VLAN技术2

VLAN技术
1.VLAN的定义
VLAN（Virtual Local Area Network，VLAN）即虚拟局域网，是一种近年来在计算机通信领域内逐渐发展起来的一种网络技术。

VLAN是将局域网内的设备逻辑地而不是物理地划分成网段，从而实现虚拟工作组的一种技术。

它在广播抑制、动态组网等方面具有其他网络无法比拟的优越性，因此得到了长足的发展。

2.VLAN的实现原理与主要特征
2.1 VLAN的实现原理是
VLAN的实现原理是：当VLAN交换机从工作站接收到数据后，将对数据的部分内容进行检查，并与一个VLAN配置数据库（该数据库含有静态配置的或者动态学习而得到的MAC地址等信息）中的内容进行比较，然后确定数据去向。

如果数据要发往一个VLAN设备（VLAN-aware），则给这个数据加上一个标记（Tag）或者VLAN标识，根据VLAN标识和目的地址，VLAN交换机就可以将该数据转发到同一VLAN上适当的目的地；如果数据发往非VLAN设备（VLAN-unaware），则VLAN交换机发送不带VLAN标识的数据。

2.2 VLAN的主要功能
2.2.1 广播抑制功能
为了防止大量用户发送消息时形成广播风暴，避免造成整个网络性能下降甚至瘫痪，虚拟网技术将广播域按需要分成更小的、各自独立的VLAN。

这样能够使网络中广播包在消耗带宽中所占的比例大大降低，从而使网络性能得到显著提高。

2.2.2 动态网络功能
在虚拟环境下，某一个VLAN成员与该VLAN仅仅是逻辑上的关系，而与地理位置无关。

因此，可以很方便地加入或撤除VLAN，克服了使用传统路由器隔离广播信息的方法所带来的问题。

2.2.3 网络安全功能
根据安全需要，虚拟技术可以将不同层次的用户群划分为不同的VLAN，对不同用户之间的通信进行限制。

虚拟网之间的通信是通过路由技术实现的。

它能够使双方不知道彼此具体的MAC地址，从而消除通信双方直接连接的可能性，使网络安全性得到很大提高，还可以通过路由技术的包过滤等功能来进一步提高网络安全性
2.3 VLAN的主要特征
（1）所有成员组成一个VLAN。

同一个VLAN中的所有成员共同组成一个“独立于物理位置而具有相同逻辑的广播域”，共享一个VLAN标志（VLAN ID），组成一个虚拟局域网络。

（2）成员间收发广播包的特点是同一个VLAN中的所有成员均能收到由同一个VLAN中的其他成员发送来的每一个广播包，但收不到其他VLAN中成员发来的广播包。

（3）成员间通信的特点是同一个VLAN中的所有成员之间的通信，通过VLAN交换机可以直接进行，不需路由支持；不同VLAN成员之间不能直接通信，无论采用传统路由器方式还是虚拟路由方式，均需要通过路由支持才能进行。

（4）便于工作组优化组合。

控制通信活动，隔离广播数据顺化网络管理，方便工作组优化组合。

VLAN中的成员只要拥有一个VLAN ID，就可以不受物理位置的限制，随意移动工作站的位置。

（5）网络安全性强。

通过路由访问列表、MAC地址分配等VLAN划分原则，可以控制用户的访问权限和逻辑网段的大小。

VLAN交换机就像是一道道“屏风”，只有具备VLAN成员资格的分组数据才能通过，这比用计算机服务器做防火墙要安全得多，增加了网络的安全性，提高了网络的整体安全能力。

（6）网络性能高。

网络带宽得到充分利用，网络性能大大提高。

（7）网络管理简单、直观。

3、VLAN的划分类型
3.1 基于端口划分
将VLAN交换机上的物理端口和VLAN交换机内部的PVC（永久虚电路）端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。

该方法简单、有效，是最常用的一种方式，网络管理员针对网络设备的交换端口，将其进行重新分配组合在不同的逻辑网段中即可，而不用考虑该端口所连接的是什么设备。

该方法的主要缺点在于不允许用户移动，一旦用户移动到一个新的位置，网络管理员必须要配置新的VLAN。

3.2 基于MAC地址划分
MAC地址就是指网卡（NIC）的标识符，每一块网卡的MAC地址都是惟一的。

从某种意义上说，这是一种基于用户的网络划分手段，基于MAC地址的VLAN划分其实就是基于工作站、服务器的VLAN组合。

在网络规模较小时，该方案不失为一个好方法，但随着网络规模的扩大以及网络设备、用户的增加，会在很大程度上加大管理的难度。

这种方式的VLAN划分允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属VLAN的成员身份。

但这种方式要求网络管理员须将每个用户都一一划分在某个VLAN中，这在一个大规模的VLAN中会存在一些困难；另外，由于笔记本电脑没有网卡，因而当笔记本电脑移动到另一个站时，VLAN需要重新配置。

3.3 基于策略划分
基于策略的VLAN划分是一种比较有效而直接的方式，能实现多种分配方法，包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。

网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪种类型的VLAN，这主要取决于在VLAN的划分中所采用的策略。

3.4 基于网络协议划分
按照网络层协议可分为IP、IPX、DECnet、AppleTalk、Banyan等VLAN网络。

这种按网络层协议组成的VLAN，可使广播域跨越多个VLAN交换机。

对于希望针对具体应用和服务来组织用户的网络管理员来说，是非常具有吸引力的；而且用户可以在网络内部自由移动，但其VLAN成员身份仍然可以保留不变。

这种方式的不足之处在于广播域跨越多个VLAN交换机，容易造成某些VLAN站点数目过多，产生大量的广播包，从而使VLAN交换机的效率降低。

3.5 基于IP/IPX划分
基于IP子网的VLAN可按照IPv4和IPv6方式来划分。

每个VLAN都是和一段独立的IP网段相对应，这种方式有利于在VLAN交换机内部实现路由，也有利于与动态主机配置（DHCP）技术结合起来，而且用户可以移动工作站而不需要重新配置网络地址，便于网络管理。

该方式的主要缺点在于效率要比第二层差，因为查看三层IP地址比查看MAC地址所消耗的时间多。

3.6 按用户定义、非用户授权划分
基于用户定义、非用户授权来划分VLAN，是指为了适应特别的VLAN网络、特别用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，得到VLAN管理的认证后才可以加入一个VLAN。

（1）基于端口的VLAN 基于端口的VLAN就是将交换机中的若干个端口定义为一个VLAN，同一个VLAN中的站点具有相同的网络地址，不同的VLAN之间进行通信需要通过路由器。

采用这种方式的VLAN 其不足之处是灵活性不好，例如当一个网络站点从一个端口移动到另外一个新的端口时，如果新端口与旧端口不属于同一个VLAN，则用户必须对该站点重新进行网络地址配置，否则，该站点将无法进行网络通信。

（2）基于MAC地址的VLAN 在基于MAC地址的VLAN中，交换机对站点的MAC地址和交换机端口进行跟踪，在新站点入网时根据需要将其划归至某一个VLAN，而无论该站点在网络中怎样移动，由于其MAC地址保持不变，因此用户不需要进行网络地址的重新配置。

这种VLAN技术的不足之处是在站点入网时，需要对交换机进行比较复杂的手工配置，以确定该站点属于哪一个VLAN。

（3）基于IP地址的VLAN 在基于IP地址的VLAN中，新站点在入网时无需进行太多配置，交换机则根据各站点网络地址自动将其划分成不同的VLAN。

在三种VLAN的实现技术中，基于IP地址的VLAN 智能化程度最高，实现起来也最复杂。

4，与VPN的区别
VPN的英文全称是“Virtual Private Network”，既“虚拟专用网络”。

虚拟专用网络是虚拟出来的企
业内部专线。

它可以通过特殊的加密的通讯协议在连接在Internet上的位于不同地方的两个或多个企业
内部网之间建立一条专有的通讯线路。

VPN技术原是路由器具有的重要技术之一，目前在交换机，防火墙设备或windows操作系统等软件里也都支持VPN功能，VPN的核心就是在利用公共网络建立虚拟私有网。

针对不同的用户要求，VPN有三种解决方案：远程访问虚拟网（Access VPN）、企业内部虚拟网（Intranet VPN）和企业扩展虚拟网（Extranet
VPN），这三种类型的VPN分别与传统的远程访问网络、企业内部的Intranet以及企业网和相关合作伙伴的企业网所构成的Extranet（外部扩展）相对应。

VPN网关是实现局域网（LAN）到局域网连接的设备。

它可以实现两大功能：VPN和网关。

广义上讲，支持VPN（虚拟专用网）的路由器和防火
墙等设备都可以算作VPN网关。

目前常见的VPN网关产品可以包括单纯的VPN网关、VPN路由器、VPN 防火墙、VPN服务器等产品。

技术来源：Vlan是思科交换机的技术，VPN是微软的拨入技术。

功能上的区别有：VPN解决了总公司与分部之间的远程连接问题，使公司拥有一条虚拟的公司专网；而VLAN解决了公司在某个区域中的本地连接的不同网段之间的互访问题。