VLAN特性
24 （VLAN25-47）
楼道接入1#
楼道接入2＃
• PVLAN
用户超过4K 怎么办
PVLAN
• PVLAN：私有VLAN • 实现同一个VLAN中，端口之间隔离，还 可以实现隔离端口和指定端口的互通。 • 前面的VLAN在PPPoE接入的配置方法， 最大的弊端是占用VLAN ID资源太多。 • 我们可使用PVLAN的方法配置。
•PVLAN •BAS无法区分用户问题 •QinQ
IP L3交换机 802.1Q
BAS
Etherne t
Etherne t
L2/3交换机 Etherne Etherne t t
VLAN二层VPN业务
同城互连用户 LAN专线用户 LAN PPPoE用户
专线接入业务 DSLAM 同城互连用户 宽带接入拨号业务 ADSL PPPoE用户
• QinQ
用户VLAN 相同如何区 分用户呢?
PVLAN的端口类型
• 隔离端口(Isolate Port)：与用户相连的端 口 • 混合端口(Promiscuous Port)：上行的端 口 隔离端口只能与混合端口通信，相互之 间不能通信。 这样就将同一个VLAN下的端口隔离开 来，用户只能与自己的默认网关通信，网 络的安全性得到保障。
VLAN的典型应用——交 换型城域网
BAS
payload
L2/3交换机 Etherne Etherne t t
VLAN二层VPN业务
同城互连用户 LAN专线用户 LAN PPPoE用户
专线接入业务 DSLAM 同城互连用户 宽带接入拨号业务 ADSL PPPoE用户
内容回顾
•城域网三种接入方式
•普通VLAN接入遇到VLAN资源不足的问题
VLAN特性
V1.1
• 通过本章的学习，你可以获得以下收 获：
– 了解城域网三种接入方式 – 了解PVLAN的概念和作用 – 了解QINQ的概念和作用
VLAN的典型应用——交 换型城域网
IP
L3交换机
BAS
802.1Q 802.1Q
802.1Q
Ethernet
Ethernet
Ethernet
L2/3交换机
VLAN二层VPN业务 专线接入业务 DSLAM 同城互连用户 宽带接入拨号业务 LAN PPPoE用户 ADSL PPPoE用户
ቤተ መጻሕፍቲ ባይዱ
同城互连用户 LAN专线用户
VLAN的典型配置
24 （VLAN 2－47） 小区汇聚 1 （ VLAN 2－24） 2 （ VLAN 25－47）
24 （VLAN2－24）
QinQ
• QinQ: VLAN堆叠 QinQ技术是在原有VLAN标签(内层标签) 之外再增加一个VLAN标签(外层标签)， 外层标签可以将内层标签屏蔽起来。
VLAN数增加到4096×4096个 QinQ不需要协议的支持，通过它可以实
VLAN的典型应用——交 换型城域网
IP L3交换机
TAG TAG TAG payload TAG payload
vlan基本配置
Vlan基本配置一、实验目的和要求掌握交换机和vlan的工作原理；学习配置交换机基本配置和命令；学习配置vlan命令和步骤；掌握vtp的概念和基本设置；在模拟环境下掌握对交换机的端口进行配置。
二、实验原理交换机: 工作在数据链路层，使用MAC地址，完成对帧的操作。
配置交换机的IP地主要是为了管理用，配置的交换机IP地址实际是VALN的IP。
VLAN作用：交换机通过VLAN设置，可以将一个局域网划分成多个逻辑网络，从而达到隔离广播域。
VLAN最大的特性是不受物理位置的限制，可以进行灵活的划分。
VLAN具备一个物理网段所具备的特性。
相同的VLAN内的主机可以互相直接访问，不同的VLAN间的主机互相访问必须经由路由设备进行转发。
广播数据包只可以再本VLAN内进行传播，不能传输到其他VLAN中。
一个VLAN一个广播域，不同VLAN的主机间访问，相当于网络间的访问，要通过路由实现。
VLAN中继协议，VTP，VLAN TRUNKING PROTOCOL，是CISCO专用协议，大多数交换机都支持该协议。
VTP负责在VTP域内同步VLAN信息，这样就不必在每个交换上配置相同的VLAN信息。
有了VTP，就可以在一台机换上集中过时行配置变更，所作的变更会被自动传播到网络中所有其他的交换机上。
VTP域，也称为VLAN管理域，由一个以上共享VTP域名的相互接连的交换机组成。
交换机缺省VTP域名为空。
VTP信息只能在VTP域内保持。
一台交换机可属于并且只属于一个VTP域。
VTP模式有3种，分别是：>服务器模式（SERVER缺省）VTP服务器控制着它们所在域中VALN的生成和修改．所有的VTP信息都被通告在本域中的其他交换机，而且，所有这些VTP信息都是被其他交换机同步接收的。
>客户机模式（CLIENT）VTP客户机不允许管理员创建、修改或删除VLAN。
它们监听本域中其他交换机的VTP通告，并相应修改它们的VTP配置情况。
vlan种类总结
Vlan 种类总结一、Standard VLAN业务1、Standard VLAN通过把不同的端口划分到不同的VLAN，可以实现用户二层隔离；把不同的端口划分到在同一VLAN可以实现二层互通。
2、目前版本不支持Standard VLAN增加业务虚端口。
二、Smart VLAN 业务1、SmartVLAN通过添加多个下行端口以及一个或多个上行端口，由系统自动创建上行端口和下行端口内部映射关系，实现用户之间二层报文的隔离。
三、Mux VLAN 业务1、MUX VLAN只能添加一个业务端口但是可以添加多个上行端口，用于需要用VLAN来区分用户的场合四、Super VLAN 业务1、SuperVLan是一个虚拟的三层接口。
它可以添加多个SubVlan，并且这些SubVlan共享一个三层接口，从而达到节省IP网段的目的。
2、SubVlan是SuperVLAN的子VLAN。
SmartVLAN、MUXVLAN 或者标准VLAN都可以加入到SuperVLAN作为SubVLAN，但前提是该VLAN必须是已经创建好的VLAN。
五、QinQ VLAN业务1、QinQ VLAN特性主要是为了满足私网VLAN和业务能直接透明传输到对端。
2、MA5600接收到底层带私网VLAN（Customer VLAN ）的报文后，在该报文上再打上一层SP VLAN（Service Provider VLAN 服务提供商），这样MA5600只要创建一个QinQ VLAN，就可以把私网VLAN 直接透明传输到对端，大大节省了公网VLAN ID资源。
3、QinQ VLAN是VLAN的一种属性，只需要在创建VLAN后指明其属性为QinQ 即可。
六、VLAN Stacking业务1、VLAN Stacking特性通过给用户报文打上两层标签来实现报文选路和标识用户的功能。
2、MA5600接收到底层不带VLAN的报文后，在该报文上打上两层VLAN（SP VLAN＋Customer VLAN）后转发出去。
pvlan与vlan的区别及详解
pvlan与vlan的区别虚拟局域网（ＶＬＡＮ）是驻地网必须具备的特性之一。
目前普遍应用的８０２．１ｑ，主要是针对企业应用设置的，起到网段隔离和多址联播的作用。
如果用在驻地网上，便可能破坏多址联播特性，引起网络运行效率的降低。
例如１０个用户同时点播一个视频节目，视频服务器要响应１０次请求，在网络骨干层要传输１０次，造成大量的带宽消耗。
如果用户数目多到一定程度，整个网络便有可能瘫痪。
思科的ＰＶＬＡＮ技术有效解决了这一问题，在一组端口发出请求时，骨干层只传输一次，再分到每个端口，因此大大提高了网络的运行效率。
IDC环境是一个典型的多客户的服务器群结构，每个托管客户从一个公共的数据中心中的一系列服务器上提供Web服务。
这样，属于不同客户的服务器之间的安全就显得至关重要。
一个保证托管客户之间安全的通用方法就是给每个客户分配一个VLAN和相关的IP子网。
通过使用VLAN，每个客户被从第2层隔离开，可以防止任何恶意的行为和Ethernet的信息探听。
然而，这种分配每个客户单一VLAN和IP子网的模型造成了巨大的扩展方面的局限。
这些局限主要有以下几方面：• VLAN的限制：LAN交换机固有的VLAN数目的限制• 复杂的STP：对于每个VLAN，一个相关的Spanning-tree的拓扑都需要管理• IP地址的紧缺：IP子网的划分势必造成一些地址的浪费• 路由的限制：如果使用HSRP，每个子网都需相应的缺省网关的配置在一个IDC中，流量的流向几乎都是在服务器与客户之间，而服务器间的横向的通信几乎没有。
Cisco在IP地址管理方案中引入了一种新的VLAN机制，服务器同在一个子网中，但服务器只能与自己的缺省网关通信。
这一新的VLAN特性就是专用VLAN （private VLAN，pVLAN）。
这种特性是Cisco公司的专有技术，但特别适用于IDC。
专用VLAN是第2层的机制，在同一个2层域中有两类不同安全级别的访问端口。
VLAN介绍
④
数据帧
数据帧
源MAC：R；目标MAC:C 源IP：192.168.1.1/24 目标IP：192.168.2.1/24
A 192.168.1.1/24 GW192.168.1.0
B 192.168.1.2/24 GW192.168.1.0
C 192.168.2.1/24 GW192.168.2.0
VLAN之间的通信是通过第3层的路由器来完成的。
虚拟局域网简介
VLAN是在一个物理网络上划分出来的逻辑网络。VLAN的划分不受 网络端口的实际物理位置的限制。VLAN有着和普通物理网络同样的属性。 每个VLAN具有物理网络的所有特性。
虚拟局域网简介
vlan的作用：
有效控制广播域范围-即隔离广播包，使广播包只在本VLAN 中传播，在一定程度上提高整个网络的处理能力 增强局域网安全性-即一个VLAN内的用户和其他VLAN内的用 户不能互访，提高了网络的安全性。 灵活构建虚拟工作组，可以把不同物理地点的用户划分到同一 工作组。
IP地址 192.168.1.2
IP地址 192.168.2.1
IP地址 192.168.2.2
IP地址 192.168.2.1
IP地址 192.168.1.2
IP地址 192.168.1.1
IP地址 192.168.2.2
基于用户的VLAN，则是根据交换机各端口所连的计算机上当前登 录的用户，来决定该端口属于哪个VLAN。这里的用户识别信息，一般 是计算机操作系统登录的用户，比如可以是Windows域中使用的用户名 。这些用户名信息，属于OSI第四层以上的信息。
在交换式以太网出现后，同一个交换机下不同的端口处于不同的 冲突域中，交换式以太网的效率大大增加，但是，在交换式以太网中 ，由于交换机的所有端口都处于一个广播域内，导致一台计算机发出 的广播帧，局域网中所有的计算机都能够接收到，使局域网中的有限 网络资源被无用的广播信息占用。 就像上图中，四台终端主机发出的广播帧在整个局域网中广播， 假如每台主机的广播帧流量是100kbps，则四台主机达到400kbps；如 果链路是100mbps带宽，则广播帧 占用带宽达到0.4%，但如果网络 内主机达到400台，则占用带宽达到40%，网络上到处充斥真广播流 ，网络带宽被极大的占用，并且，过多的广播流会造成CPU的负担过 重，系统反应变慢甚至死机。
VLAN详解
VLAN 详解一、 Vlan 基础知识二、 Vlan 应用三、 Vlan 配置实例介绍定义VLAN （ Virtual Local Area Network ）即虚拟局域网，是将一个物理的 LAN 在逻辑上划分成多个广播域（多个 VLAN ）的通信技术。
VLAN 内的主机间可以直接通信，而 VLAN 间不能直接互通，从而将广播报文限制在一个 VLAN 内。
由于 VLAN间不能直接互访，因此提高了网络安全性。
目的早期的局域网 LAN 技术是基于总线型结构，它存在以下主要问题：∙若某时刻有多个节点同时试图发送消息，那么它们将产生冲突。
∙从任意节点发出的消息都会被发送到其他节点，形成广播。
∙所有主机共享一条传输通道，无法控制网络中的信息安全。
这种网络构成了一个冲突域，网络中计算机数量越多冲突越严重，网络效率越低。
同时，该网络也是一个广播域，当网络中发送信息的计算机数量越多时，广播流量将会耗费大量带宽。
因此，传统网络不仅面临冲突域和广播域两大难题，而且无法保障传输信息的安全。
为了扩展传统 LAN ，以接入更多计算机，同时避免冲突的恶化，出现了网桥和二层交换机，它们能有效隔离冲突域。
Bridge 和交换机采用交换方式将来自入端口的信息转发到出端口上，克服了共享介质上的访问冲突问题，从而将冲突域缩小到端口级。
采用交换机进行组网，通过二层快速交换解决了冲突域问题，但是广播域和信息安全问题依旧存在。
说明：本手册中将二层局域网交换机简称为交换机。
为减少广播，需要在没有互访需求的主机之间进行隔离。
路由器是基于三层 IP 地址信息来选择路由，其连接两个网段时可以有效抑制广播报文的转发，但成本较高。
因此人们设想在物理局域网上构建多个逻辑局域网，即 VLAN （ Virtual Local Area Network ）。
VLAN 将一个物理的 LAN 在逻辑上划分成多个广播域（多个 VLAN ）。
VLAN 内的主机间可以直接通信，而 VLAN 间不能直接互通。
VLAN的基本概念
VLAN的基本概念1.VLAN是以交换式网络为基础，把网络上用户的终端设备划分为若干个逻辑工作组，每个逻辑工作组就是一个VLAN。
2.VLAN技术提供了动态组织工作环境的功能，它简化了网络的物理结构，提高了网络的易管理性和安全性，提高了网络的性能。
VLAN的技术特性（1）VLAN工作在数据链路层。
（2）每个VLAN都是一个独立的逻辑网段，一个独立的广播域。
VLAN的广播信息仅发送给同一个VLAN的成员。
（3）每个VLAN又是一个独立的逻辑网络，它们都有唯一的子网号。
VLAN之间不能直接通信，必须通过第三层路由完成。
VLAN的标识1.VLAN通常用VLANID（VLAN号）和VLANname（VLAN名）标识。
2.VLANID用12位表示。
3.VLANname用32个字符表示。
VLANTrunk1.虚拟局域网中继（VLANTrunk）技术是交换机与交换机之间、交换机与路由器之间存在一条物理链路，而在这一条物理链路上要传输多个VLAN信息的一种技术。
2.VLANTrunk的标准机制是帧标签。
帧标签为每个帧指定一个惟一的VLANID作为识别码，表明该帧是属于哪个VLAN的。
3.在交换设备之间实现Trunk功能，必须遵守相同的VLAN协议。
目前在交换设备中常用的VLAN协议有①ISL，②IEEE802.10③IEEE802.1Q。
4.IEEE802.1Q应用最广泛。
划分VLAN的方法划分VLAN是通过使用软件在整个网络范围内定义VLAN成员实现的，目前常用的划分VLAN方法有如下三种：（1）基于端口划分VLAN基于端口划分VLAN，就是按交换机端口定义VLAN成员，每个交换机端口属于一个VLAN。
它由网络管理员静态指定VLAN到交换机的端口，这些连接端口会维护指定的VLAN设置，直到管理员重新改变它。
这种方法又称为静态VLAN，是一种最通用的划分VLAN方法。
（2）基于MAC地址基于MAC地址划分VLAN是按每个连接到交换机设备的MAC地址定义VLAN成员。
vlan的各种类型(mux,smart,QINQ)
介绍介绍MUX VLA N特性的定义、目的、规格等信息。
定义MUX VLA N是一种包含上行端口和业务虚端口的VLA N。
一个MUX VLA N可包含多个上行端口，但只包含一个业务虚端口。
不同MUX VLA N间的业务流相互隔离。
目的MUX VLA N与接入用户存在一对一的映射关系，因此可根据VLA N区分不同的接入用户。
例如，当需要用VLA N区分用户时，可以使用MUX VLAN。
规格MA5680T最多支持4K个MUX VLAN。
约束∙如果VLA N已经创建VLAN三层接口，删除VLA N之前，先删除VLA N三层接口。
∙如果VLA N已经创建业务虚端口，删除VLA N之前，先删除VLA N业务虚端口。
原理描述介绍MUX VLA N特性的实现原理。
MUX VLA N与业务虚端口一一对应，即一个业务虚端口只对应一个MUX VLA N，因而可以利用MUX VLA N来区分接入用户介绍介绍QinQ VLA N特性的定义、目的、规格等信息。
定义QinQ（802.1Q in 802.1Q）是基于802.1 Q标准封装的隧道协议，在用户私有802.1Q的报文基础上，再封装一层802.1Q标签头，从而实现私网VLA N在公网透传，达到二层VPN的应用效果。
目的QinQ的核心思想是将用户私网VLA N Tag封装到公网VLA N Tag上，报文带着两层802.1Q格式的VLA N Tag穿越服务商的骨干网络，从而为用户提供一种较为简单的二层VPN专线业务，在一定程度上拓展私网的地域广度。
此处的专线业务是指私网业务直接透传到网络对端，例如企业内部网等。
规格MA5680T最多支持4K个QinQ VLA N。
约束Super VLA N、Sub VLA N，已创建三层接口的VLA N及系统缺省VLA N都不能设其属性为QinQ 属性。
原理描述介绍QinQ VLA N特性的实现原理。
QinQ VLA N的业务处理过程如图1所示。
vlan种类总结
Vlan 种类总结一、Standard VLAN业务1、Standard VLAN通过把不同的端口划分到不同的VLAN，可以实现用户二层隔离；把不同的端口划分到在同一VLAN可以实现二层互通。
2、目前版本不支持Standard VLAN增加业务虚端口。
二、Smart VLAN 业务1、SmartVLAN通过添加多个下行端口以及一个或多个上行端口，由系统自动创建上行端口和下行端口内部映射关系，实现用户之间二层报文的隔离。
三、Mux VLAN 业务1、MUX VLAN只能添加一个业务端口但是可以添加多个上行端口，用于需要用VLAN来区分用户的场合四、Super VLAN 业务1、SuperVLan是一个虚拟的三层接口。
它可以添加多个SubVlan，并且这些SubVlan共享一个三层接口，从而达到节省IP网段的目的。
2、SubVlan是SuperVLAN的子VLAN。
SmartVLAN、MUXVLAN 或者标准VLAN都可以加入到SuperVLAN作为SubVLAN，但前提是该VLAN必须是已经创建好的VLAN。
五、QinQ VLAN业务1、QinQ VLAN特性主要是为了满足私网VLAN和业务能直接透明传输到对端。
2、MA5600接收到底层带私网VLAN（Customer VLAN ）的报文后，在该报文上再打上一层SP VLAN（Service Provider VLAN 服务提供商），这样MA5600只要创建一个QinQ VLAN，就可以把私网VLAN 直接透明传输到对端，大大节省了公网VLAN ID资源。
3、QinQ VLAN是VLAN的一种属性，只需要在创建VLAN后指明其属性为QinQ 即可。
六、VLAN Stacking业务1、VLAN Stacking特性通过给用户报文打上两层标签来实现报文选路和标识用户的功能。
2、MA5600接收到底层不带VLAN的报文后，在该报文上打上两层VLAN（SP VLAN＋Customer VLAN）后转发出去。
H3C S5500三层交换机划分Vlan与H3C路由组网
H3C S5500三层交换机划分Vlan与H3C路由组网基本属性：vlan特性：三层互通，两层隔离。
三层交换机不同vlan之间默认是互通的，两次交换机不同vlan是隔离的。
vlan IP：就是定义一个vlan下所有机器的网关地址，该vlan下的机器网关必须是这个IP。
接口：就是交换机后面可以插网线的端口，可以设置为Access、Trunk、Hybrid等.注意点：交换机与相关设备（路由、交换机）相连时，建议将接口设置为Trunk口，并且允许相关vlan 通过。
交换机下行连接电脑终端或服务器终端建议将接口设置为Access接口。
定义vlan时，尽量使用24的掩码（255.255.255.0）进行划分，如果存在包含关系vlan之间互连就会有问题，所以尽量不适用大网段。
设置DHCP自动划分IP示例：组网图：1）配置DHCP服务#启用DHCP服务。
<H3C> system-view[H3C] dhcp enable2）配置端口所属VLAN和对应VLAN接口的IP地址，IP地址即是对应VLAN的网关地址[H3C]vlan 5[H3C-vlan5]port GigabitEthernet 1/0/5[H3C-vlan5]quit[H3C]vlan 6[H3C-vlan6]port GigabitEthernet 1/0/6[H3C-vlan6]quit[H3C]vlan 7[H3C-vlan7]port GigabitEthernet 1/0/7[H3C-vlan7]quit[H3C]interface vlan 5[H3C-Vlan-interface5]ip address 192.168.5.254 255.255.255.0[H3C-Vlan-interface5]quit[H3C]interface vlan 6[H3C-Vlan-interface6]ip address 192.168.6.254 255.255.255.0[H3C-Vlan-interface6]quit[H3C]interface vlan 7[H3C-Vlan-interface7]ip address 192.168.7.254 255.255.255.0[H3C-Vlan-interface7]quit3）配置不参与自动分配的IP地址（DNS服务器等，此步为选配）[H3C] dhcp server forbidden-ip 192.168.5.100[H3C] dhcp server forbidden-ip 192.168.6.100[H3C] dhcp server forbidden-ip 192.168.7.1004）配置DHCP地址池5，用来为192.168.5.0/24网段内的客户端分配IP地址。
单交换机VLAN划分介绍
VLAN的划分方式：基于端口、 MAC地址、IP地址等。
VLAN的优点：易于管理，降低 网络维护成本，提高网络可靠性。
VLAN的作用
提高网络安全性：通过划分VLAN，可以隔 离不同部门的网络，提高网络安全性。
提高网络性能：通过划分VLAN，可以减少 广播域，提高网络性能。
简化网络管理：通过划分VLAN，可以简化 网络管理，提高网络管理效率。
广播流量可能 1
导致网络拥塞
管理风险： 4
VLAN配置错 误可能导致网
络故障
病毒传播： VLAN内部病
2 毒可能传播到
其他VLAN
3 网络攻击：
VLAN可能成 为网络攻击的 目标
谢谢
为不同的VLAN
基于协议划分：根据协
04 议类型将设备划分为不
同的VLAN
配置VLAN的步骤
登录交换机管 理界面
创建VLAN，设 置VLAN ID和 名称
为VLAN分配端 口，将交换机端 口加入到相应的 VLAN中
配置VLAN接口， 设置接口类型、 IP地址、子网掩 码等参数
保存配置，使 VLAN配置生效
验证VLAN配置， 确保VLAN划分 正确，网络通信 正常
验证VLAN划分结果
01
使用命令查看VLAN配置信息
02
使用ping命令测试不同VLAN之间的连通性
03
使用抓包工具分析网络流量，确认VLAN划分是否生效
04
检查交换机端口配置，确保VLAN划分正确
企业网络
1
2
3
企业内部网络： 实现部门之间 的隔离和访问 控制
基于IP地址 的VLAN：根 据IP地址进 行划分
划分VLAN的方法