《VLAN技术及其应用.pdf》由会员分享，可在线阅读，更多相关《VLAN技术及其应用.pdf（23页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、摘 要 本文主要从以太网的工作原理出发,由CSMA/CD冲突监测的载波侦听的工作机制引出传统使用集线器和二层交换机组网所产生的冲突域和广播域问题，为了解决这些问题，进而引出了三层交换机和VLAN（虚拟局域网）的概念。接着，对VLAN的各种特性分别进行了阐述，并结合实例说明了如何运用三层交换机创建VLAN的具体配置过程。从而可以得出VLAN技术是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术，是局域交换网的灵魂。关键词：以太网、CSMA/CD 冲突监测的载波侦听、冲突域、广播域、三层交换机、VLAN（虚拟局域网）目 录 第一章 前言 随着我国综合国力的不断
2、加强，我国信息产业的发展力度不断的提高，各类信息技术突飞猛进，计算机网络技术的迅猛发展更是令人叹为观止。计算机网络技术的发展犹如戏剧舞台，你方唱罢我登台。各类数据网络技术是竞相争艳，当然以太网技术也不例外。从传统的以太网(10Mb/s)发展到快速以太网(100Mb/s)和千兆以太网(1000Mb/s)也不过几年的时间，其迅猛的势头实在令人吃惊。而现在中大型规模网络建设中，以千兆三层交换机为核心的所谓“千兆主干跑、百兆到桌面”的主流网络模型已不胜枚举。起初，企业的电脑是各自为政的单机应用，在使用过程中逐步暴露出资源利用效率低、信息冗余大等问题，而要解决这些问题就需要建设一个网络系统来实现资源的共
3、享。在使用网络系统的过程中，随着接入的设备逐渐增多，网络结构日趋复杂，传统网络链接日益暴露出一些缺点，例如在传统的以太网中，所有的用户共享同一个广播域和冲突域，其结果是引起网络性能的下降。交换机的出现解决了冲突域的问题，但交换机无法控制广播风暴，无法保证通信安全。虚拟局域网(Virtual Local AreaNetwork，VLAN)技术可以解决这个问题。VLAN 是一种通过将局域网内的设备逻辑地而不是物理地划分成的一个个网段，从而实现虚拟工作组的一种新兴交换技术。通过划分不同 VLAN，不同的 VLAN 的成员之间不可直接通信，需要通过路由支持才能通信，而同一 VLAN 中的成员可以直接通
4、信，不需路由支持。所以一个 VLAN 内部的广播和单播流量都不会转发到其他 VLAN 中，这样就可以控制流量，有效地节省带宽，提高网络的性能，同时做到减少设备投资、简化网络管理、提高网络的安全性。因此，进行 VLAN 的研究，对于一个企业来说具有重要的意义和价值。本文将结合丽水本地的一些实际情况，分别对以太网的原理、VLAN 的发展、三层交换的定义、VLAN 的定义、VLAN 的优点、VLAN 的划分、VLAN 的配置（结合实例）等内容加以阐述。第二章 VLAN 的发展过程、以太网的工作原理及三层交换的产生 以太网的工作原理是利用二进制位形成的一个个字节组合成一帧帧的数据(其实是一些电脉冲)在
5、导线中进行传播。首先，以太网网段上需要进行数据传送的节点对导线进行监听，这个过程称为 CSMA/CD(Carrier Sense Multiple Access with Collision Detection 带有冲突监测的载波侦听多址访问)的载波侦听。这个机制的工作原理就是每台机器在总线上发送数据之前要侦听是否有其他数据在总线上传送，如果有就等待，否则就会发出准备传送数据的信息，其它机器侦听到这个信息就会暂停自己的数据传送。可以说所有在这个总线上的机器在一个冲突域内，因为他们是互相争夺总线带宽的，是共享机制，因此又叫做带宽域。集线器（HUB）所有的端口都在一个冲突域，所有的机器都可以侦听到
6、其它机器是否在发送数据，也可以接受到其它机器发出的数据，所以说 HUB 是共享带宽的，在满载的情况下是不能保证所有机器都能得到端口的标称带宽的，而且利用其可以接收到其它机器发送的数据的特点，我们可以用 sniffer 等软件监控网络中的数据。也就是说在 CSMA/CD 方式下，在一个时间段，只有一个节点能够在导线上传送数据。而转发以太网数据帧的联网设备是集线器,它是一层设备，传输效率比较低。冲突的产生降低了以太网的带宽，而且这种情况又是不可避免的。交换机的好处在于其可以隔离冲突域，每个端口就是一个冲突域，因此在一个端口单独接计算机的时候，该计算机是不会与其它计算机产生冲突的，也就是带宽是独享的
7、，交换机能做到这一点关键在于其内部的总线带宽是足够大的，可以满足所有端口的全双工状态下的带宽需求，并且通过类似电话交换机的机制保护不同的数据包能够到达目的地，可以把 HUB 和交换机比喻成单排街道与高速公路。HUB 和交换机都工作于 OSI 的第二层。二层交换机是基于目标 MAC(介质访问控制)地址做出转发决定的，它们是二层设备。我们已经知道了以太网的缺点及物理网段中冲突的影响，现在，我们来看看另外一种导致网络降低运行速度的原因：广播。广播存在于所有的网络上，如果不对它们进行适当的控制，它们便会充斥于整个网络，产生大量的网络通信。广播不仅消耗了带宽，而且也降低了用户工作站的处理效率。IP 广播
8、是属于 OSI 的第三层，是基于 TCP/IP 协议的。TCP/IP 使用广播从IP 地址中解析 MAC 地址，还使用广播通过 RIP 和 IGRP 协议进行宣告。交换机是无法隔离广播的，就像 HUB 无法隔离冲突域一样，因为其是工作在 OSI 第二层的，无法分析 IP 包，但我们可以使用路由器来隔离广播域，路由器的每个端口可以看成是一个广播域，一个端口的广播无法传到另外一个端口（特殊设置除外），因此在规模较大，机器较多的情况下我们可以使用路由器来隔离广播。在这里，我们就容易理解三层交换技术了，通俗地讲，就是将路由与交换合二为一的技术。路由器在对第一个数据流进行路由后，将会产生一个 MAC 地
9、址与 IP 地址的映射表，当同样的数据流再次通过时，将根据此映射表直接从二层进行交换而不是再次路由，提供线速性能，从而消除了路由器进行路由选择而造成网络的延迟，提高了数据包转发的效率，消除了路由器可能产生的网络瓶颈问题。采用此技术的交换机我们常称为三层交换机。、VLAN 的产生 通常，只有通过划分子网才可以隔离广播，但是 VLAN 的出现打破了这个定律，用二层的东西解决三层的问题很是奇怪，但是的确做到了。它的作用就是将物理上互连的网络在逻辑上划分为多个互不相干的网络，这些网络之间是无法通讯的，就好像互相之间没有连接一样，因此广播也就隔离开了。2.2.1、VLAN 的定义 VLAN 是英文 Vi
10、rtual Local Area Network 的缩写，即虚拟局域网。是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。VLAN可以不考虑用户的物理位置，而根据功能、应用等因素将用户从逻辑上划分为一个个功能相对独立的工作组，每个用户主机都连接在一个支持 VLAN 的交换机端口上并属于一个 VLAN。同一个 VLAN 中的成员都共享广播，形成一个广播域，而不同 VLAN 之间广播信息是相互隔离的。这样，将整个网络分割成多个不同的广播域(VLAN)。IEEE 于 1999 年颁布了用以标准化VLAN 实现方案的协议标准草案。一方面，VLAN 建立在局域网交
11、换机的基础之上；另一方面，VLAN 是局域交换网的灵魂。这是因为通过 VLAN 用户能方便地在网络中移动和快捷地组建宽带网络，而无需改变任何硬件和通信线路。这样，网络管理员就能从逻辑上对用户和网络资源进行分配，而无需考虑物理连接方式。VLAN 充分体现了现代网络技术的重要特征：高速、灵活、管理简便和扩展容易。是否具有 VLAN 功能是衡量局域网交换机的一项重要指标。网络的虚拟化是未来网络发展的潮流。如图 2-1 所示，是基本的 VLAN 结构 图 2-简单 VLAN 的基本结构 VLAN 技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个 VL
12、AN 都包含一组有着相同需求的计算机工作站，与物理上形成的 LAN 有着相同的属性。由于它是从逻辑上划分，而不是从物理上划分，所以同一个VLAN 内的各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理 LAN 网段。由 VLAN 的特点可知，一个 VLAN 内部的广播和单播流量都不会转发到其他 VLAN 中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN 除了能将网络划分为多个广播域，从而有效地控制广播风暴的发生，以及使网络的拓扑结构变得非常灵活的优点外，还可以用于控制网络中不同部门、不同站点之间的互相访问。2.2.2、VLAN 的发展过程 在没有 V
13、LAN 之前，一个公司、企业、政府等团体都是同一个局域网，只是用二层交换机只能构建单一的广播域，如果这个团体很大的话，就会造成很多的网络垃圾广播的。就如：交换机 1 收到广播帧（ARP 请求）后，会将它转发给除接收端口外的其他所有端口，也就是 Flooding 了。接着，交换机 2 收到广播帧后也会 Flooding。交换机 3、4、5 也还会 Flooding。最终 ARP 请求会被转发到同一网络中的所有客户机上。这个 ARP 请求原本是为了获得 B 的 MAC 地址而发出的。也就是说：只要 B 能收到就万事大吉。可是事实上，数据帧却传遍整个网络，导致所有的都收到了它。如此一来，一方面广播消
14、耗了网络整体的带宽，另一方面，收到广播的还要消耗一部分 CPU 时间来对它进行处理。造成了网络带宽和 CPU 运算能力的大量无谓消耗。然而，网络中 ARP 请求也是非常多的，另外，发出 DHCP、RIP 等很多其他类型的广播。那么一旦发出广播信息，就会传遍整个网络，并且对网络中的主机带来额外的负担，这样是对整个网络都是非常不利的 另外，一个很大的团体就是一个局域网的话，是比较难管理的。有些资料只是某些人可以用的，其他人是不可以得到的，如果去共享的话，整个网络中的用户都可能下载到共享的资料，它的作用是控制网络中不同部门、不同站点之间的互相访问，从而降低泄露机密信息的可能性。为了解决网络中的种种问
15、题，交换技术也有不停发展。的发展，也加快了新的交换技术（VLAN）的应用速度。通过将企业网络划分为络 VLAN 网段，可以强化网络管理和网络安全，控制不必要的数据广播。在共享网络中，一个物理的网段就是一个广播域。而在交换网络中，广播域可以是有一组任意选定的第二层网络地址（）组成的虚拟网段。这样，网络中工作组的划分可以突破共享网络中的地理位置限制，而完全根据来划分。这种基于工作流的分组模式，大大提高了网络规划和重组的管理功能。在同一个 VLAN 中的工作站，不论它们实际与哪个连接，它们之间的通讯就好象在独立的交换机上一样。同一个 VLAN 中的广播只有 VLAN中的成员才能听到，而不会传输到其他
16、的 VLAN 中去，这样可以很好的控制不必要的的产生。同时，若没有的话，不同 VLAN 之间不能相互通讯，这样增加了企业网络中不同部门之间的安全性。网络管理员可以通过配置 VLAN 之间的路由来全面管理企业内部不同管理单元之间的信息互访。交换机是根据用户工作站的 MAC 地址来划分 VLAN 的。所以，用户可以自由的在企业网络中移动办公，不论他在何处接入交换网络，他都可以与 VLAN 内其他用户自如通讯。2.2.3、VLAN 的优点 VLAN 是为解决以太网的广播问题和安全性而提出的，它在以太网帧的基础上增加了VLAN 头，用 VLAN ID 把用户划分为更小的工作组，限制不同工作组间的用户二
17、层互访，每个工作组就是一个虚拟局域网。一个 VLAN 内部的广播和单播流量都不会转发到其他 VLAN中，即使是两台计算机有着同样的网段，但是它们却没有相同的 VLAN 号，它们各自的广播流也不会相互转发,从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN 具有以下优点：（1）、控制网络的广播风暴 限制网络上的广播，将网络划分为多个 VLAN 可减少参与广播风暴的设备数量。LAN 分段可以防止广播风暴波及整个网络。VLAN 可以提供建立的机制，防止交换网络的过量广播。使用 VLAN，可以将某个交换端口或用户赋于某一个特定的VLAN组，该VLAN组可以在一个交换网中或跨接多
18、个交换机，在一个 VLAN 中的广播不会送到 VLAN 之外。同样，相邻的端口不会收到其他 VLAN 产生的广 播。这样可以减少广播流量，释放给用户应用，减少广播的产生。（2）、确保网络安全 共享式局域网之所以很难保证网络的安全性，是因为只要用户插入一个活动端口，就能访问网络。而VLAN能限制个别用户的访问，控制广播组的大小和位置，甚至能锁定某台设备的MAC 地址，含有敏感数据的用户组可与网络的其余部分隔离，从而降低泄露机密信息的可能性。不同 VLAN 内的报文在传输时是相互隔离的，即一个 VLAN 内的用户不能和其它 VLAN 内的用户直接通信，如果不同 VLAN 要进行通信，则需要通过或三
19、层交换机等三层设备，增强局域网的安全性。因此 VLAN 能确保网络的安全性。（3）、简化项目管理或应用管理 VLAN 将用户和网络设备聚合到一起，以支持商业需求或地域上的需求。通过职能划分，项目管理或特殊应用的处理都变得十分方便，例如可以轻松管理教师的电子教学开发平台。此外，也很容易确定升级的影响范围。（4）、成本降低：成本高昂的网络升级需求减少，现有带宽和上行链路的利用率更高，因此可节约成本。（5）、性能提高：将第二层平面网络划分为多个逻辑工作组（广播域）可以减少网络上不必要的流量并提高性能。（6）、提高 IT 员工效率 VLAN 为网络管理带来了方便，因为有相似网络需求的用户将共享同一个
20、VLAN。网络管理员能借助于 VLAN 技术轻松管理整个网络。例如需要为完成某个项目建立一个工作组网络，其成员可能遍及全国或全世界，此时，网络管理员只需设置几条命令，就能在几分钟内建立该项目的VLAN 网络，其成员使用 VLAN 网络，就像在本地使用局域网一样。（7）、增加了网络连接的灵活性。借助 VLAN 技术，能将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境，就像使用本地LAN一样方便、灵活、有效。VLAN可以降低移动或变更工作站地理位置的管 理费用，特别是一些业务情况有经常性变动的公司使用了 VLAN 后，这部分管理费用大大降低。2.2.4、VLAN 的划分 使用 VL
21、AN 的目的不仅仅是隔离广播，还有安全和管理等方面的应用，例如将重要部门与其它部门通过 VLAN 隔离，即使同在一个网络也可以保证他们不能互相通讯，确保重要部门的数据安全；也可以按照不同的部门、人员，位置划分 VLAN，分别赋给不同的权限来进行管理。VLAN 的划分有很多种，我们可以按照 IP 地址来划分，按照端口来划分、按照 MAC 地址划分或者按照协议来划分，常用的划分方法是将端口和IP地址结合来划分VLAN，某几个端口为一个VLAN，并为该VLAN配置IP地址，那么该VLAN中的计算机就以这个地址为网关，其它 VLAN则不能与该 VLAN 处于同一子网。我们本地常常采用几种方法相结合进行
22、 VLAN 的划分。VLAN 的划分 （1）、根据端口来划分 VLAN 许多VLAN厂商都利用交换机的端口来划分VLAN成员。被设定的端口都在同一个广播域中。例如，一个交换机的 1，2，3，4，5 端口被定义为虚拟网 AAA，同一交换机的 6，7，8 端口组成虚拟网 BBB。这样做允许各端口之间的通讯，并允许共享型网络的升级。但是，这种划分模式将虚拟网限制在了一台交换机上。第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN，不同交换机上的若干个端口可以组成同一个虚拟网。以交换机端口来划分网络成员，其配置过程简单明了。因此，从目前来看，这种根据端口来划分 VLAN 的方式仍然是最
23、常用的一种方式。（2）、根据MAC 地址划分 VLAN 这种划分 VLAN 的方法是根据每个主机的 MAC 地址来划分，即对每个 MAC 地址的主机都配置它属于哪个组。这种划分 VLAN 方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN 不用重新配置，所以，可以认为这种根据 MAC 地址的划分方法是基于用户的 VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个 VLAN 组的成员，这样就无法限制广播包了。另外，对于
24、使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN 就必须不停地配置。（3）、根据网络层划分 VLAN 这种划分 VLAN 的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如 IP 地址，但它不是路由，与网络层的路由毫无关系。这种方法的优点是用户的物理位置改变了，不需要重新配置所属的 VLAN，而且可以根据协议类型来划分 VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)
25、，一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查 IP 帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。（4）、根据 IP 组播划分 VLAN IP 组播实际上也是一种 VLAN 的定义，即认为一个组播组就是一个 VLAN，这种划分的方法将 VLAN 扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。（5）、基于规则的 VLAN 也称为基于策略的VLAN。这是最灵活的VLAN划分方法，具有自动配置的能力，能够把相关的用户连成一体，在逻辑划分上称为“关系网络”。网络管理员只需在网
26、管中确定划分 VLAN 的规则（或属性），那么当一个站点加入网络中时，将会被“感知”，并被自动地包含进正确的 VLAN 中。同时，对站点的移动和改变也可自动识别和跟踪。采用这种方法，整个网络可以非常方便地通过路由器扩展网络规模。有的产品还支持一个端口上的主机分别属于不同的 VLAN，这在交换机与共享式 Hub 共存的环境中显得尤为重要。自动配置VLAN时，交换机中软件自动检查进入交换机端口的广播信息的IP源地址，然后软件自动将这个端口分配给一个由子网映射成的 VLAN。（6）、按用户定义、非用户授权划分 VLAN 于用户定义、非用户授权来划分VLAN，是指为了适应特别的VLAN网络，根据具体的
27、网络用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到 VLAN 管理的认证后才可以加入一个 VLAN。2.2.5、VLAN 的标准 对 VLAN 的标准，我们只是介绍两种比较通用的标准，当然也有一些公司具有自己的标准，比如 Cisco 公司的 ISL 标准，虽然不是一种大众化的标准，但是由于 Cisco Catalyst 交换机的大量使用，ISL 也成为一种不是标准的标准了。（1）、标准 在 1995 年，Cisco 公司提倡使用协议。在此之前，曾经在全球范围内作为 VLAN 安全性的同一规范。Cisco 公司试图采用优化后的帧格式在网
28、络上传输 FrameTagging 模式中所必须的 VLAN标签。然而，大多数 802 委员会的成员都反对推广。因为，该协议是基于 FrameTagging 方式的。（2）、标准 在 1996 年 3 月，委员会结束了对 VLAN 初期标准的修订工作。新出台的标准进一步完善了 VLAN 的体系结构，统一了 Fram-eTagging 方式中不同厂商的标签格式，并制定了 VLAN 标准在未来一段时间内的发展方向，形成的的标准在业界获得了广泛的推广。它成为 VLAN 史上的一块里程碑。的出现打破了虚拟网依赖于单一厂商的僵局，从一个侧面推动了 VLAN 的迅速发展。另外，来自市场的压力使各大网络厂商
29、立刻将新标准融合到他们各自的产品中。（3）、Cisco ISL 标签 ISL（Inter-Switch Link)是 Cisco 公司的专有，因此只能在 Cisco 的设备上支持。ISL 是一个在交换机之间、交换机与路由器之间及交换机与服务器之间传递多个VLAN信息及VLAN数据流的协议，通过在交换机直接的端口配置 ISL 封装，即可跨越交换机进行整个网络的 VLAN 分配和配置。2.2.6、VLAN 的配置（1）、VLAN 的工作模式：静态 VLAN：管理员针对交换机端口指定 VLAN。动态 VLAN：通过设置 VMPS（VLAN Membership Policy Server），包含了一
30、个 MAC 地址与 VLAN 号的映射表，当数据帧到达交换机后，交换机会查询 VMPS 获得相应 MAC 地址的 VLAN ID。（2）、ISL 标签：ISL（InterSwitch Link）是一个在交换机之间、交换机与路由器之间及交换机与服务器之间传递多个VLAN信息及VLAN数据流的协议，通过在交换机直接相连的端口配置 ISL 封装，即可跨越交换机进行整个网络的 VLAN 分配和进行配置。VLAN 封装的国际标准为IEEE。（3）、VTP（VLAN Trunking Protocol）：它是一个在交换机之间同步及传递 VLAN 配置信息的协议。一个 VTP Server 上的配置将会传递
31、给网络中的所有交换机，VTP 通过减少手工配置而支持较大规模的网络。VTP 有三种模式：Server 模式：允许创建、修改、删除 VLAN 及其他一些对整个 VTP 域的配置参数，同步本 VTP域中其他交换机传递来的最新的 VLAN 信息。Client 模式：在 Client 模式下，一台交换机不能创建、删除、修改 VLAN 配置，也不能在 NVRAM 中存储 VLAN 配置，但可以同步由本 VTP 域中其他交换机传递来的 VLAN 信息。Transparent 模式：可以进行创建、修改、删除，也可以传递本 VTP 域中其他交换机送来的VTP 广播信息，但并不参与本 VTP 域的同步和分配，也
32、不将自己的 VLAN 配置传递给本 VTP 域中的其他交换机，它的 VLAN 配置只影响到它自己。（4）、创建 VLAN，默认情况下交换机只有 VLAN 1,可以通过命令增加所需的 VLAN。（5）、将 VLAN 指定给交换机的各个端口。默认情况下交换机所有端口均属于 VLAN 1，可以通过全局命令修改交换机各端口的 VLAN ID，但交换机每个端口只能属于一个 VLAN。2.2.7、三层交换的配置 （1）、配置 MLSP 协议，使 RP 与 SE 之间可以交换信息。（2）、配置管理端口，MLSP 通过这个端口收发 RP 与 SE 之间的通信。（3）、针对不同的 VLAN 分配不同的 VLAN
33、 网关地址。（4）、启动路由器的路由功能。根据需要，可以定义 VLAN 虚网间的访问策略，可通过定义访问列表来实现。第三章 VLAN 的实际运用 、VLAN 的实现 VLAN的实现原理非常简单，通过交换机的控制，某一VLAN成员发出的数据包交换机只发个同一 VLAN 的其它成员，而不会发给该 VLAN 成员以外的计算机。、如何配置三层交换机创建 VLAN 以下的介绍都是基于 Cisco 交换机的 VLAN。Cisco 的 VLAN 实现通常是以端口为中心的。与节点相连的端口将确定它所驻留的VLAN。将端口分配给VLAN的方式有两种，分别是静态的和动态的.形成静态 VLAN 的过程是将端口强制性
34、地分配给 VLAN 的过程。即我们先在 VTP(VLAN Trunking Protocol)Server上建立VLAN，然后将每个端口分配给相应的VLAN的过程。这是我们创建VLAN 最常用的方法。动态 VLAN 形成很简单，由端口决定自己属于哪个 VLAN。即我们先建立一个 VMPS(VLAN Membership Policy Server)VLAN 管理策略服务器，里面包含一个文本文件，文件中存有与VLAN映射的 MAC 地址表。交换机根据这个映射表决定将端口分配给何种 VLAN。这种方法有很大的优势，但是创建数据库是一项非常艰苦而且非常繁琐的工作。下面以实例说明如何在一个典型的快速以
35、太局域网中实现 VLAN。所谓典型的局域网就是指由一台具备三层交换功能的核心交换机接几台分支交换机(不一定具备三层交换能力)。我们假设核心交换机名称为：COM；分支交换机分别为：PAR1、PAR2、PAR3，分别通过 Port1 的光线模块与核心交换机相连；并且假设 VLAN 名称分别为 COUNTER、MARKET、MANAGING 3.2.1、设置 VTP DOMAIN VTP DOMAIN 称为管理域。交换 VTP 更新信息的所有交换机必须配置为相同的管理域。如果所有的交换机都以中继线相连，那么只要在核心交换机上设置一个管理域，网络上所有的交换机都加入该域，这样管理域里所有的交换机就能够
36、了解彼此的 VLAN 列表。COM#vlan database 进入 VLAN 配置模式 COM(vlan)#vtp domain COM 设置 VTP 管理域名称 COM COM(vlan)#vtp server 设置交换机为服务器模式 PAR1#vlan database 进入 VLAN 配置模式 PAR1(vlan)#vtp domain COM 设置 VTP 管理域名称 COM PAR1(vlan)#vtp Client 设置交换机为客户端模式 PAR2#vlan database 进入 VLAN 配置模式 PAR2(vlan)#vtp domain COM 设置 VTP 管理域名称
37、COM PAR2(vlan)#vtp Client 设置交换机为客户端模式 PAR3#vlan database 进入 VLAN 配置模式 PAR3(vlan)#vtp domain COM 设置 VTP 管理域名称 COM PAR3(vlan)#vtp Client 设置交换机为客户端模式 注意：这里设置交换机为Server模式是指允许在本交换机上创建、修改、删除VLAN及其他一些对整个 VTP 域的配置参数，同步本 VTP 域中其他交换机传递来的最新的 VLAN 信息；Client模式是指本交换机不能创建、删除、修改VLAN配置，也不能在NVRAM中存储VLAN配置，但可以同步由本 VTP
38、 域中其他交换机传递来的 VLAN 信息。3.2.2、配置中继 为了保证管理域能够覆盖所有的分支交换机，必须配置中继。Cisco 交换机能够支持任何介质作为中继线，为了实现中继可使用其特有的 ISL 标签。ISL(Inter-Switch Link)是一个在交换机之间、交换机与路由器之间及交换机与服务器之间传递多个VLAN信息及VLAN数据流的协议，通过在交换机直接相连的端口配置 ISL 封装，即可跨越交换机进行整个网络的 VLAN 分配和进行配置。VLAN 封装的国际标准为 IEEE。所以 isl 可以由 dot1q（）代替 在核心交换机端配置如下：COM(config)#interface
39、 gigabitEthernet 2/1 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl（dot1q）COM(config-if)#switchport mode trunk COM(config)#interface gigabitEthernet 2/2 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl（dot1q）COM(config-if)#switchport mode trunk
40、 COM(config)#interface gigabitEthernet 2/3 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl（dot1q）COM(config-if)#switchport mode trunk 在分支交换机端配置如下：PAR1(config)#interface gigabitEthernet 0/1 PAR1(config-if)#switchport mode trunk PAR2(config)#interface gigabitEthernet 0/1 PA
41、R2(config-if)#switchport mode trunk PAR3(config)#interface gigabitEthernet 0/1 PAR3(config-if)#switchport mode trunk 此时，管理域算是设置完毕了。3.2.3、创建 VLAN 一旦建立了管理域，就可以创建 VLAN 了。COM(vlan)#Vlan 10 name COUNTER 创建了一个编号为 10 名字为 COUNTER 的 VLAN COM(vlan)#Vlan 11 name MARKET 创建了一个编号为 11 名字为 MARKET 的 VLAN COM(vlan)#V
42、lan 12 name MANAGING 创建了一个编号为 12 名字为 MANAGING 的 VLAN 注意，这里的 VLAN 是在核心交换机上建立的，其实，只要是在管理域中的任何一台 VTP 属性为Server 的交换机上建立 VLAN，它就会通过VTP 通告整个管理域中的所有的交换机。但是如果要将交换机的端口划入某个 VLAN，就必须在该端口所属的交换机上进行设置。3.2.4、将交换机端口划入 VLAN 例如，要将 PAR1、PAR2、PAR3分支交换机的端口 1 划入 COUNTER VLAN，端口 2 划入 MARKET VLAN，端口 3 划入 MANAGING VLAN PAR1
43、(config)#interface fastEthernet 0/1 配置端口 1 PAR1(config-if)#switchport access vlan 10 归属 COUNTER VLAN PAR1(config)#interface fastEthernet 0/2 配置端口 2 PAR1(config-if)#switchport access vlan 11 归属 MARKET VLAN PAR1(config)#interface fastEthernet 0/3 配置端口 3 PAR1(config-if)#switchport access vlan 12 归属 MAN
44、AGING VLAN PAR2(config)#interface fastEthernet 0/1 配置端口 1 PAR2(config-if)#switchport access vlan 10 归属 COUNTER VLAN PAR2(config)#interface fastEthernet 0/2 配置端口 2 PAR2(config-if)#switchport access vlan 11 归属 MARKET VLAN PAR2(config)#interface fastEthernet 0/3 配置端口 3 PAR2(config-if)#switchport access
45、 vlan 12 归属 MANAGING VLAN PAR3(config)#interface fastEthernet 0/1 配置端口 1 PAR3(config-if)#switchport access vlan 10 归属 COUNTER VLAN PAR3(config)#interface fastEthernet 0/2 配置端口 2 PAR3(config-if)#switchport access vlan 11 归属 MARKET VLAN PAR3(config)#interface fastEthernet 0/3 配置端口 3 PAR3(config-if)#sw
46、itchport access vlan 12 归属 MANAGING VLAN 3.2.5、配置三层交换 到这里，VLAN 已经基本划分完毕。但是，VLAN 间如何实现三层(网络层)交换呢这时就要给各VLAN分配网络(IP)地址了。给VLAN分配IP地址分两种情况，其一，给VLAN所有的节点分配静态 IP 地址；其二，给 VLAN 所有的节点分配动态 IP 地址。下面就这两种情况分别介绍。(1)给 VLAN 所有的节点分配静态 IP 地址 首先在核心交换机上分别设置各 VLAN 的接口 IP 地址，如下所示：COM(config)#interface vlan 10 COM(config)#
47、interface vlan 11 COM(config)#interface vlan 12 再在各接入 VLAN 的计算机上设置与所属 VLAN 的网络地址一致的 IP 地址，并且把默认网关设置为该 VLAN 的接口地址。这样，所有的 VLAN 也可以互访了。(2)给 VLAN 所有的节点分配动态 IP 地址 首先在核心交换机上分别设置各 VLAN的接口IP 地址和DHCP服务器的IP地址，如下所示：COM(config)#interface vlan 10 COM(config)#interface vlan 11 COM(config)#interface vlan 12 “路由器”选
48、项设置为对应 VLAN 的接口 IP 地址。这样，可以保证所有的 VLAN 也可以互访了。最后在各接入 VLAN 的计算机进行网络设置，将 IP 地址选项设置为自动获得 IP 地址即可。第四章 VLAN 的实现与配置 VLAN 实现过程 当一个网桥或交换机接收到来自于某个计算机工作站的数据帧，它将给这个数据帧加上一个标签以标识这个数据帧来自于哪个 VLAN。加标签的原则有多种：可以基于数据帧来自于网桥的哪个端口、可以基于数据帧的数据链路层协议源地址、可以基于数据帧的网络层协议源地址、也可以基于数据帧的其它字段或多个字段的综合。为了能够使用任意一种方法给数据帧加标签，网桥必须有一个不断升级更新的
49、数据库。这个数据库叫做过滤数据库，包含了本网络中全部 VLAN 之间的映射以及它们使用哪个字段作为标签。例如，如果通过基于端口的方式来加标签，该数据库应该指示哪个端口属于哪个 VLAN。网桥必须能够维护这样的一个数据库并且应保证所有在这个 LAN 中的网桥在它们的过滤数据库中有同样的信息。基于IEEE 协议时，4个字节的VLAN标签加到传统的以太网帧的目的MAC地址字段和协议类型字段（在符合 IEEE 协议的帧中是长度字段）之间。其中包含有一个 12 比特大小的 VLAN ID号以区别各个 VLAN，如图 4-1 所示：图 4-1 基于协议的 VLAN 帧格式封装类型 由于协议的标签头的 4
50、个字节是新增加的，故目前使用的计算机并不支持，即计算机发送出去的数据包的以太网帧头还不包含这 4 个字节，同时也无法识别这 4 个字节。对于交换机来说，如果它所连接的以太网段的所有主机都能识别和发送这种带标签头的数据包，该端口称为Tag Aware 端口，需要给数据帧加标签。反之，如果该交换机端口所连接的以太网段里只要有一台主机不支持这种带标签头的数据包，该端口称为 Access 端口，则不能给数据帧加标签。对于每一个到来的 VLAN 帧，网桥或交换机将根据查找过滤数据库的结果决定该帧归属于哪一个VLAN、将从哪个接口被转发出去。一旦网桥或交换机决定了某个数据帧的下一步去向，它就得决定是否需要