VLAN劃分與管理要點(diǎn)

VLAN劃分與管理要點(diǎn)第1頁/共45頁2問題：為什么劃分VLAN？劃分VLAN后，VLAN之間可以直接通信嗎？路由器對VLAN能起到什么作用？VLAN1能創(chuàng)建、刪除或重命名嗎？第2頁/共45頁3VLAN的劃分

第3頁/共45頁4VLAN的劃分

第4頁/共45頁5二層交換原理

第5頁/共45頁6交換機(jī)的數(shù)據(jù)轉(zhuǎn)發(fā)模式

直通傳送存儲轉(zhuǎn)發(fā)改進(jìn)型直通傳送第6頁/共45頁7直通轉(zhuǎn)發(fā)式

直通轉(zhuǎn)發(fā)(Cut-ThroughSwitching)是交換機(jī)最快速的轉(zhuǎn)發(fā)方式，只要得知了數(shù)據(jù)幀的目的MAC地址(幀的前6個(gè)字節(jié))，交換機(jī)即開始向目的端口轉(zhuǎn)發(fā)數(shù)據(jù)，后續(xù)數(shù)據(jù)每到一個(gè)字節(jié)就轉(zhuǎn)發(fā)一個(gè)字節(jié)，不再有延遲。直通轉(zhuǎn)發(fā)式工作方式：

1.交換機(jī)將目的地址(幀的前6個(gè)字節(jié))復(fù)制到緩沖區(qū)中；

2.查找MAC地址表獲得輸出端口；

3.將數(shù)據(jù)幀交付到目的輸出端口轉(zhuǎn)發(fā)該幀，后續(xù)數(shù)據(jù)每到一個(gè)字節(jié)就轉(zhuǎn)發(fā)一個(gè)字節(jié)。說明：對于所有的數(shù)據(jù)幀(包括正常幀、錯(cuò)誤幀、殘幀和超長幀等)，只要其大小有6字節(jié)，就會得到轉(zhuǎn)發(fā)。優(yōu)點(diǎn)：轉(zhuǎn)發(fā)速度快，因?yàn)樗呀粨Q機(jī)引入的延遲降低為一個(gè)較小的常數(shù)(讀取6個(gè)字節(jié)的時(shí)間)。缺點(diǎn)：可靠性不高，因?yàn)樗鼘λl(fā)的數(shù)據(jù)幀不進(jìn)行檢查，對殘幀、包含無效CRC的幀、超長幀等都進(jìn)行轉(zhuǎn)發(fā)。第7頁/共45頁8

存儲轉(zhuǎn)發(fā)交換

存儲轉(zhuǎn)發(fā)交換(StoreAndForwardSwitching)是在幀被轉(zhuǎn)發(fā)到適當(dāng)?shù)亩丝谥熬捅煌耆幚恚话憬粨Q機(jī)多采用這種方式轉(zhuǎn)發(fā)數(shù)據(jù)。這種方式可以支持不同速度的端口間的轉(zhuǎn)發(fā)。存儲和轉(zhuǎn)發(fā)交換工作方式：

1.交換機(jī)讀取整個(gè)數(shù)據(jù)幀并將其存儲在交換機(jī)的內(nèi)存緩沖區(qū)中；2.交換機(jī)執(zhí)行循環(huán)冗余碼校驗(yàn)(CRC)；說明：若檢測到該幀出現(xiàn)差錯(cuò)則丟棄該幀，幀暫存時(shí)必須存儲直到網(wǎng)絡(luò)資源可以用來轉(zhuǎn)發(fā)這條信息。

3.取出該幀的目的地址，通過查找MAC地址表獲得輸出端口；

4.將數(shù)據(jù)幀交付到目的輸出端口，轉(zhuǎn)發(fā)該幀。優(yōu)點(diǎn)：可靠性好，因?yàn)榘演斎攵丝诘臄?shù)據(jù)先存儲在交換機(jī)緩存中，然后進(jìn)行CRC校驗(yàn)；支持不同速度的端口。缺點(diǎn)：數(shù)據(jù)處理時(shí)延較大，主要原因輸入輸出端都要經(jīng)過串并轉(zhuǎn)換，而且存到高速緩存中，整個(gè)過程耗時(shí)多。第8頁/共45頁9對直通轉(zhuǎn)發(fā)式的改進(jìn)

準(zhǔn)直通轉(zhuǎn)發(fā)模式(InterimCut-TroughSwitch)/無碎片模式(Fragment-Free)/Runt-Free模式轉(zhuǎn)發(fā)前讀取幀的前64個(gè)字節(jié)，即只轉(zhuǎn)發(fā)長度至少為64B的幀，從而避免了殘幀的轉(zhuǎn)發(fā)。智能交換模式(Intelligent)/自適應(yīng)直通轉(zhuǎn)發(fā)模式交換機(jī)能根據(jù)所監(jiān)控網(wǎng)絡(luò)中錯(cuò)誤包傳輸?shù)臄?shù)量，自動(dòng)智能改變?yōu)榇鎯D(zhuǎn)發(fā)交換。如果每秒錯(cuò)誤少于20個(gè)，將自動(dòng)采用直通轉(zhuǎn)發(fā)式；如果每秒錯(cuò)誤大于20個(gè)或更多，將自動(dòng)采用存儲轉(zhuǎn)發(fā)交換，直到返回的錯(cuò)誤數(shù)量為0，再切換回直通轉(zhuǎn)發(fā)式。第9頁/共45頁10交換機(jī)互連：級連和堆疊

級聯(lián)是通過雙絞線(或光纖)連接，一般在交換機(jī)的前面板上就有專門的級聯(lián)口，如果沒有，也可以用交叉接法來級聯(lián)，級聯(lián)后兩臺交換機(jī)之間是上下級的關(guān)系。堆疊通常是為了擴(kuò)充帶寬用的，通常是用專門的堆疊卡插在交換機(jī)后面，用專門的堆疊電纜來連接幾臺交換機(jī)，堆疊后這幾臺交換機(jī)就相當(dāng)于一臺交換機(jī)一樣工作。級聯(lián)是通過端口的，要?jiǎng)漋LAN，要做STP；堆疊是通過交換機(jī)背板的疊加，使多個(gè)工作組交換機(jī)形成一個(gè)工作組堆，從而提供高密度的交換機(jī)端口，堆疊組中的交換機(jī)就像一個(gè)交換機(jī)一樣工作，配置一個(gè)IP地址即可。級聯(lián)（Uplink）是采用多級交換的方式，但級聯(lián)的越多，性能下降的就越多。常見的堆疊有兩種：菊花鏈堆疊和矩陣堆疊。所謂菊花鏈就是從上到下串起來，形成單一的一個(gè)菊花鏈堆疊總線；矩陣堆疊就是單獨(dú)拿一個(gè)交換機(jī)出來作為堆疊中心，其它交換機(jī)用堆疊線纜連接到那個(gè)堆疊中心交換機(jī)。矩陣堆疊性能比菊花鏈好，包轉(zhuǎn)發(fā)速率高。

第10頁/共45頁11交換機(jī)互連：級連和堆疊單一菊花鏈堆疊總線多達(dá)9臺交換機(jī)以菊花鏈方式連接為整個(gè)堆疊提供獨(dú)立的1-Gbps堆疊總線支持冗余回聯(lián)實(shí)現(xiàn)更強(qiáng)的容錯(cuò)性Catalyst3500seriesXLCatalyst3500seriesXLCatalyst3500seriesXLCatalyst3500seriesXLCatalyst3500seriesXLCatalyst3500seriesXLCatalyst3500seriesXLCatalyst3500seriesXL第11頁/共45頁12星形聯(lián)線矩陣堆疊Catalyst3508SeriesXLCatalyst3524SeriesXLCatalyst3524SeriesXLCatalyst3524SeriesXLCatalyst3524SeriesXLCatalyst3524SeriesXLCatalyst3500XL

或帶千兆以太網(wǎng)模塊的Catalyst2900XL千兆以太網(wǎng)上聯(lián)Catalyst3508GXL通過Catalyst3508GXL實(shí)現(xiàn)高性能矩陣為整個(gè)堆疊提供5Gbps轉(zhuǎn)發(fā)速率每條點(diǎn)對點(diǎn)連接擁有2-Gbps全雙工帶寬第12頁/共45頁13交換機(jī)的傳輸模式傳輸模式有全雙工，半雙工，全雙工/半雙工自適應(yīng)

交換機(jī)的全雙工是指交換機(jī)在發(fā)送數(shù)據(jù)的同時(shí)也能夠接收數(shù)據(jù)，兩者同步進(jìn)行，這好像我們平時(shí)打電話一樣，說話的同時(shí)也能夠聽到對方的聲音。目前的交換機(jī)都支持全雙工。全雙工的好處在于遲延小，速度快。

半雙工就是指一個(gè)時(shí)間段內(nèi)只有一個(gè)動(dòng)作發(fā)生，舉個(gè)簡單例子，一條窄窄的馬路，同時(shí)只能有一輛車通過，當(dāng)目前有兩量車對開，這種情況下就只能一輛先過，等到頭兒后另一輛再開，這個(gè)例子就形象的說明了半雙工的原理。早期的對講機(jī)、以及早期集線器等設(shè)備都是實(shí)行半雙工的產(chǎn)品。全雙工/半雙工自適應(yīng)就是指交換機(jī)能夠根據(jù)網(wǎng)絡(luò)情況自動(dòng)調(diào)整傳輸模式。第13頁/共45頁14VLAN的劃分方法

VLAN的劃分可以是事先固定的、也可以是根據(jù)所連的計(jì)算機(jī)而動(dòng)態(tài)改變設(shè)定。前者被稱為“靜態(tài)VLAN”、后者自然就是“動(dòng)態(tài)VLAN”了。1靜態(tài)VLAN

靜態(tài)VLAN又被稱為基于端口的VLAN（PortBasedVLAN）。顧名思義，就是明確指定各端口屬于哪個(gè)VLAN的設(shè)定方法。第14頁/共45頁15

由于需要一個(gè)個(gè)端口地指定，因此當(dāng)網(wǎng)絡(luò)中的計(jì)算機(jī)數(shù)目超過一定數(shù)字（比如數(shù)百臺）后，設(shè)定操作就會變得煩雜無比。并且，客戶機(jī)每次變更所連端口，都必須同時(shí)更改該端口所屬VLAN的設(shè)定——這顯然不適合那些需要頻繁改變拓補(bǔ)結(jié)構(gòu)的網(wǎng)絡(luò)。我們現(xiàn)在所實(shí)現(xiàn)的VLAN配置都是基于端口的配置，因?yàn)槲覀冎皇侵С侄咏粨Q，端口數(shù)目有限一般為4和8個(gè)端口，并且只是對于一臺交換機(jī)的配置，手動(dòng)配置也較為方便。第15頁/共45頁16配置命令如：第16頁/共45頁17動(dòng)態(tài)VLAN

動(dòng)態(tài)VLAN是根據(jù)每個(gè)端口所連的計(jì)算機(jī)，隨時(shí)改變端口所屬的VLAN。這就可以避免上述的更改設(shè)定之類的操作。動(dòng)態(tài)VLAN可以大致分為3類：●基于MAC地址的VLAN（MACBasedVLAN）●基于子網(wǎng)的VLAN（SubnetBasedVLAN）●基于用戶的VLAN（UserBasedVLAN）

第17頁/共45頁18

其間的差異，主要在于根據(jù)OSI參照模型哪一層的信息決定端口所屬的VLAN?；贛AC地址的VLAN，就是通過查詢并記錄端口所連計(jì)算機(jī)上網(wǎng)卡的MAC地址來決定端口的所屬。假定有一個(gè)MAC地址“A”被交換機(jī)設(shè)定為屬于VLAN“10”，那么不論MAC地址為“A”的這臺計(jì)算機(jī)連在交換機(jī)哪個(gè)端口，該端口都會被劃分到VLAN10中去。計(jì)算機(jī)連在端口1時(shí)，端口1屬于VLAN10；而計(jì)算機(jī)連在端口2時(shí)，則是端口2屬于VLAN10。

由于是基于MAC地址決定所屬VLAN的，因此可以理解為這是一種在OSI的第二層設(shè)定訪問鏈接的辦法。但是，基于MAC地址的VLAN，在設(shè)定時(shí)必須調(diào)查所連接的所有計(jì)算機(jī)的MAC地址并加以登錄。而且如果計(jì)算機(jī)交換了網(wǎng)卡，還是需要更改設(shè)定。第18頁/共45頁19第19頁/共45頁20

基于子網(wǎng)的VLAN，則是通過所連計(jì)算機(jī)的IP地址，來決定端口所屬VLAN的。不像基于MAC地址的VLAN，即使計(jì)算機(jī)因?yàn)榻粨Q了網(wǎng)卡或是其他原因?qū)е翸AC地址改變，只要它的IP地址不變，就仍可以加入原先設(shè)定的VLAN。

第20頁/共45頁21

因此，與基于MAC地址的VLAN相比，能夠更為簡便地改變網(wǎng)絡(luò)結(jié)構(gòu)。IP地址是OSI參照模型中第三層的信息，所以我們可以理解為基于子網(wǎng)的VLAN是一種在OSI的第三層設(shè)定訪問鏈接的方法。一般路由器與三層交換機(jī)都使用基于子網(wǎng)的方法劃分VLAN。

基于用戶的VLAN，則是根據(jù)交換機(jī)各端口所連的計(jì)算機(jī)上當(dāng)前登錄的用戶，來決定該端口屬于哪個(gè)VLAN。這里的用戶識別信息，一般是計(jì)算機(jī)操作系統(tǒng)登錄的用戶，比如可以是Windows域中使用的用戶名。這些用戶名信息，屬于OSI第四層以上的信息?？偟膩碚f，決定端口所屬VLAN時(shí)利用的信息在OSI中的層面越高，就越適于構(gòu)建靈活多變的網(wǎng)絡(luò)。

第21頁/共45頁22

下面總結(jié)靜態(tài)VLAN和動(dòng)態(tài)VLAN的相關(guān)信息。種類

解說

靜態(tài)VLAN（基于端口的VLAN）將交換機(jī)的各端口固定指派給VLAN動(dòng)態(tài)VLAN基于MAC地址的VLAN根據(jù)各端口所連計(jì)算機(jī)的MAC地址設(shè)定

基于子網(wǎng)的VLAN根據(jù)各端口所連計(jì)算機(jī)的IP地址設(shè)定基于用戶的VLAN根據(jù)端口所連計(jì)算機(jī)上登錄用戶設(shè)定

第22頁/共45頁23交換機(jī)的端口，可以分為以下三種：●訪問鏈接（AccessLink）●匯聚鏈接（TrunkLink）●混合鏈接（HybridLink）交換機(jī)的端口類型：不同的端口模式對數(shù)據(jù)包的處理不同，下面就介紹一下各個(gè)端口模式

第23頁/共45頁24Access端口

Access即用戶接入端口，該類型端口只能屬于1個(gè)VLAN，一般用于連接計(jì)算機(jī)的端口。收端口：收到untaggedframe，加上端口的PVID和defaultpriority再進(jìn)行交換轉(zhuǎn)發(fā)；對于taggedframe不論VID=PVID還是VID\=PVID則有的廠家是直接丟棄，而有的廠家是能夠接收VID=PVID的TAG包。一般Access端口只接收untaggedframe，部分產(chǎn)品可能接收taggedframe。發(fā)報(bào)文：對于VID=PVID的taggedframe去除標(biāo)簽并進(jìn)行轉(zhuǎn)發(fā)。對于VID≠PVID的數(shù)據(jù)包丟棄不進(jìn)行轉(zhuǎn)發(fā)，untaggedframe則無此情況。而我們的REOP、ES011、E4114則對于VID=PVID或VID\=PVID的taggedframe都進(jìn)行轉(zhuǎn)發(fā)處理。注：所說的刪除標(biāo)簽是指刪除4字節(jié)的VLAN標(biāo)簽，并且CRC經(jīng)過重新計(jì)算。

第24頁/共45頁25

Trunk端口

在規(guī)劃企業(yè)級網(wǎng)絡(luò)時(shí)，很有可能會遇到隸屬于同一部門的用戶分散在同一座建筑物中的不同樓層的情況，這時(shí)可能就需要考慮到如何跨越多臺交換機(jī)設(shè)置VLAN的問題了。假設(shè)有如下圖所示的網(wǎng)絡(luò)，且需要將不同樓層的A、C和B、D設(shè)置為同一個(gè)VLAN。

當(dāng)需要設(shè)置跨越多臺交換機(jī)的VLAN時(shí)則需要設(shè)置TRUNK功能。

第25頁/共45頁26

這時(shí)最關(guān)鍵的就是“交換機(jī)1和交換機(jī)2該如何連接才好呢？”最簡單的方法，自然是在交換機(jī)1和交換機(jī)2上各設(shè)一個(gè)紅、藍(lán)VLAN專用的接口并互聯(lián)了。第26頁/共45頁27

但是，這個(gè)辦法從擴(kuò)展性和管理效率來看都不好。例如，在現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)上再新建VLAN時(shí)，為了讓這個(gè)VLAN能夠互通，就需要在交換機(jī)間連接新的網(wǎng)線。建筑物樓層間的縱向布線是比較麻煩的，一般不能由基層管理人員隨意進(jìn)行。并且，VLAN越多，樓層間（嚴(yán)格地說是交換機(jī)間）互聯(lián)所需的端口也越來越多，交換機(jī)端口的利用效率低是對資源的一種浪費(fèi)、也限制了網(wǎng)絡(luò)的擴(kuò)展。為了避免這種低效率的連接方式，人們想辦法讓交換機(jī)間互聯(lián)的網(wǎng)線集中到一根上，這時(shí)使用的就是匯聚鏈接（TrunkLink）。

技術(shù)領(lǐng)域中把TRUNK翻譯為中文是“主干、干線、中繼線、長途線”。而且這個(gè)詞在不同場合也有不同的解釋：第27頁/共45頁281、在網(wǎng)絡(luò)的分層結(jié)構(gòu)和寬帶的合理分配方面，TRUNK被解釋為“端口匯聚”，是帶寬擴(kuò)展和鏈路備份的一個(gè)重要途徑。TRUNK把多個(gè)物理端口捆綁在一起當(dāng)作一個(gè)邏輯端口使用，可以把多組端口的寬帶疊加起來使用。TRUNK技術(shù)可以實(shí)現(xiàn)TRUNK內(nèi)部多條鏈路互為備份的功能，即當(dāng)一條鏈路出現(xiàn)故障時(shí)，不影響其他鏈路的工作，同時(shí)多鏈路之間還能實(shí)現(xiàn)流量均衡，就像我們熟悉的打印機(jī)池和MODEM池一樣。

2、在電信網(wǎng)絡(luò)的語音級的線路中，Trunk指“主干網(wǎng)絡(luò)、電話干線”，即兩個(gè)交換局或交換機(jī)之間的連接電路或信道，它能夠在兩端之間進(jìn)行轉(zhuǎn)接，并提供必要的信令和終端設(shè)備。

3、但是在最普遍的路由與交換領(lǐng)域，VLAN的端口聚合也有的叫TRUNK，不過大多數(shù)都叫TRUNKING。第28頁/共45頁29A發(fā)送的數(shù)據(jù)幀從交換機(jī)1經(jīng)過匯聚鏈路到達(dá)交換機(jī)2時(shí)，在數(shù)據(jù)幀上附加了表示屬于紅色VLAN的標(biāo)記。交換機(jī)2收到數(shù)據(jù)幀后，經(jīng)過檢查VLAN標(biāo)識發(fā)現(xiàn)這個(gè)數(shù)據(jù)幀是屬于紅色VLAN的，因此去除標(biāo)記后根據(jù)需要將復(fù)原的數(shù)據(jù)幀只轉(zhuǎn)發(fā)給其他屬于紅色VLAN的端口。這時(shí)的轉(zhuǎn)送，是指經(jīng)過確認(rèn)目標(biāo)MAC地址并與MAC地址列表比對后只轉(zhuǎn)發(fā)給目標(biāo)MAC地址所連的端口。只有當(dāng)數(shù)據(jù)幀是一個(gè)廣播幀、多播幀或是目標(biāo)不明的幀時(shí)，它才會被轉(zhuǎn)發(fā)到所有屬于紅色VLAN的端口。藍(lán)色VLAN發(fā)送數(shù)據(jù)幀時(shí)的情形也與此相同。第29頁/共45頁30Hybrid端口

Hybrid即混合端口模式，該類型的端口可以屬于多個(gè)VLAN，可以接收和發(fā)送多個(gè)VLAN的報(bào)文，可以用于交換機(jī)之間連接，交換機(jī)與路由器之間，也可以用于交換機(jī)與用戶計(jì)算機(jī)的連接。接收端口：同時(shí)都能夠接收VID=PVID和VID≠PVID的taggedframe，不改變TAG；對于untagedframe則加上端口的PVID和defaultpriority再進(jìn)行交換轉(zhuǎn)發(fā)，對于priorityonlytaggedframe則添加PVID再進(jìn)行轉(zhuǎn)發(fā)。發(fā)送端口：1、判斷該VLAN在本端口的屬性。2、如果輸入為untag包則在輸出端口剝離VLAN信息，再發(fā)送，如果是tag則直接發(fā)送。

第30頁/共45頁31Hybrid端口和Trunk端口的區(qū)別：Hybrid端口和Trunk端口的不同之處在于Hybrid端口可以允許多個(gè)VLAN的報(bào)文發(fā)送時(shí)不打標(biāo)簽，而Trunk端口只允許缺省VLAN的報(bào)文發(fā)送時(shí)不打標(biāo)簽。

Access端口只屬于1個(gè)VLAN，所以它的缺省VLAN就是它所在的VLAN，不用設(shè)置；Hybrid端口和Trunk端口屬于多個(gè)VLAN，所以需要設(shè)置缺省VLANID。缺省情況下，Hybrid端口和Trunk端口的缺省VLAN為VLAN1。如果設(shè)置了端口的缺省VLANID，當(dāng)端口接收到不帶VLANTag的報(bào)文后，則將報(bào)文轉(zhuǎn)發(fā)到屬于缺省VLAN的端口；當(dāng)端口發(fā)送帶有VLANTag的報(bào)文時(shí)，如果該報(bào)文的VLANID與端口缺省的VLANID相同，則系統(tǒng)將去掉報(bào)文的VLANTag，然后再發(fā)送該報(bào)文。第31頁/共45頁32第32頁/共45頁33配置主干道配置主干道模式第33頁/共45頁34主干道模式組合

第34頁/共45頁35

跨交換機(jī)相同VLAN間通信

如下題目：公司有兩層樓，兩層樓上都有財(cái)務(wù)部和技術(shù)部的辦公室，每層樓上兩個(gè)部門的計(jì)算機(jī)都連接在同一交換機(jī)上。現(xiàn)要求財(cái)務(wù)部計(jì)算機(jī)可以互相訪問，技術(shù)部計(jì)算機(jī)可以互相訪問，但財(cái)務(wù)部和技術(shù)部的計(jì)算機(jī)之間不能自由訪問。如何解決？第35頁/共45頁36幀標(biāo)記法(802.1q)為了解決這個(gè)問題，IEEE制定了802.1q標(biāo)準(zhǔn)為必要的幀分配一個(gè)唯一的標(biāo)記用以標(biāo)識這個(gè)幀的VLAN信息。封裝解封裝Trunk端口