VLAN学习基础_xielp

VLAN基础1.1 VLAN的基本概念VLAN(Virtual Local Area Network)即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。

同一个VLAN内的各个工作站无须被放置在同一个物理空间里，即这些工作站不一定属于同一个物理LAN网段。

一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。

VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。

虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。

VLAN具有以下优点：1.控制网络的广播风暴采用VLAN技术，可将某个交换端口划到某个VLAN中，而一个VLAN的广播风暴不会影响其它VLAN的性能。

2.确保网络安全共享式局域网之所以很难保证网络的安全性，是因为只要用户插入一个活动端口，就能访问网络。

而VLAN能限制个别用户的访问，控制广播组的大小和位置，甚至能锁定某台设备的MAC地址，因此VLAN能确保网络的安全性。

3.简化网络管理网络管理员能借助于VLAN技术轻松管理整个网络。

例如需要为完成某个项目建立一个工作组网络，其成员可能遍及全国或全世界，此时，网络管理员只需设置几条命令，就能在几分钟内建立该项目的VLAN网络，其成员使用VLAN 网络，就像在本地使用局域网一样。

1.2 VLAN的划分方式1. 基于端口的划分：可以将同一个交换机的不同端口划分为同一VLAN，也可以将多个交换机的端口划分为同一VLAN。

这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都指定义一下就可以了。

它的缺点是如果VLAN A的用户离开了原来的端口，到了一个新的交换机的某个端口，那么就必须重新定义。

2. 基于MAC地址划分VLAN这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC 地址的主机都配置他属于哪个组。

这种划分VLAN的方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。

而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。

另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停的配置。

3. 基于网络层划分VLAN这种划分VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如IP地址，但它不是路由，与网络层的路由毫无关系。

它虽然查看每个数据包的IP地址，但由于不是路由，所以，没有RIP，OSPF等路由协议，而是根据生成树算法进行桥交换，这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。

这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。

当然，这与各个厂商的实现方法有关。

4. 根据IP组播划分VLANIP组播实际上也是一种VLAN的定义，即认为一个组播组就是一个VLAN，这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。

5. 动态VLAN划分动态VLAN划分的原理是在用户交换机的内存中制定一张用户信息表，用来记录用户的IP地址、VLAN号（VLANID）以及端口信息等。

当用户数据信息进行交换时，交换机根据信息表进行检查，通过认证的数据分组进一步进行寻址和路由选择，反之则将其丢弃。

动态VLAN划分的保密性较之端口VLAN划分更高，因为交换机不仅要检查用户的IP地址还要复核其VLANID.6. SuperVLAN划分法SuperVLAN划分法是目前最先进的一种VLAN划分方法，SuperVLAN又称为VLAN聚合（VLANAggregtion），是一种专门设计的优化IP地址的管理技术。

其原理是每个子网（sub－VLAN）都是独立的多播通道，多播信息不能在不同的子网中进行交换。

当数据需要送到多个目的节点时，就动态建立VLAN代理，通过代理设备对VLAN中的用户进行管理。

这样每个子网不需要设定IP地址，而是一个SuperVLAN中的所有子网共享一个IP地址，这个IP地址就是SuperVLAN的IP地址。

前两种划分VLAN的方法，对于每个用户VLAN都需要分配一个IP子网地址，因此需要大量的IP地址资源，而采用SuperVLAN技术后，可以极大程度地节约IP地址。

只要对包含多个VLAN的SuperVLAN分配一个IP地址，既节约地址又便于网络管理。

1.3 VLAN的帧格式这四个字节的802.1Q 标签头包含了2个字节的标签协议标识TPID 和2个字节的标签控制信息（TCI）。

TPID（Tag Protocol Identifier）表明这是一个加了802.1Q 标签的帧，TPID 包含了一个固定的值0x8100。

TCI 是包含的是帧的控制信息它包含了下面的一些元素：1.Priority ：这3 位指明帧的优先级一共有8 种优先级0 72.Canonical Format Indicator( CFI )：CFI 值为0 说明是规范格式，1为非规范格式。

它被用在令牌环/源路由FDDI 介质访问方法中来指示封装帧中所带地址的比特次序信息。

3.VLAN Identified( VLAN ID )：这是一个12 位的域指明VLAN 的ID，一共4096个。

每个支持802.1Q 协议的交换机发送出来的数据包都会包含这个域，以指明自己属于哪一个VLAN。

同一个VLAN中的所有成员共同拥有一个VLANID，组成一个虚拟局域网络在一个交换网络环境中以太网的帧有两种格式，有些帧是没有加上这四个字节标志的，称为未标记的帧（ungtagged frame）；有些帧加上了这四个字节的标志称为带有标记的帧（tagged frame）。

所有能感知VLAN的交换机，报文在交换机内部转发过程中都是带Tag的。

在交给交换芯片处理之前，或者交换芯片交给端口时会根据端口的设置添加或去掉Tag。

如果没有进行配置，默认所有的端口都处于Access模式，并且以Untag属于VLAN 1的。

一般来说，对端口来说与VLAN相关的有三个属性，PVID、Tag Vlan、Untag Vlan。

PVID有且只有一个，Tag Vlan和Untag Vlan可能有一个，多个，也可以没有，但两个至少其中一个有一个。

PVID的作用是：如果此端口收到一个Untag的报文，则交换机会根据PVID的值给此报文打上等于PVID的Tag，然后交给交换芯片处理；如果交换芯片要将一个报文从此端口发送，发现此报文的Tag值与PVID相同，则会将Tag去掉，然后从此端口发送出去。

Tag Vlan和Untag Vlan主要是用于报文发送的处理，如果交换芯片要将报文从此端口发送，发现报文的Tag在此端口的Tag Vlan中，且不等于PVID，则此报文将以Tag的形式发送出去，如果在Untag Vlan中，则以Untag形式发出去。

1.4 VLAN的链路接入链路指的是主机和交换机之间的链路。

主机并不知道自己属于哪个VLAN。

主机要求发送和接受的报文都没有打上标签的帧。

接入链路属于某一个特定的端口，这个端口属于一个并且只能是一个VLAN。

这个端口不能直接接收其它VLAN 的信息，也不能直接向其它VLAN 发送信息。

不同VLAN 的信息必须通过三层路由处理才能转发到这个端口上。

干道链路是可以承载多个不同VLAN数据的链路，干道链路通常用于交换机间的互连，或者用于交换机和路由器之间的连接。

干道链路的英文叫做trunklink。

数据帧在干道链路上传输的时候，交换机必须用一种方法来识别数据帧是属于哪个VLAN的，IEEE 802.1Q 定义了VLAN 帧格式，所有在干道链路上传输的帧都是打上标记的帧tagged frame ，通过这些标记交换机就可以确定哪些帧分别属于哪个VLAN。

干道链路是不属于任何一个具体的VLAN的，通过配置干道链路可以承载所有的VLAN 数据，也可以配置为只能传输指定的VLAN 的数据。

干道链路虽然不属于任何一个具体的VLAN 但是可以给干道链路配置一个pvid（port VLAN ID），当干道链路不论因为什么原因trunk 链路上出现了没有带标记的帧，交换机就给这个帧增加带有pvid 的VLAN 标记然后进行处理。

与干道链路紧密相关的技术就是链路聚合（Trunking）技术，该技术采用VTP （VLANTrunkingProtoco1）协议，即在物理上每台VLAN交换机的多个物理端口是独立的，多条链路是平行的，采用VTP技术处理以后，逻辑上VLAN交换机的多个物理端口为一个逻辑端口，多条物理链路为一条逻辑链路。

这样，VLAN 交换机上使用生成树协议STP（SpanningTreeProtocol）就不会将物理上的多条平行链路构成的环路中止掉，而且，带有VLANID标签的数据流可以在多条链路上同时进行传输共享，实现数据流的高效快速平衡传输。

以太网端口有三种链路类型：Access、Hybrid和Trunk。

Access类型的端口只能属于1个VLAN，一般用于连接计算机的端口；Trunk类型的端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口；Hybrid类型的端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。

Hybrid端口和Trunk端口的不同之处在于Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许缺省VLAN的报文发送时不打标签。

Access端口只属于1个VLAN，所以它的缺省VLAN就是它所在的VLAN，不用设置；Hybrid端口和Trunk端口属于多个VLAN，所以需要设置缺省VLAN ID。