干貨！弱電工程交換機(jī)VLAN基礎(chǔ)知識(shí)及配置實(shí)例,，趕緊收藏,！

欄目:工程預(yù)算時(shí)間:2020-09-05

我們?cè)谧鋈蹼姽こ痰臅r(shí)候經(jīng)常用到劃分Vlan，什么是Vlan呢,？如何劃分呢,？

一、VLAN基礎(chǔ)

VLAN的中文名為"虛擬局域網(wǎng)",，VLAN是一種將局域網(wǎng)設(shè)備從邏輯上劃分成一個(gè)個(gè)不同的網(wǎng)段,，從而實(shí)現(xiàn)虛擬工作組的新興數(shù)據(jù)交換技術(shù)。這一新興技術(shù)主要應(yīng)用于交換機(jī)和路由器中,，但主流應(yīng)用還是在交換機(jī)之中,。

QQ截圖20200728151541.png

一個(gè)VLAN內(nèi)部的廣播和單播流量都不會(huì)轉(zhuǎn)發(fā)到其他VLAN中，從而有助于控制流量,、減少設(shè)備投資,、簡(jiǎn)化網(wǎng)絡(luò)管理、提高網(wǎng)絡(luò)的安全性,。交換技術(shù)的發(fā)展,，也加快了新的交換技術(shù)（VLAN）的應(yīng)用速度。通過(guò)將企業(yè)網(wǎng)絡(luò)劃分為虛擬網(wǎng)絡(luò)VLAN網(wǎng)段,，可以強(qiáng)化網(wǎng)絡(luò)管理和網(wǎng)絡(luò)安全,，控制不必要的數(shù)據(jù)廣播。

在同一個(gè)VLAN中的工作站,，不論它們實(shí)際與哪個(gè)交換機(jī)連接,，它們之間的通訊就好象在獨(dú)立的交換機(jī)上一樣。同一個(gè)VLAN中的廣播只有VLAN中的成員才能聽(tīng)到,，而不會(huì)傳輸?shù)狡渌?VLAN中去,，這樣可以很好的控制不必要的廣播風(fēng)暴的產(chǎn)生。同時(shí),，若沒(méi)有路由的話,，不同VLAN之間不能相互通訊，這樣增加了企業(yè)網(wǎng)絡(luò)中不同部門之間的安全性,。

VLAN除了能將網(wǎng)絡(luò)劃分為多個(gè)廣播域,，從而有效地控制廣播風(fēng)暴的發(fā)生，以及使網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)變得非常靈活的優(yōu)點(diǎn)外,，還可以用于控制網(wǎng)絡(luò)中不同部門,、不同站點(diǎn)之間的互相訪問(wèn),。

VLAN是為解決以太網(wǎng)的廣播問(wèn)題和安全性而提出的一種協(xié)議，它在以太網(wǎng)幀的基礎(chǔ)上增加了VLAN頭,，用VLAN ID把用戶劃分為更小的工作組,，限制不同工作組間的用戶互訪，每個(gè)工作組就是一個(gè)虛擬局域網(wǎng),。虛擬局域網(wǎng)的好處是可以限制廣播范圍,，并能夠形成虛擬工作組，動(dòng)態(tài)管理網(wǎng)絡(luò),。

二,、VLAN的劃分方法

VLAN在交換機(jī)上的實(shí)現(xiàn)方法，可以大致劃分為六類:

1. 基于端口劃分的VLAN

這是最常應(yīng)用的一種VLAN劃分方法,，應(yīng)用也最為廣泛,、最有效，目前絕大多數(shù)VLAN協(xié)議的交換機(jī)都提供這種VLAN配置方法,。這種劃分VLAN的方法是根據(jù)以太網(wǎng)交換機(jī)的交換端口來(lái)劃分的,，它是將VLAN交換機(jī)上的物理端口和VLAN交換機(jī)內(nèi)部的PVC（永久虛電路）端口分成若干個(gè)組，每個(gè)組構(gòu)成一個(gè)虛擬網(wǎng),，相當(dāng)于一個(gè)獨(dú)立的VLAN交換機(jī),。

對(duì)于不同部門需要互訪時(shí)，可通過(guò)路由器轉(zhuǎn)發(fā),，并配合基于MAC地址的端口過(guò)濾,。對(duì)某站點(diǎn)的訪問(wèn)路徑上最靠近該站點(diǎn)的交換機(jī)、路由交換機(jī)或路由器的相應(yīng)端口上,，設(shè)定可通過(guò)的MAC地址集,。這樣就可以防止非法入侵者從內(nèi)部盜用IP地址從其他可接入點(diǎn)入侵的可能。

從這種劃分方法本身我們可以看出,，這種劃分的方法的優(yōu)點(diǎn)是定義VLAN成員時(shí)非常簡(jiǎn)單,，只要將所有的端口都定義為相應(yīng)的VLAN組即可。適合于任何大小的網(wǎng)絡(luò),。它的缺點(diǎn)是如果某用戶離開(kāi)了原來(lái)的端口,，到了一個(gè)新的交換機(jī)的某個(gè)端口，必須重新定義,。

2. 基于MAC地址劃分VLAN

這種劃分VLAN的方法是根據(jù)每個(gè)主機(jī)的MAC地址來(lái)劃分,，即對(duì)每個(gè)MAC地址的主機(jī)都配置他屬于哪個(gè)組，它實(shí)現(xiàn)的機(jī)制就是每一塊網(wǎng)卡都對(duì)應(yīng)唯一的 MAC地址,，VLAN交換機(jī)跟蹤屬于VLAN MAC的地址,。這種方式的VLAN允許網(wǎng)絡(luò)用戶從一個(gè)物理位置移動(dòng)到另一個(gè)物理位置時(shí)，自動(dòng)保留其所屬VLAN的成員身份,。

由這種劃分的機(jī)制可以看出,，這種VLAN的劃分方法的最大優(yōu)點(diǎn)就是當(dāng)用戶物理位置移動(dòng)時(shí),，即從一個(gè)交換機(jī)換到其他的交換機(jī)時(shí)，VLAN不用重新配置,，因?yàn)樗腔谟脩?，而不是基于交換機(jī)的端口。這種方法的缺點(diǎn)是初始化時(shí),，所有的用戶都必須進(jìn)行配置,，如果有幾百個(gè)甚至上千個(gè)用戶的話，配置是非常累的,，所以這種劃分方法通常適用于小型局域網(wǎng)。而且這種劃分的方法也導(dǎo)致了交換機(jī)執(zhí)行效率的降低,，因?yàn)樵诿恳粋€(gè)交換機(jī)的端口都可能存在很多個(gè)VLAN組的成員,，保存了許多用戶的MAC地址，查詢起來(lái)相當(dāng)不容易,。另外,，對(duì)于使用筆記本電腦的用戶來(lái)說(shuō)，他們的網(wǎng)卡可能經(jīng)常更換,，這樣VLAN就必須經(jīng)常配置,。

3. 基于網(wǎng)絡(luò)層協(xié)議劃分VLAN

VLAN按網(wǎng)絡(luò)層協(xié)議來(lái)劃分，可分為IP,、IPX,、DECnet、AppleTalk,、Banyan等VLAN網(wǎng)絡(luò),。這種按網(wǎng)絡(luò)層協(xié)議來(lái)組成的 VLAN，可使廣播域跨越多個(gè)VLAN交換機(jī),。這對(duì)于希望針對(duì)具體應(yīng)用和服務(wù)來(lái)組織用戶的網(wǎng)絡(luò)管理員來(lái)說(shuō)是非常具有吸引力的,。而且，用戶可以在網(wǎng)絡(luò)內(nèi)部自由移動(dòng),，但其VLAN成員身份仍然保留不變,。

這種方法的優(yōu)點(diǎn)是用戶的物理位置改變了，不需要重新配置所屬的VLAN,，而且可以根據(jù)協(xié)議類型來(lái)劃分VLAN,，這對(duì)網(wǎng)絡(luò)管理者來(lái)說(shuō)很重要，還有,，這種方法不需要附加的幀標(biāo)簽來(lái)識(shí)別VLAN,，這樣可以減少網(wǎng)絡(luò)的通信量。這種方法的缺點(diǎn)是效率低,，因?yàn)闄z查每一個(gè)數(shù)據(jù)包的網(wǎng)絡(luò)層地址是需要消耗處理時(shí)間的(相對(duì)于前面兩種方法),，一般的交換機(jī)芯片都可以自動(dòng)檢查網(wǎng)絡(luò)上數(shù)據(jù)包的以太網(wǎng)禎頭,，但要讓芯片能檢查IP幀頭，需要更高的技術(shù),，同時(shí)也更費(fèi)時(shí),。當(dāng)然，這與各個(gè)廠商的實(shí)現(xiàn)方法有關(guān),。

4. 根據(jù)IP組播劃分VLAN

IP 組播實(shí)際上也是一種VLAN的定義,，即認(rèn)為一個(gè)IP組播組就是一個(gè)VLAN。這種劃分的方法將VLAN擴(kuò)大到了廣域網(wǎng),，因此這種方法具有更大的靈活性,，而且也很容易通過(guò)路由器進(jìn)行擴(kuò)展，主要適合于不在同一地理范圍的局域網(wǎng)用戶組成一個(gè)VLAN,，不適合局域網(wǎng),，主要是效率不高。

5. 按策略劃分VLAN

基于策略組成的VLAN能實(shí)現(xiàn)多種分配方法,，包括VLAN交換機(jī)端口,、MAC地址、IP地址,、網(wǎng)絡(luò)層協(xié)議等,。網(wǎng)絡(luò)管理人員可根據(jù)自己的管理模式和本單位的需求來(lái)決定選擇哪種類型的VLAN 。

6. 按用戶定義,、非用戶授權(quán)劃分VLAN

基于用戶定義,、非用戶授權(quán)來(lái)劃分VLAN，是指為了適應(yīng)特別的VLAN網(wǎng)絡(luò),，根據(jù)具體的網(wǎng)絡(luò)用戶的特別要求來(lái)定義和設(shè)計(jì)VLAN,，而且可以讓非VLAN群體用戶訪問(wèn)VLAN，但是需要提供用戶密碼,，在得到VLAN管理的認(rèn)證后才可以加入一個(gè)VLAN,。

三、VLAN的優(yōu)越性

任何新技術(shù)要得到廣泛支持和應(yīng)用,，肯定存在一些關(guān)鍵優(yōu)勢(shì),，VLAN技術(shù)也一樣，它的優(yōu)勢(shì)主要體現(xiàn)在以下幾個(gè)方面：選自.投標(biāo)書代寫網(wǎng) yipai178.com

1. 增加了網(wǎng)絡(luò)連接的靈活性

借助VLAN技術(shù),，能將不同地點(diǎn),、不同網(wǎng)絡(luò)、不同用戶組合在一起,，形成一個(gè)虛擬的網(wǎng)絡(luò)環(huán)境,，就像使用本地LAN一樣方便、靈活,、有效,。VLAN可以降低移動(dòng)或變更工作站地理位置的管理費(fèi)用,，特別是一些業(yè)務(wù)情況有經(jīng)常性變動(dòng)的公司使用了VLAN后，這部分管理費(fèi)用大大降低,。

2. 控制網(wǎng)絡(luò)上的廣播

VLAN可以提供建立防火墻的機(jī)制,，防止交換網(wǎng)絡(luò)的過(guò)量廣播。使用VLAN,，可以將某個(gè)交換端口或用戶賦于某一個(gè)特定的VLAN組,，該VLAN組可以在一個(gè)交換網(wǎng)中或跨接多個(gè)交換機(jī)，在一個(gè)VLAN中的廣播不會(huì)送到VLAN之外,。同樣,，相鄰的端口不會(huì)收到其他VLAN產(chǎn)生的廣播。這樣可以減少?gòu)V播流量,，釋放帶寬給用戶應(yīng)用,，減少?gòu)V播的產(chǎn)生。

3. 增加網(wǎng)絡(luò)的安全性

因?yàn)橐粋€(gè)VLAN就是一個(gè)單獨(dú)的廣播域,，VLAN之間相互隔離，這大大提高了網(wǎng)絡(luò)的利用率,，確保了網(wǎng)絡(luò)的安全保密性,。人們?cè)贚AN上經(jīng)常傳送一些保密的、關(guān)鍵性的數(shù)據(jù),。保密的數(shù)據(jù)應(yīng) 提供訪問(wèn)控制等安全手段,。一個(gè)有效和容易實(shí)現(xiàn)的方法是將網(wǎng)絡(luò)分段成幾個(gè)不同的廣播組，網(wǎng)絡(luò)管理員限制了VLAN中用戶的數(shù)量,，禁止未經(jīng)允許而訪問(wèn)VLAN中的應(yīng)用,。交換端口可以基于應(yīng)用類型和訪問(wèn)特權(quán)來(lái)進(jìn)行分組，被限制的應(yīng)用程序和資源一般置于安全性VLAN中,。

四,、VLAN配置案例分析

某公司有100臺(tái)計(jì)算機(jī)左右，主要使用網(wǎng)絡(luò)的部門有：生產(chǎn)部(20),、財(cái)務(wù)部(15),、人事部(8)和信息中心(12)四大部分。

網(wǎng)絡(luò)基本結(jié)構(gòu)為：

整個(gè)網(wǎng)絡(luò)中干部分采用3臺(tái)Catalyst 1900網(wǎng)管型交換機(jī)（分別命名為：Switch1,、Switch2和Switch3,，各交換機(jī)根據(jù)需要下接若干個(gè)集線器，主要用于非VLAN用戶,，如行政文書,、臨時(shí)用戶等）、一臺(tái)Cisco 2514路由器,，整個(gè)網(wǎng)絡(luò)都通過(guò)路由器Cisco 2514與外部互聯(lián)網(wǎng)進(jìn)行連接,。

所連的用戶主要分布于四個(gè)部分,，即：生產(chǎn)部、財(cái)務(wù)部,、信息中心和人事部,。主要對(duì)這四個(gè)部分用戶單獨(dú)劃分VLAN，以確保相應(yīng)部門網(wǎng)絡(luò)資源不被盜用或破壞,。

現(xiàn)為了公司相應(yīng)部分網(wǎng)絡(luò)資源的安全性需要,，特別是對(duì)于像財(cái)務(wù)部、人事部這樣的敏感部門,，其網(wǎng)絡(luò)上的信息不想讓太多人可以隨便進(jìn)出,，于是公司采用了VLAN的方法來(lái)解決以上問(wèn)題。

通過(guò)VLAN的劃分,，可以把公司主要網(wǎng)絡(luò)劃分為：生產(chǎn)部,、財(cái)務(wù)部、人事部和信息中心四個(gè)主要部分,，對(duì)應(yīng)的VLAN組為為：Prod,、Fina、Huma,、Info,，各VLAN組所對(duì)應(yīng)的網(wǎng)段如下表1所示。

QQ截圖20200728151737.png

注：之所以把交換機(jī)的VLAN號(hào)從"2"號(hào)開(kāi)始,，那是因?yàn)榻粨Q機(jī)有一個(gè)默認(rèn)的VLAN,，那就是"1"號(hào)VLAN，它包括所有連在該交換機(jī)上的用戶,。

五,、VALN的配置過(guò)程

VLAN的配置過(guò)程其實(shí)非常簡(jiǎn)單，只需兩步：

（1）為各VLAN組命名,；

（2）把相應(yīng)的VLAN對(duì)應(yīng)到相應(yīng)的交換機(jī)端口,。

下面是具體的配置過(guò)程：

第1步：

設(shè)置好超級(jí)終端，連接上1900交換機(jī),，通過(guò)超級(jí)終端配置交換機(jī)的VLAN,，連接成功后出現(xiàn)如下所示的主配置界面（交換機(jī)在此之前已完成了基本信息的配置）：

1 user(s) now active on Management Console.

User Interface Menu

[M] Menus

[K] Command Line

[I] IP Configuration

Enter Selection:

【注】超級(jí)終端是利用Windows系統(tǒng)自帶的"超級(jí)終端"（Hypertrm）程序進(jìn)行的，具體參見(jiàn)有關(guān)資料,。

第2步：

單擊"K"按鍵,，選擇主界面菜單中"[K] Command Line"選項(xiàng)，進(jìn)入如下命令行配置界面：

CLI session with the switch is open.

To end the CLI session,enter [Exit ].

此時(shí)我們進(jìn)入了交換機(jī)的普通用戶模式,，就象路由器一樣,，這種模式只能查看現(xiàn)在的配置，不能更改配置，并且能夠使用的命令很有限,。所以我們必須進(jìn)入"特權(quán)模式",。

第3步：

在上一步">"提示符下輸入進(jìn)入特權(quán)模式命令"enable"，進(jìn)入特權(quán)模式,，命令格式為">enable",，此時(shí)就進(jìn)入了交換機(jī)配置的特權(quán)模式提示符：

#config t

Enter configuration commands,one perline.End with CNTL/Z

(config)#

第4步：

為了安全和方便起見(jiàn)，我們分別給這3個(gè)Catalyst 1900交換機(jī)起個(gè)名字,，并且設(shè)置特權(quán)模式的登陸密碼,。下面僅以Switch1為例進(jìn)行介紹。配置代碼如下：

(config)#hostname Switch1

Switch1(config)# enable password level 15XXXXXX

Switch1(config)#

特權(quán)模式密碼必須是4~8位字符這,，要注意,，這里所輸入的密碼是以明文形式直接顯示的，要注意保密,。交換機(jī)用 level 級(jí)別的大小來(lái)決定密碼的權(quán)限,。Level 1 是進(jìn)入命令行界面的密碼，也就是說(shuō),，設(shè)置了 level 1 的密碼后,，你下次連上交換機(jī)，并輸入 K 后,，就會(huì)讓你輸入密碼,，這個(gè)密碼就是 level 1 設(shè)置的密碼。而 level 15 是你輸入了"enable"命令后讓你輸入的特權(quán)模式密碼,。

第5步：

設(shè)置VLAN名稱。因四個(gè)VLAN分屬于不同的交換機(jī),，VLAN命名的命令為"vlanvlan號(hào) name vlan名稱,，在Switch1、Switch2,、Switch3,、交換機(jī)上配置2、3,、4,、5號(hào)VLAN的代碼為：

Switch1 (config)#vlan 2 name Prod

Switch2 (config)#vlan 3 name Fina

Switch3 (config)#vlan 4 name Huma

Switch3 (config)#vlan 5 name Info

【注】以上配置是按表1規(guī)則進(jìn)行的。

第6步：

上一步我們對(duì)各交換機(jī)配置了VLAN組,，現(xiàn)在要把這些VLAN對(duì)應(yīng)于表1所規(guī)定的交換機(jī)端口號(hào),。對(duì)應(yīng)端口號(hào)的命令是"vlan-membership static/ dynamic VLAN號(hào) "。在這個(gè)命令中"static"(靜態(tài))和"dynamic"(動(dòng)態(tài))分配方式兩者必須選擇一個(gè),，不過(guò)通常都是選擇"static"(靜態(tài))方式,。

VLAN端口號(hào)應(yīng)用配置如下：

（1）. 名為"Switch1"的交換機(jī)的VLAN端口號(hào)配置如下：

Switch1(config)#int e0/2

Switch1(config-if)#vlan-membership static 2

Switch1(config-if)#int e0/3

Switch1(config-if)#vlan-membership static 2

Switch1(config-if)#int e0/4

Switch1(config-if)#vlan-membership static 2

　　……

Switch1(config-if)#int e0/20

Switch(config-if)#vlan-membership static 2

Switch1(config-if)#int e0/21

Switch1(config-if)#vlan-membership static 2

Switch1(config-if)#

【注】"int"是"nterface"命令縮寫，是接口的意思,。"e0/3"是"ethernet 0/2"的縮寫,，代表交換機(jī)的0號(hào)模塊2號(hào)端口,。

（2）. 名為"Switch2"的交換機(jī)的VLAN端口號(hào)配置如下：

Switch2(config)#int e0/2