1、第6讲 虚拟局域网（1）,学习目标,通过本讲的学习，希望您能够：理解虚拟局域网的概念理解虚拟局域网的用途和优点理解虚拟局域网的类型掌握802.1Q标准掌握VLAN的配置方法掌握Trunk的配置方法,复习,广播域：1.一台24端口的集线器，其广播域有多大？ 2.一台24端口的交换机，其广播域有多大？3.三台级联在一起的24端口的交换机，其广播域有多大？,复习,交换机什么时候将采用广播通信？TCP/IP网络中什么协议采用广播式通信？,引言交换网络中广播的问题,发送未知帧广播！发送不在同一交换机中的帧还是广播！在交换机组成的网络里所有主机都在同一个广播域内。,F0/1,F0/2,F0/3,A,B,C
2、,F0/1,F0/2,F0/3,E,F,G,F0/1,F0/2,F0/3,H,I,J,引言交换网络中的数据安全问题,要点：通过VLAN技术可以分割广播域，对网络进行一个安全的隔离,交换网络在数据安全上存在的问题学校或公司各部门组成局域网，并共享一条链路访问互联网。但其中有些重要部门的数据不能被其他部门随意访问；一台交换机内所有主机直接可以访问，如何隔离？解决办法之二：用路由器划分子网：路由技术解决办法之一：VLAN（虚拟局域网）将物理网络进行逻辑划分，不受地理位置限制。每个VLAN具有物理网络的所有特性。,引言交换网络中问题的解决路由技术,F0/1,F0/2,F0/3,A,B,C,F0/1,F
3、0/2,F0/3,E,F,G,F0/1,F0/2,F0/3,H,I,J,将网络进行物理划分，通过路由器实现不同网络互相访问，此受地理位置限制，不够灵活，且代价较高。,引言交换网络中问题的解决VLAN技术,VLAN20,将物理网络进行逻辑划分，不受地理位置限制。每个VLAN具有物理网络的所有特性。要点：通过VLAN技术可以对网络进行一个安全的隔离、分割广播域,VLAN10,VLAN30,VLAN40,第3章 控制交换网络中的广播流量VLAN技术,理解虚拟局域网的概念理解虚拟局域网的用途和优点理解虚拟局域网的类型掌握802.1Q标准掌握VLAN的配置方法掌握Trunk的配置方法,教学大纲要求：,第
4、0节 引言第一节 VLAN技术及单交换机VLAN基本配置第二节 跨交换机VLAN技术及基本配置第三节 VLAN间的通信第四节 VLAN排错,本章内容,VLAN （Virtual Local Area Network）VLAN是在一个物理网络上划分出来的逻辑网络。这个网络对应于OSI 模型的第二层网络。VLAN的划分不受网络端口的实际物理位置的限制。VLAN 有着和普通物理网络同样的属性。VLAN 隔离广播域，第二层的单播、广播和多播帧在一个VLAN内转发、扩散，而不会直接进入其他的VLAN之中。也就是说，只有位于同一个VLAN中的主机才能直接相互通信，而位于不同VLAN中的主机之间是不能直接相
5、互通信的。,第一节 VLAN技术及基本配置,VLAN的概念,VLAN的特点：基于逻辑的分组不受物理位置限制在同一VLAN内和真实局域网相同不同VLAN内用户要通信需要借助三层设备,VLAN的用途,控制不必要的广播报文的扩散 提高网络带宽利用率，减少资源浪费划分不同的用户组，对组之间的访问进行限制增加安全性,与物理位置无关的VLAN,工程部,销售部,财务部,一层,二层,三层,VLAN的优点,限制广播包安全性虚拟工作组减少移动和改变的代价,3.1.1 VLAN概述,VLAN的种类:基于端口的VLAN针对交换机的端口进行VLAN的划分，不受主机的变化影响基于协议的VLAN在一个物理网络中针对不同的网
6、络层协议进行安全划分基于MAC地址的VLAN基于主机的MAC地址进行VLAN划分，主机可以任意在网络移动而不需要重新划分基于组播的VLAN基于组播应用进行用户的划分基于IP子网的VLAN针对不同的用户分配不同子网的IP地址，从而隔离用户主机，一般情况下结合基于端口的VLAN进行应用,3.1.1 VLAN概述,VLAN的实现 从实现的方式上看，所有VLAN 均是通过交换机软件实现的。从实现的机制或策略划分，VLAN分为静态VLAN 和动态VLAN。（1）静态VLAN静态VLAN 中，由网络管理员根据交换机端口进行静态的VALN分配，当在交换机上将其某一个端口分配给一个VLAN时，将一直保持不变直
7、到网络管理员改变这种配置，所以又被称为基于端口的VLAN。（2）动态VLAN动态VLAN是指交换机上以联网用户的MAC 地址、逻辑地址（如IP地址）或数据包协议等信息为基础将交换机端口动态分配给VLAN的方式。当用户的主机连入交换机端口时，交换机通过检查VLAN管理数据库中相应的关于MAC 地址、逻辑地址（如IP地址）或数据包协议的表项，以相应的数据库表项内容动态地配置相应的交换机端口。,3.1.2 单交换机基于端口的VALN:Port VLAN,概述：将单个交换机的不同的端口划分为不同的VLAN。,一个端口只属于一个VLAN， 该端口用于连接终端主机。,基于端口的VLAN,目前是最常用的划分
8、VLAN的方法,VLAN 10,2 4 6 8 10 12 14 16 18 20 22 24,VLAN 20,1 3 5 7 9 11 13 15 17 19 21 23,2.Port-vlan原理：在MAC地址表中增加VLAN ID字段，通过查找MAC地址表，交换机对发往不同VLAN的数据不转发。,F0/1,F0/2,F0/3,A,B,C,Vlan 10,Vlan 20,Vlan 10,A BA C,X,3.1.2 单交换机基于端口的VALN:Port VLAN(续),VLAN标准,802.1Q协议,配置过程： 第一步：创建VLAN 第二步：将端口加入VLAN,3.配置Port VLAN：
9、,3.1.2 单交换机基于端口的VALN:Port VLAN(续),创建VLAN100，将它命名为test的例子Switch# configure terminal ！ 由特权模式进入全局模式Switch(config)# vlan 100 ！ 创建VLAN100，并进入到VLAN模式Switch(config-vlan)# name test ！ 将VLAN100命名为testSwitch(config-vlan)# end （或exit) ！ 退出VLAN模式，返回 模式,3.配置Port VLAN-Access：创建VLAN，并加入一个端口,3.1.2 单交换机基于端口的VALN:Por
10、t VLAN(续),1.编号为1的VLAN为系统默认VLAN，用户无法创建， 也无法删除。2.所创建VLAN的编号介于24094 。3. 创建VLAN时编号不必连续。4. 语句 Switch(config)# vlan 100 Switch(config-vlan)# name test可以合并为 Switch(config)# vlan 100 name test,创建VLAN注意事项：,3.1.2 单交换机基于端口的VALN:Port VLAN(续),把ethernet 0/10作为access口加入了VLAN100 Switch# configure terminalSwitch(con
11、fig)# interface fastethernet 0/10Switch(config-if)# switchport mode accessSwitch(config-if)# switchport access vlan 100Switch(config-if)# end注：端口工作模式可分为access模式及trunk模式。,Port VLAN，即将连接主机的端口设成access模式。,3.配置Port VLAN-Access：创建VLAN，并加入一个端口,3.1.2 单交换机基于端口的VALN:Port VLAN(续),交换机端口工作模式：,Vlan 10,Vlan 20,Vla
12、n 10,Vlan 20,F0/1,F0/5,F0/1,F0/6,Trunk模式,access模式,access模式,将一组接口加入某一个VLANSwitch(config)# vlan 20 /创建VLAN20Switch(config-vlan)# exit Switch(config)#interface range fastethernet 0/1-10，0/15，0/20/选择端口组fastethernet 0/1-10， 0/15，0/20Switch(config-if-range)#switchport access vlan 20/将该端口组加入到VLAN20中；注：连续接口
13、 0/1-10，不连续接口用逗号隔开，但一定要写明模块编号,3.1.2 单交换机基于端口的VALN:Port VLAN(续),4.配置Port VLAN-Access：将一组端口加入VLAN,将不同的PC机接入同一VLAN中的不同端口ping结果：可以ping通将不同的PC机接入不同VLAN中的不同端口ping结果：不能ping通注意：各PC机的IP地址要在同一子网中，在我校网络实验室中，PC机的IP地址就是指本地连接2的IP地址，必须设置在192.168.1.X之外。,3.1.2 单交换机基于端口的VALN:Port VLAN(续),5.验证Port VLAN-Access：,VLAN配置思
14、考题：,将端口加入VLAN时，如果该VLAN尚没有创建，怎么办？创建VALN的方法有哪些种类？如何删除一个VLAN？删除VLAN的步骤是什么？访问端口可以加入多个VLAN吗？,实验 单交换机基于端口的VALN的配置与验证,【试验目的】通过VLAN技术的实现交换机端口隔离 。【试验设备】1台S2126G(SA) 【试验拓扑】：见下图,F0/1,F0/2,F0/6,Vlan 10,Vlan 20,Vlan 10,Vlan 20,F0/7,PC1,PC2,PC3,PC4,【地址规划】：PC1：192.168.10.1 PC3:192.168.10.3PC2：192.168.10.2 PC4:192.
15、168.10.4,实验 单交换机基于端口的VALN的配置与验证,试验步骤与验证测试：1. 未划分VLAN时 将不同的PC机接入同一交换机的不同端口ping结果：可以ping通2.划分VLAN后（1）将不同的PC机接入同一VLAN中的不同端口ping结果：可以ping通（2）将不同的PC机接入不同VLAN中的不同端口ping结果：不能ping通注意：各PC机的IP地址要在同一子网中,3.2.1 跨交换机VALN,不同交换机上的相同VLAN之间如何连接？,VLAN 10,VLAN 20,VLAN 30,VLAN 10,VLAN 20,VLAN 30,1.传输多个VLAN的信息2.实现同一VLAN跨
16、越不同的交换机,3.2.1 跨交换机基于端口的VALN :Tag VLAN,在Trunk链路上传输多个VLAN信息要求Trunk至少要100M。,概述：将多个交换机的不同的端口划分为不同的VLAN，实现同一VLAN的跨交换机通信。,802.1Q帧格式,目的,源MAC地址,类型 数据,帧校验序列FCS,2字节标签协议标识TPID2字节标签控制信息TCI,标签协议标识（Tag Protocol Identifier)：固定值0x8100,表示该帧载有802.1q标记信息标签控制信息（Tag Control Information)：它包括如下几个子域：Priority： 3比特。表示用户优先级；C
17、FI(Canonical format indicator)： 1比特。取值0，表示该数据帧为规范格式。否则为非规范格式。默认值为0；VlanID ： 12比特，表示VLAN标识符VID，取值范围14094，锐捷交换机最多支持250个VLAN。默认为VLAN1。,2.Tag VALN标准 IEEE802.1Q数据帧:,3.2.1 跨交换机基于端口的VALN :Tag VLAN（续）,3. 802.1Q工作原理,802.1Q工作特点：802.1Q数据帧传输对于用户是完全透明的。Trunk上默认会转发交换机上存在的所有VLAN的数据。交换机在从Trunk口转发数据前会在数据打上个Tag标签，在到达
18、另一交换机后，再剥去此标签。,A,交换机1,交换机2,B,数据帧,Tag标签,Trunk,Trunk,Trunk链路,3.2.1 跨交换机基于端口的VALN :Tag VLAN（续）,总结：交换机的端口,ACCESS端口UnTagged端口，即接入端口 Access端口只能属于一个VLAN，它发送的帧不带有VLAN标签，一般用于连接计算机的端口 Trunk端口Tag Aware端口，即干道接口 可以允许多个VLAN通过，它发出的帧一般是带有VLAN标签的，一般用于交换机之间连接的端口,4. 配置Tag VLAN-Trunk,把Fa 0/24配成Trunk口Switch# configure t
19、erminalSwitch(config)# interface fastethernet 0/24Switch(config-if)# switchport mode trunk注意：只有交换机间的连接端口才配置为trunk模式连接计算机的端口一般配置为access模式（默认值）,3.2.1 跨交换机基于端口的VALN :Tag VLAN（续）,3.2.2 无标签（UNTAG）VLAN：Native VLAN,1. Native VLAN概述Trunk口能够收发TAG或者UNTAG的802.1Q帧，其中UNTAG帧用于传输Native VLAN数据帧；所谓native VLAN，就是指在这个
20、接口上收发的UNTAG报文，都被认为是属于这个VLAN的。显然，这个接口的缺省VLAN ID（即IEEE 802.1Q中的PVID）就是native VLAN的VLAN ID。配置了Native VLAN的相关VLAN数据包，在trunk链路上传输时不打4个字节的标签(TAG)；作为Trunk，这个口要属于一个native VLAN。在Trunk上发送属于native VLAN的帧，则必然采用UNTAG的方式。2.配置Native VLANSwitch(config-if)# switchport trunk native vlan vlan-id如： Switch(config-if)# s
21、witchport trunk native vlan 203.注意：每个Trunk口的缺省Native VLAN是VLAN 1；在配置Trunk链路时，请确保连接链路两端的Trunk口属于相同的Native VLAN,802.1Q的缺省VLAN,一个802.1Q的Trunk端口有一个缺省VLAN的ID值802.1Q不为缺省VLAN的帧打标签,没有打标签的VLAN流量（缺省VLAN）,VLAN 3,VLAN 2,VLAN 1,VLAN 3,VLAN 2,VLAN 1,Trunk,Trunk,集线器,默认条件下，Trunk上会转发交换机上存在的所有VLAN的数据。但是你可以定义Trunk上不传输
22、特定VLAN的数据帧。其格式为 switchport trunk allowed vlanall|add|remove|exceptvlan-id下面是一个把端口0/20 配置为TRUNK端口，但是不包含VLAN 2的例子：Switch(config)# interface fastethernet 0/20Switch(config-if)# switchport trunk allowed vlan remove 2Switch(config-if)# end,3.2.3 配置特殊的Tag VLAN-Trunk,3.2.4 VLAN的管理,1.显示VLAN信息Switch# show vl
23、an vlan-id2.将VLAN信息保存到flash中Switch#write memory3. 从RAM中删除VLANSwitch(config)#no vlan VLAN-id4.从flash中清除VLAN信息Switch#delete flash:vlan.dat注意：它需要15级密码。,查看VLAN,Switch#show vlanVLAN Name Status Ports - - - -1 default active Fa0/1 ,Fa0/2 ,Fa0/3 , Fa0/4 ,Fa0/6 ,Fa0/9 Fa0/16,Fa0/17,Fa0/18 , Fa0/19,Fa0/20,Fa0/21 Fa0/22,Fa0/23,Fa0/2410 gongcheng active Fa0/1 ,Fa0/5 ,Fa0/7 20 xiaoshou active Fa0/1 ,Fa0/8 ,Fa0/10 ,Fa0/11,Fa0/12,Fa0/13 Fa0/14,Fa0/15,3.2.5 VLAN总结,Port vlan基于交换机端口进行VLAN的划分一个端口只能属于一个VLAN一个VLAN可以包含多个端口接口模式为access用于连接最终用户设备Tag vlan一个端口可以属于多个VLAN默认情况下属于所有VLAN接口模式为trunk用于交换机之间级联,
