VLAN基本知识知识分享.ppt

《VLAN基本知识知识分享.ppt》由会员分享，可在线阅读，更多相关《VLAN基本知识知识分享.ppt（39页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、VLAN基本知识为什么需要为什么需要VLAN什么是什么是VLAN？VLAN（VirtualLAN），翻译成中文是“虚拟局域网”。LAN广播域，指的是广播帧（目标MAC地址全部为1）所能传递到的范围，亦即能够直接通信的范围。严格地说，并不仅仅是广播帧，多播帧（MulticastFrame）和目标不明的单播帧（UnknownUnicastFrame）也能在同一个广播域中畅行无阻。实现实现VLAN的机制的机制首先，在一台未设置任何VLAN的二层交换机上，任何广播帧都会被转发给除接收端口外的所有其他端口（Flooding）。1234交换机交换机广播帧广播帧交换机收到广播帧后，转发到除接收端口外的其他所

2、有端口。1234交换机交换机广播帧广播帧交换机收到广播帧后，只转发到属于同一VLAN的其他端口。广播域广播域广播帧广播帧广播域广播域上图中为了便于说明，以红、蓝两色识别不同的VLAN，在实际使用中则是用“VLANID”来区分的。1234交换机交换机VLAN生成的逻辑上的交换机是互不相通的。因此，在交换机上设置VLAN后，如果未做其他处理，VLAN间是无法通信的。VLAN间的通信也需要路由器提供中继服务，这被称作“VLAN间路由”。VLAN间路由，可以使用普通的路由器，也可以使用三层交换机。访问链接访问链接访问链接，指的是“只属于一个VLAN，且仅向该VLAN转发数据帧”的端口。在大多数情况下，

3、访问链接所连的是客户机。通常设置VLAN的顺序是：生成VLAN设定访问链接（决定各端口属于哪一个VLAN）设定访问链接的手法，可以是事先固定的、也可以是根据所连的计算机而动态改变设定。前者被称为“静态VLAN”、后者自然就是“动态VLAN”了。静态静态VLAN静态VLAN又被称为基于端口的VLAN（PortBasedVLAN）。顾名思义，就是明确指定各端口属于哪个VLAN的设定方法。1234交换机交换机端口VLAN11234122VLAN2将交换机的每个端口静态指派给VLANVLAN1由于需要一个个端口地指定，因此当网络中的计算机数目超过一定数字（比如数百台）后，设定操作就会变得烦杂无比。并且

4、，客户机每次变更所连端口，都必须同时更改该端口所属VLAN的设定这显然不适合那些需要频繁改变拓补结构的网络。动态动态VLAN另一方面，动态VLAN则是根据每个端口所连的计算机，随时改变端口所属的VLAN。这就可以避免上述的更改设定之类的操作。动态VLAN可以大致分为3类：基于MAC地址的VLAN（MACBasedVLAN）基于子网的VLAN（SubnetBasedVLAN）基于用户的VLAN（UserBasedVLAN）基于基于MAC地址的地址的VLAN，就是通过查询并记录端口所连计算机上网卡的MAC地址来决定端口的所属。MACVLANA1BCD122VLAN2VLAN112341234MAC

5、:AMAC:BMAC:CMAC:DMAC:CMAC:BMAC:AMAC:D即使计算机改变了所连接的端口，交换机仍会查出它的MAC地址，并正确指定端口所属的VLAN。由于是基于MAC地址决定所属VLAN的，因此可以理解为这是一种在OSI的第二层设定访问链接的办法。但是，基于MAC地址的VLAN，在设定时必须调查所连接的所有计算机的MAC地址并加以登录。而且如果计算机交换了网卡，还是需要更改设定。基于子网的VLAN，则是通过所连计算机的IP地址，来决定端口所属VLAN的。网络地址VLAN192.168.1.0/241192.168.2.0/242VLAN2VLAN112341234即使计算机改变了

6、所连接的端口，交换机仍会通过IP地址正确指定端口所属的VLAN。IP地址地址192.168.1.1IP地址地址192.168.1.2IP地址地址192.168.2.1IP地址地址192.168.2.2IP地址地址192.168.1.1IP地址地址192.168.2.1IP地址地址192.168.1.2IP地址地址192.168.1.1IP地址地址192.168.2.2基于用户的基于用户的VLAN，则是根据交换机各端口所连的计算机上当前登录的用户，来决定该端口属于哪个VLAN。这里的用户识别信息，一般是计算机操作系统登录的用户，比如可以是Windows域中使用的用户名。这些用户名信息，属于OSI

7、第四层以上的信息。种类解说静态VLAN（基于端口的VLAN）将交换机的各端口固定指派给VLAN动态VLAN基于MAC地址的VLAN根据各端口所连计算机的MAC地址设定基于子网的VLAN根据各端口所连计算机的IP地址设定基于用户的VLAN根据端口所连计算机上登录用户设定其中基于子网的VLAN和基于用户的VLAN有可能是网络设备厂商使用独有的协议实现的，不同厂商的设备之间互联有可能出现兼容性问题；因此在选择交换机时，一定要注意事先确认。交换机交换机1交换机交换机2ACBD每增加一每增加一个个VLAN，都需要，都需要添加一条添加一条互联网线，互联网线，并且还需并且还需要额外的要额外的端口。端口。需要

8、设置跨越多台交换机的需要设置跨越多台交换机的VLAN时时在交换机1和交换机2上各设一个红、蓝VLAN专用的接口并互联?汇聚链接（汇聚链接（TrunkLink）汇聚链接（TrunkLink）指的是能够转发多个不同VLAN的通信的端口。汇聚链路上流通的数据帧，都被附加了用于识别分属于哪个VLAN的特殊信息。交换机交换机1交换机交换机2ACBD 数据数据数据Trunk LinkTrunk Link通过汇聚链路时，自动附加VLAN识别信息通过识别VLAN标识，转发给相应的端口，同时去除VLAN标识，恢复成原始数据帧。为了减轻交换机的负载、也为了减少对带宽的浪费，我们可以通过用户设定限制能够经由汇聚链路

9、互联的VLAN。IEEE802.1Q与与ISL汇聚方式汇聚方式在交换机的汇聚链接上，可以通过对数据帧附加VLAN信息，构建跨越多台交换机的VLAN。附加VLAN信息的方法，最具有代表性的有：IEEE802.1QISLIEEE802.1QIEEE802.1Q，俗称“DotOneQ”，是经过IEEE认证的对数据帧附加VLAN识别信息的协议。Ethernet Version 26Bytes6Bytes2Bytes461500Bytes4Bytes目标MAC地址发送源MAC地址CRC数据部分类型目标MAC地址发送源MAC地址CRC数据部分TPIDTCI类型6Bytes6Bytes2Bytes46150

10、0Bytes4BytesIEEE802.1Q0 x81002Bytes2Bytes内含12bit的VLAN标识CRC经过重新计算16bits3bits1bit12bitsTPIDTCIPCPCFIVIDTagProtocolIdentifier(TPID):a16-bitfieldsettoavalueof0 x8100inordertoidentifytheframeasanIEEE802.1Q-taggedframe.ThisfieldislocatedatthesamepositionastheEtherType/Lengthfieldinuntaggedframes,andisthus

11、usedtodistinguishtheframefromuntaggedframes.TagControlIdentifier(TCI)PriorityCodePoint(PCP):a3-bitfieldwhichreferstotheIEEE802.1ppriority.Itindicatestheframeprioritylevel.Valuesarefrom0(besteffort)to7(highest);1representsthelowestpriority.Thesevaluescanbeusedtoprioritizedifferentclassesoftraffic(voi

12、ce,video,data,etc).SeealsoClassofServiceorCoS.CanonicalFormatIndicator(CFI):a1-bitfield.Ifthevalueofthisfieldis1,theMACaddressisinnon-canonicalformat.Ifthevalueis0,theMACaddressisincanonicalformat.ItisalwayssettozeroforEthernetswitches.CFIisusedforcompatibilitybetweenEthernetandTokenRingnetworks.Ifa

13、framereceivedatanEthernetporthasaCFIsetto1,thenthatframeshouldnotbebridgedtoanuntaggedport.VLANIdentifier(VID):a12-bitfieldspecifyingtheVLANtowhichtheframebelongs.Thehexadecimalvaluesof0 x000and0 xFFFarereserved.AllothervaluesmaybeusedasVLANidentifiers,allowingupto4,094VLANs.Thereservedvalue0 x000in

14、dicatesthattheframedoesnotbelongtoanyVLAN;inthiscase,the802.1Qtagspecifiesonlyapriorityandisreferredtoasaprioritytag.Onbridges,VLAN1(thedefaultVLANID)isoftenreservedforamanagementVLAN;thisisvendor-specific.16bits3bits1bit12bitsTPIDTCIPCPCFIVIDTPID TCIISL（InterSwitchLink）ISL，是Cisco产品支持的一种与IEEE802.1Q类

15、似的、用于在汇聚链路上附加VLAN信息的协议。使用ISL后，每个数据帧头部都会被附加26字节的“ISL包头（ISLHeader）”，并且在帧尾带上通过对包括ISL包头在内的整个数据帧进行计算后得到的4字节CRC值。换而言之，就是总共增加了30字节的信息。Ethernet Version 2ISL6Bytes6Bytes2Bytes461500Bytes4Bytes目标MAC地址发送源MAC地址CRC数据部分类型6Bytes6Bytes2Bytes461500Bytes4Bytes目标MAC地址发送源MAC地址CRC数据部分类型CRC4BytesISL包头26Bytes包含VLAN编号保留原CR

16、C不变对从ISL包头到原CRC为止重新计算CRC由于ISL是Cisco独有的协议，因此只能用于Cisco网络设备之间的互联。VLAN间路由间路由只要所属的VLAN不同就无法直接通信，要想通信怎么办？在LAN内的通信，必须在数据帧头中指定通信目标的MAC地址。而为了获取MAC地址，TCP/IP协议下使用的是ARP。ARP解析MAC地址的方法，则是通过广播。也就是说，如果广播报文无法到达，那么就无从解析MAC地址，亦即无法直接通信。使用路由器进行使用路由器进行VLAN间路由间路由交换机交换机路由器路由器连红色VLAN的路由器端口连蓝色VLAN的路由器端口交换机交换机支持汇聚链路的路由器支持汇聚链路

17、的路由器连接蓝色VLAN的子接口汇聚链接连接红色VLAN的子接口使用一条网线连接路由器与交换机、进行使用一条网线连接路由器与交换机、进行VLAN间路由时，需要用到汇间路由时，需要用到汇聚链接。聚链接。具体实现过程为：首先将用于连接路由器的交换机端口设为汇聚链接，而路由器上的端口也必须支持汇聚链路。双方用于汇聚链路的协议自然也必须相同。接着在路由器上定义对应各个VLAN的“子接口（SubInterface）”。尽管实际与交换机连接的物理端口只有一个，但在理论上我们可以把它分割为多个虚拟端口。同一同一VLAN内的通信内的通信交换机交换机路由器端口的路由器端口的MAC地址：地址：R连接蓝色VLAN的

18、子接口192.168.2.100/24汇聚链接连接红色VLAN的子接口192.168.1.100/24123456A192.168.1.1/24GW192.168.1.0B192.168.1.2/24GW192.168.1.0C192.168.2.1/24GW192.168.2.0D192.168.2.2/24GW192.168.2.0交换机交换机路由器端口的路由器端口的MAC地地址：址：R连接蓝色VLAN的子接口192.168.2.100/24汇聚链接连接红色VLAN的子接口192.168.1.100/24123456A192.168.1.1/24GW192.168.1.100B192.16

19、8.1.2/24GW192.168.1.100C192.168.2.1/24GW192.168.2.100D192.168.2.2/24GW192.168.2.100数据帧源源MAC：A；目标；目标MAC:B源源IP：192.168.1.1/24目标目标IP：192.168.1.2/24同一同一VLAN内的通信，内的通信，处理均在交换机内部完处理均在交换机内部完成成交换机交换机路由器端口的路由器端口的MAC地地址：址：R连接蓝色VLAN的子接口,192.168.2.100/24连接红色VLAN的子接口,192.168.1.100/24123456A192.168.1.1/24GW192.168

20、.1.0B192.168.1.2/24GW192.168.1.0C192.168.2.1/24GW192.168.2.0D192.168.2.2/24GW192.168.2.0数据帧源源 MAC：A；目目 标标MAC:R源源IP：192.168.1.1/24目标目标IP：192.168.2.1/24 数据帧 数据帧数据帧源源 MAC：R；目目 标标MAC:C源源IP：192.168.1.1/24目标目标IP：192.168.2.1/24使用路由器进行使用路由器进行VLAN间路由时的问题间路由时的问题现在，我们知道只要能提供VLAN间路由，就能够使分属不同VLAN的计算机互相通信。但是，如果使用

21、路由器进行VLAN间路由的话，随着VLAN之间流量的不断增加，很可能导致路由器成为整个网络的瓶颈。三层交换机（三层交换机（Layer3Switch）三层交换机三层交换机路由模块路由模块交换模块交换模块内部是汇聚链路内部是汇聚链路路由模块路由模块交换模块交换模块A（MAC）192.168.1.1/24GW192.168.1.0B（MAC）192.168.1.2/24GW192.168.1.0C（MAC）192.168.2.1/24GW192.168.2.0D（MAC）192.168.2.2/24GW192.168.2.0红色VLAN接口192.168.1.100/24蓝色VLAN接口192.16

22、8.2.100/24源源MAC:A;目标目标MAC:B源源IP：192.168.1.1目标目标IP：192.168.1.21234VLAN内通信在交换模内通信在交换模块内部完成块内部完成使用三层交换机进行使用三层交换机进行VLAN间路由（间路由（VLAN间通信）间通信）路由模块路由模块交换模块交换模块A（MAC）192.168.1.1/24GW192.168.1.0B（MAC）192.168.1.2/24GW192.168.1.0C（MAC）192.168.2.1/24GW192.168.2.0D（MAC）192.168.2.2/24GW192.168.2.0红色VLAN接口192.168.1

23、.100/24蓝色VLAN接口192.168.2.100/24Frame 1源源MAC:A;目标目标MAC:R源IP：192.168.1.1目标IP：192.168.2.11234Frame 2附加红色附加红色VLAN识别信息识别信息源源MAC:A;目标目标MAC:R源IP：192.168.1.1目标IP：192.168.2.1Frame 3附加蓝色附加蓝色VLAN识别信息识别信息源源MAC:R;目标目标MAC:C源IP：192.168.1.1目标IP：192.168.2.1Frame 4源源MAC:R;目标目标MAC:C源IP：192.168.1.1目标IP：192.168.2.1加速加速V

24、LAN间通信的手段间通信的手段流（流（Flow）。）。被分割的数据，“发送的目标”是完全相同的。发送目标相同，也就意味着同样的目标IP地址、目标端口号（注：特别强调一下，这里指的是TCP/UDP端口）。自然，源IP地址、源端口号也应该相同。这样一连串的数据流被称为“流（Flow）”。只要将流最初的数据正确地路由以后，后继的数据理应也会被同样地路由。路由模块路由模块MAC地址地址:R交换模块交换模块1234FTP客户端客户端IP:192.168.1.1/24MAC地址:AFTP服务器服务器IP:192.168.2.1/24MAC地址:BEther Header IP Header TCP Hea

25、der DataCRC 一连串流的以太帧头、TCP/IP包头都相同。路由的结果，也应该完全相同。目标MAC:R源MAC:B目标端口:2000源端口:21目标IP:192.168.1.1源IP:192.168.2.1路由模块路由模块MAC地址地址:R交换模块交换模块 1234FTP客户端客户端IP:192.168.1.1/24MAC地址:AFTP服务器服务器IP:192.168.2.1/24MAC地址:B路由的结果路由的结果已被缓存下来已被缓存下来1、同一个流的第二块数据到达交换机。2、参照交换机上的缓存信息后，数据帧被转发到相应的端口。3、如同经过路由器中继一样，部分数据包头信息被改写。从第二

26、块数据开始，路由模块不再参与流的路由。路由器的必要性路由器的必要性用于与WAN连接三层交换机终究是“交换机”。也就是说，绝大多数机型只配有LAN（以太网）接口。在少数高端交换机上也有用于连接WAN的串行接口或是ATM接口，但在大多数情况下，连接WAN还是需要用到路由器。保证网络安全在三层交换机上，通过数据包过滤也能确保一定程度的网络安全。但是使用路由器所提供的各种网络安全功能，用户可以构建更为安全可靠的网络。路由器提供的网络安全功能中，除了最基本的数据包过滤功能外，还能基于IPSec构建VPN（VirtualPrivateNetwork）、利用RADIUS进行用户认证等等。支持除TCP/IP以

27、外的网络架构尽管TCP/IP已经成为当前网络协议架构的主流，但还有不少网络利用NovellNetware下的IPX/SPX或Macintosh下的Appletalk等网络协议。三层交换机中，除了部分高端机型外基本上还只支持TCP/IP。因此，在需要使用除TCP/IP之外其他网络协议的环境下，路由器还是必不可少的。二层交换机二层交换机TCP/IP客户机客户机二层交换机二层交换机Netware客户机客户机二层交换机二层交换机TCP/IP客户机客户机二层交换机二层交换机TCP/IP客户机客户机支持支持TCP/IP以外的网络架构以外的网络架构WANISDN/ATM/帧中继等帧中继等使用路由器与WAN连接，实现可靠的网络安全利用三层交换机实现高速LAN间路由三层交换机三层交换机路由器交换机组网实例1234交换机11234交换机2汇聚端口红色VLAN蓝色VLANABCD从从A到到C的数据流为：的数据流为：A交换机交换机11路由器路由器交换机交换机11交换机交换机2C2CABCD192.168.1.0/24192.168.2.0/24结束语结束语谢谢大家聆听！谢谢大家聆听！39