虛擬局域網(wǎng)簡介

　　虛擬局域網(wǎng)（VLAN）是一組邏輯上的設(shè)備和用戶，這些設(shè)備和用戶并不受物理位置的限制，可以根據(jù)功能、部門及應(yīng)用等因素將它們組織起來，相互之間的通信就好像它們在同一個網(wǎng)段中一樣，由此得名虛擬局域網(wǎng)。VLAN是一種比較新的技術(shù)，工作在OSI參考模型的第2層和第3層，一個VLAN就是一個廣播域，VLAN之間的通信是通過第3層的路由器來完成的。

　　VLAN的劃分

　　根據(jù)端口來劃分VLAN

　　許多VLAN廠商都利用交換機(jī)的端口來劃分VLAN成員。被設(shè)定的端口都在同一個廣播域中。例如，一個交換機(jī)的1，2，3，4，5端口被定義為虛擬網(wǎng)AAA，同一交換機(jī)的6，7，8端口組成虛擬網(wǎng)BBB。這樣做允許各端口之間的通訊，并允許共享型網(wǎng)絡(luò)的升級。但是，這種劃分模式將虛擬網(wǎng)限制在了一臺交換機(jī)上。

　　第二代端口VLAN技術(shù)允許跨越多個交換機(jī)的多個不同端口劃分VLAN，不同交換機(jī)上的若干個端口可以組成同一個虛擬網(wǎng)。

　　以交換機(jī)端口來劃分網(wǎng)絡(luò)成員，其配置過程簡單明了。因此，從目前來看，這種根據(jù)端口來劃分VLAN的方式仍然是最常用的一種方式。

　　根據(jù)MAC地址劃分VLAN

　　這種劃分VLAN的方法是根據(jù)每個主機(jī)的MAC地址來劃分，即對每個MAC地址的主機(jī)都配置它屬于哪個組。這種劃分VLAN方法的最大優(yōu)點就是當(dāng)用戶物理位置移動時，即從一個交換機(jī)換到其他的交換機(jī)時，VLAN不用重新配置，所以，可以認(rèn)為這種根據(jù)MAC地址的劃分方法是基于用戶的VLAN，這種方法的缺點是初始化時，所有的用戶都必須進(jìn)行配置，如果有幾百個甚至上千個用戶的話，配置是非常累的。而且這種劃分的方法也導(dǎo)致了交換機(jī)執(zhí)行效率的降低，因為在每一個交換機(jī)的端口都可能存在很多個VLAN組的成員，這樣就無法限制廣播包了。另外，對于使用筆記本電腦的用戶來說，他們的網(wǎng)卡可能經(jīng)常更換，這樣，VLAN就必須不停地配置。

　　根據(jù)網(wǎng)絡(luò)層劃分VLAN

　　這種劃分VLAN的方法是根據(jù)每個主機(jī)的網(wǎng)絡(luò)層地址或協(xié)議類型（如果支持多協(xié)議）劃分的，雖然這種劃分方法是根據(jù)網(wǎng)絡(luò)地址，比如IP地址，但它不是路由，與網(wǎng)絡(luò)層的路由毫無關(guān)系。

　　這種方法的優(yōu)點是用戶的物理位置改變了，不需要重新配置所屬的VLAN，而且可以根據(jù)協(xié)議類型來劃分VLAN，這對網(wǎng)絡(luò)管理者來說很重要，還有，這種方法不需要附加的幀標(biāo)簽來識別VLAN，這樣可以減少網(wǎng)絡(luò)的通信量。

　　這種方法的缺點是效率低，因為檢查每一個數(shù)據(jù)包的網(wǎng)絡(luò)層地址是需要消耗處理時間的（相對于前面兩種方法），一般的交換機(jī)芯片都可以自動檢查網(wǎng)絡(luò)上數(shù)據(jù)包的以太網(wǎng)幀頭，但要讓芯片能檢查IP幀頭，需要更高的技術(shù)，同時也更費時。當(dāng)然，這與各個廠商的實現(xiàn)方法有關(guān)。

　　根據(jù)IP組播劃分VLAN

　　IP組播實際上也是一種VLAN的定義，即認(rèn)為一個組播組就是一個VLAN，這種劃分的方法將VLAN擴(kuò)大到了廣域網(wǎng)，因此這種方法具有更大的靈活性，而且也很容易通過路由器進(jìn)行擴(kuò)展，當(dāng)然這種方法不適合局域網(wǎng)，主要是效率不高。

　　基于規(guī)則的VLAN

　　也稱為基于策略的VLAN。這是最靈活的VLAN劃分方法，具有自動配置的能力，能夠把相關(guān)的用戶連成一體，在邏輯劃分上稱為“關(guān)系網(wǎng)絡(luò)”。網(wǎng)絡(luò)管理員只需在網(wǎng)管軟件中確定劃分VLAN的規(guī)則（或?qū)傩裕?，那么?dāng)一個站點加入網(wǎng)絡(luò)中時，將會被“感知”，并被自動地包含進(jìn)正確的VLAN中。同時，對站點的移動和改變也可自動識別和跟蹤。

　　采用這種方法，整個網(wǎng)絡(luò)可以非常方便地通過路由器擴(kuò)展網(wǎng)絡(luò)規(guī)模。有的產(chǎn)品還支持一個端口上的主機(jī)分別屬于不同的VLAN，這在交換機(jī)與共享式Hub共存的環(huán)境中顯得尤為重要。自動配置VLAN時，交換機(jī)中軟件自動檢查進(jìn)入交換機(jī)端口的廣播信息的IP源地址，然后軟件自動將這個端口分配給一個由IP子網(wǎng)映射成的VLAN。

　　按用戶劃分VLAN

　　基于用戶定義、非用戶授權(quán)來劃分VLAN，是指為了適應(yīng)特別的VLAN網(wǎng)絡(luò)，根據(jù)具體的網(wǎng)絡(luò)用戶的特別要求來定義和設(shè)計VLAN，而且可以讓非VLAN群體用戶訪問VLAN，但是需要提供用戶密碼，在得到VLAN管理的認(rèn)證后才可以加入一個VLAN。

　　*以上劃分VLAN的方式中，基于端口的VLAN端口方式建立在物理層上；MAC方式建立在數(shù)據(jù)鏈路層上；網(wǎng)絡(luò)層和IP廣播方式建立在第三層上。

　　VLAN的優(yōu)點

　　廣播風(fēng)暴防范

　　限制網(wǎng)絡(luò)上的廣播，將網(wǎng)絡(luò)劃分為多個VLAN可減少參與廣播風(fēng)暴的設(shè)備數(shù)量。LAN分段可以防止廣播風(fēng)暴波及整個網(wǎng)絡(luò)。VLAN可以提供建立防火墻的機(jī)制，防止交換網(wǎng)絡(luò)的過量廣播。使用VLAN，可以將某個交換端口或用戶賦于某一個特定的VLAN組，該VLAN組可以在一個交換網(wǎng)中或跨接多個交換機(jī)，在一個VLAN中的廣播不會送到VLAN之外。同樣，相鄰的端口不會收到其他VLAN產(chǎn)生的廣播。這樣可以減少廣播流量，釋放帶寬給用戶應(yīng)用，減少廣播的產(chǎn)生。

　　安全

　　增強(qiáng)局域網(wǎng)的安全性，含有敏感數(shù)據(jù)的用戶組可與網(wǎng)絡(luò)的其余部分隔離，從而降低泄露機(jī)密信息的可能性。不同VLAN內(nèi)的報文在傳輸時是相互隔離的，即一個VLAN內(nèi)的用戶不能和其它VLAN內(nèi)的用戶直接通信，如果不同VLAN要進(jìn)行通信，則需要通過路由器或三層交換機(jī)等三層設(shè)備。

　　成本降低

　　成本高昂的網(wǎng)絡(luò)升級需求減少，現(xiàn)有帶寬和上行鏈路的利用率更高，因此可節(jié)約成本。

　　性能提高

　　將第二層平面網(wǎng)絡(luò)劃分為多個邏輯工作組（廣播域）可以減少網(wǎng)絡(luò)上不必要的流量并提高性能。

　　提高IT員工效率

　　VLAN為網(wǎng)絡(luò)管理帶來了方便，因為有相似網(wǎng)絡(luò)需求的用戶將共享同一個VLAN。

　　應(yīng)用管理

　　VLAN將用戶和網(wǎng)絡(luò)設(shè)備聚合到一起，以支持商業(yè)需求或地域上的需求。通過職能劃分，項目管理或特殊應(yīng)用的處理都變得十分方便，例如可以輕松管理教師的電子教學(xué)開發(fā)平臺。此外，也很容易確定升級網(wǎng)絡(luò)服務(wù)的影響范圍。

　　增加網(wǎng)絡(luò)連接的靈活性

　　借助VLAN技術(shù)，能將不同地點、不同網(wǎng)絡(luò)、不同用戶組合在一起，形成一個虛擬的網(wǎng)絡(luò)環(huán)境，就像使用本地LAN一樣方便、靈活、有效。VLAN可以降低移動或變更工作站地理位置的管理費用，特別是一些業(yè)務(wù)情況有經(jīng)常性變動的公司使用了VLAN后，這部分管理費用大大降低。

　　組建VLAN的條件

　　VLAN是建立在物理網(wǎng)絡(luò)基礎(chǔ)上的一種邏輯子網(wǎng)，因此建立VLAN需要相應(yīng)的支持VLAN技術(shù)的網(wǎng)絡(luò)設(shè)備。當(dāng)網(wǎng)絡(luò)中的不同VLAN間進(jìn)行相互通信時，需要路由的支持，這時就需要增加路由設(shè)備——要實現(xiàn)路由功能，既可采用路由器，也可采用三層交換機(jī)來完成，同時還嚴(yán)格限制了用戶數(shù)量。

　　虛擬局域網(wǎng)（VLAN）配置實例

　　例一：

　　設(shè)備選用Catalyst5500交換機(jī)1臺，安裝WS-X5530-E3管理引擎，多塊WS-X5225R及WS-X5302路由交換模塊，WS-X5302被直接插入交換機(jī)，通過二個通道與系統(tǒng)背板上的VLAN相連，從用戶角度看認(rèn)為它是1個1接口的模塊，此接口支持ISL。在交換機(jī)內(nèi)劃有3個虛擬網(wǎng)，分別名為default、qbw、rgw，通過WS-X5302實現(xiàn)虛擬網(wǎng)間路由。

　　以下加重下橫線部分，如setsystemname5500C為需設(shè)置的命令。

　　設(shè)置如下：

　　Catalyst5500配置：

　　begin

　　setpassword$1$FMFQ$HfZR5DUszVHIRhrz4h6V70

　　setenablepass$1$FMFQ$HfZR5DUszVHIRhrz4h6V70

　　setpromptConsole》

　　setlength24default

　　setlogout20

　　setbannermotd^C^C

　?。?/p>

　　#system

　　setsystembaud9600

　　setsystemmodemdisable

　　setsystemname5500C

　　setsystemlocation

　　setsystemcontact

　??！

　　#ip

　　setinterfacesc0110.230.4.240255.255.255.010.230.4.255

　　setinterfacesc0up

　　setinterfacesl00.0.0.00.0.0.0

　　setinterfacesl0up

　　setarpagingtime1200

　　setipredirectenable

　　setipunreachableenable

　　setipfragmentationenable

　　setiproute0.0.0.010.230.4.151

　　setipaliasdefault0.0.0.0

　??！

　　#Commandalias

　　！

　　#vtp

　　setvtpdomainhne

　　setvtpmodeserver

　　setvtpv2disable

　　setvtppruningdisable

　　setvtppruneeligible2-1000

　　clearvtppruneeligible1001-1005

　　setvlan1namedefaulttypeethernetmtu1500said100001stateactive

　　setvlan777namergwtypeethernetmtu1500said100777stateactive

　　setvlan888nameqbwtypeethernetmtu1500said100888stateactive

　　setvlan1002namefddi-defaulttypefddimtu1500said101002stateactive

　　setvlan1004namefddinet-defaulttypefddinetmtu1500said101004stateactivebridge0x0stpieee

　　setvlan1005nametrnet-defaulttypetrbrfmtu1500said101005stateactivebridge0x0stpibm

　　setvlan1003nametoken-ring-defaulttypetrcrfmtu1500said101003stateactiveparent0ring0x0modesrbaremaxhop7stemaxhop7

　??！

　　#setbootcommand

　　setbootconfig-register0x102

　　setbootsystemflashbootflash:cat5000-sup3.4-3-1a.bin

　??！

　　#module1：2-port1000BaseLXSupervisor

　　setmodulename1

　　setvlan11/1-2

　　setportenable1/1-2

　?。?/p>

　　#module2：empty

　??！

　　#module3：24-port10/100BaseTXEthernet

　　setmodulename3

　　setmoduleenable3

　　setvlan13/1-22

　　setvlan7773/23

　　setvlan8883/24

　　settrunk3/1onisl1-1005

　　#module4empty

　　！

　　#module5empty

　　！

　　#module6：1-portRouteSwitch

　　setmodulename6

　　setportlevel6/1normal

　　setporttrap6/1disable

　　setportname6/1

　　setcdpenable6/1

　　setcdpinterval6/160

　　settrunk6/1onisl1-1005

　??！

　　#module7：24-port10/100BaseTXEthernet

　　setmodulename7

　　setmoduleenable7

　　setvlan17/1-22

　　setvlan8887/23-24

　　settrunk7/1onisl1-1005

　　settrunk7/2onisl1-1005

　?。?/p>

　　#module8empty

　??！

　　#module9empty

　??！

　　#module10：12-port100BaseFXMMEthernet

　　setmodulename10

　　setmoduleenable10

　　setvlan110/1-12

　　setportchannel10/1-4off

　　setportchannel10/5-8off

　　setportchannel10/9-12off

　　setportchannel10/1-2on

　　setportchannel10/3-4on

　　setportchannel10/5-6on

　　setportchannel10/7-8on

　　setportchannel10/9-10on

　　setportchannel10/11-12on

　　#module11empty

　??！

　　#module12empty

　　！

　　#module13empty

　??！

　　#switchportanalyzer

　??！setspan11/1bothinpktsdisable

　　setspandisable

　??！

　　#cam

　　setcamagingtime1-2，777，888，1003，1005300

　　end

　　5500C》（enable）

　　WS-X5302路由模塊設(shè)置：

　　Router#writ

　　Buildingconfiguration.。。

　　Currentconfiguration：

　?。?/p>

　　version11.2

　　noservicepassword-encryption

　　noserviceudp-small-servers

　　noservicetcp-small-servers

　??！

　　hostnameRouter

　　！

　　enablesecret5$1$w1kK$AJK69fGOD7BqKhKcSNBf6.

　　！

　　ipsubnet-zero

　　！

　　interfaceVlan1

　　ipaddress10.230.2.56255.255.255.0

　　！

　　interfaceVlan777

　　ipaddress10.230.3.56255.255.255.0

　??！

　　interfaceVlan888

　　ipaddress10.230.4.56255.255.255.0

　??！

　　noipclassless

　??！

　　linecon0

　　lineaux0

　　linevty04

　　passwordrouter

　　login

　??！

　　end

　　Router#

　　例二：

　　交換設(shè)備仍選用Catalyst5500交換機(jī)1臺，安裝WS-X5530-E3管理引擎，多塊WS-X5225R在交換機(jī)內(nèi)劃有3個虛擬網(wǎng)，分別名為default、qbw、rgw，通過Cisco3640路由器實現(xiàn)虛擬網(wǎng)間路由。交換機(jī)設(shè)置與例一類似。

　　路由器Cisco3640，配有一塊NM-1FE-TX模塊，此模塊帶有一個快速以太網(wǎng)接口可以支持ISL。Cisco3640快速以太網(wǎng)接口與交換機(jī)上的某一支持ISL的端口實現(xiàn)連接，如交換機(jī)第3槽第1個接口（3/1口）。

　　Router#writ

　　Buildingconfiguration.。。

　　Currentconfiguration：

　??！

　　version11.2

　　noservicepassword-encryption

　　noserviceudp-small-servers

　　noservicetcp-small-servers

　??！

　　hostnameRouter

　??！

　　enablesecret5$1$w1kK$AJK69fGOD7BqKhKcSNBf6.

　??！

　　ipsubnet-zero

　　！

　　interfaceFastEthernet1/0

　　！

　　interfaceFastEthernet1/0.1

　　encapsulationisl1

　　ipaddress10.230.2.56255.255.255.0

　?。?/p>

　　interfaceFastEthernet1/0.2

　　encapsulationisl777

　　ipaddress10.230.3.56255.255.255.0

　?。?/p>

　　interfaceFastEthernet1/0.3

　　encapsulationisl888

　　ipaddress10.230.4.56255.255.255.0

　??！

　　noipclassless

　　！

　　linecon0

　　lineaux0

　　linevty04

　　passwordrouter

　　login

　??！

　　end

　　Router#