vlan基本概念

《vlan基本概念》由会员分享，可在线阅读，更多相关《vlan基本概念（8页珍藏版）》请在金锄头文库上搜索。

1、VLAN（Virtual Local Area Network ）技术的基本概念和应 用1什么是 VLAN？ VLAN 是虚拟局域网的英文缩写，是基于一个广播域的交 换机端口的集合。IEEE 802.1Q 标准定义了 VLAN 的基本 概念和实现原理。 VLAN 的主要作用是隔离广播域。将一个物理网络划分成 多个逻辑上的 VLAN，可以将一个广播域划分成多个小的 广播域，每个 VLAN 对应一个小的广播域，一个 VLAN 中 的广播不能传播到其他的 VLAN，这样有效地控制广播风 暴的发生。 VLAN 可分为：基于端口的 VLAN、基于 MAC 地址的 VLAN、基于 IP 地址的 VLAN、

2、基于 IP 子网的 VLAN、基 于协议的 VLAN 和用户自定义的 VLAN。其中最常用的也 是最基本的是：基于端口的 VLAN，它按照接收端口来确 定一个数据包的 VLAN 属性。 VLAN 的属性是指：当一个交换机端口接收到一个数据包 时，确定这个数据包属于哪个 VLAN。 2VLAN 的主要功能 通过 VLAN 可以非常灵活地将一个物理网络按照需求划 分成多个逻辑子网。例如，某公司由于各部门的业务不 同以及安全的需求，可以按照市场部、工程部、财务部 将公司的网络划分成三个不同的 VLAN，各部门不能直接 访问，下面是一个使用 cisco 交换机组网的例子：在这个网络中，一个部门网络的成

3、员可以在不同的楼层， 可以与不同的交换机端口相连，组网方式非常灵活。通 过把公司网络划分成三个 VLAN，广播报文只限制在一个 VLAN 内传播，大大提高了网络的使用效率。 简化端站的移动、增加与更换。当一台终端站被移动到 新的物理位置，它的属性可以从一台管理工作站上通过 简单网络管理协议（SNMP）或用户接口菜单重新分配。 若端站在同一 VLAN 中移动，在新的位置它将保持原有 的属性。若端站移动到不同的 VLAN，那它将被赋予新的 VLAN 的属性。 网络安全。把一个物理网络划分成若干个 VLANs，每个 VLAN 中的广播只能在本 VLAN 所属的交换机端口传播， 提高整个网络的安全性。

4、3VLAN 的实现 IEEE 802.1Q 标准定义了动态实现 VLAN 的机制。这里不 作介绍。 为了实现 VLAN，IEEE 802.1Q 标准定义了一种新的帧格 式。它在标准的以太网帧的源 MAC 地址后面加入了一个 Tag header（4 字节） ，此格式用下图表示：DA SA Type Data CRC标准以太网帧DA SA Tag Type Data CRC0x81 00Prior ityCFIVLAN IDIEEE 802.1Q 标准帧格式其中：DA目的 MAC 地址；SA源 MAC 地址；Data帧中所携带的用户数据；CRC循环冗余校验；Priority用户优先级；VLAN

5、ID用来标识一个 VLAN 的 ID 号，取值范围： 14094。在帧中加入 tag 的目的是为了携带 VLAN 信息，表明这 个数据帧属于哪个VLAN，即确定数据帧的属性。 VLAN 中端口成员的确定：VLAN 端口成员的确定与 VLAN 的类型有关。分为基 于端口的 VLAN和基于策略的 VLAN。基于策略的 VLAN 又分为基于 MAC 地址的 VLAN、基于协议的 VLAN、基于 IP 子网的 VLAN、用户自定义 VLAN。对于基于端口的 VLAN，属于这个 VLAN 的端口都被 网络管理软件明确配置为这个 VLAN 的成员。对于基于策略的 VLAN，VLAN 中的成员端口既可以 由

6、软件明确指定某一端口固定属于某一 VLAN，也可以由软件将某一端口设 为该 VLAN 的潜在的成员。对于潜在的成员，需根据该 VLAN 的类型确定 一些具体的策略。路由交换机监视从该端口进入的数据包，如果数据包满足 策略要求的条件，则该端口成为该 VLAN 的临时成员。路由交换机继续监视 该端口，如果在一定时间内没有收到满足该条件的数据包。将该端口从 VLAN 中删除。对于基于MAC 地址的 VLAN，路由交换机需要保持一个对该 VLAN 的 MAC 地址表。对于其它几种类型的 VLAN，路由交换机也需要根据具体 VLAN 类型确定该种 VLAN 所需策略。 确定数据包的 VLAN 属性对于带

7、有 802.1Q Tag 的数据包，则直接根据数据包 中所带标记确定其VLAN 属性。对于未带有 Tag 的数据包，则交换机根据数 据包内容和各 VLAN具体规则确定其所属 VLAN。 VLAN 成员端口属性 VLAN 成员端口分为带标记(tagged)与不带标记(untagged)。可以通过网管来设置端口为带标记端口。一般当端口连接 的设备支持 802.1Q 标准时将端口设置为带标记端口；否则当 端口连接的设备不支持 802.1Q 时，设置端口为不带标记端口。1) 带标记端口 带标记端口即从该端口发出的所有数据包都必须带有该数 据包所属 VLAN 标记。可设置该端口在接收数据包时是否 丢弃不

8、带标记的数据包或按各 VLAN 具体规则确定其所属 VLAN。同时判断从本端口收发的数据包所属 VLAN 是否为 本端口所属 VLAN，若不是，则需决定是否丢弃该数据包。2) 不带标记端口 不带标记端口即从该端口发出的所有数据包都不能带有该 数据包所属 VLAN 标记。可设置该端口在接收数据包时是 否丢弃带标记的数据包或按标记确定其 VLAN 属性。同时 判断从本端口收发的数据包所属 VLAN 是否为本端口所属 VLAN，若不是，则需决定是否丢弃该数据包。4下面通过张宏的组网方案来进一步说明 VLAN 的功能及应用 中须注意的问题。 5VLAN Routing 的概念和基本原理 1) VLAN

9、 Routing 的基本概念由于在交换机中引入了 VLAN 的概念，通过在网络中划 分 VLAN 可以实现广播域的隔离，大大提高了网络的性能， 但是却限制了一个 VLAN 中的用户访问其他 VLAN 中的用户。 由于 VLAN 是第二层的技术，它在选路时使用的是以太网的 MAC 地址，所以没有办法实现 VLAN 之间的互访问。为解决 这个问题，借鉴路由器的功能，引入 VLAN 间路由（三层交 换机）功能。路由交换机完成线速第三层交换采用的是一种“一次 路由，多次交换”的 思想。 “一次路由”是指当第一次对此报文进行选路时，交 给 CPU 中运行的路 由协议（如：OSPF，RIP）来运算并给出路

10、由信息，然后将 此路由信息存储在交换芯片的 CACHE 表中，当发往该目的 IP 地址的报文再次 进行路由时，由于 CACHE 表中已经有了该目的 IP 地址，因此数据包可以直接 由硬件按照 CACHE 中该目的 IP 路由进行交换，以达到线速交换。 2) VLAN 间路由的具体实现过程在交换机中的路由是指 VLAN 之间进行路由。每个 VLAN 都可以配置一 个或多个接口 IP 地址和 MAC 地址对，每个接口等同于路由 器的接口。VLAN 之间路由是指在 VLAN 的接口间进行路由。其路由原理与路 由器一样。路由过程如下：对于从外部进入的数据包，路由交换机首先检查是否 为路由交换机自已的

11、独立端口或 VLAN 接口的 MAC 地址。如果是，则交由第三层 软、硬件联合进 行第三层交换。否则进行第二层硬件交换。对于交由第三 层处理的数据包，交 换芯片首先在 CACHE 的主机路由表中查找该数据包的目的 IP 地址是否存在， 如果存在则按相应端口转发；如果不存在，则查找网络路 由 CACHE 表，如果 有相应的路由，则按路由转发；如果该地址不存在，则交 换芯片将该数据发往 CPU，由路由协议软件按常规路由处理方法对该数据包进行 处理。当软件处理 完该数据包的选路事项后，将该数据包发往正确的端口。 同时在 ASIC 的 CACHE 表中填入一项。当下一次发往该目的 IP 地址的数据包再

12、次 出现后，由于 CACHE表中已经有了该目的 IP 路由，因此数据包可以直接由硬件 按照 CACHE 中该目 的 IP 地址项进行交换，达到线速转发的目的。下面，通过一个例子来说明 VLAN 间路由的具体实现过 程。 一个 24 端口三层交换机，将 112 端口划分为 VLAN 2， 将 1324 端口划分为 VLAN 3，缺省 VLAN 为 VLAN 1。为 VLAN 2 配置一个接口，IP 地址为 10.0.0.1，子网掩码为 255.255.0.0；为 VLAN 3 配置一个接口，IP 地址为 20.0.0.1，子网掩码为 255.255.0.0。端口 1 连接一个主机， IP 地址为

13、 10.0.0.2，缺省网关为 VLAN 2 的接口 IP 地址。 端口 21 连接一个主机，IP 地址为 20.0.0.2，缺省网关为 VLAN 3 的接口 IP 地址。10.0.0.2/255.255.0.020.0.0.2/255.255.0.0121三层交换机10.0.0.1/255.255.0.0 20.0.0.1/255.255.0.0主机 1主机 2二层交换机 1二层交换机 2数据包的传递过程（以第一次路由为例）： i.当主机 1 向主机 2 发送数据时，由于主机 2 的 IP 地址 与主机 1 的 IP 地址不在一个网段内，所以主机 1 向它 的缺省网关发送目的 IP 地址为

14、VLAN 2 接口 IP 地址的 ARP 报文，二层交换机 1 接收 ARP 报文后向 VLAN 2 除接 收端口外其他所有成员端口转发。 ii.三层交换机从二层交换机 1 的级联端口接收到此 ARP 报 文，然后返回 VLAN 2 接口的 MAC 地址。 iii.二层交换机将三层交换机返回的报文，线速转发给与主 机 1 相连的端口，即将转发给主机 1。 iv.主机 1 按照返回的 MAC 地址，向 VLAN 2 的接口发送数 据包。 v.交换机接收到数据包后查找主机路由 CACHE 表以及网络 路由 CACHE 表，看有没有主机 2 的路由。没有则提交给 CPU，由路由算法来计算路由，计算结

15、果为 VLAN 3 的接 口所在网段，于是交由 VLAN 3 的接口进行转发。 vi.VLAN 3 的接口如果不知道主机 2 的 MAC 地址，则向 VLAN 3 的所有成员端口发送目的 IP 地址为主机 2 IP 地 址的 ARP 报文。二层交换机 2 接收到此 ARP 报文后向 VLAN 3 除级联端口外的所有端口转发。主机 2 接收后， 返回自己的 MAC 地址。 vii.二层交换机 2 进行学习后，将主机 2 返回的报文转发给 三层交换机 viii.VLAN 3 的接口按照返回的主机 2 的 MAC 地址，将数据包 从与交换机 2 所连的端口发送出去。注意：VLAN 3 的接 口在发送主机 1 发来的数据包时，包中的源 MAC 地址为 VLAN 3 接口的 MAC 地址。ix.交换机 2 再将此数据包线速转发给主机 2 x.于是，主机 2 便接收到主机 1 发送来的数据包。