交換機(jī)vlan簡(jiǎn)介和原理

1、11- VLAN簡(jiǎn)介VLAN簡(jiǎn)介VLAN概述傳統(tǒng)的以太網(wǎng)是廣播型網(wǎng)絡(luò)，網(wǎng)絡(luò)中的所有主機(jī)通過(guò)HUB或交換機(jī)相連，處在同一個(gè)廣播域中。HUB和交換機(jī)作為網(wǎng)絡(luò)連接的基本設(shè)備，在轉(zhuǎn)發(fā)功能方面有一定的局限性：zHUB是物理層設(shè)備，沒(méi)有交換功能，接收到的報(bào)文會(huì)向除接收端口外的所有端口轉(zhuǎn)發(fā)；z交換機(jī)是數(shù)據(jù)鏈路層設(shè)備，具備根據(jù)報(bào)文的目的MAC地址進(jìn)行轉(zhuǎn)發(fā)的能力，但在收到廣播報(bào)文或未知單播報(bào)文（報(bào)文的目的MAC地址不在交換機(jī)MAC地址表中）時(shí)，也會(huì)向除接收端口之外的所有端口轉(zhuǎn)發(fā)。上述情況會(huì)造成以下的網(wǎng)絡(luò)問(wèn)題：z網(wǎng)絡(luò)中可能存在著大量廣播和未知單播報(bào)文，浪費(fèi)網(wǎng)絡(luò)資源。z網(wǎng)絡(luò)中的主機(jī)收到大量并非以自身為目的地的報(bào)文，

2、造成了嚴(yán)重的安全隱患。解決以上網(wǎng)絡(luò)問(wèn)題的根本方法就是隔離廣播域。傳統(tǒng)的方法是使用路由器，因?yàn)槁酚善魇且罁?jù)目的IP地址對(duì)報(bào)文進(jìn)行轉(zhuǎn)發(fā)，不會(huì)轉(zhuǎn)發(fā)鏈路層的廣播報(bào)文。但是路由器的成本較高，而且端口較少，無(wú)法細(xì)致地劃分網(wǎng)絡(luò)，所以使用路由器隔離廣播域有很大的局限性。為了解決以太網(wǎng)交換機(jī)在局域網(wǎng)中無(wú)法限制廣播的問(wèn)題，VLAN（VirtualLocalAreaNetwork，虛擬局域網(wǎng)）技術(shù)應(yīng)運(yùn)而生。VLAN的組成不受物理位置的限制，因此同一VLAN內(nèi)的主機(jī)也無(wú)須放置在同一物理空間里。如圖1-1所示,VLAN把一個(gè)物理上的LAN劃分成多個(gè)邏輯上的LAN，每個(gè)VLAN是一個(gè)廣播域VLAN內(nèi)的主機(jī)間通過(guò)傳統(tǒng)的以太

3、網(wǎng)通信方式即可進(jìn)行報(bào)文的交互，而處在不同VLAN內(nèi)的主機(jī)之間如果需要通信，則必須通過(guò)路由器或三層交換機(jī)等網(wǎng)絡(luò)層設(shè)備才能夠?qū)崿F(xiàn)。圖1-1VLAN組網(wǎng)示意圖VLAN的優(yōu)點(diǎn)與傳統(tǒng)以太網(wǎng)相比，VLAN具有如下的優(yōu)點(diǎn)：z控制廣播域的范圍：局域網(wǎng)內(nèi)的廣播報(bào)文被限制在一個(gè)VLAN內(nèi)，節(jié)省了帶寬，提高了網(wǎng)絡(luò)處理能力。z增強(qiáng)了LAN的安全性：由于報(bào)文在數(shù)據(jù)鏈路層被VLAN劃分的廣播域所隔離，因此各個(gè)VLAN內(nèi)的主機(jī)間不能直接通信，需要通過(guò)路由器或三層交換機(jī)等網(wǎng)絡(luò)層設(shè)備對(duì)報(bào)文進(jìn)行三層轉(zhuǎn)發(fā)。z靈活創(chuàng)建虛擬工作組：使用VLAN可以創(chuàng)建跨物理網(wǎng)絡(luò)范圍的虛擬工作組，當(dāng)用戶的物理位置在虛擬工作組范圍內(nèi)移動(dòng)時(shí)，不需要更改網(wǎng)絡(luò)

4、配置即可以正常訪問(wèn)網(wǎng)絡(luò)。VLAN原理1.VLANTag為使交換機(jī)能夠分辨不同VLAN的報(bào)文，需要在報(bào)文的數(shù)據(jù)鏈路層添加標(biāo)識(shí)VLAN的字段。IEEE于1999年頒布了用以標(biāo)準(zhǔn)化VLAN實(shí)現(xiàn)方案的IEEE802.1Q協(xié)議標(biāo)準(zhǔn)草案，對(duì)帶有VLANTag的報(bào)文結(jié)構(gòu)進(jìn)行了統(tǒng)一規(guī)定。傳統(tǒng)的以太網(wǎng)數(shù)據(jù)幀在目的MAC地址和源MAC地址之后封裝上層協(xié)議的類(lèi)型字段。如圖1-2所示。圖1-2傳統(tǒng)以太網(wǎng)幀封裝格式其中DA表示目的MAC地址，SA表示源MAC地址，Type表示上層協(xié)議的類(lèi)型字段。IEEE802.1Q協(xié)議規(guī)定，在目的MAC地址和源MAC地址之后封裝4個(gè)字節(jié)的VLANTag，用以標(biāo)識(shí)VLAN的相關(guān)信息。圖1

5、-3VLANTag的組成字段9(9如圖1-3所示，VLANTag包含四個(gè)字段Priority、CFI(CanonicalFormOJlic網(wǎng)交Prior部分幀是帶有|LAI0 x8k1/J級(jí)。該Ta(段TPID：用來(lái)標(biāo)識(shí)本數(shù)據(jù)CFI：用來(lái)標(biāo)識(shí)MAC地址是否以標(biāo)準(zhǔn)格式進(jìn)行封裝。該地址以標(biāo)準(zhǔn)格式進(jìn)行封裝，為1表示以非標(biāo)準(zhǔn)格式封目VLANID:用來(lái)標(biāo)識(shí)該報(bào)文所屬VLAN的編號(hào)。該P(yáng)“|colIdenter,標(biāo)簽協(xié)議標(biāo)識(shí)符）、指示位）和VLAN1申該字段長(zhǎng)度對(duì)6bit,在H3C系列以太號(hào)相關(guān)介紹和應(yīng)用請(qǐng)參見(jiàn)本手冊(cè)“QoS”1t，取值為0表示MAC為12bit，取值范圍為04095。為11- #11-

6、#由于0和4095通常不使用，所以VLANID的取值范圍一般為14094。1- 1- 11- #這里的幀格式以EthernetII型封裝為例，以太網(wǎng)還支持802.2/802.3型封裝。對(duì)于802.2/802.3型封裝，VLANTag也會(huì)在目的MAC和源MAC地址字段之后進(jìn)行封裝。802.2/802.3封裝的具體格式請(qǐng)參見(jiàn)“1.3.2以太網(wǎng)數(shù)據(jù)的封裝格式”。交換機(jī)利用VLANID來(lái)識(shí)別報(bào)文所屬的VLAN,當(dāng)接收到的報(bào)文不攜帶VLANTag時(shí)，交換機(jī)會(huì)為該報(bào)文封裝帶有接收端口缺省VLANID的VLANTag，將報(bào)文在接收端口的缺省VLAN中進(jìn)行傳輸。有關(guān)端口缺省VLAN設(shè)置的內(nèi)容，請(qǐng)參見(jiàn)122部分

7、的介紹。2.VLAN的MAC地址學(xué)習(xí)機(jī)制交換機(jī)是根據(jù)報(bào)文的目的MAC地址對(duì)報(bào)文進(jìn)行轉(zhuǎn)發(fā)的，因此交換機(jī)維護(hù)了一種記錄MAC地址與端口對(duì)應(yīng)關(guān)系的轉(zhuǎn)發(fā)表來(lái)指導(dǎo)交換機(jī)進(jìn)行轉(zhuǎn)發(fā)，這個(gè)表稱(chēng)為MAC地址轉(zhuǎn)發(fā)表。交換機(jī)將接收到的報(bào)文的源MAC地址以及接收端口記錄到該表中，供后續(xù)報(bào)文轉(zhuǎn)發(fā)使用，這個(gè)記錄過(guò)程稱(chēng)為MAC地址的學(xué)習(xí)過(guò)程。在配置了VLAN后，交換機(jī)的MAC地址學(xué)習(xí)方式分為兩種：zSVL（SharedVLANLearning,共享VLAN學(xué)習(xí)）：交換機(jī)將所有VLAN中的端口學(xué)習(xí)到的MAC地址表項(xiàng)全部記錄到一張共享的MAC地址轉(zhuǎn)發(fā)表內(nèi)，從任意VLAN內(nèi)的任意端口接收的報(bào)文都參照此表中的信息進(jìn)行轉(zhuǎn)發(fā)。zIVL

8、（IndependentVLANLearning,獨(dú)立VLAN學(xué)習(xí)）：交換機(jī)為每個(gè)VLAN維護(hù)獨(dú)立的MAC地址轉(zhuǎn)發(fā)表。由某個(gè)VLAN內(nèi)的端口接收的報(bào)文，其源MAC地址只被記錄到該VLAN的MAC地址轉(zhuǎn)發(fā)表中，且報(bào)文的轉(zhuǎn)發(fā)只以該表中的信息作為依據(jù)。H3CS3100系列以太網(wǎng)交換機(jī)目前采用IVL方式進(jìn)行MAC地址學(xué)習(xí)。有關(guān)MAC地址轉(zhuǎn)發(fā)表的更多內(nèi)容，請(qǐng)參見(jiàn)本手冊(cè)“MAC地址轉(zhuǎn)發(fā)表管理”部分的介紹。VLAN接口不同VLAN間的主機(jī)不能直接通信，需要通過(guò)路由器或三層交換機(jī)等網(wǎng)絡(luò)層設(shè)備進(jìn)行轉(zhuǎn)發(fā)，S3100系列以太網(wǎng)交換機(jī)支持通過(guò)配置VLAN接口實(shí)現(xiàn)對(duì)報(bào)文進(jìn)行三層轉(zhuǎn)發(fā)的功能。VLAN接口是一種三層模式下的

9、虛擬接口，主要用于實(shí)現(xiàn)VLAN間的三層互通，它不作為物理實(shí)體存在于交換機(jī)上。每個(gè)VLAN對(duì)應(yīng)一個(gè)VLAN接口，該接口可以為本VLAN內(nèi)端口收到的報(bào)文根據(jù)其目的IP地址在網(wǎng)絡(luò)層進(jìn)行轉(zhuǎn)發(fā)。通常情況下，由于VLAN能夠隔離廣播域，因此每個(gè)VLAN也對(duì)應(yīng)一個(gè)IP網(wǎng)段，VLAN接口將作為該網(wǎng)段的網(wǎng)關(guān)對(duì)需要跨網(wǎng)段轉(zhuǎn)發(fā)的報(bào)文進(jìn)行基于IP地址的三層轉(zhuǎn)發(fā)。H3CS3100系列以太網(wǎng)交換機(jī)只支持配置一個(gè)VLAN接口，且該接口對(duì)應(yīng)的VLAN需要先被配置為管理VLAN,詳情請(qǐng)參見(jiàn)“配置管理VLAN”。VLAN類(lèi)型根據(jù)劃分方式的不同，可以將VLAN分為不同類(lèi)型，下面列出了6種最常見(jiàn)的VLAN類(lèi)型:基于端口的VLANz基

10、于MAC地址的VLANz基于協(xié)議的VLANz基于IP子網(wǎng)的VLANz基于策略的VLANz其它VLAN目前S3100系列交換機(jī)支持基于端口的VLAN和基于協(xié)議的VLAN。1.2基于端口的VLAN基于端口的VLAN是最簡(jiǎn)單的一種VLAN劃分方法。用戶可以將設(shè)備上的端口劃分到不同的VLAN中，此后從某個(gè)端口接收的報(bào)文將只能在相應(yīng)的VLAN內(nèi)進(jìn)行傳輸，從而實(shí)現(xiàn)廣播域的隔離和虛擬工作組的劃分。以太網(wǎng)交換機(jī)的端口鏈路類(lèi)型可以分為三種：Access、Trunk、Hybrid。這三種端口在加入VLAN和對(duì)報(bào)文進(jìn)行轉(zhuǎn)發(fā)時(shí)會(huì)進(jìn)行不同的處理。基于端口的VLAN具有實(shí)現(xiàn)簡(jiǎn)單，易于管理的優(yōu)點(diǎn)，適用于連接位置比較固定的用

11、戶。1.2.1以太網(wǎng)端口的鏈路類(lèi)型S3100系列以太網(wǎng)交換機(jī)支持的以太網(wǎng)端口鏈路類(lèi)型有三種：zAccess類(lèi)型：端口只能屬于1個(gè)VLAN,般用于交換機(jī)與終端用戶之間的連接；zTrunk類(lèi)型：端口可以屬于多個(gè)VLAN，可以接收和發(fā)送多個(gè)VLAN的報(bào)文，一般用于交換機(jī)之間的連接；zHybrid類(lèi)型：端口可以屬于多個(gè)VLAN,可以接收和發(fā)送多個(gè)VLAN的報(bào)文，可以用于交換機(jī)之間連接，也可以用于連接用戶的計(jì)算機(jī)。Hybrid端口可以允許多個(gè)VLAN的報(bào)文發(fā)送時(shí)不攜帶標(biāo)簽，而Trunk端口只允許缺省VLAN的報(bào)文發(fā)送時(shí)不攜帶標(biāo)簽。三種類(lèi)型的端口可以共存在一臺(tái)設(shè)備上，但Trunk端口和Hybrid端口之間

12、不能直接切換，只能先設(shè)為Access端口，再設(shè)置為其他類(lèi)型端口。例如：Trunk端口不能直接被設(shè)置為Hybrid端口，只能先設(shè)為Access端口，再設(shè)置為Hybrid端口。1.2.2配置以太網(wǎng)端口的缺省VLANIDAccess端口只能屬于1個(gè)VLAN,所以它的缺省VLAN就是它所在的VLAN,不用設(shè)置；Hybrid端口和Trunk端口可以屬于多個(gè)VLAN,所以需要設(shè)置端口的缺省VLANID。將端口加入VLAN并指定了端口的缺省VLAN后，三類(lèi)端口對(duì)報(bào)文的接收和發(fā)送會(huì)有不同的處理方式，具體描述請(qǐng)參見(jiàn)表1-1、表1-2和表1-3。1- 11- #發(fā)送報(bào)文時(shí)的處理當(dāng)接收到的報(bào)文不帶Tag時(shí)當(dāng)接收到的

13、報(bào)文帶有Tag時(shí)接收該報(bào)文，并為報(bào)文添加缺省VLAN的Tag當(dāng)VLANID與缺省VLANID相同時(shí)：接收該報(bào)文當(dāng)VLANID與缺省VLANID不同時(shí)：丟棄該報(bào)文由于VLANID就是缺省VLANID,不用設(shè)置，去掉Tag后發(fā)送表1-1Access端口收發(fā)報(bào)文的處理接收?qǐng)?bào)文時(shí)的處理1- #11- #1- #11- #表1-2Trunk端口收發(fā)報(bào)文的處理接收?qǐng)?bào)文時(shí)的處理發(fā)送報(bào)文時(shí)的處理當(dāng)接收到的報(bào)文不帶Tag時(shí)當(dāng)端口已經(jīng)加入缺省VLAN時(shí)，為報(bào)文封裝缺省VLAN的Tag并轉(zhuǎn)發(fā)當(dāng)端口沒(méi)有加入缺省VLAN時(shí)，丟棄該報(bào)文當(dāng)接收到的報(bào)文帶有Tag時(shí)當(dāng)VLANID是該端口允許通過(guò)的zVLANID時(shí)：接收該報(bào)文

14、當(dāng)VLANID不是該端口允許通過(guò)z的VLANID時(shí)：丟棄該報(bào)文當(dāng)VLANID與缺省VLANID相同時(shí)：去掉Tag，發(fā)送該報(bào)文當(dāng)VLANID與缺省VLANID不同時(shí)：保持原有Tag，發(fā)送該報(bào)文1- #11- #1- #11- #表1-3Hybrid端口收發(fā)報(bào)文的處理接收?qǐng)?bào)文時(shí)的處理發(fā)送報(bào)文時(shí)的處理當(dāng)接收到的報(bào)文不帶Tag時(shí)當(dāng)端口已經(jīng)加入缺省VLAN時(shí)，為報(bào)文封裝缺省VLAN的Tag并轉(zhuǎn)發(fā)當(dāng)端口沒(méi)有加入缺省VLAN時(shí)，丟棄該報(bào)文當(dāng)接收到的報(bào)文帶有Tag時(shí)當(dāng)VLANID是該端口允許通過(guò)的VLANID時(shí)：接收該報(bào)文當(dāng)VLANID不是該端口允許通過(guò)的VLANID時(shí)：丟棄該報(bào)文當(dāng)報(bào)文中攜帶的VLANID是

15、該端口允許通過(guò)的VLANID時(shí)，發(fā)送該報(bào)文，并可以通過(guò)porthybridvlan命令配置端口在發(fā)送該VLAN（包括缺省VLAN）的報(bào)文時(shí)是否攜帶Tag1- #11- #建議將本端Hybrid端口或Trunk端口的缺省VLANID和相連的對(duì)端交換機(jī)的Hybrid端口或Trunk端口的缺省VLANID配置為一致，否則端口可能無(wú)法正確轉(zhuǎn)發(fā)報(bào)文。1.2.3將當(dāng)前端口加入指定VLAN用戶可以將當(dāng)前以太網(wǎng)端口加入到指定的VLAN中。執(zhí)行該配置以后，以太網(wǎng)端口就可以轉(zhuǎn)發(fā)指定VLAN的報(bào)文，從而實(shí)現(xiàn)本交換機(jī)上的VLAN與對(duì)端交換機(jī)上相同VLAN的互通。Access端口只能加入到1個(gè)VLAN中，Hybrid端

16、口和Trunk端口可以加入到多個(gè)VLAN中。1- #11- #1- #11- #在將Access端口或Hybrid端口加入到指定的VLAN前，指定的VLAN必須已經(jīng)創(chuàng)建。1- #11- #1.3基于協(xié)議的VLAN1- #11- #1- 11- #在S3100系列以太網(wǎng)交換機(jī)中，只有S3100-EI系列交換機(jī)支持協(xié)議VLAN功能。1.3.1基于協(xié)議的VLAN概述基于協(xié)議的VLAN也稱(chēng)為協(xié)議VLAN（為方便描述，下文將統(tǒng)稱(chēng)為協(xié)議VLAN），是另一種VLAN劃分方法。通過(guò)配置協(xié)議VLAN,交換機(jī)可以對(duì)端口上收到的未攜帶VLANTag的報(bào)文進(jìn)行分析，根據(jù)不同的封裝格式及特殊字段的數(shù)值將報(bào)文與用戶設(shè)定的

17、協(xié)議模板相匹配，為匹配成功的報(bào)文添加相應(yīng)的VLANTag,實(shí)現(xiàn)將屬于指定協(xié)議的數(shù)據(jù)自動(dòng)分發(fā)到特定的VLAN中傳輸?shù)墓δ?。此特性主要用于將網(wǎng)絡(luò)中提供的服務(wù)類(lèi)型與VLAN相綁定，方便管理和維護(hù)。1.3.2以太網(wǎng)數(shù)據(jù)的封裝格式為清楚地了解交換機(jī)對(duì)報(bào)文協(xié)議的識(shí)別過(guò)程，先簡(jiǎn)要介紹一下以太網(wǎng)常用的數(shù)據(jù)封裝格式。1.EthernetII與802.2/802.3封裝目前以太網(wǎng)的報(bào)文封裝主要有兩種類(lèi)型，分別為EthernetII型和802.2/802.3型，分別由RFC894和RFC1042規(guī)定。兩種報(bào)文的封裝格式如下：1.3.3zEthernetII型圖1-4EthernetII型報(bào)文封裝格式z802.2/8

18、02.3型圖1-5802.2/802.3型報(bào)文封裝格式DA、SA分別表示報(bào)文的目字節(jié)。址和源ma地址廬號(hào)4數(shù)字表示此字段的長(zhǎng)度，單位為AI為W歸節(jié)嚴(yán)換成戶進(jìn)制數(shù)字為x05DC,所以802.2/802.3封裝而EthernetII型封裝中的字段取值范圍為X|l|rlIType或Length字段取值為2x05DDX0|l的報(bào)文將被認(rèn)為是耳非法報(bào)文,由于以太網(wǎng)報(bào)文的Length字段中冋9交換機(jī)根據(jù)這兩個(gè)字段的取值范圍的不同來(lái)區(qū)分EthernetII型和802.2/802.3型報(bào)文。各8列出了各種協(xié)為802.3raw、802.2LLC和802.2SNAP三種擴(kuò)展封裝格式，表1-4F議所支持的封裝格式，括號(hào)中為該協(xié)議的協(xié)議類(lèi)型值。表1-4各種協(xié)議支持的封裝格式封裝協(xié)議EthernetII802.3raw802.2L