第5章 VLAN

第5章VLAN

本章能帮助大家掌握以下技术要点：

①基于安全和管理的需要，能够正确地为交换机配置各种密码和管理的IP地址、网关等

②能够根据实际的需求，在Cisco交换机上正确划分基于端口的静态VLAN

·理解VLAN的含义

·了解划分VLAN的作用

·理解VLAN的工作原理

上章讲解了交换机根据MAC地址表转发数据的工作原理，并且已经能使用超级终端接入交换机。那么学习了本章，将能够对交换机进行必要的配置，例如交换机的主机名、密码、IP地址等。

另外，前面讲过关于冲突域和广播域的知识，知道交换机能够分割冲突域，实现全双工通信，但是交换机的所有端口都属于同一个广播域，也就是说，连接在交换机上的一台主机发送了一个广播包，连接在交换机上的所有端口都能接收到这个广播。如果交换机数量很多，连接成一个很大的交换网络，那么广播的量就会非常大。当网络中广播通信很泛滥的时候，交换机的负荷包括主机的负荷都会提高很多，甚至可能导致交换机死机，那有没有一种方法分割交换机上的广播域呢?

本章将要讲解的VLAN技术就是在交换机上分割广播域。划分VLAN，目前在实际的企业环境中应用非常广泛。本章将会讲解VLAN的原理以及交换机的配置。

5.1 交换机的基本配置

5.1.1 交换机的基本配置与查看

1．配置主机名

为交换机配置主机名的命令：

------------------------------------------------------------------------------ 提示：该命令使用hostname在全局配置模式下配置交换机的主机名，配置后，提示的主机名立即变为刚才设置的名字，例如：

------------------------------------------------------------------------------

2．查看交换机的配置

查看交换机配置的命令：

在特权模式下，使用show running-conng(可以简写为show run)查看交换机的配置信息，例如，前面设置了交换机的主机名为xiaoming，可以在交换机给出的信息中看到刚

做的配置。

3．使能口令

为交换机配置使能口确，则不能进入特权模式令，当进入特权模式时，交换机会提示输入口令，如果口令不正确，配置命令如下：

------------------------------------------------------------------------------ 提示：该命令用于在全局配置模式下配置交换机的使能口令。

------------------------------------------------------------------------------ 例如：

配置后，用show run查看配置:

可以看出，使能口令是以明文的形式保存的。

4．加密保存的使能口令

为交换机配置加密保存的使能口令的命令：

例如，在全局配置模式下，配置交换机的加密的使能口令为ciscolab：

配置后可以show run 查看配置：

可以看出，加密的使能口令在配置文件中以加密形式保存。如果同时配置了加密的使能口令和明文的使能口令，加密的使能口令在登录时生效。

5．验证使能口令和加密的使能口令是否生效

退出特权模式，检测进入特权模式时，需要进行什么样的操作：

在用户模式下，输入enable进入特权模式，此时生效的是加密的使能口令。当同时配置使能口令和加密的使能口令时，登录时，输入加密的使能口令有效。

6．配置IP地址

为交换机配置IP地址，用于通过网络对交换机进行管理(关于对交换机进行远程管理的配置将在后续章节做详细介绍。配置命令为：

配置了交换机的可管理IP地址后，可以通过网络使用地址192.168.1.1对交换机进行管理。

7．配置交换机的网关

为交换机配置网关地址的命令：例如：

为交换机配置网关的目的是为了远程管理交换机，当管理工作站的位置与交换机不在同一网段时，需要为交换机配置网关。

8．查看交换机的MAC地址表

我们在前一章讲过，交换机根据MAC地址表转发数据，当交换机的转发出现问题的时候，我们可以根据MAC地址表去定位故障点，以排除网络的故障。下面是查看交换机MAC地址表的命令：

其中，前4个MAC地址是赋予CPU的，用于管理。第一个MAC地址000d.28be.b640是交换机的基本的MAC地址，交换机每个端口的MAC地址一般是这个基本MAC地址上加端口号。

其余的3个是组播MAC地址，用于交换机中的一些交换协议。

最后两个MAC地址的类型为DYNAMIC(动态)，是连接在交换机Fa0/2和Fa0/8上的设备接口的MAC地址。

5.1.2 使用CDP协议

本节主要介绍如何使用CDP相关命令，查看CDP相关命令结果，如何使用CDP信息协助配置交换机和排查交换机故障。

CISCO发现协议(CDP)提供了一条专有的命令，使得网络管理员能获得有关直连设备的摘要信息。CDP运行于数据链路层。

当CISCO设备启动时，CDP会自动，这使得设备可以检测到运行CDP的相邻的CISCO设备，这些设备不一定要运行TCP/IP，只要是直接相连的cisco设备就行，而不管第3层和第4层运行什么协议簇。

show cdp命令中主要包含以下几个可以使用的命令：

例如，如图5.1所示，一台CiSCO 2950交换机与一台cisco 2621路由器直接相连按照图5.1所示连接交换机。

图5.1 查看邻居信息示意图

按照图5.1所示连接交换机和路由器，在交换机上使用show cdp命令：

Show cdp命令显示了设备的CDP全局配置信息：每60s发送CDP包一次，保持计数器为180s，发送CDP版本2公告处于使能(enabled)状态。

show cdp interface f0/19命令显示了f0/19接口的CDP配置信息，如下：

show cdp traffic命令显示了有关CDP包的统计信息，主要用来查看其接收和发送的公告报文数，如下：

show cdp neighbors命令以洁的形式列出了与本设备相邻的Cisco设备。

分析：

◇Device ID：相邻设备的设备名，一般是其主机名(由hostname命令所定义的主机名)。◇Local Intrfce：即Local Interface，本地接口，本地与对应相邻设备连接的接口。◇Holdtme：即Hold Time保持时间，此值一旦计数到零，相应项将从CDP邻居表中删除。◇Capability：设备的能力，此处的S指交换机，若为R则为路由器。

◇P1atfonn：设备平台，指对应的相邻硬件平台，此处显示为Cisco 2621路由器。

◇Port ID：端口号，这里指的是相邻设备上的端口号，对于对方而言，就是F0/0(快速以太网接口FO/O)。

在show cdp entry后面入“*”号即可显示所有入口项的细节。

show cdp neighbors detail命令用于显示相邻cisco设备的详细信息，信息主要包括IP地址、平台、接口信息、保持时间、版本信息等。

5.1.3 保存与删除交换机配置

1．保存交换机的配置

交换机里保存了两个配置文件，其中running-config文件保存的是当前的配置信息，存储在RAM中，每做一个配置，就会立即将配置信息添加到running-config文件中，配置也同时生效。但是交换机掉电后，running-config就消失了。

另一个配置文件是startup-conflg，保存在NVRAM中，掉电后不丢失，在交换机启动的时候加载startup-config文件。因此，对交换机做了相应的参数配置后，应该进行保存操置,防止配置丢失。保存交换机配置的命令为：

或可写为

两条命令的效果相同。

2．恢复交换机出厂配置

当多次对交换机进行配置后，交换机的配置状况就像一张被不同人写满不同字体的纸。想要再有效地写一些东西在上面，就要首先对原有的文字进行修改和删除，这样做又费时又费力，交换机生产厂家为大家提供了一种方法可以使大家重新配置交换机，就像是重新获得一张白纸来写字一样。

恢复交换机出厂值的步骤：

5.1.4 Catalyst 2950交换机密码恢复

在实际工作中可能会遇到忘记交换机密码，导致不能对交换机进行配置的情况。Cisco 提供了密码恢复的方法。

这时如果要重新配置交换机必须使交换机在启动时绕过config.text的配置(密码保存在config.text中)，然后重新配置密码。

如果要使交换机启动时绕过config.text的配置，只要在ROM状态下修改config.text 文件名就可以。正常情况下配置文件名为config.text，现在把它改为config.old文件，然后再重新启动交换机进入特权模式把文件名改回来，重新设置密码就可以了。

不同的交换机在执行密码恢复时的步骤也不尽相同，下面以Cisco catalyst 2950为例。

(1)拔下交换机的电源线。

(2)用手按在交换机的MODE按键上，插上电源线，如图5.2所示。

图5.2 MODE键

(3)看到控制台出现如下界面，松开MODE键。

场景描述：

SOHU公司有2名网络工程师，早期公司的一台CISCO-2950交换机是工程师A配置的并投入使用，交换机内配置了重要的信息，密码，主机名，IP ADD等等，工程师B某天发现网络产生故障，要使用2950交换机，但又不知道密码，又联系不上工程师A，此时应该怎么办？

解决：将交换机的密码破解掉，删除原先的密码重新配置新的密码，但保证原先交换上的重要配置仍然保留使用。演示如下1-6图：

①破密码步骤1：工程师B发现有密码进不了交换机

图1

图2 ③破密码步骤3：

图3

图4 ⑤破密码步骤5：

图5

⑥破密码步骤6：将原有配置从交换机中倒出，并NO掉里面的密码但保存重要配置

图6

以上就是2950交换机破密码的步骤！

------------------------------------------------------------------------------- 阶段练习：

◇配置使能口令和加密的使能口令的区别是什么?

如果两个都设置，在登录的时候哪一个生效?

◇如何恢复交换机的出厂默认值?

◇执行命令switch#write后，running-config和startup-config是否相同?

running-config保存在什么地方?

startup—config呢?

------------------------------------------------------------------------------- 5.2 虚拟局域网(VLAN)

5.2.1 VLAN的概述和作用

1．VIAN概述

VLAN(虚拟局域网)是对连接到第2层交换机端口的网络用户的逻辑分段，不受网络用户的物理位置限制，而根据用户需求进行网络分段，一个VLAN可以在一个交换机上实现，也可以跨交换机实现。VLAN可以根据网络用户的位置、作用、部门或者网络用户所使用的应用程序和协议来进行分组。基于交换机的虚拟局域网能够为局域网解决冲突域、广播

域、带宽问题。

在传统的共享介质以太网和交换式以太网中，所有的用户在同一个广播域中，这样会

引起网络性能的下降，浪费宝贵的带宽；而且，对广播风暴的控制和网络安全只能在第3 层的路由器上实现。

在传统的局域网中，如果一个节点接到一个网络设备(集线器、中继器或网桥)上，那么，

它就与其他接在同一设备上的节点属于同一个局域网。局域网实际上就是一组能互相发送广

播报文的节点。如果一组节点能互相发送广播报文，就称它们处于同一“广播域”。说得更

明白一些就是：广播域是一组能互相发送广播报文的节点。广播域通常通过路由器互相连接，

并且，第2层的广播帧不能通过路由器。为了简单起见，一般称一个VLAN就是一个广播域，

如图5.3所示。

图5.3 VLAN和广播域

VLAN相当于OSI参考模型第2层的广播域，能够将广播控制在一个VLAN内部，划分VLAN 后，由于广播域的缩小，网络中广播包消耗带宽所占的比例大大降低，网络的性能得到显著

提高。不同VLAN之间的数据传输是通过第3层(网络层)的路由来实现的，因此，使用VLAN

技术结合数据链路层和网络层的交换设备，可搭建安全可靠的网络。网络管理员通过控制交

换机的每一个端口，来控制网络用户对网络资源的访问，同时VLAN和第3层的路由结合使

用能够为网络提供较好的安全措施。在后面，还会对VLAN的作用进行详细的阐述。

-------------------------------------------------------------------------------

提示：

一个VLAN就是一个交换网，其逻辑上按功能，项目，应用来分，而不必考虑用户的物

理位置。任何交换口都可以属于某一VLAN，IP包，广播包及组播包均可以发送或广播给在

此VLAN内的最终用户。每一个VLAN均可看成是一个逻辑网络，发往另一VLAN的数据包必

须由路由器转发。

-------------------------------------------------------------------------------

另外，VLAN具有灵活性和可扩展性等特点，便于网络维护和管理，这两个特点正是现代局域网设计必须实现的两个基本目标，在局域网中有效利用虚拟局域网技术能够提高网络运行效率。

2．VLAN的作用

VLAN的产生主要是为了给局域网的设计增加灵活性。VLAN使得网络工程师在划分工作组时，不再受用户在企业网内位置的限制。下面详细介绍VLAN的作用。

(1)安全性

安全性一直是网络中牵涉面最广的一个方面。在进行网络连接时，所做的每一件事情几乎都与安全性有关。对于VLAN技术而言，安全性只是副产品而已(安全性不是VLAN技术产生的决定性推动因素)。

当创建多个VLAN时，就同时创建了多个通过内置防火墙相分隔的独立网络。也许“防火墙”这个术语用在这里有些过头，但要说明的问题是，不同VLAN中的主机不能互相通信。如果IP子网与VLAN之间的映射是一一对应的，那么，不同VLAN中的主机相互之间就必须通过IP路由选择进行通信。配置了路由选择后，就能实现VLAN间的通信。在这种情况下，可以通过路由器上配置的访问控制列表来过滤VLAN间的通信(访问控制列表是人为地配置一些控制来限制各个子网之间的通信，有关访问控制列表的内容在后续课程中有详细讲解)。

理论上，可以只配置VLAN而不配置VLAN间路由，并以此作为一项安全解决方案。只有VLAN内的用户才能通信。但事实上，这种做法是很少见的。出于安全性考虑，人们也许会用这种方法来分隔一些VLAN，但通常都会在各个VLAN之间配置路由选择，并通过访问控制列表来保护某个VLAN或者VLAN内某一部分的安全。

另一方面的考虑源自共享介质技术。在基于集线器的局域网中，当站点需要发送数据时，所有连在同一个网段中的站点(即使不是目标接收者)都会收到该数据帧的一个备份。任何运行协议分析软件的主机都能对通信进行监视。这样就能实现截获密码、读取内容敏感的电子邮件等功能。如果某个网段内的用户属于同一个部门，这可能不是一个问题，但如果多个部门共享一个网段，敏感的信息就会受到威胁。如果人力资源或者财务部门的人员在共享网络上发送类似薪金或者健康记录的信息，那么，局域网上的任何用户只要使用网络监听工具就能截取这些信息。

事实上，这个问题不仅仅存在于单个局域网段内。如果源和目的之间的任何共享介质的LAN中存在别的主机，数据就面临着安全隐患。

或者，如果用户对连接源和目的的交换机能进行物理的或者逻辑的访问，那么数据也可能被截获。这类的安全漏洞只能通过严格控制对交换机的物理访问，并用密码控制远程访问来解决。

实际上，假设对交换机的物理访问是安全的，也用密码对远程访问进行了保护，由于共享介质而造成的数据截获问题在今天已经不是主要问题。现在，几乎所有的主机都连接到了交换端口上。因此，单播对发送者和接收者以外的任何主机都是不可见的。VLAN在主机间

增加了另一层分隔，使得数据的截获变得更加困难。

(2)广播控制

事实上，所有的网络控制协议都会产生广播数据。在很多的协议和应用中，终端都会通过广播来通告或者请求服务。另外，多媒体应用也会产生能在整个广播域内传送的广播和组播数据帧，如图5.4所示。

图5.4 VLAN产生的主要原因：控制广播

广播会被广播域内的所有设备接收和处理。广播会对工作站的JI生能产生显著影响。工作站收到的任何广播数据包都会产生CPU中断，因此，都会暂时中断对用户应用程序的处理。随着网卡所接收的广播数据包的增加，有效的CPU利用率会不断降低。性能下降的具体程度要视工作站的应用、网卡的类型、驱动程序、操作系统以及工作站平台而定。

除了造成工作站性能的下降之外，广播和组播还会消耗实际的带宽，如果不控制，还会严重影响网络的性能。解决方法当然是将网络中任何不必要的广播和组播通信降到最低。

VLAN分割了广播域。除非专门对网络设备进行配置，否则，广播和组播不会在VLAN之间进行传播。如果广播和组播在网络中产生了问题，划分更小的VLAN能将影响减到更小。这意味着将现有的VLAN划分成多个更小的VLAN，以减小每个VLAN中设备的数量。这样做的效果需要视广播／组播通信的信源而定。如果信源是本地服务器，可能只需要将此服务器隔离到另一个域内。如果广播／组播是由一些终端工作站发出的，那么划分新的VLAN将有助于减少每个域内广播／组播的数量。

(3)带宽利用

如果一台工作站连接到了交换机端口上，通常，它所接收的数据包只是专门发给它的。交换机过滤其他的单播数据包。唯一的例外是：如果在VLAN内的一个入向端口上，收到了一个目的地址未知的单播数据帧，这个帧就会在该VLAN内的所有其他端口上广播出去。这个过程会持续进行，直到交换机发现了目的MAC地址与交换机端口之间的映射。这就是说，目的地址未知的单播通信只会在相同VLAN内的端口上进行广播。在交换机上配置更多的

VLAN，也就意味着每个交换机端口上的广播通信更少。因此，部署VLAN能提高带宽的利用率。

(4)延迟

延迟用于度量在网络设备上将数据帧从入端口传送到出端口所需的时间。通过部署VLAN，减少了广播和组播通信量，减少了带宽的占用，就可以减少延迟。

5.2.2 VLAN的种类

VLAN可以分为静态的或者动态的，在本节中主要介绍以下两种：

◇静态：基于端口划分的VLAN。

◇动态：基于MAC地址的VLAN。

1．基于端口划分的静态VLAN

VLAN可以分为基于端口(静态)的或者基于MAC地址(动态)的。基于端口的(也称为静态的)VLAN实现方式是目前最常见的。在基于端口的VLAN中，端口到VLAN的映射是手工一一配置的，指定了哪些端口与特定的VLAN相关联。这就直接在每个交换机上实现了端口和VLAN 的硬性映射，如图5.5所示。这种端口和VLAN的映射只是本地有效的，交换机之间不共享这一信息。

在基于端口的VLAN成员身份中，将端口指定到特定VLAN时，不需要考虑该端口所连接的用户或系统。这就意味着，连接到该端口的所有用户都必须属于同一个VLAN。这种端口配置是静态的，需要通过手工配置将端口改变到另一个VLAN中。

图5.5 基于端口的VLAN使用

连接到端口的设备并不知道另一个VLAN。这个设备只知道它是某个子网的成员，并且只需要将数据发送到所连接的线缆段上，就能与属于同一个子网的所有成员通信。交换机负责识别信息来自哪个特定的VLAN，并保证只将信息发送给该VLAN内的所有其他成员。交换机还进一步确保其他VLAN的端口不会收到该信息。

基于端口的静态VLAN的优点在于，它简化了VLAN成员管理的复杂性，实现VLAN成员关系所涉及的变量的数目被降到最低。

2．基于MAC地址划分的动态VLAN

另一方面，如果用户经常在大型园区网内移动其工作站或使用笔记本电脑，为基于端口的VLAN提供支持就很困难了。在这种情况下，就有部署动态VLAN的必要。在动态VLAN中，会根据主机的MAC地址自动将其指派到合适的VLAN中。这是通过VLAN管理策略服务器(VMPS)数据库中的MAC地址到VLAN的映射表实现的，如图5.6所示。

VMPS是CISCO专用的解决方案，在一个VTP(VLAN Trunking Protocol)域内支持对交换机端口进行动态VLAN分配(VTP域将在后面的章节描述)。VMPS服务器负责将VMPS数据库中的信息发送给交换机。

图5.6 基于MAC地址的动态VLAN

动态VLAN也提供了一种形式的安全性。通常VMPS的配置都是：如果用户的MAC地址不在数据库中，就拒绝用户访问网络，或者将其分配到一个受限的VLAN中。动态VLAN的一个缺点是，需要不断更新VMPS数据库，这就会带来很大的管理负担。

5.2.3 静态VLAN的工作原理

静态VLAN的工作原理就是将端口强制性地分配给某个VLAN。一般按照设计和规划来确定哪些端口属于哪些特定的VLAN，然后将VLAN静态映射到端口。

例如，在图5.7中，交换机的端口定义了两个VLAN，即会计部门和管理部门。其中，端口1到端口13分配给会计部门的VLAN，端口13到端口24分配给管理部门的VLAN。由于交换机不允许广播在VLAN之间传送，所以交换机相当于对图5．7中的网络进行了逻辑分段。

图5.7 在交换机上定义两个VLAN

如果会计部门VLAN的工作站A发送一个广播，则会计部门VLAN上的所有工作站都会接收到这个广播。但交换机不会将广播发送至管理部门VLAN上的任何一个端口。实际上，交换机不会从一个VLAN向另外一个VLAN发送任何帧，如图5.8所示。

图5.8 广播限制在一个VLAN的所有端口上

会计部门VLAN中的工作站将与管理部门VLAN中的用户处在完全不同的广播域中，一个VLAN也对应一个子网。假设，分配给会计VLAN的IP地址是172.16.10.0/24。分配给管理VLAN的IP地址为172.16.20.0/24。在这种情况下，一个VLAN的通信量不会对另外一个VLAN 产生影响，不论它在网络中的物理位置怎样都是如此。

在交换机上定义好端口和VLAN的对应关系后，在交换机中会有一个表，存储着它们这种对应关系，交换机根据这张表来判断哪个机器属于哪个VLAN。

5.2.4 在交换机上配置静态VLAN

Catalyst 2950交换机支持1005个VLAN，VLAN号可以从1～4094，VLAN号1002～1005保留给令牌环和光纤分布式数字网(FDDI)形式的VLAN。

VLAN号1，1 002～1005是自动生成的，不能被去掉。

VLAN号1～1 005的配置被写到文件vlan.dat中，可以用show vlan命令查看，vlan．dat 文件存放在NVRAM中。

------------------------------------------------------------------------------- 提示:不要手工删除vlan.dat文件，否则可能造成VLAN的不完整。如要删除VLAN，需要用相关的命令来进行。

------------------------------------------------------------------------------- 在交换机上配置基于端口划分的VLAN，需要以下几个步骤：

(1)创建VLAN。

(2)将交换机的端口加入到相应的VLAN中。

(3)验证。

1．创建VLAN

在cisco交换机上创建VLAN有两种方法：

(1)在全局配置模式下,表5-1列出了在全局配置模式下创建VLAN的命令。

表5-1 在全局配置模式下创建VLAN的命令

例如：创建ID为20，名称为test20的VLAN

(2)在VLAN数据库模式中

也可以在VLAN数据库中创建VLAN，表5-2列出了在VLAN数据库中的VLAN配置命令。

表5-2 在VLAN数据库中VLAN的配置命令

例如：

2．删除VLAN

表5-3是在全局配置命令模式下删除VLAN的命令。

表5-3 删除VLAN的命令

例如：

与创建VLAN相同，也可以在VLAN数据库中删除VLAN，命令为：