VLAN（Virtual Local Area Network ）技术的基本概念和应用
1．什么是VLAN？
?VLAN是虚拟局域网的英文缩写，是基于一个广播域的交
换机端口的集合。IEEE 802.1Q标准定义了VLAN的基本
概念和实现原理。
?VLAN的主要作用是隔离广播域。将一个物理网络划分成
多个逻辑上的VLAN，可以将一个广播域划分成多个小的
广播域，每个VLAN对应一个小的广播域，一个VLAN中
的广播不能传播到其他的VLAN，这样有效地控制广播风
暴的发生。
?VLAN可分为：基于端口的VLAN、基于MAC地址的VLAN、
基于IP地址的VLAN、基于IP子网的VLAN、基于协议的
VLAN和用户自定义的VLAN。其中最常用的也是最基本的
是：基于端口的VLAN，它按照接收端口来确定一个数据
包的VLAN属性。
?VLAN的属性是指：当一个交换机端口接收到一个数据包
时，确定这个数据包属于哪个VLAN。
2．VLAN的主要功能
?通过VLAN可以非常灵活地将一个物理网络按照需求划分
成多个逻辑子网。例如，某公司由于各部门的业务不同
以及安全的需求，可以按照市场部、工程部、财务部将
公司的网络划分成三个不同的VLAN，各部门不能直接访
问，下面是一个使用cisco交换机组网的例子：
在这个网络中，一个部门网络的成员可以在不同的楼层，
可以与不同的交换机端口相连，组网方式非常灵活。通
过把公司网络划分成三个VLAN，广播报文只限制在一个
VLAN内传播，大大提高了网络的使用效率。
?简化端站的移动、增加与更换。当一台终端站被移动到
新的物理位置，它的属性可以从一台管理工作站上通过
简单网络管理协议（SNMP）或用户接口菜单重新分配。
若端站在同一VLAN中移动，在新的位置它将保持原有的
属性。若端站移动到不同的VLAN，那它将被赋予新的VLAN
的属性。
?网络安全。把一个物理网络划分成若干个VLANs，每个
VLAN中的广播只能在本VLAN所属的交换机端口传播，提
高整个网络的安全性。
3．VLAN的实现
?IEEE 802.1Q标准定义了动态实现VLAN的机制。这里不
作介绍。
?为了实现VLAN，IEEE 802.1Q标准定义了一种新的帧格
式。它在标准的以太网帧的源MAC地址后面加入了一个
Tag header（4字节），此格式用下图表示：
IEEE 802.1Q标准帧格式
其中：
DA—目的MAC地址；
SA—源MAC地址；
Data—帧中所携带的用户数据；
CRC—循环冗余校验；
Priority—用户优先级；
VLAN ID—用来标识一个VLAN的ID号，取值范围：1~4094。
在帧中加入tag的目的是为了携带VLAN信息，表明这个数据帧属于哪个
VLAN，即确定数据帧的属性。
VLAN中端口成员的确定：
VLAN端口成员的确定与VLAN的类型有关。分为基于端口的VLAN
和基于策略的VLAN。基于策略的VLAN又分为基于MAC 地址的VLAN、
基于协议的VLAN、基于IP子网的VLAN、用户自定义VLAN。
对于基于端口的VLAN，属于这个VLAN的端口都被网络管理软件明确
配置为这个VLAN的成员。
对于基于策略的VLAN，VLAN中的成员端口既可以由软件明确指定某
一端口固定属于某一VLAN，也可以由软件将某一端口设为该VLAN的潜在
的成员。对于潜在的成员，需根据该VLAN的类型确定一些具体的策略。路
由交换机监视从该端口进入的数据包，如果数据包满足策略要求的条件，则
该端口成为该VLAN的临时成员。路由交换机继续监视该端口，如果在一定
时间内没有收到满足该条件的数据包。将该端口从VLAN 中删除。对于基于
MAC地址的VLAN，路由交换机需要保持一个对该VLAN的MAC地址表。
对于其它几种类型的VLAN，路由交换机也需要根据具体VLAN类型确定该
种VLAN所需策略。
?确定数据包的VLAN属性
对于带有802.1Q Tag的数据包，则直接根据数据包中所带标记确定其
VLAN属性。对于未带有Tag的数据包，则交换机根据数据包内容和各VLAN
具体规则确定其所属VLAN。
?VLAN成员端口属性
VLAN成员端口分为带标记(tagged)与不带标记(untagged)。
可以通过网管来设置端口为带标记端口。一般当端口连接的设备支持802.1Q标准时将端口设置为带标记端口；否则当端口连接的设备不支持802.1Q时，设置端口为不带标记端口。
1)带标记端口
带标记端口即从该端口发出的所有数据包都必须带有该数
据包所属VLAN标记。可设置该端口在接收数据包时是否丢弃不带标记的数据包或按各VLAN具体规则确定其所属VLAN。同时判断从本端口收发的数据包所属VLAN是否为本端口所属VLAN，若不是，则需决定是否丢弃该数据包。
2)不带标记端口
不带标记端口即从该端口发出的所有数据包都不能带有该数据包所属VLAN标记。可设置该端口在接收数据包时是否丢弃带标记的数据包或按标记确定其VLAN属性。同时判断从本端口收发的数据包所属VLAN是否为本端口所属VLAN，若不是，则需决定是否丢弃该数据包。
4．下面通过张宏的组网方案来进一步说明VLAN的功能及应用中须注意的问题。
5．VLAN Routing的概念和基本原理
1)VLAN Routing的基本概念
由于在交换机中引入了VLAN的概念，通过在网络中划分VLAN可以实现广播域的隔离，大大提高了网络的性能，但是却限制了一个VLAN中的用户访问其他VLAN中的用户。
由于VLAN是第二层的技术，它在选路时使用的是以太网的MAC地址，所以没有办法实现VLAN之间的互访问。为解决这个问题，借鉴路由器的功能，引入VLAN间路由（三层交换机）功能。
路由交换机完成线速第三层交换采用的是一种“一次路由，多次交换”的
思想。“一次路由”是指当第一次对此报文进行选路时，交给CPU中运行的路
由协议（如：OSPF，RIP）来运算并给出路由信息，然后将此路由信息存储在
交换芯片的CACHE表中，当发往该目的IP地址的报文再次进行路由时，由于
CACHE表中已经有了该目的IP地址，因此数据包可以直接由
硬件按照CACHE
中该目的IP路由进行交换，以达到线速交换。
2)VLAN间路由的具体实现过程
在交换机中的路由是指VLAN之间进行路由。每个VLAN 都可以配置一
个或多个接口IP地址和MAC地址对，每个接口等同于路由器的接口。VLAN
之间路由是指在VLAN的接口间进行路由。其路由原理与路由器一样。
路由过程如下：
对于从外部进入的数据包，路由交换机首先检查是否为路由交换机自已的
独立端口或VLAN接口的MAC地址。如果是，则交由第三层软、硬件联合进
行第三层交换。否则进行第二层硬件交换。对于交由第三层处理的数据包，交
换芯片首先在CACHE的主机路由表中查找该数据包的目的IP地址是否存在，
如果存在则按相应端口转发；如果不存在，则查找网络路由CACHE表，如果
有相应的路由，则按路由转发；如果该地址不存在，则交换芯片将该数据发往
CPU，由路由协议软件按常规路由处理方法对该数据包进行处理。当软件处理
完该数据包的选路事项后，将该数据包发往正确的端口。同时在ASIC的CACHE
表中填入一项。当下一次发往该目的IP地址的数据包再次出现后，由于CACHE
表中已经有了该目的IP路由，因此数据包可以直接由硬件按照CACHE中该目
的IP地址项进行交换，达到线速转发的目的。
下面，通过一个例子来说明VLAN间路由的具体实现过程。
一个24端口三层交换机，将1~12端口划分为VLAN 2，将13~24端口划分为VLAN 3，缺省VLAN为VLAN 1。为VLAN 2配置一个接口，IP地址为10.0.0.1，子网掩码为255.255.0.0；为VLAN 3配置一个接口，IP地址为20.0.0.1，子网掩码为255.255.0.0。端口1连接一个主机，IP地址为10.0.0.2，缺省网关为VLAN 2的接口IP地址。端口21连接一个主机，IP地址为20.0.0.2，缺省网关为VLAN 3的接口IP地址。
数据包的传递过程（以第一次路由为例）：
i.当主机1向主机2发送数据时，由于主机2的IP地址与
主机1的IP地址不在一个网段内，所以主机1向它的缺
省网关发送目的IP地址为VLAN 2接口IP地址的ARP报
文，二层交换机1接收ARP报文后向VLAN 2除接收端口
外其他所有成员端口转发。
ii.三层交换机从二层交换机1的级联端口接收到此ARP报文，然后返回VLAN 2接口的MAC地址。
iii.二层交换机将三层交换机返回的报文，线速转发给与主机1相连的端口，即将转发给主机1。
iv.主机1按照返回的MAC地址，向VLAN 2的接口发送数据包。
v.交换机接收到数据包后查找主机路由CACHE表以及网络路由CACHE表，看有没有主机2的路由。没有则提交给
CPU，由路由算法来计算路由，计算结果为VLAN 3的接
口所在网段，于是交由VLAN 3的接口进行转发。
vi.VLAN 3的接口如果不知道主机2的MAC地址，则向VLAN 3的所有成员端口发送目的IP地址为主机2 IP地址的
ARP报文。二层交换机2接收到此ARP报文后向VLAN 3
除级联端口外的所有端口转发。主机2接收后，返回自
己的MAC地址。
vii.二层交换机2进行学习后，将主机2返回的报文转发给三层交换机
viii.VLAN 3的接口按照返回的主机2的MAC地址，将数据包从与交换机2所连的端口发送出去。注意：VLAN 3的接
口在发送主机1发来的数据包时，包中的源MAC地址为
VLAN 3接口的MAC地址。
ix.交换机2再将此数据包线速转发给主机2
x.于是，主机2便接收到主机1发送来的数据包。
子网划分与VLAN技术详解 子网划分 子网划分定义：Internet组织机构定义了五种IP地址，有A、B、C三类地址。A类网络有126个，每个A类网络可能有16777214台主机，它们处于同一广播域。而在同一广播域中有这么多结点是不可能的，网络会因为广播通信而饱和，结果造成16777214个地址大部分没有分配出去。可以把基于类的IP网络进一步分成更小的网络，每个子网由路由器界定并分配一个新的子网网络地址,子网地址是借用基于类的网络地址的主机部分创建的。划分子网后，通过使用掩码，把子网隐藏起来，使得从外部看网络没有变化，这就是子网掩码。 子网掩码 RFC 950定义了子网掩码的使用，子网掩码是一个32位的2进制数，其对应网络地址的所有位置都为1，对应于主机地址的所有位都置为0。由此可知，A类网络的默认子网掩码是255.0.0.0，B类网络的默认子网掩码是255.255.0.0，C类网络的默认子网掩码是255.255.255.0。将子网掩码和IP地址按位进行逻辑“与”运算，得到IP地址的网络地址，剩下的部分就是主机地址，从而区分出任意IP地址中的网络地址和主机地址。子网掩码常用点分十进制表示，我们还可以用网络前缀法表示子网掩码，即“/<网络地址位数>”。如138.96.0.0/16表示B类网络138.96.0.0的子网掩码为255.255.0.0。 路由器判断IP 子网掩码告知路由器，地址的哪一部分是网络地址，哪一部分是主机地址，使路由器正确判断任意IP地址是否是本网段的，从而正确地进行路由。例如，有两台主机，主机一的IP 地址为222.21.160.6，子网掩码为255.255.255.192，主机二的IP地址为222.21.160.73，子网掩码为255.255.255.192。现在主机一要给主机二发送数据，先要判断两个主机是否在同一网段。 主机一 222.21.160.6即：11011110.00010101.10100000.00000110 255.255.255.192即：11111111.11111111.11111111.11000000 按位逻辑与运算结果为：11011110.00010101.10100000.00000000 主机二 222.21.160.73 即：11011110.00010101.10100000.01001001 255.255.255.192即：11111111.11111111.11111111.11000000 按位逻辑与运算结果为：11011110.00010101.10100000.01000000 两个结果不同，也就是说，两台主机不在同一网络，数据需先发送给默认网关，然后再发送给主机二所在网络。那么，假如主机二的子网掩码误设为255.255.255.128，会发生什么情况呢？ 让我们将主机二的IP地址与错误的子网掩码相“与”： 222.21.160.73 即：11011110.00010101.10100000.01001001 255.255.255.128即：11111111.11111111.11111111.10000000 结果为11011110.00010101.10100000.00000000 这个结果与主机一的网络地址相同，主机一与主机二将被认为处于同一网络中，数据不
实验5 交换机VLAN 的划分和配置实验 一、实验目的 1. 了解VLAN 的相关技术 2. 熟悉华为交换机VLAN 的划分和配置 3. 熟悉交换机VLAN Trunk 的配置 二、实验环境 1、使用Console 口配置交换机 Console 口配置连接较为简单，只需要用专用配置电缆将配置用主机通信串口和路由器的Console 口连接起来即可，其配置连接如图１所示： 图１ Console 口配置交换机 配置时使用Windows 操作系统附带的超级终端软件进行命令配置，其具体操作步骤如下： （1） 首先启动超级终端，点击windows 的开始 →程序→附件→通讯→超 级终端，启动超级终端； （2） 根据提示输入连接描述名称后确定，在选择连接时使用COM1后单击 “确定”按钮将弹出如图２所示的端口属性设置窗口，并按照如下参数设定串口属性后单击“确定”按钮。 图２ 超级终端串口属性配置 此时，我们已经成功完成超级终端的启动。如果您已经将线缆按照要求连接 consol e
好，并且交换机已经启动，此时按Enter键，将进入交换机的用户视图并出现如下标识符：
Vlan端口的基本划分配置 使用vlan的好处： 便于管理，避免大范围网络风暴，安全性较好，提高网络传输效能 创建vlan10，vlan20 [Huawei]vlan 10 [Huawei-vlan10]vlan 20 将相应的端口设为access模式然后划分到相应的vlan当中[Huawei]int g0/0/1 [Huawei-GigabitEthernet0/0/1]port link-type access [Huawei-GigabitEthernet0/0/1]port default vlan 10 [Huawei-GigabitEthernet0/0/1]quit [Huawei]int g0/0/2 [Huawei-GigabitEthernet0/0/1]port link-type access [Huawei-GigabitEthernet0/0/1]port default vlan 20 [Huawei-GigabitEthernet0/0/1]quit [Huawei]int g0/0/3 [Huawei-GigabitEthernet0/0/1]port link-type access [Huawei-GigabitEthernet0/0/1]port default vlan 10 [Huawei-GigabitEthernet0/0/1]quit [Huawei]int g0/0/4 [Huawei-GigabitEthernet0/0/1]port link-type access [Huawei-GigabitEthernet0/0/1]port default vlan 20 [Huawei-GigabitEthernet0/0/1]quit [Huawei]quit
VLAN知识点及其深入 专业：数通专业 指导教师： 姓名：
1为何引入vlan？ 1.1vlan克服了传统局域网组网缺陷 传统局域网组网图 1.1.1传统局域网组网缺陷 1.冲突域 载波侦听多路访问/冲突检测CSMA/CD（Carrier Sense Multiple Access/Collision Detect）没有从根本上解决冲突问题。
2.广播域 广播流量耗费大量带宽，占用电脑cpu资源（在以TCP/IP协议栈通信的网络中，ARP广播、DHCP等广播非常频繁）。 3.信息安全 所有主机共享一条传输通道，无法控制网络中的信息安全。 1.1.2克服传统局域网组网缺陷的技术 1.网桥Bridge 2.二层局域网交换机（L2 Switch） 二层局域网交换机是从网桥技术发展而来，二层局域网交换机技术克服了共享介质上的冲突域问题，将来自入端口的信息转发到出端口，将冲突域缩小到端口级。
二层交换机组网图
3.路由器做ip 转发 路由器是根据三层ip 地址来选择路由，因此可以有效的抑制广播报文的转发。使用路由器的缺点为：路由器成本高，且基于软件转发导致转发效率低，接口少，不利于推广。 4.vlan 技术 VLAN 技术的出现，划分了广播域，克服冲突域，解决网络安全问题。 2 vlan 典型应用示意图 上图是一个典型的VLAN 应用场景。3台交换机放置在不同的地点，比如写字楼的不同楼层。每台交换机分别连接3台计算机，他们分别属于3 个不同的
VLAN，比如不同的企业客户。在图中，一个虚线框内表示一个VLAN。 3vlan帧格式 3.1以太网帧格式 以太网两种帧（以太网ip数据报文封装格式）结构： 1、Ethernet_Ⅱ（或称Ethernet DIX）:RFC894定义的以太帧（TCP/IP协议栈使用的帧结构） 2、IEEE802.3：RFC1042定义的以太帧 3.2IEEE802.1Q（Dot One Q） 定义了基于端口（于物理层划分访问链路）和MAC地址（于二层划分访问链路）划分vlan的标准（vlan间是不可以直接通信的，需要通过路由器或者三层交换机进行“vlan间路由”）注：华为VRP（通用路由平台）实现了基于端口的vlan划分。 3.2.1以端口来划分vlan 类似于把一台交换机分成了两台交换机使用。缺点：基于端口划分的vlan 适用于网络拓扑比较固定、计算机数目不多的场合使用
浅谈ＶＬＡＮ技术(一) 摘要:随着网络的不断扩展，接入设备逐渐增多，迫切需要一种技术解决在局域网内部出现的访问冲突与广播风暴一类的问题，VLAN的产生就解决这个问题。本文介绍了VLAN技术的概念、优点，详细描述了VLAN的划分方法，给出了一个简单的公司内部进行VLAN的划分实例。 关键词:VLAN;网络管理 一、VLAN技术概述 VLAN(VirtualLocalAreaNetwork)也就是虚拟局域网，是一种建立在交换技术基础之上的，通过将局域网内的机器设备逻辑地而不是物理地划分成一个个不同的网段，以软件方式实现逻辑工作组的划分与管理的技术。VLAN的作用是使得同一VLAN中的成员间能够互相通信，而不同VLAN之间则是相互隔离的，不同的VLAN间的如果要通信就要通过必要的路由设备。 二、VLAN的优点 （一）可以控制网络广播 在没有应用VLAN技术的局域网内的整个网络都是广播域，这样就使得网内的一台设备发出网络广播时，在局域网内的任何一台设备的接口都能接收到广播，因此当网络内的设备越来越多时，网络上的广播也就越来越多，占用的时间和资源也就越来越多，当广播多到一定的数量时，就会影响到正常的信息的传送。这样就能导致信息延迟，严重的可以造成网络的瘫痪、堵塞，严重的影响了正常的网络应用，这就是所谓的网络风暴。 在应用了VLAN技术的局域网中，缩小了广播的广播域，在一个VLAN中的广播风暴也不会影响到其他的VLAN，从而有效地减少了广播风暴对局域网网络的影响。 （二）增强了网络的安全性 在局域网中应用VLAN技术可以把互相通信比较频繁的用户划分到同一个VLAN中，这样在同一个工作组中的信息传输只在同一个组内广播，从而也减轻了因广播包被截获而引起的信息泄露，增强了网络的安全性。 （三）简化网络管理员的管理工作 在应用VLAN技术后网络管理员就可以轻松的管理网络，灵活构建虚拟工作组。用VLAN可以划分不同的用户到不同的工作组，同一工作组的用户也不必局限于某一固定的物理范围，网络构建和维护更方便灵活。 三、VLAN的划分方法 （一）根据端口来划分VLAN 许多VLAN厂商都利用交换机的端口来划分VLAN成员。被设定的端口都在同一个广播域中。例如，一个交换机的1，2，3，4，5端口被定义为虚拟网AAA，同一交换机的6，7，8端口组成虚拟网BBB。这样做允许各端口之间的通讯，并允许共享型网络的升级。但是，这种划分模式将虚拟网限制在了一台交换机上。 第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN，不同交换机上的若干个端口可以组成同一个虚拟网。 以交换机端口来划分网络成员，其配置过程简单明了。因此，从目前来看，这种根据端口来划分VLAN的方式仍然是最常用的一种方式。不足之处是不够灵活，当一台机器设备需要从一个端口移动到另一个新的端口，但是新端口与旧端口不在同一个VLAN之中时，要修改端口的VLAN设置，或在用户计算机上重新配置网络地址，这样才能使这台设备加入到新的VLAN。 （二）根据MAC地址划分VLAN 这种划分VLAN方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，就无需对它进行重新配置，自动把它添加到相应的VLAN中。所以，可以认为这种
VLAN的划分实验报告 实验目的和要求： 目的： 1、学会创建vlan。 2、能够按照端口划分vlan的方法将端口划分到对应的vlan中。 3、学会vlan的中继。 要求： 1、深入理解划分vlan的意义。 2、能够配置基本的vlan划分的命令。 3、能够查看vlan的结果并作测试。 网络拓扑与分析设计： 内容： 1：创建vlan，可以采用两种创建vlan的方式。 2：将端口划分进vlan。 3：实现跨交换机的vlan的通信（vlan的中继）。 4：实现不同vlan的通信（根据自己的基础，可以对该内容选做）。 注意：做该实验可以使用PT，也可以使用神州数码的3600交换机，但是不能够选用神州数码的5526. 实验步骤与调试过程： 1.打开Cisco Packet tracer，拖入一个路由器Router1，两个交换机Switch1、Switch2,八个PC 机PC1-PC8，PC1-PC4用Copper Straight-Through线分别连接Switch1的F0/0-F0/4口，PC5-PC8用Copper straight-through线分别连接Switch2的F0/0-F0/4口，Switch1与Switch2用Copper Cross-Over线连接，路由器Router1用Copper Straight-Through连接Switch1的F0/24口，建立完整的网络拓扑； 2.点击PC、进入Desktop设置IP，PC1（IP Address 192.168.0.2 Subnet Mask 255.255.255.0 Default Gateeway 192.168.0.1）；PC2（IP Address 192.168.0.3 Subnet Mask 255.255.255.0 Default Gateeway192.168.0.1）；PC3（IP Address 192.168.1.2 Subnet Mask 255.255.255.0 Default Gateeway 192.168.1.1）；PC4（IPAddress 192.168.1.3 Subnet Mask 255.255.255.0 Default Gateeway 192.168.1.1）；PC5（IP Address 192.168.0.4 Subnet Mask 255.255.255.0 Default Gateeway 192.168.0.1）；PC6（IP Address 192.168.0.5 Subnet Mask 255.255.255.0 Default Gateeway 192.168.0.1）；PC7（IP Address 192.168.1.4 Subnet Mask 255.255.255.0 Default Gateeway 192.168.1.1）；PC8（IP Address 192.168.1.5 Subnet Mask 255.255.255.0 Default Gateeway 192.168.1.1）； 3.在两个交换器上创建VLAN。在交换机的特权模式下，输入vlan database、vlan 2 name VLAN2的命令，创建了以个名为VLAN2的vlan2；。相同步奏创建VLAN3. 4.在两个交换机上，静态成员分配,PC1、PC2、PC5、PC6属于VLAN2,PC3、PC4、PC7、
华为S5700划分VLAN配置方案 公司新加一台S5700的交换机扩展网络段，之前的网络结构是路由器CISCO2800下面级联交换机，端口FastEthernet0/0 IP地址192.168.1.254，作为网关，级联的交换机都不做配置。结构图如下： 现在加入一台三层交换机S5700，划分几个VLAN vlan2:192.168.7.254 255.255.255.0 vlan3:192.168.8.254 255.255.255.0 vlan4:192.168.9.254 255.255.255.0 vlan100:192.168.1.254 255.255.255.0 vlan1000:192.168.100.253 255.255.255.0 增加的几个网段，整个网络结构也只有S5700这块有变动，其他地方没做改动，从上面两图可以看出来。 然后是我的基本配置： [Quidway]system-view [Quidway]sysname Switch [Switch]vlan 100 [Switch-vlan100]description admin_Vlan [Switch-vlan100]quit [Switch]aaa [Switch-aaa]local-user **** password cipher **** info: A new user added [Switch-aaa]local-user **** service-type telnet [Switch-aaa]local-user **** privilege level 15 [Switch-aaa]quit [Switch]user-interface vty 0 4 [Switch-ui-vty0-4]authentication-mode aaa [Switch-ui-vty0-4]return
Vlan技术原理 在数据通信和宽带接入设备里，只要涉及到二层技术的，就会遇到VLAN。而且，通常情况下，VLAN在这些设备中是基本功能。所以不管是刚迈进这个行业的新生，还是已经在这个行业打拼了很多年的前辈，都要熟悉这个技术。在论坛上经常看到讨论各种各样的关于VLAN的问题，在工作中也经常被问起关于VLAN的这样或那样的问题，所以，有了想写一点东西的冲动。 大部分童鞋接触交换这门技术都是从思科技术开始的，讨论的时候也脱离不了思科的影子。值得说明的是，VLAN是一种标准技术，思科在实现VLAN的时候加入了自己的专有名词，这些名词可能不是通用的，尽管它们已经深深印在各位童鞋们的脑海里。本文的描述是从基本原理开始的，有些说法会和思科技术有些出入，当然，也会讲到思科交换中的VLAN。 1. 以太网交换原理 VLAN的概念是基于以太网交换的，所以，为了保持连贯性，还是先从交换原理讲起。不过，这里没有长篇累牍的举例和配置，都是一些最基本的原理。 本节所说的以太网交换原理，是针对‘传统’的以太网交换机来说的。所谓‘传统’，是指不支持VLAN。 简单的讲，以太网交换原理可以概括为‘源地址学习，目的地址转发’。考虑到IP层也涉及到地址问题，为了避免混淆，可以修改为‘源MAC学习，目的MAC转发’。从语文的语法角度来讲，可能还有些问题，就再修改一下‘根据源MAC进行学习，根据目的MAC进行转发’。总之，根据个人习惯了。本人比较喜欢‘源MAC学习，目的MAC转发’的口诀。 稍微解释一下。 所谓的‘源MAC学习’，是指交换机根据收到的以太网帧的帧头中的源MAC地址
来建立自己的MAC地址表，‘学习’是业内的习惯说法，就如同在淘宝上买东西都叫‘宝贝’一样。 所谓的‘目的MAC转发’，是指交换机根据收到的以太网帧的帧头中的目的MAC 地址和本地的MAC地址表来决定如何转发，确定的说，是如何交换。 这个过程大家应该是耳熟能详了。但为了与后面的VLAN描述对比方便，这里还是简单的举个例子。 Figure 1-1: |-------------------------------| | SW1 (Ethernet Switch) | |-------------------------------| | | |port1 |port 2 | | |-------| |-------| | PC1| | PC2| |-------| |-------| 简单描述一下PC1 ping PC2的过程：（这里假设，PC1和PC2位于同一个IP网段，IP地址分别为IP_PC1和IP_PC2，MAC地址分别为MAC_PC1和MAC_PC2） 1). PC1首先发送ARP请求，请求PC2的MAC。目的MAC=FF:FF:FF:FF:FF:FF(广播)；源MAC=MAC_PC1。 SW1收到该广播数据帧后，根据帧头中的源MAC地址，首先学习到了PC1的MAC，建立MAC地址表如下： MAC地址端口 MAC_PC1 PORT 1 2). 由于ARP请求为广播帧，所以，SW1向除了PORT1之外的所有UP的端
数通知识基础 This model paper was revised by the Standardization Office on December 10, 2020
1.多层交换可以依据如下信息进行交换（B） A. 源MAC地址和目的MAC地址 B. 源IP地址和目的IP地址 C. 地址源端口和目的端口 D. IP包协议字段 把以太网链路层分成两个子层 , 分别是（） A. 物理子层 B. MAC子层 C. LLC子层 D. IP子层 3.以下几种以太网标准中支持速率自协商的有（ C） A. 10BASE-T B. 100BASE-TX C. 1000BASE-LX D. 1000BASE-SX 4.以下关于端口汇聚的说法正确的是（A ）
A.可以应用在交换机和交换机的连接 B.可以应用在交换机和路由器的连接 C.不能应用在高速服务器之间的连接 D.不能应用在交换机和高速服务器之间的连接 5.如果需要设置Quidway S3526以太网端口10的工作速率仅为100Mbit/s，使用以下哪条命令（B） A. speed 10 B. speed 100 C. speed auto D. speed full 协议中规定的VLAN报文比普通的以太网报文增加了以下哪几部分（ BD ） A. TPID （Tag Protocol Indentifier） B. Priority C. Canonical Format Indicator( CFI ) D. VLAN Identifier( VLAN ID ) 本身仅仅是一个协议规范，不作为一个实体在交换机中存在。遵循GARP协议的应用实体称为GARP应用（）
精心整理 第二周：局域网及vlan技术 一、组建局域网的条件 1.从硬件的角度来说，需要“直连线”网线把本身独立的个人电脑，连接到“交换机”上。 三、端口安全 练习3：为交换机SW2的端口f0/5,设置端口安全，绑定PC5,的mac地址，安全模式设置为“shutdown” SW2(config)#intf0/5//进入到端口F0/5 SW2(config-if)#switchportmodeaccess
//设置端口为数据接入模式 SW2(config-if)#switchportport-security //启动端口安全 SW2(config-if)#switchportport-securitymac-address //为本端口绑定MAC地址 练习5：为交换机SW1连接交换机SW2的端口F0/10设置端口安全，允许最大连接数为“3”，安全模式设置为“protect” SW1(config)#intf0/10 SW1(config-if)#switchportmodetrunk SW1(config-if)#switchportport-security
SW1(config-if)#switchportport-securitymaximum3 //允许端口F0/10最多对应3个MAC地址 SW1(config-if)#switchportport-securityviolationprotect 四、组建虚拟局域网 1.首先，这些处于局域网中的个人电脑能够通信。 2. 3. 4. 5. 6. 7.和f0/2收 8.如何让交换机为端口进行分组： 练习6：把交换机SW1端口f0/1和f0/2分到编号是“10”的虚拟局域网，f0/3和f0/4分到编号是“20”的虚拟局域网。 把交换机“SW2”的f0/5和f0/6分到编号是“20”的虚拟局域网。为交换机相连的端口开启“trunk”
实现两台交换机划分VLAN配置
实验九：两台交换机划分VLAN配置 实验目标： 理解虚拟VLAN基本配置； 掌握一般交换机按端口划分VLAN的配置方法； 掌握Tag VLAN配置方法 实验背景： 某一公司内财务部，销售部的PC通过2台交换机实现通信：要求财务部和销售部的PC机可以互通，但是为了数据安全起见，销售部和财务部需要进行互相隔离，现要在交换机上做适当配置来实现这一标准。 技术原理： VLAN是指在一个物理网段内，进行逻辑的划分，划分成若干个虚拟局域网，VLAN最大的特性是不受物理位置的限制，可以进行灵活的划分。VLAN具备了一个物理网段所具备的特性。相同VLAN内的主机之间可以直接通信，不同VLAN间的主机之间相互访问必须经路由设备进行转发，广播数据包只可以在本VLAN内进行广播，不能传输到其他VLAN中。 portVLAN是实现VLAN的方式之一，他利用交换机的端口进行VLAN划分，一个端口只能属于一个VLAN。
实验步骤：新建packet tracer拓扑图 划分VLAN 将端口划分到相应VLAN中 设置VLAN Trunk属性 测试 实验设备： Switch_2960 2台；PC4台；直连线 交换机和PC机配置过程如下： Switch>en Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#hostname Switch1
Switch1(config)#vlan 2 Switch1(config-vlan)#exit Switch1(config)#vlan 3 Switch1(config-vlan)#exit Switch1(config)#int f0/1 Switch1(config-if)#switchport access vlan 2 Switch1(config-if)#exit Switch1(config)#int f0/2 Switch1(config-if)#switchport access vlan 3 Switch1(config-if)#exit Switch1(config)#int f0/24 Switch1(config-if)#switchport mode trunk （红色的是交换机自动生成的参数代码） %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/24, changed state to down %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/24, changed state to up Switch(config-if)#end %SYS-5-CONFIG_I: Configured from console by console Switch#show vlan
第二周：局域网及vlan技术 一、组建局域网的条件 1.从硬件的角度来说，需要“直连线”网线把本身独立的个人电脑，连接到“交换机”上。 2.从软件的角度来说，需要连接到局域网的个人电脑，拥有IP地址。 （1）IP地址的分配，首先要求处于同一个局域网的个人电脑拥有相同的网络位。 （2）其次在拥有相同的网络位的前提先，必须拥有不同的主机位。 （3）处于同一个局域网的电脑拥有相同的“子网掩码”。练习1：组建局域网，局域网中拥有四台电脑，局域网处于192.168.1.0网络中，子网掩码是255.255.255.0 四台电脑的IP地址的主机位分别是“1”、“2”、“3”、“4”。 二、组建多台交换机组成的局域网 1.要求首先每个交换机都能够通过连接，实现自己建立的局域网。 2.交换机之间需要通过“反线”的网线进行连接。 3.多台交换机连接的个人电脑必须处于同一个网段。拥有相同的网络位，不同的主机位，相同的子网掩码。 练习2：组建由两台交换机组成的局域网，网络地址如练习1。
三、端口安全 练习3：为交换机SW2的端口f0/5,设置端口安全，绑定PC5,的mac地址，安全模式设置为“shutdown” SW2(config)#int f0/5 //进入到端口F0/5 SW2(config-if)#switchport mode access //设置端口为数据接入模式 SW2(config-if)#switchport port-security //启动端口安全 SW2(config-if)#switchport port-security mac-address 0010.1158.ECEA //为本端口绑定MAC地址 SW2(config-if)#switchport port-security violation shutdown //设置控制规则为遇到非绑定的MAC地址的数据包的时候，关闭端口。 练习4：为交换机SW2的端口f0/6设置端口安全，绑定PC6的mac地址，安全模式设置为“protect” SW2(config)#int f0/6 //进入端口 SW2(config-if)#switchport mode access //设置端口为数据接入模式 SW2(config-if)#switchport port-security //启动端口安全
二、交换机VLAN划分实验 一、实验目的 1、了解VLAN原理； 2、熟练掌握二层交换机VLAN的划分方法； 3、了解如何验证VLAN的划分。 二、应用环境 学校实验楼中有两个实验室位于同一楼层，一个是计算机软件实验室，一个是多媒体实验室，两个实验室的信息端口都连接在一台交换机上。学校已经为实验楼分配了固定的IP地址段，为了保证两个实验室的相对独立，就需要划分对应的VLAN，使交换机某些端口属于软件实验室，某些端口属于多媒体实验室，这样就能保证它们之间的数据互不干扰，也不影响各自的通信效率。 三、实验设备 1、DCS-3926S交换机1台 2、PC机2台 3、Console线1根 4、直通网线2根 四、实验拓扑 使用一台交换机和两台PC机，还将其中PC1作为控制台终端，使用Console口配置方式；
使用两根网线分别将PC1和PC2连接到交换机的RJ-45接口上。 五、实验要求 在交换机上划分两个基于端口的VLAN：VLAN100，VLAN200。 VLAN 端口成员 1001~8 2009~16 使得VLAN100的成员能够互相访问，VLAN200的成员能够互相访问；VLAN100和VLAN200成员之间不能互相访问。 PC1和PC2的网络设置为： 设备IP地址Mask 交换机A 192.168.1.11 255.255.255.0 PC1 192.168.1.101 255.255.255.0 PC2 192.168.1.102 255.255.255.0 PC1、PC2接在VLAN100的成员端口1~8上，两台PC互相可以ping通；PC1、PC2接在VLAN的成员端口9~16上，两台PC互相可以ping通；PC1接在VLAN100的成员端口1~8上，PC2接在VLAN200的成员端口9~16上，则互相ping不通。 若实验结果和理论相符，则本实验完成 六、实验步骤 第一步：交换机恢复出厂设置 Switch#set default Switch#write Switch#reload 第一步：给交换机设置ip地址即管理ip Config t Interface vlan 1 Ip address 192.168.1.11 255.255.255.0
一、创建vlan和划分vlan 1、创建vlan的操作命令如下所示。 Switch(config)#vlan 10 //创建vlan10，并进入vlan配置模式，no vlan 10 为删除vlan10. Switch(config-vlan)#name aaa //为vlan指定名称为aaa 2、将交换机端口成员添加到对应的vlan操作命令如下所示。 Switch(config)#interface range fastethernet0/1-5 //从全局配置模式进入到端口范围配置模式。 Switch(config-if-range)#switchport access vlan 10 //设置交换机端口fastethernet0/1、0/2、0/3、0/4、0/5允许访问vlan10，即1-5号端口添加到vlan10中，no swithport access vlan10 可以从vlan10 删除端口成员。 Switch(config-if-range)#exit Switch(config)#end Switch#show vlan //通过以上配置以后，可以使用show vlan命令来验证vlan 配置情况。 二、跨交换机vlan配置trunk 1、交换机A配置trunk如下 SwitchA(config)#interface fastethernet 0/24 SwitchA(config-if)#switchport mode trunk //设置交换机A的端口fastethernet 0/24为trunk模式。工作在trunk模式下的端口称为trunk 端口，trunk端口可以通过多个vlan的流量，通过trunk端口之间的互连，可以实现不同交换机上相同vlan的互通。 SwitchA(config-if)#switchport trunk allowed vlan 10,20 //设置trunk端口允许通过的vlan。 1、交换机B配置trunk如下 SwitchB(config)#interface fastethernet 0/24 SwitchB(config-if)#switchport mode trunk //设置交换机B的端口fastethernet 0/24为trunk模式。工作在trunk模式下的端口称为trunk 端口，trunk端口可以通过多个vlan的流量，通过trunk端口之间的互连，可以实现不同交换机上相同vlan的互通。 SwitchB(config-if)#switchport trunk allowed vlan 10,20 //设置trunk端口允许通过的vlan。
一文读懂VLAN和VXLAN技术 VLAN（Virtual Local Area Network）的中文名为“虚拟局域网”。VLAN是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的数据交换技术。这一技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。但又不是所有交换机都具有此功能，只有VLAN协议的第二层以上交换机才具有此功能。802.1Q的标准的出现打破了虚拟网依赖于单一厂商的僵局，从一个侧面推动了VLAN的迅速发展。 1、交换机端口工作模式简介 交换机端口有三种工作模式，分别是Access，Hybrid，Trunk。 Access类型的端口只能属于1个VLAN，一般用于连接计算机的端口; Trunk类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口; Hybrid类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。 Hybrid端口和Trunk端口在接收数据时，处理方法是一样的，唯一不同之处在于发送数据时：Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许缺省VLAN的报文发送时不打标签。 2、基本概念（tag，untag，802.1Q） untag就是普通的ethernet报文，普通PC机的网卡是可以识别这样的报文进行通讯; tag报文结构的变化是在源mac地址和目的mac地址之后，加上了4bytes的vlan信息，也就是vlan tag头;一般来说这样的报文普通PC机的网卡是不能识别的 下图说明了802.1Q封装tag报文帧结构 带802.1Q的帧是在标准以太网帧上插入了4个字节的标识。其中包含： 2个字节的协议标识符（TPID），当前置0x8100的固定值，表明该帧带有802.1Q的标记信息。
任务1:单交换机上的VLAN划分 1 ．任务目标 掌握在单交换机上进行VLAN 划分的方法。 理解通过VLAN 技术隔离网络的原理。 2．项目所需设备准备 装有Windows XP 操作系统的PC 机4 台。 Cisco 2950 交换机1 台。 Console 控制线1 根。 直通线4 根。 3．网络拓扑结构 4．项目实施步骤 (1) 硬件连接 如图所示，将Console控制线的一端插入PC12计算机的COM1串口，另一端插入交换机的Console接口。 用4根直通线把PC11、PC12、PC21、PC22计算机分别连接到交换机的fa0/2、fa0/3、fa0/13、fa0/14端口上。 开启交换机的电源。 (2) TCP/IP协议配置 配置PC11计算机的IP地址为192.168.1.11，子网掩码为255.255.255.0； 配置PC12计算机的IP地址为192.168.1.12，子网掩码为255.255.255.0； 配置PC21计算机的IP地址为192.168.1.21，子网掩码为255.255.255.0； 配置PC22计算机的IP地址为192.168.1.22，子网掩码为255.255.255.0。 (3) 连通性测试 用ping命令在PC11、PC12、PC21、PC22计算机之间测试连通性，结果填入表5-1中。
(4) VLAN划分 步骤1：在PC12计算机上打开超级终端，配置交换机的VLAN，新建VLAN的方法如下。 步骤2：在特权模式下，输入show vlan命令，查看新建的VLAN。
步骤3：可利用interface range命令指定端口范围，利用switchport access把端口分配到VLAN 中。把端口fa0/1～fa0/12分配给VLAN 10，把端口fa0/13～fa0/24分配给VLAN 20的方法如下。 步骤4：在特权模式下，输入show vlan命令，再次查看新建的VLAN。
Vlan虚拟局域网（附代码） Vlan(Virtual Local Area Network)即虚拟局域网。 虚拟局域网（VLAN）是一组逻辑上的设备和用户，这些设备和用户并不受物理位置的限制，可以根据功能、部门及应用等因素将它们组织起来，相互之间的通信就好像它们在同一个网段中一样，由此得名虚拟局域网。VLAN是一种比较新的技术，工作在OSI参考模型的第2层和第3层，一个VLAN就是一个广播域，VLAN之间的通信是通过第3层的路由器来完成的。与传统的局域网技术相比较，VLAN技术更加灵活，它具有以下优点：网络设备的移动、添加和修改的管理开销减少；可以控制广播活动；可提高网络的安全性。 在计算机网络中，一个二层网络可以被划分为多个不同的广播域，一个广播域对应了一个特定的用户组，默认情况下这些不同的广播域是相互隔离的。不同的广播域之间想要通信，需要通过一个或多个路由器。这样的一个广播域就称为VLAN。 VLAN可以把同一个物理网络划分为多个逻辑网段，因此，Vlan可以抑制网络风暴，增强网络的安全性。 1.vlan 建立： 在全局模式下： vlan database vlan id name renshichu 2.把vlan 对应分给端口： 在配置模式下进入端口：
interface fastEthernet0/1 switch mode access switch access vlan id 3.如果一次把多个端口划分给某个vlan可以使用interface range命 令。 interface range fastEthernet0/1-4 switch mode access switch access vlan id 4.如果一个vlan需要改变id号，直接进入该端口，重新设置即可interface fastEthernet0/1 switch mode access switch access vlan id（新） 5.如果一个一个端口的vlan不在需要了，需要删除，进入该端口， 用no 命令： interface fastEthernet0/1 switch mode access no switch access vlan id（需要删除的id号） 6.查看vlan信息，在全局模式下： show vlan show vlan brief show vlan id 30 show vlan name renshichu
VLAN技术详解 1.VLAN的概念 1.1什么是VLAN VLAN（Virtual Local Area Network）又称虚拟局域网，是指在交换局域网的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。VLAN是一种比较新的技术，工作在OSI参考模型的第2层和第3层，VLAN之间的通信是通过第3层的路由器来完成的。 在此让我们先复习一下广播域的概念。广播域，指的是广播帧（目标MAC地址全部为1）所能传递到的范围，亦即能够直接通信的范围。严格地说，并不仅仅是广播帧，多播帧（Multicast Frame）和目标不明的单播帧（Unknown Unicast Frame）也能在同一个广播域中畅行无阻。 本来，二层交换机只能构建单一的广播域，不过使用VLAN功能后，它能够将网络分割成多个广播域。 那么，为什么需要分割广播域呢？那是因为，如果仅有一个广播域，有可能会影响到网络整体的传输性能。具体原因，请参看附图加深理解。 A B 图中，是一个由5台二层交换机（交换机1～5）连接了大量客户机构成的网络。假设这时，计算机A需要与计算机B通信。在基于以太网的通信中，必须在数据帧中指定目标MAC
地址才能正常通信，因此计算机A必须先广播“ARP请求（ARP Request）信息”，来尝试获取计算机B的MAC地址。交换机1收到广播帧（ARP请求）后，会将它转发给除接收端口外的其他所有端口，也就是Flooding了。接着，交换机2收到广播帧后也会Flooding。交换机3、4、5也还会Flooding。最终ARP请求会被转发到同一网络中的所有客户机上。 请大家注意一下，这个ARP请求原本是为了获得计算机B的MAC地址而发出的。也就是说：只要计算机B能收到就万事大吉了。可是事实上，数据帧却传遍整个网络，导致所有的计算机都收到了它。如此一来，一方面广播信息消耗了网络整体的带宽，另一方面，收到广播信息的计算机还要消耗一部分CPU时间来对它进行处理。造成了网络带宽和CPU运算能力的大量无谓消耗。 广播信息是那么经常发出的吗？ 读到这里，您也许会问：广播信息真是那么频繁出现的吗？ 答案是：是的！实际上广播帧会非常频繁地出现。利用TCP/IP协议栈通信时，除了前面出现的ARP外，还有可能需要发出DHCP、RIP等很多其他类型的广播信息。 ARP广播，是在需要与其他主机通信时发出的。当客户机请求DHCP服务器分配IP地址时 ，就必须发出DHCP的广播。而使用RIP作为路由协议时，每隔30秒路由器都会对邻近的其他路由器广播一次路由信息。RIP以外的其他路由协议使用多播传输路由信息，这也会被交换机转发（Flooding）。除了TCP/IP以外，NetBEUI、IPX和Apple Talk等协议也经常需要用到广播。例如在Windows下双击打开“网络计算机”时就会发出广播（多播）信息。（Windows XP除外……） 总之，广播就在我们身边。下面是一些常见的广播通信： ● ARP请求：建立IP地址和MAC地址的映射关系。 ● RIP：选路信息协议(Routing Infromation Protocol)。 ● DHCP：用于自动设定IP地址的协议。 ● NetBEUI：Windows下使用的网络协议。 ● IPX：Novell Netware使用的网络协议。 ● Apple Talk：苹果公司的Macintosh计算机使用的网络协议。 1.2 VLAN的实现机制 在理解了“为什么需要VLAN”之后，接下来让我们来了解一下交换机是如何使用VLAN分割广播域的。首先，在一台未设置任何VLAN的二层交换机上，任何广播帧都会被转发给除接收端口外的所有其他端口（Flooding）。例如，计算机A发送广播信息后，会被转发给端口2、3、4。