目录
VLAN的特点:
VLAN的好处:
VLAN的实现原理
VLAN标签
VLAN的划分方式
接口划分VLAN--接口类型
Access接口
Trunk接口
Hybrid接口
实现VLAN之间通信
使用路由器物理接口
使用子接口
使用三层交换机的VLANIF接口
配置
VLANIF的转发流程
三层交换机参与下的三层通信流程
网络拓扑
连接逻辑图
二层接口与三层接口对比
综合实验
VLAN的特点:
1.一个VLAN就是一个广播域,所以在同一个VLAN内部,计算机可以直接进行二层通信;而不同VLAN内的计算机,无法直接进行二层通信,只能进行三层通信来传递信息,即广播报文被限制在一个VLAN内。
2.VLAN的划分不受地域的限制。
VLAN的好处:
1.灵活构建虚拟工作组:用VLAN可以划分不同的用户到不同的工作组,同一工作组的用户也不必局限于某—固定的物理范围,网络构建和维护更方便灵活。
2.限制广播域:广播域被限制在一个VLAN内,节省了带宽,提高了网络处理能力。
3.增强局域网的安全性:不同VLAN内的报文在传输时是相互隔离的,即一个VLAN内的用户不能和其它VLAN内的用户直接通信。
4.提高了网络的健壮性:故障被限制在一个VLAN内,本VLAN内的故障不会影响其他VLAN的正常工作。
VLAN的实现原理
1.Switch1与Switch2同属一个企业,该企业统一规划了网络中的VLAN。其中VLAN10用于A部门,VLAN20用于B部门。A、B部门的员工在Switch1和Switch2上都有接入。
2.PC1发出的数据经过Switch1和Switch2之间的链路到达了Switch2。如果不加处理,后者无法判断该数据所周的VLAN,也不知道应该将这个数据输出到本地哪个VLAN中。
VLAN标签
要使交换机能够分辨不同VLAN的报文,需要在报文中添加标识VLAN信息的字段。
IEEE 802.1.Q协议规定,在以太网数据帧中加入4个字节的VLAN标签,又称VLANTag,简称Tag。
Switch1和Switch2之间的链路要承载多个VLAN的数据,需要一种基于VLAN的数据"标记"手段,以便对不同VLAN的数据帧进行区分。
IEEE 802,1.Q标准(也被称为Dot1Q)定义了该"标记"方法。该标准对传统的以太网数据帧进行修改
在帧头中插入802.1.Q Tag,而在该Tag中,便可以写入VLAN信息。
VLAN的划分方式
VLAN的划分包括如下5种方法:
1.基于接口划分:根据交换机的接口来划分VLAN。
2.网络管理员预先给交换机的每个接口配置不同的PVID,当一个数据帧进入交换机时,如果没有带VL签,该数据帧就会被打上接口指定PVID的标签,然后数据帧将在指定VLAN中传输。
(1)缺省VLAN,PVID
Port VLANID,是接口上的缺省VLAN。
取值:1~4094。
(2)特点:
这种划分原则简单而直观,实现容易,是目前实际的网络应用中最为广泛的划分VLAN的方式。
当计算机接入交换机的端口发生了变化时,该计算机发送的帧的VLAN归属可能会发生变化。∈
3.基于MAC地址划分:根据数据帧的源MAC地址来划分VLAN。
(1)网络管理员预先配置MAC地址和VLAN ID映射关系表,T当交换机收到的是Untagged帧时,就依据该表给数据帧添加指定VLAN的标签,然后数据帧将在指定VLAN中传输。
(2)映射表
记录了MAC地址和VLAN ID的关联情况。
(3)特点:
这种划分实现稍微复杂,但灵活性得到了提高。
当计算机接入交换机的端口发生了变化时,该计算机发送的帧的VLAN归属不会发生变化(因为计算
机的MAC地址没有变)。
但这种类型的VLAN划分安全性不是很高,因为恶意计算机很容易伪造MAC地址。
4.基于IP子网划分:根据数据帧中的源地址和子网掩码来划分VLAN。
网络管理员预先配置IP地址和VLAN ID映射关系表,当交换机收到的是Untagged帧,就依据该表给数据帧添加指定VLAN的标签,然后数据帧将在指定VLAN中传输。
5.基于协议划分:根据数据帧所属的协议(族)类型及封装格式来划分VLAN。
网络管理员预先配置以太网帧中的协议域和VLAN ID的映射关系表,如果收到的是Untagged帧,S中Y
该表给数据帧添加指定VLAN的标签,然后数据帧将在指定VLAN中传输。
6.基于策略划分:根据配置的策略划分VLAN,能实现多种组合的划分方式,包括接口、MAC地址、P地址等。
网络管理员预先配置策略,如果收到的是Untagged帧,且匹配配置的策略时,给数据帧添加指定VLAN的标签,然后数据帧将在指定VLAN中传输。
接口划分VLAN--接口类型
1. Access接口
交换机上常用来连接用户PC、服务器等终端设备的接口。Access接口所连接的这些设备的网卡往往只收发无标记帧。Access接口只能加入一个YLAN。
2.Trunk接口
Trunk接口允许多个VLAN的数据帧通过,这些数据帧通过802.1QTag实现区分。Trunk接口常用于交换机之间的互联,也用于连接路由器、防火墙等设备的子接口。
3. Hybrid接口
Hybrid接口与Trunk接口类似,也允许多个VLAN的数据帧通过,这些数据帧通过802.1.QTag实现区分。用户可以灵活指定Hybrid接口在发送某个(或某些)VLAN的数据帧时是否携带Tag。
Access接口
Trunk接口
Hybrid接口
列如
实验:
[LSw1]display port vlan active——查看vlan
[LSw1]vlan 2——创建vlan 2
[LSw1]interface GigabitEthernet0/0/1
[LSw1-GigabitEthernet0/0/1]port link-type hybrid
[LSw1-GigabitEthernet0/0/1]port hybrid pvid vlan 2 //修改接口PVID
[LSw1-GigabitEthernet0/0/1]port hybrid untagged vlan 2 100 //对端PC3过来的100拆除标签,即意味允许。Untagged只对接口发送数据生效
.........
[LSw1]vlan 3——创建vlan 3
[LSw1]interface GigabitEthernet0/0/2
[LSw1-GigabitEthernet0/0/2]port link-type hybrid
[LSw1-GigabitEthernet0/0/2]port hybrid pvid vlan 3
[LSw1-GigabitEthernet0/0/2]port hybrid untagged vlan 3 100
..........
[LSw1]interface GigabitEthernet0/0/3 //同对端的交换机相连接口
[LSw1-GigabitEthernet0/0/3]port link-type hybrid
[LSw1-GigabitEthernet0/0/3]port hybrid tagged vlan 2to3 100 //交换机之间所有的VLAN都不拆标签,用于区分不同VLAN
.........
[LSw2]interface GigabitEthernet0/0/1 //连接PC3的接口,因为和PC1&PC2都要通,所以2和3都不打标签
[LSw2-GigabitEthernet0/0/1]port link-type hybrid
[LSw2-GigabitEthernet0/0/1]port hybrid pvid vlan 100
[LSw2-GigabitEthernet0/0/1]port hybrid untagged vlan 2 3 100
............
[LSw2]interface GigabitEthernet0/0/2 //同对端的交换机相连接口
[LSw2-GigabitEthernet0/0/2]port link-type hybrid
[LSw2-GigabitEthernet0/0/2]port hybrid tagged vlan 2 to 3 100
实现VLAN之间通信
传统交换二层组网中,默认所有网络都处于同一个广播域,这带了诸多问题。VLAN (Virtual Local Area Network,虚拟局域网)技术的提出,满足了二层组网隔离广播域需求,使得属于不同VLAN的网络无法互访,但不同VLAN之间又存在着相互访问的需求。
1.实际网络部署中一般会将不同IP地址段划分到不同的VLAN。
2.同VLAN且同网段的PC之间可直接进行通信,无需借助三层转发设备,该通信方式被称为二层通信.
3.VLAN之间需要通过三层通信实现互访,三层通信需借助三层设备。
使用路由器物理接口
1.路由器三层接口作为网关,转发本网段前往其它网段的流量
2.路由器三层接口无法处理携带VLAN Tag的数据帧,因此交换机上联路由器的接口需配置为Access。
3.路由器的一个物理接口作为一个VLAN的网关,因此存在一个VLAN就需要占用一个路由器物理接口。
4.路由器作为三层转发设备其接口数量较少,方案的可扩展性太差。
使用子接口
1.子接口(Sub-Interface)是基于路由器以太网接口所创建的逻辑接口,以物理接口ID+子接口ID进行标识,子接口同物理接口—样可进行三层转发。
2.子接口不同于物理接口,可以终结携带VLAN Tag的数据帧。由于三层子接口不支持VLAN报文,当它收到VLAN报文时,会将VLAN报文当成是非法报文而丢弃。因此,需要在子接口上将VLANTag剥掉,也就是需要VLAN终结(VLAN Termination)。
3.基于一个物理接口创建多个子接口,将该物理接口对接到交换机的Trunk接口,即可实现使用一个物理接口为多个VLAN提供三层转发服务。
交换机连接路由器的接口类型配置为Trunk,根据报文的VLAN Tag不同,路由器将收到的报文交由对应的子接口处理。
4.interface interface-type interface-number.sub-interface number命令用来创建子接口。sub-interfacenumber代表物理接口内的逻辑接口通道。一般情况下,为了方便记忆,子接口ID与所要终结的VLAN ID相同。
5.dot1q termination vid命令用来配置子接口Dot1q终结的单层VLAN ID’。缺省情况,子接口没有配置dot1q终结的单层VLAN ID。arp broadcast enable命令用来使能终结子接口的ARP广播功能。缺省情况下,终结子接口没有使能ARP广播功能。终结子接口不能转发广播报文,在收到广播报文后它们直接把该报文丢弃。为了允许终结子接口能转发广播报文,可以通过在子接口上执行此命令。
使用三层交换机的VLANIF接口
在子接口技术的启发下我们研究出了三层交换机技术,该技术彻底摆脱了物理接口。
1.二层交换机 (Layer 2 Switch)指的是只具备二层交换功能的交换机。
2.三层交换机(Layer 3 Switch)除了具备二层交换机的功能,还支持通过三层接口(如VLANIF接口)实现转发功能。
3.VLANIF接口是一种三层的逻辑接口,支持VLANTag的剥离和添加,因此可以通过VLANIF接口实现
LAN之间
的通信。
4.VLANIF接口编号与所对应的VLAN ID相同,如VLAN 10对应VLANIF10。
配置
[sw1]v1an batch 10 20
[sw1] interface GigabitEthernet 0/0/1
[Sw1-GigabitEthernet0/0/1] port 1ink-type access——规定类型为access
[Sw1-GigabitEthernet0/0/1] port default vlan 10——将接口划分为VLAN10
[sw1] interface GigabitEthernet 0/0/2
[Sw1-GigabitEthernet0/0/2] port 1ink-type access
[Sw1-GigabitEthernet0/0/2] port default vlan 20
[Sw1]interface vlanif 10
[Sw1-v1anif10]ip address 192.168.10.254 24
[Sw1]interface vlanif 20
[Sw1-v1anif20]ip address 192.168.20.254 24
VLANIF的转发流程
1.假设PC、三层交换机上都已存在相应的ARP或MAC表项。·PC1与PC2之间通信过程如下:
2.PC1通过本地IP地址、本地掩码、对端IP地址进行计算,发现目的设备PC2与自身不在同一个网段,判断该通信为三层通信,将去往PC2的流量发给网关。PC1发送的数据帧:源MAC= MAC1,目的MAC = MAC2。
3.交换机收到PC1发送的去往PC2的报文,经解封装发现目的MAC为VLANIF10接口的MAC地址,所以将报文交给路由模块继续处理。
4.路由模块解析发现目的IP为192.168.20.2,非本地接口存在的IP地址,因此需要对该报文三层转发。查找路由表后,匹配中VLANIF20产生的直连路由。
5.因为匹配的为直连路由,说明已经到达最后一跳,所以交换机在ARP表中查找192.168.20.2,获取192.168.20.2的MAC地址,交由交换模块重新封装为数据帧。
6.交换模块查找MAC地址表以明确报文出接口、是否需要携带VLAN Tag。最终交换模块发送的数据帧:源MAC= MAC2,目的MAC = MAC3,VLAN Tag = None。