VLAN配置

VLAN 间路由
使用VLAN划分开的区域像是用 路由器分隔开的，不配置IP地址 VLAN之间是不能互相访问的。 每个VLAN使用不同的网段， VLAN之间互联必须使用三层路由 ，如路由器和三层交换机。
VLAN 间路由原理
VLAN 5
VLAN 7
VLAN 6
不同VLAN之间的流量不能直接跨越VLAN的边 界，需要使用路由，通过路由将数据从一个VLAN转 发到பைடு நூலகம்外一个VLAN。
配置 VLAN 虚拟接口 IP 地址 - 1
不同的VLAN使用不同的网段，网段之间需要 使用路由器互联，但在局域网内使用多端口路由 器既不经济、也不实惠，一般使用三层交换机实 现各VLAN网段之间的互联。
VLAN是数据链路层的技术，给VLAN分配OSI 第三层的IP地址，是在三层交换机上配置VLAN 的虚拟接口，注意这是第三层的接口。 二层交换机没有路由功能，不能在VLAN之间 转发帧，因而如果局域网只由二层交换机构成， 不同VLAN之间的主机是不能通信的。
将端口分配给新创建的VLAN
Switch# config Switch(config)# interface fastethernet 0/1
Switch(config-if)# switchport mode access（缺省）
（设置端口为访问模式，即只传输一个VLAN）（可不配）
Switch(config-if)# switchport access vlan 5
X
B C
F0/2
F0/3
A
A Vlan 10
B Vlan 20
C Vlan 10
交换机端口 F0/1 F0/2 F0/3
MAC地址 A B C
VLAN ID 10 20 10
VLAN在单交换机中的实现
交换机内部
数据1
数据2
数据1
101
102
数据2
按照端口划分的VLAN
下图是按照端口连接的部门把每个交换机都分成了四 个“虚拟交换机”，即按照端口划分的VLAN。
Switch(config-if)# exit
第三节 VLAN中继
什么是中继（Trunk）？
中继这个词不是VLAN技术里专用的，它的历史可以追溯到电 话系统技术。 中继线是承载多条逻辑链路的一条物理连接。
中继的来由
下图中，两个交换机上都配置了VLAN 1 和 VLAN 2 ，如需要在两个交换机之间传输这两个 VLAN，第一个办法是在交换机之间连接两条线 路，每条各传输一个VLAN。 VLAN数目较少时，这个方法是可行的，但是 如果需要同时传输二十几个VLAN时，端口就不 够用了。
Switch(config)# interface FastEthernet 0/1
Switch(config-if)# switchport mode trunk Switch(config-if)# exit
把端口设为Trunk模式后，缺省允许所有VLAN
VLAN中继配置举例
Switch(config)# interface f 0/1
传统的LAN结构
192.168.3.0 / 255.255.255.0
192.168.2.0 / 255.255.255.0
192.168.1.0 / 255.255.255.0 路由器负责转发不同网段之间的数据通信
回顾路由器的功能
在路由器的 E0 和 E1 接口上分别配置接口IP地址，路由器 自动建立直连网段的端口对应关系
配置 VLAN 虚拟接口 IP 地址 - 2
三层交换机自动将配置的VLAN接口地址信息 记录在路由表内。路由表中的对应关系为：某个 VLAN的IP子网与它的虚拟接口号之间的对应， 从而实现VLAN之间的互联。
Switch# config Switch(config)# interface vlan 5 Switch(config-if)# ip address 192.168.1.1 255.255.255.0
Switch(config-if)# exit
同时将多个端口分配给一个VLAN：
Switch(config)# interface range fastethernet 0/2-8
Switch(config-if-range)# switchport access vlan 5
VLAN 下使用集线器和交换机
中继的概念
使用中继协议，可以使多个VLAN在一条链路 上同时传输，传输的时候给每个VLAN都做上标 记以示区别，传输过去之后再把标签去掉。 中继协议把多个虚拟（逻辑）链路捆绑到一条 物理链路上，节省了交换机之间的物理链路。
VLAN 中继应用
中 继 链 路
中继协议
IEEE 802.1Q：
传统局域网存在的问题
在一个网段内不可避免会有广播数据，比如 ARP请
求（向本网段内 “全1”的MAC地址发送）、DHCP Discover（寻找本网段内的DHCP服务器）等，集线器 、网桥、交换机都会转发所有广播数据，只有路由器不 转发广播。
广播域
广播域是指广播数据能覆盖的范围，一个或多个互联 的集线器和交换机转发其覆盖范围内的所有广播数据， 构成一个广播域。当这些设备中的一个发出一个广播时 ，所有其他的设备都能接收到这个广播数据。
通过网络传播的病毒或黑客扫描工具会对本网 段所有主机发动攻击，网段越大，危险越大。 为了安全需要，可以为关键主机（服务器等） 开辟专有网段，以隔离可能的攻击。这需要增加 路由器的端口数，但传统路由器端口数有限。
传统局域网的安全问题 - 2
出于以上考虑，较大规模的公司一般按照部门来对局 域网分段，把一个部门的所有主机通过集线器连接到路 由器的一个端口上。但在某些情况下，由于员工的位置 变化，或组织结构调整，部门之间员工可能混杂办公， 无法彻底保证部门之间的数据互不干扰。
通过VLAN划分广播域
广播域1 VLAN 5
广播域2 VLAN 6
广播域3 VLAN 7
行政部
设计部
市场部
VLAN的特点
•安全隔离，不同VLAN之间不能直接访问，需 通过路由设备相连 • 隔离广播 •不受物理位置限制
划分VLAN的方法
静态VLAN（最常用）
按照交换机端口划分VLAN，把端口指定为属于哪个或哪 几个VLAN，一个VLAN可以跨越多个交换机。
路由器不在端口之间转发广播数据，分割广播域， 路由器的每个端口都是一个广播域。
VLAN的产生原因之一：广播泛洪
广播
……
通过路由器将网络分段
分割广播域
路由器
广播
……
传统局域网的安全问题 - 1
在不划分VLAN的情况下，一个或多个级联的 集线器或交换机，属于一个广播域，广播数据会 占用可用带宽。广播域内节点数越多，广播数据 就越多，可用带宽就越少。
IP地址规划
路由表： 网络与接口的对应关系
传统的局域网
集线器的角色：
集线器是物理层设备，能重新生成和放大电 信号，只负责把客户端连接成一个星型或扩展星 型的结构，形成以物理地域为范围的多个区域。 路由器的角色：
路由器是网络层设备，能识别MAC和IP地址 ，负责连接由集线器组成的一个个区域，使用IP 地址信息实现网络互联，是局域网里唯一可配置 的网络设备。
行业标准协议，各厂商通用。 当使用VLAN中继互联来自不同厂商的网络设备时， 这是唯一可以使用的协议。
Cisco ISL：
Inter-Switch Link，交换机间链路协议 思科专利协议，与 802.1Q 互不兼容
当所有的设备都是思科设备时，可以使用 ISL 协议。
802.1Q 帧标记（tag）
交换网络中问题的解决--VLAN
VLAN20
VLAN10 VLAN30 VLAN40
通过VLAN技术可以对网络进行一个安全的隔离、分割广播域
VLAN在交换机中的实现
• 分段
第三层
• 灵活性
第二层
• 安全性
第一层
销售部 人力资源部
工程部
一个VLAN =一个广播域 = 逻辑网段 (子网)
什么是VLAN （Virtual Local Area Network）
Switch(config)# no vlan 5 （ 删除 VLAN 5 ）
显示VLAN配置：
Switch# show vlan
VLAN 的缺省状态
二层或三层交换机未做配置时，缺省已经有一个 VLAN，就是VLAN 1
交换机所有的端口这时都属于VLAN 1 缺省状态时，VLAN 1 没有配置IP地址 VLAN 1 不能删除 可以创建新的VLAN，然后将端口分配给新创建 的VLAN，这时此端口就不再属于VLAN 1。 端口可以属于1个VLAN，也可以属于多个VLAN
VLAN 之间的互通 – 1 一个端口传输一个VLAN
VLAN 5 VLAN 6
VLAN 7
VLAN 之间的互通 – 2 一个端口传输多个VLAN
VLAN 之间的互通 – 3 三层交换机内部实现路由
速度最快
VLAN 的作用
增强网络灵活性。将主机按照它所属的部门分 组而不局限于物理位置，方便主机的添加、挪动 和删除，方便网络的管理。 增强网络安全性。VLAN之间可以相互隔离， 用访问控制列表实现访问控制策略。保证部门之 间的数据的有效互通和互相保护。
虚拟局域网 VLAN
山东电子职业技术学院计算机系
朱宪花
2013年7月4日星期四
本章主要内容：

针对各种不同用户的环境需求，规划VLAN 设计、配置二层和三层交换机，组建中小规 模局域网
第一节 第二节 第三节 第四节
VLAN入门 VLAN配置 VLAN中继 缺省路由 实验指导