VLAN技術(shù)原理教(學)案方案解析

1、.Vlan 技術(shù)原理在數(shù)據(jù)通信和寬帶接入設備里，只要涉及到二層技術(shù)的，就會遇到VLAN 。 而且 ，通常情況下 ， VLAN在這些設備中是基本功能。所以不管是剛邁進這個行業(yè)的新生，還是已經(jīng)在這個行業(yè)打拼了很多年的前輩，都要熟悉這個技術(shù)。在論壇上經(jīng)?？吹接懻摳鞣N各樣的關(guān)于 VLAN的問題 ，在工作中也經(jīng)常被問起關(guān)于VLAN 的這樣或那樣的問題，所以，有了想寫一點東西的沖動。大部分童鞋接觸交換這門技術(shù)都是從思科技術(shù)開始的，討論的時候也脫離不了思科的影子 。 值得說明的是 ， VLAN 是一種標準技術(shù)，思科在實現(xiàn)VLAN 的時候加入了自己的專有名詞 ，這些名詞可能不是通用的，盡管它們已經(jīng)深深印在各位

2、童鞋們的腦海里。本文的描述是從基本原理開始的，有些說法會和思科技術(shù)有些出入，當然 ，也會講到思科交換中的VLAN 。1. 以太網(wǎng)交換原理VLAN的概念是基于以太網(wǎng)交換的，所以 ，為了保持連貫性，還是先從交換原理講起。不過 ，這里沒有長篇累牘的舉例和配置，都是一些最基本的原理。本節(jié)所說的以太網(wǎng)交換原理，是針對 傳統(tǒng) 的以太網(wǎng)交換機來說的。所謂 傳統(tǒng) ，是指不支持 VLAN 。簡單的講 ，以太網(wǎng)交換原理可以概括為源地址學習 ，目的地址轉(zhuǎn)發(fā) ?？紤]到IP 層也涉及到地址問題，為了避免混淆 ，可以修改為源 MAC 學習 ，目的 MAC 轉(zhuǎn)發(fā) 。從語文的語法角度來講 ，可能還有些問題，就再修改一下根據(jù)源

3、MAC進行學習 ，根據(jù)目的MAC進行轉(zhuǎn)發(fā) 。總之 ，根據(jù)個人習慣了。本人比較喜歡源 MAC 學習 ，目的 MAC 轉(zhuǎn)發(fā) 的口訣 。.專業(yè)學習資料.稍微解釋一下。所謂的 源 MAC 學習 ，是指交換機根據(jù)收到的以太網(wǎng)幀的幀頭中的源MAC 地址來建立自己的 MAC 地址表 ，學習 是業(yè)內(nèi)的習慣說法，就如同在淘寶上買東西都叫寶貝 一樣。所謂的 目的 MAC 轉(zhuǎn)發(fā) ，是指交換機根據(jù)收到的以太網(wǎng)幀的幀頭中的目的MAC 地址和本地的 MAC 地址表來決定如何轉(zhuǎn)發(fā)，確定的說 ，是如何交換 。這個過程大家應該是耳熟能詳了。 但為了與后面的VLAN描述對比方便，這里還是簡單的舉個例子 。Figure 1-1:|

4、-| SW1 (Ethernet Switch) |-|port1|port 2|-|-| PC1| PC2|-|-|簡單描述一下PC1 ping PC2的過程 ：（ 這里假設 ， PC1 和 PC2 位于同一個IP 網(wǎng)段 ，IP地址分別為IP_PC1 和 IP_PC2， MAC 地址分別為MAC_PC1 和 MAC_PC2 ）1).PC1 首先發(fā)送ARP 請求 ，請求 PC2 的 MAC 。 目的 MAC=FF:FF:FF:FF:FF:FF(廣播 )；源 MAC=MAC_PC1 。.專業(yè)學習資料.SW1收到該廣播數(shù)據(jù)幀后，根據(jù)幀頭中的源MAC 地址，首先學習到了PC1 的 MAC ，建立 M

5、AC 地址表如下 ：MAC 地址端口MAC_PC1PORT 12).由于 ARP 請求為廣播幀，所以， SW1 向除了 PORT1 之外的所有UP 的端口廣播 。注意 ，該幀沒有任何變化。換句話說 ，交換機沒有對幀做任何修改。這就是傳說中的透明傳輸 。3).PC2 收到該ARP 請求幀 ，本地建立ARP 表項 ，同時單播回送ARP 應答幀 。 目的MAC=MAC_PC1 ；源 MAC=MAC_PC2 。SW1收到該單播幀手，根據(jù)幀頭中的源MAC 地址，學習到了 PC2 的 MAC ，建立 MAC地址表如下 ：MAC 地址端口MAC_PC1PORT 1MAC_PC2PORT 24). SW1根據(jù)

6、幀頭中的目的MAC 地址 (MAC_PC1) 將數(shù)據(jù)幀從PORT 1 轉(zhuǎn)發(fā) 。5). PC1收到 ARP 響應 ， ARP 交互過程成功。接下來進行單播PING 包交互 。SW1根據(jù)數(shù)據(jù)幀的目的MAC 進行透明轉(zhuǎn)發(fā)單播幀，同時刷新本地MAC 地址表的老化定時器 。.專業(yè)學習資料.2. 802.1Q VLAN的基本原理嚴格來說 ， 802.1QVLAN不是一個協(xié)議，因為互連的設備之間沒有協(xié)議層面的報文交互。 802.1QVLAN只定義了數(shù)據(jù)幀的封裝格式，即，在以太網(wǎng)幀頭中插入了4 個字節(jié)的VLAN 字段 。 其主要內(nèi)容為VLANTAG，緊隨其后的數(shù)據(jù)類型和802.1p 報文優(yōu)先級的標識。Figu

7、re 2-1以太網(wǎng)幀格式|-| DMAC(6bytes) | SMAC(6bytes) | Ether-Type(2bytes) | DATA |-|Figure 2-2帶 VLAN TAG 的以太網(wǎng)幀格式|-| DMAC(6bytes) | SMAC(6bytes) | Ether-Type(0x8100) | VLAN(4bytes) | DATA |-|Figure 2-3 VLAN TAG的格式|-| PRI(3bits) | CFI(1bit) | TAG(12bits) | Ether-Type(2bytes) | DATA |-|.專業(yè)學習資料.PRI：幀優(yōu)先級 ，就是通常所說的

8、802.1p 。CFI：規(guī)范標識位 ， 0 為規(guī)范格式 ，用于 802.3 或 EthII 。TAG：就是我們通常說的VLAN IDEther-Type ：標識緊隨其后的數(shù)據(jù)類型。本人所理解的VLAN 技術(shù)要點主要有兩點： 1.支持 VLAN 的交換機的內(nèi)部交換原理； 2.設備之間 (交換機之間 ，交換機與路由器之間，交換機與主機之間)交互時 ，VLAN TAG 的添加和移除 。下面就按照這個思路來描述。2.1 支持 VLAN 的交換機的交換原理引入 VLAN 概念后 ，數(shù)據(jù)幀只在相應的VLAN 進行交換 。 用通俗一點的話來講，一個交換機被虛擬出了多個邏輯交換機，每一個VLAN內(nèi)的端口都是一

9、個邏輯上的交換機。用專業(yè)一點的話來講，一個交換機被劃分了多個不同的廣播域，每一個VLAN內(nèi)的端口 ，在同一個廣播域內(nèi)。引入VLAN后的交換原理與傳統(tǒng)的交換原理相比，并沒有本質(zhì)上的改變，同樣遵循源 MAC學習 ，目的MAC轉(zhuǎn)發(fā) 的基本原則 。 唯一不同的是，學習和轉(zhuǎn)發(fā)都只在同一個VLAN 中進行 ，數(shù)據(jù)幀不能跨VLAN 交換或轉(zhuǎn)發(fā) 。數(shù)據(jù)幀該在哪個VLAN 中進行交換 ？前面提到 ，支持 VLAN 的交換機將數(shù)據(jù)幀限制在同一個VLAN 中進行交換 ，那么數(shù)據(jù)幀到底該在哪個VLAN 中交換呢 ？.專業(yè)學習資料.如果收到的數(shù)據(jù)幀攜帶了VLAN 信息（通常稱為 TAGED數(shù)據(jù)幀 ，前面已經(jīng)介紹了帶 V

10、LAN TAG 的以太幀格式 ）， 該 VLAN 信息中的VLAN TAG 就是交換該幀的VLAN 。如果收到的數(shù)據(jù)幀沒有攜帶VLAN信息（通常稱為 UNTAGED數(shù)據(jù)幀 ），收到該幀的端口的PVID 就是交換該幀的VLAN 。該規(guī)則在節(jié)中有詳細的描述。根據(jù)上面的原則，也定義了PVID 的概念 。 當端口收到一個UNTAGED 數(shù)據(jù)幀時 ，無法確定在哪個VLAN 中進行交換 ， PVID 定義了在這種情形下交換該幀的VLAN 。 從某種意義上講 ，可以把 PVID 理解為端口的defaultVLAN 。 在支持 VLAN 的交換機中 ，每個端口都有一個PVID 值，該值有一個缺省值，當然你也可

11、以更改它。2.2.2 MAC地址學習和 MAC地址表引入 VLAN 概念后 ， MAC 地址的學習也在相應的VLAN 中進行 。 從某種意義上理解，一臺交換機有多張MAC 地址表 ，每個 VLAN 一張表 ，在交換數(shù)據(jù)幀進行查表時，只需要在相應的 VLAN 中進行查找 。很顯然 ， MAC 地址表項中 ，增加了 VLAN TAG 屬性 。VLANMAC地址端口VLAN1MAC_PC1PORT 1VLAN1MAC_PC2PORT 2VLAN2MAC_PC1PORT 1VLAN2MAC_PC2PORT 22.2 VLAN TAG的添加和移除規(guī)則.專業(yè)學習資料.為了保證設備之間的互聯(lián)互通，需要理解V

12、LANTAG 的添加和移除規(guī)則。也就是說 ，交換機在轉(zhuǎn)發(fā)數(shù)據(jù)幀時，什么時候應該打TAG，什么時候應該不打TAG，什么時候又會丟棄數(shù)據(jù)幀 。為什么要有這么復雜 （其實也沒那么復雜）的規(guī)則呢 ？為什么不把所有的數(shù)據(jù)幀都打上 TAG 呢，這樣不是簡單多了？其實，這樣做也是為了適應不同設備的工作原理，有些設備是不支持VLAN TAG 的 。典型設備先介紹一下幾種典型的設備：PC：大部分的PC（專用的 ，或用于測試的除外）是工作在應用層的，缺省情況下是不支持 (其實也不需要 )VLAN TAG 的 。 也就是說 ， PC 發(fā)出的都是UNTAGED 數(shù)據(jù)幀 。Router：路由器是支持VLAN TAG 的

13、。也就是說 ，路由器可以發(fā)出TAGED 數(shù)據(jù)幀 ，也可以發(fā)出UNTAGED 數(shù)據(jù)幀 。需要說明的是，路由器是處理數(shù)據(jù)包的三層信息的，對于二層信息 （包括VLAN信息 ）， 路由器只是檢查其有效性，之后將其剝離。這個過程就是我們常說的 終結(jié) ，也就是說 ，路由器會終結(jié)掉報文的VLAN 信息的 。Switch：這里的 switch 是指以太網(wǎng)交換機。VLAN 技術(shù)就是主要針對于交換機提出的，所以 ，在討論 VLAN 概念時都是立足于交換機來討論。很顯然 ，交換機既支持收發(fā)TAGED數(shù)據(jù)幀 ，也支持收發(fā)UNTAGED 數(shù)據(jù)幀 。 從嚴格意義上講，引入 VLAN后，交換機的行為不再是 透明傳輸 ，因為

14、數(shù)據(jù)幀經(jīng)過交換機后可能發(fā)生了變化。了解了幾種典型設備的工作原理后，就應該覺得交換機上TAG 的添加和移除原則的必要性了 。.專業(yè)學習資料.中的端口屬性一個VLAN 可以包含多個端口，而一個端口也可以屬于多個VLAN 。 一個端口在一個 VLAN 中有不同的屬性， TAG 的添加和移除原則就是根據(jù)這個屬性而定的。TAGED：如果一個端口在一個VLAN 中的屬性是TAG 的，那么 ，從該端口轉(zhuǎn)發(fā)出去的數(shù)據(jù)幀就是TAGED。（ 當然 ，該數(shù)據(jù)幀是在該VLAN 中交換的 ）UNTAGED：如果一個端口在一個VLAN 中的屬性是UNTAG 的，那么，從該端口轉(zhuǎn)發(fā)出去的數(shù)據(jù)幀就是UNTAGED 。（ 當然

15、 ，該數(shù)據(jù)幀是在該VLAN 中交換的 ）交換機收發(fā)數(shù)據(jù)幀的處理總結(jié)我們分幾種情況討論交換機的接收和發(fā)送處理：接收端口和發(fā)送端口在VLAN 中屬性；收到的數(shù)據(jù)幀是TAG 的還是 UNTAG 的 。1).端口接收到數(shù)據(jù)幀a).如果是TAG 的數(shù)據(jù)幀 ，檢查該接收端口是否在該VLAN( 數(shù)據(jù)幀中所攜帶的VLAN TAG) 中- 接收端口在該 VLAN 中，則在該 VLAN 中根據(jù)交換原理 (即， '源 MAC 學習 ，目的 MAC 轉(zhuǎn)發(fā) '的原理 )交換該數(shù)據(jù)包- 接收端口不在該 VLAN 中，丟棄該數(shù)據(jù)幀b).如果是UNTAG 的數(shù)據(jù)幀 ，檢查該接收端口是否在某個VLAN中的屬性是

16、UNTAG- 接收端口在某個 VLAN 中的屬性是 UNTAG 的，則在該 VLAN 中根據(jù)交換原理交換該數(shù)據(jù)包.專業(yè)學習資料.- 接收端口在任何 VLAN 中的屬性都不是 UNTAG 的，丟棄該數(shù)據(jù)包注：根據(jù)這個原理可知 ，一個端口最多在一個 VLAN 中的屬性是 UNTAG 的，否則，收到一個 UNTAG 的數(shù)據(jù)幀之后 ，就無法確定在哪個 VLAN 中進行交換 。 其實，端口UNTAG 所在的 VLAN ，就是節(jié)中所提到的PVID 的概念 。2).端口發(fā)送數(shù)據(jù)幀a).檢查該端口在該VLAN( 就是交換該數(shù)據(jù)幀的VLAN) 中的屬性-該端口在該VLAN 種的屬性是TAG 的，發(fā)送的數(shù)據(jù)幀為T

17、AG 的數(shù)據(jù)幀-該端口在該VLAN 種的屬性是UNTAG 的，發(fā)送的數(shù)據(jù)幀為UNTAG 的數(shù)據(jù)幀注：由于數(shù)據(jù)已經(jīng)被交換到該端口，說明該端口肯定在該VLAN 里 。典型配置簡單介紹一下，交換機連接不同典型設備時的常用配置。1).連接 PC上面介紹了在通常情況下， PC 只支持收發(fā)UNTAG 的數(shù)據(jù)幀 ，所以 ，連接 PC 的端口只需要加入一個VLAN ，而且，在該 VLAN 中的屬性為UNTAG 。2).連接 Router路由器既支持收發(fā)TAG 數(shù)據(jù)幀 ，也支持收發(fā)UNTAG 數(shù)據(jù)幀 。 通常情況下 ，不同的VLAN 數(shù)據(jù)幀都能通過該端口與路由器互通。所以連接路由器的端口可以屬于多個VLAN ，

18、而且 ，只能在一個VLAN 中的屬性是UNTAG 的，在其他的VLAN 中都是 TAG 的。3).連接 Switch也就是交換機的級聯(lián)。通常情況下是不同性能的交換機進行級聯(lián)。這種情況和連接.專業(yè)學習資料.路由器的情況基本相同。思科交換機的端口類型TAG和 UNTAG 應該是一般性的說法，但討論路由交換技術(shù)時，不能忽略思科技術(shù)，因為它畢竟是這個行業(yè)的引導者(你也可以說它是先入為主)。通常情況下 ，理解 VLAN 的概念都是以VLAN 為立足點 ，然后將端口加入該VLAN ，并賦予端口某種屬性。這種思路似乎不適用于思科的交換技術(shù)。在思科的交換機上，都是以端口為立足點的， 然后配置該端口的類型和所屬

19、的VLAN 。這里介紹思科的兩種端口類型， Access 和 Trunk 。 理解了這兩種類型，也就理解了思科交換的VLAN 基本原理 。1). Access端口思科的Access 端口是為了連接PC（終端設備 ）而設計的 。由于大部分終端設備都不支持 (其實也不需要 )VLAN TAG 的，所以連接終端設備的端口只需要在一個VLAN 中，而且是 UNTAG 的 。 Access 端口就是這樣的。如果將端口配置為Access 模式 ，該端口就只能在一個VLAN中 (也就是AccessVLAN) ，而且該端口在該VLAN 中的屬性是UNTAG 的 。 從某種意義上說，該 VLAN 也就是該端口的

20、PVID 。2). Trunk端口思科的 Trunk 端口是為了連接上行設備(路由器 ，交換機等支持多VLAN 的設備 )。 通.專業(yè)學習資料.常情況下 ，上行端口需要匯聚多個VLAN 的流量 ，所以該端口應該屬于多個VLAN 。如果將端口配置為Trunk 模式，該端口可以屬于多個VLAN ，在思科技術(shù)中，習慣稱該端口可以允許多個VLAN 通過 。 該端口在一個VLAN 中是 UNTAG 的，也就是該端口的PVID ，在思科技術(shù)中 ，稱為 Native VLAN 。 該端口在其他的VLAN 中都是 TAG 的 。可以說 ，思科在VLAN的一般性原理上多增加了一層開發(fā)。如果理解了其本質(zhì)原理，可以

21、看出是和節(jié)完全吻合的 。2.3交換機對 VLAN 的支持的發(fā)展歷程從技術(shù)發(fā)展為產(chǎn)品總是需要一個過程，在接觸過早期交換機的童鞋們應該會知道，當時的交換機對VLAN 的支持有兩種模式， SVL 和 IVL。SVL: Shared VLAN Learning共享式 VLAN 學習IVL: Independent VLAN Learning獨立 VLAN 學習從通俗而簡單的角度來說， IVL 就是每個VLAN 有一個MAC- 端口映射表 ，同一個MAC 可以出現(xiàn)在多個表里面(也就是不同的VLAN 里面 )；而 SVL 是在交換機內(nèi)建一張大表，映射關(guān)系是MAC-VLAN-端口 ，而且，一個 MAC 在表

22、中只出現(xiàn)一次，只屬于一個VLAN 。顯然， SVL 應該更容易實現(xiàn)一點，看起來是一種打補丁的實現(xiàn)方式，貌似不是真正的 VLAN 。早期的 VLAN 交換機中 ，有很多是 SVL 模式的 。我們前面 2.1 和 2.2 節(jié)所介紹的原理 ，都是針對 IVL 來講的 。從網(wǎng)絡上看到一位仁兄從專業(yè)的角度上總結(jié)了SVL 和 IVL 的工作原理 ，非常準確而精辟，故我就不再加以潤色，直接引用了 。.專業(yè)學習資料.IVL，網(wǎng)上大部分資料都說為每個VLAN 建一個表 ，看起來好像有很多表，其實這里所說的表是指邏輯上的表，實際上在交換機中還是只有一個表，如果將VID 相同的記錄都提取出來組成一個表，那么就一個物

23、理上的表在邏輯上就可以認為是多個表了。在 MAC 表中以 MAC VID 為主鍵進行儲存 。這樣 ，同一個 MAC 就可能由于 VID 的不同而在 MAC 表中存在多條記錄 。1).根據(jù) MAC VID 在 MAC 表中尋找 ，找不到轉(zhuǎn)3)2).向找到的port 轉(zhuǎn)發(fā) packet ， end.3).向 packet 攜帶的 vid 對應的整個VLAN 的 port 轉(zhuǎn)發(fā) ，end.在 MAC 表中以 MAC 為主鍵進行儲存，也就是說同一個MAC 在 SVL 方式下只能存在一個記錄在MAC 表中 。1).在 MAC 中先根據(jù) MAC 尋找相應的記錄 ，找不到轉(zhuǎn) 4)2).記錄中的 VID 與

24、packet 中攜帶的 VID 一樣，得到相應的 port ；不一樣轉(zhuǎn) 5)3).將 packet 轉(zhuǎn)發(fā)到相應的 port ， end.4).向 packet 攜帶的 vid 對應的整個 VLAN 的 port 轉(zhuǎn)發(fā) ，end.5).drop，end.這個過程還是需要一點基礎的，如果看的有點虛無縹緲，大可以略過該節(jié)，因為當今市場上 ，很少看到SVL 的交換機了 。.專業(yè)學習資料.方案解析使用 VLAN 設計局域網(wǎng)的特點通過使用 VLAN 構(gòu)建局域網(wǎng) ，用戶能夠不受物理鏈路的限制而自由地分割廣播域。另外 ，通過先前提到的路由器與三層交換機提供的VLAN 間路由 ，能夠適應靈活多變的網(wǎng)絡構(gòu)成 。但

25、是 ，由于利用VLAN 容易導致網(wǎng)絡構(gòu)成復雜化，因此也會造成整個網(wǎng)絡的組成難以把握 ?？梢赃@樣說 ，在利用 VLAN 時，除了有 ：網(wǎng)絡構(gòu)成靈活多變這個優(yōu)點外 ，還搭配著 ：.專業(yè)學習資料.網(wǎng)絡構(gòu)成復雜化這個缺點 。下面 ，就讓我們來看看具體的實例。不使用 VLAN的局域網(wǎng)中網(wǎng)絡構(gòu)成的改變假設有如圖所示的由1 臺路由器 、 2 臺交換機構(gòu)成的“不使用 VLAN 構(gòu)建 ”的網(wǎng)絡 。圖中的路由器，帶有 2 個 LAN 接口。 左側(cè)的網(wǎng)絡是，右側(cè)是。現(xiàn)在如果想將這個網(wǎng)絡上的計算機A 轉(zhuǎn)移到上去 ，就.專業(yè)學習資料.需要改變物理連接、將 A 接到右側(cè)的交換機上。并且 ，當需要新增一個地址為的網(wǎng)絡時 ，

26、還要在路由器上再占用一個LAN 接口并添置一臺交換機。而由于這臺路由器上只帶了2 個 LAN 接口 ，因此為了新增網(wǎng)絡還必須將路由器升級為帶有3 個以上 LAN 接口的產(chǎn)品 。使用 VLAN 的局域網(wǎng)中網(wǎng)絡構(gòu)成的改變接下來再假設有一個由1 臺路由器 、 2 臺交換機構(gòu)成的“使用 VLAN ”的局域網(wǎng) 。交換機與交換機 、交換機與路由器之間均為匯聚鏈路；并且假設 對應紅色 VLAN 、對應藍色VLAN 。需要將連接在交換機1 上這個網(wǎng)段的計算機A 轉(zhuǎn)屬時，.專業(yè)學習資料.無需更改物理布線。只要在交換機上生成藍色VLAN ，然后將計算機A 所連的端口1 加入到藍色 VLAN 中去，使它成為訪問鏈接

27、即可。然后 ，根據(jù)需要設定計算機A 的 IP 地址 、默認網(wǎng)關(guān)等信息就可以了。如果 IP 地址相關(guān)的設定是由DHCP 獲取的 ，那么在客戶機方面無需進行任何設定修改，就可以在不同網(wǎng)段間移動 。利用 VLAN后，我們可以在免于改動任何物理布線的前提下，自由進行網(wǎng)絡的邏輯設計。如果所處的工作環(huán)境恰恰需要經(jīng)常改變網(wǎng)絡布局，那么利用VLAN的優(yōu)勢就非常明顯了。并且 ，當需要新增一個地址為的網(wǎng)段時 ，也只需要在交換機上新建一個對應的 VLAN ，并將所需的端口加入它的訪問鏈路就可以了。如果網(wǎng)絡環(huán)境中還需要利用外部路由器，則只要在路由器的匯聚端口上新增一個子接口的設定就可以完成全部操作，而不需要消耗更多的物理接口（ LAN 接口