的设置分以下2步：1
16、设置VLAN名称2 应用到端口 我们先设置VLAN的名称。使用 vlan vlan号 name vlan名称。 在特权配置模式下进行配置：1900Switch (config)#vlan 2 name accounting1900Switch (config)#vlan 3 name marketing 我们新配置了2个VLAN，为什么VLAN号从2开始呢？这是因为默认情况下，所有的端口否放在VLAN 1上，所以要从2开始配置。1900系列的交换机最多可以配置1024个VLAN，但是，只能有64个同时工作，当然了，这是理论上的，我们应该根据自己网络的实际需要来规划VLAN的号码。配置好了VLA
17、N名称后我们要进入每一个端口来设置VLAN。在交换机中，要进入某个端口比如说第4个端口，要用 interface Ethernet 0/4，好的，结合上面给出的图我们让端口2、3、4和5属于VLAN2 ，端口17-22属于VLAN3 。命令是 vlan-membership static/ dynamic VLAN号 。 静态的或者动态的两者必须选择一个，后面是刚才配置的VLAN号。好的，我们看结果：1900Switch(config)#interface ethernet 0/21900Switch(config-if)#vlan-membership static 21900Switch(
18、config-if)#int e0/31900Switch(config-if)#vlan-membership static 21900Switch(config-if)#int e0/4 1900Switch(config-if)#vlan-membership static 21900Switch(config-if)#int e0/5 1900Switch(config-if)#vlan-membership static 21900Switch(config-if)#int e0/171900Switch(config-if)#vlan-membership static 3。190
19、0Switch(config-if)#int e0/221900Switch(config-if)#vlan-membership static 31900Switch(config-if)# 好的，我们已经把VLAN都定义到了交换机的端口上了。这儿，我们只是配置的静态的，关于动态的，我们在后面会有提及的。到现在为止，我们已经把交换机的VLAN配置好了，怎么样，没有你想象的那么复杂吧：）。为了验证我们的配置，我们在特权模式使用 show vlan命令。输出如下：1900Switch(config)#show vlanVLAN Name Status Ports-1 default Enable
20、d 1,6-16,22-24,AUI,A,B2 acconting Enabled 2-53 marketing Enabled 17-221002 fddi-default Suspended1003 token-ring-defau Suspended1004 fddinet-default Suspended1005 trnet-default Suspended这是一个24口的交换机，并且带有AUI和两个100兆端口（A、B），可以看出来，我们的设置已经正常工作了，什么，还要不要保存running configure？当然不用了，交换机是即时自动保存的，所以不用我们使用命令来保存设置了
21、。当然了，你也可以使用 show vlan vlan号 的命令来查看某个VLAN，比如show vlan 2 , show vlan 3. 还可以使用show vlan-membership ，改命令主要是显示交换机上的每一个端口静态或动态的属于哪个VLAN。以上是给交换机配置静态VLAN的过程，下面我们看看动态的VLAN。动态的V L A N 形成很简单，由端口自己决定它属于哪个V L A N 时，就形成了动态的V L A N 。不过，这并不意味着就一层不变了，它只是一个简单的映射，这个映射取决于网络管理员创建的数据库。分配给动态V L A N 的端口被激活后，交换机就缓存初始帧的源M A
22、C 地址，随后，交换机便向一个称为VMPS （V L A N 管理策略服务器）的外部服务器发出请求，V M P S 中包含一个文本文件，文件中存有进行V L A N 映射的M A C 地址。交换机对这个文件进行下载，然后对文件中的M A C 地址进行校验。如果在文件列表中找到M A C 地址，交换机就将端口分配给列表中的V L A N 。如果列表中没有M A C 地址，交换机就将端口分配给默认的V L A N （假设已经定义默认了V L A N ）。如果在列表中没有M A C 地址，而且也没有定义默认的V L A N ，端口不会被激活。这是维护网络安全一种非常好的的方法。从表面上看，动态V L
23、 A N 的优势很大，但它也有致命的缺点，即创建数据库是一项非常艰苦而且非常繁琐的工作。如果网络上有数千个工作站，则有大量的输入工作要做。即使有人能胜任这项工作，也还会出现与动态的V L A N 有关的很多问题。另外，保持数据库为最新也是要随时进行的非常费时的工作。所以不经常用到它，这里我们就不做详细的讲解，可以参考相关的CISCO的文档资料。这么样，没有你想象的那么复杂吧。我们已经把VLAN配置好了，那么VLAN的另一部分不容忽视的工作，就是前期的对网络的规划。就是说，哪些机器在一个VLAN中，各自的IP地址、子网掩码如何分配，以及VLAN之间互相通讯的问题。只有规划计划好了，才能够在配置和以后的使用维护过程中轻松省事。