VLAN技术白皮书.doc

1、VLAN 技术白皮书Baud communication Co.,LTD Page 1 of 19VLAN 技术白皮书VLAN 技术白皮书Baud communication Co.,LTD Page 2 of 19摘要本文详细介绍了当前以太网平台上的主流的几种 VLAN 技术， 以及博达数据通信有限公司的系列以太网交换产品对主流 VLAN 技术的支持和扩展情况， 其中包括基于端口的VLAN 划分、 PVLAN，动态 VLAN 注册协议等等。本文全面地总结了当前的 VLAN 技术发展，并详细介绍了博达数据通信有限公司系列以太网交换产品在 VLAN 技术方面的通用特性和部分独有特性，并结合每个主

2、题，简要的介绍了系列 VLAN 技术在实际的网络组建中的各种应用方式。关键词VLAN， GVRP，PrivateVLAN，SuperVLANVLAN 技术白皮书Baud communication Co.,LTD Page 3 of 191. VLAN 概述VLAN（Virtual Local Area Network）即虚拟局域网，传统的局域网是根据物理网络的拓扑结构来划分的，而虚拟局域网技术是使用逻辑的方式根据不同功能需求、不同项目组或不同的应用将物理网络划分为不同的广播域，IEEE 于 1999 年颁布了 802.1Q 协议标准草案来规范标准化的 VLAN 实现。VLAN 技术允许将一个

3、物理的 LAN 逻辑地划分成各个不同的逻辑网段，每一个逻辑网段形成一个单独的广播域（或称虚拟 LAN，即 VLAN） ，与物理上形成的 LAN 有着相同的属性。但由于它是逻辑地而不是物理地划分，所以同一个 VLAN 内的各个工作站不一定属于同一个物理 LAN 网段。一个 VLAN 内部的广播和单播流量都不会转发到其他 VLAN 中，从而有助于控制网络的流量、简化网络管理、提高网络的安全性。1.1 VLAN 的分类依 据 VLAN 在 交 换 机 上 的 不 同 的 实 现 方 法 ， VLAN 可 以 大 致 划 分 为 4 类 。1.1.1 基于端口划分 VLAN这是目前最常见的划分 VLA

4、N 的方法，这种划分 VLAN 的方法是根据以太网交换机的端口来划分，一台交换机的一个端口可以属于不同的 VLAN，而不同端口可以属于相同的VLAN，比如可以划分 BDCOM S2224 的端口 1 属于为 VLAN 1 和 VLAN 2，端口 210为 VLAN1，端口 1124 属于 VLAN 2，具体如何配置，由用户根据实际需要自己来决定，如果有多个交换机，例如，可以指定交换机 1 的 16 端口和交换机 2 的 14 端口为同一 VLAN，即同一 VLAN 可以跨越多个支持 VLAN 的以太网交换机，这就是 VLAN 的透传特性。IEEE 802.1Q 规范了基于端口划分 VLAN 的

5、国际标准。基于端口划分 VLAN 的方法的优点是配置简单，只要将所有的端口的 VLAN 属性一次性定义一下就可以了。缺点是灵活性不足，比如，用户 A 连接在交换机上属于 VLAN 1 的端口 1 上，当用户 A 由于某种原因离开了端口 1，连接到网络中另一台交换机的端口 2，如果此端口 2 不属于 VLAN 1 的话，那么就需要重新定义该端口的 VLAN 属性。1.1.2 基于 MAC 地址划分 VLAN这 种 划 分 VLAN 的 方 法 是 根 据 每 个 主 机 的 MAC 地 址 来 划 分 ， 即 对 每 个 MAC 地 址VLAN 技术白皮书Baud communication C

6、o.,LTD Page 4 of 19可 以 配 置 属 于 哪 些 VLAN。 这 种 划 分 VLAN 的 方 法 的 优 点 是 比 较 灵 活 ， 就 是 当 用 户 物 理位 置 移 动 时 ， 即 从 一 个 交 换 机 换 到 其 他 的 交 换 机 时 ， VLAN 不 用 重 新 配 置 ， 从 某 种 意 义上 可 以 认 为 这 种 根 据 MAC 地 址 的 划 分 方 法 是 一 种 基 于 用 户 的 VLAN， 这 种 方 法 的 缺 点是 初 始 化 时 ， 所 有 的 用 户 都 必 须 进 行 配 置 ， 如 果 有 几 百 个 甚 至 上 千 个 用 户

7、的 话 ， 配 置 是非 常 累 的 。 基 于 MAC 地 址 划 分 VLAN 所 付 出 的 管 理 成 本 比 较 高 。1.1.3 基于协议划分 VLAN这 种 划 分 VLAN 的 方 法 是 根 据 以 太 网 帧 中 的 协 议 类 型 域 定 义 的 协 议 的 不 同 来 划 分VLAN。 如 ： 使 用 IP 和 IPX 的 用 户 ， 分 别 属 于 不 同 的 VLAN， 而 使 用 SNAP 的 用 户 则 属于 另 外 的 VLAN。这 种 方 法 的 优 点 是 用 户 的 物 理 位 置 改 变 了 ， 不 需 要 重 新 配 置 所 属 的 VLAN， 而

8、且可 以 根 据 协 议 类 型 来 划 分 VLAN， 这 对 网 络 管 理 者 来 说 很 重 要 ， 还 有 ， 这 种 方 法 不 需 要附 加 的 帧 标 签 来 识 别 VLAN， 这 样 可 以 减 少 网 络 的 通 信 量 。这 种 方 法 的 缺 点 是 效 率 低 ， 因 为 检 查 每 一 个 数 据 包 的 网 络 层 地 址 是 需 要 消 耗 处 理 时间 的 (相 对 于 前 面 两 种 方 法 )， 一 般 的 交 换 机 芯 片 都 可 以 自 动 检 查 网 络 上 数 据 包 的 以 太 网祯 头 ， 但 要 让 芯 片 能 检 查 IP 帧 头 ，

9、需 要 更 高 的 技 术 ， 同 时 也 更 费 时 。 当 然 ， 这 与 各 个厂 商 的 实 现 方 法 有 关 。1.1.4 根据 IP 地址划分 VLAN这 种 划 分 VLAN 的 方 法 是 根 据 每 个 主 机 的 IP 地 址 进 行 划 分 的 ， 例 如 将 不 同 的 子 网地 址 划 分 成 不 同 的 VLAN。鉴 于 当 前 业 界 VLAN 发 展 的 趋 势 ， 考 虑 到 各 种 VLAN 划 分 方 式 的 优 缺 点 ， 为 了 最大 程 度 上 地 满 足 用 户 在 具 体 使 用 过 程 中 需 求 ， 减 轻 用 户 在 VLAN 的 具 体

10、 使 用 和 维 护 中的 工 作 量 ， BDCOM S 系 列 交 换 机 采 用 根 据 端 口 来 划 分 VLAN 的 方 法 。VLAN 技术白皮书Baud communication Co.,LTD Page 5 of 191.2 IEEE 802.1QIEEE 802 工 作 组 于 1999 年 正 式 签 发 了 802.1Q 标 准 ， 即 Virtual Bridged Local Area Networks 协 议 ， 规 范 了 VLAN 的 国 际 标 准 实 现 ， 从 而 使 得 不 同 厂 商 之 间 的 VLAN互 通 成 为 可 能 。 802.1Q 协

11、 议 规 定 了 一 段 新 的 以 太 网 帧 字 段 ， 如 图 1 所 示 。 与 标 准 的以 太 网 帧 头 相 比 ， 就 是 在 标 准 帧 格 式 的 源 MAC 地 址 后 插 入 四 字 节 的 802.1Q 标 签 ，所 以 被 称 为 tagged-frame， 而 相 应 的 标 准 格 式 帧 则 被 称 为 untagged-frame。 在 四个 字 节 的 802.1Q 标 签 中 ， 包 含 了 两 个 字 节 的 标 签 协 议 标 识 （ TPID-Tag Protocol Identifier， 它 的 值 是 8100） ， 和 两 个 字 节 的

12、标 签 控 制 信 息 （ TCI-Tag Control Information） ， 见 图 2， TPID 是 IEEE 定 义 的 新 的 类 型 ， 表 明 这 是 一 个 加 了 802.1Q 标签 的 报 文 。图 1 带 有 802.1Q 标 签 的 以 太 网 祯图 2 TCI 格 式 VLAN Identified( VID ): 这 是 一 个 12 位 的 域 ， 指 明 VLAN 的 ID， 一 共 4096 个 ，每 个 支 持 802.1Q 协 议 的 主 机 发 送 出 来 的 数 据 包 都 会 包 含 这 个 域 ， 以 指 明 自 己 所 属VLAN 技术

13、白皮书Baud communication Co.,LTD Page 6 of 19的 VLAN。 Canonical Format Indicator( CFI )： 这 一 位 主 要 用 于 总 线 型 的 以 太 网 与 FDDI、 令 牌 环 网 交 换 数 据 时 的 帧 格 式 。 Priority： 这 3 位 指 明 帧 的 优 先 级 。 一 共 有 8 种 优 先 级 ， 主 要 应 用 于 QoS 中 。目 前 使 用 的 大 多 数 计 算 机 并 不 支 持 802.1Q， 即 计 算 机 发 送 出 去 的 数 据 包 的 以 太 网帧 头 还 不 包 含 这 4

14、 个 字 节 ， 同 时 也 无 法 识 别 这 4 个 字 节 ， 将 来 会 有 软 件 和 硬 件 支 持802.1Q 协 议 的 。 在 博 达 系 列 交 换 机 中 ， 端 口 一 般 分 为 两 种 ， 直 接 连 接 主 机 的 端 口(access)和 连 接 其 它 交 换 机 的 端 口 (trunk)， access 端 口 是 无 法 识 别 和 发 送 802.1Q 报文 的 ， trunk 端 口 可 以 识 别 和 发 送 802.1Q 报 文 。 用 户 可 以 根 据 实 际 情 况 自 行 配 置 端 口的 类 型 。在 交 换 机 中 的 报 文 转 发

15、 过 程 中 ， 802.1Q 报 文 标 识 了 报 文 所 属 的 VLAN， 在 跨 越 交换 机 的 报 文 中 ， 带 有 VLAN 标 签 信 息 的 报 文 尤 其 显 得 重 要 。 例 如 ， 定 义 交 换 机 中 的 1端 口 属 于 VLAN 2， 且 该 端 口 类 型 为 Acess， 当 1 端 口 接 收 到 一 个 数 据 报 文 后 ， 交 换 机会 查 看 该 报 文 中 有 没 有 802.1Q 标 签 ， 如 果 有 标 签 ， 端 口 将 该 报 文 丢 弃 （ 因 为 端 口 是Access 端 口 ， 不 允 许 端 口 接 收 有 标 签 的

16、报 文 ） ， 如 果 没 有 802.1Q 标 签 ， 那 么 ， 交 换 机根 据 1 端 口 所 属 的 VLAN 2， 自 动 给 该 数 据 包 添 加 一 个 VLAN 2 的 标 签 头 ， 然 后 再 将 数据 包 交 给 数 据 库 查 询 模 块 ， 数 据 库 查 询 模 块 会 根 据 数 据 包 的 目 的 地 址 和 所 属 的 VLAN进 行 查 找 ， 之 后 交 给 转 发 模 块 ， 转 发 模 块 看 到 这 是 一 个 包 含 标 签 头 的 数 据 包 ， 根 据 报 文的 出 端 口 的 性 质 来 决 定 是 否 保 留 还 是 去 掉 标 签 头

17、 。 如 果 要 发 送 的 报 文 所 属 于 的 VLAN是 不 需 要 带 标 签 （ 即 属 于 VLAN-Utagged 范 围 ） ， 则 删 除 标 签 头 ， 否 则 保 留 标 签 。 一 般情 况 下 ， 两 个 交 换 机 互 连 的 端 口 除 了 PVID 的 VLAN 报 文 ， 其 它 VLAN 的 报 文 的 标 签 是没 有 必 要 去 掉 的 。VLAN 技术白皮书Baud communication Co.,LTD Page 7 of 191.3 VLAN 的优势使 用 VLAN 与 传 统 的 LAN 相 比 ， 具 有 以 下 优 势 ：1.3.1 减

18、少移动和改变的代价即 所 说 的 动 态 管 理 网 络 ， 也 就 是 当 一 个 用 户 从 一 个 位 置 移 动 到 另 一 个 位 置 是 ， 他的 网 络 属 性 不 需 要 重 新 配 置 ， 而 是 动 态 的 完 成 ， 这 种 动 态 管 理 网 络 给 网 络 管 理 者 和 使 用者 都 带 来 了 极 大 的 好 处 ， 一 个 用 户 ， 无 论 他 到 哪 里 ， 他 都 能 不 做 任 何 修 改 地 接 入 网 络 ，这 种 前 景 是 非 常 美 好 的 。 当 然 ， 并 不 是 所 有 的 VLAN 定 义 方 法 都 能 做 到 这 一 点 。1.3.

19、2 虚拟工作组使 用 VLAN 的 最 终 目 标 就 是 建 立 虚 拟 工 作 组 模 型 ， 例 如 ， 在 企 业 网 中 ， 同 一 个 部 门的 就 好 象 在 同 一 个 LAN 上 一 样 ， 很 容 易 的 互 相 访 问 ， 交 流 信 息 ， 同 时 ， 所 有 的 广 播 包也 都 限 制 在 该 虚 拟 LAN 上 ， 而 不 影 响 其 他 VLAN 的 人 。 一 个 人 如 果 从 一 个 办 公 地 点 换到 另 外 一 个 地 点 ， 而 他 仍 然 在 该 部 门 ， 那 么 ， 该 用 户 的 配 置 无 须 改 变 ； 同 时 ， 如 果 一 个人 虽

20、 然 办 公 地 点 没 有 变 ， 但 他 更 换 了 部 门 ， 那 么 ， 只 需 网 络 管 理 员 更 改 一 下 该 用 户 的 配置 即 可 。 这 个 功 能 的 目 标 就 是 建 立 一 个 动 态 的 组 织 环 境 ， 当 然 ， 这 只 是 一 个 理 想 的 目 标 ，要 实 现 它 ， 还 需 要 一 些 其 他 方 面 的 支 持 。1.3.3 限制广播包按 照 802.1D 透 明 网 桥 的 算 法 ， 如 果 一 个 数 据 包 找 不 到 路 由 ， 那 么 交 换 机 就 会 将 该数 据 包 向 除 接 收 端 口 以 外 的 其 他 所 有 端 口

21、 发 送 ， 这 就 是 桥 的 广 播 方 式 的 转 发 ， 这 样 的 结果 ， 毫 无 疑 问 极 大 的 浪 费 了 带 宽 ， 如 果 配 置 了 VLAN， 那 么 ， 当 一 个 数 据 包 没 有 路 由 时 ，交 换 机 只 会 将 此 数 据 包 发 送 到 所 有 属 于 该 VLAN 的 其 他 端 口 ， 而 不 是 所 有 的 交 换 机 的 端口 ， 这 样 ， 就 将 数 据 包 限 制 到 了 一 个 VLAN 内 。 在 一 定 程 度 上 可 以 节 省 带 宽 。VLAN 技术白皮书Baud communication Co.,LTD Page 8 o

22、f 191.3.4 安全性由 于 配 置 了 VLAN 后 ， 一 个 VLAN 的 数 据 包 不 会 发 送 到 另 一 个 VLAN， 这 样 ， 其 他VLAN 的 用 户 的 网 络 上 是 收 不 到 任 何 该 VLAN 的 数 据 包 ， 这 样 就 确 保 了 该 VLAN 的 信 息不 会 被 其 他 VLAN 的 人 窃 听 ， 从 而 实 现 了 信 息 的 保 密 。VLAN 技术白皮书Baud communication Co.,LTD Page 9 of 192. GVRP 协议GVRP协议是一种与VLAN有着紧密的联系的协议，它提供了一种机制用来维护动态VLAN

23、信息，并将本地的VLAN信息扩散到其它支持GVRP协议的交换机中，以达到 VLAN信息共享的目的。通过 GVRP 协议获取的 VLAN 信息被称为动态 VLAN 信息 (Dynamic vlan entry)，而用户手工配置的 VLAN 信息则被称为静态 VLAN 信息(Static vlan entry)。 2.1 GARP 协议介绍GARP( Generic Attribute Registration Protocol) 是一种通用的属性 Attribute 注册协议，它为处于同一个交换网内的交换成员之间提供了动态分发传播注册某种属性信息的一种手段。这里的属性可以是 VLAN， 组播 M

24、AC 地址和端口过滤模式等特征信息。GARP 协议实际上可以承载多种交换机需要传播的属性特性，所以 GARP 协议在交换机中存在的意义就是通过各种 GARP 应用协议体现出来。目前定义了 GMRP (GARP Multicast Registration Protocol) 和 GVRP (GARP VLAN Registration Protocol )两个协议，以后会根据网络发展的需要定义其它的特性。在 GARP 协议中，每个运行 GARP 协议的实体，被称为 GARP Participant，在具体的应用中，Participant 可以是交换机每个启动 GARP 协议的端口。在图 3 中

25、，显示了 GARP的结构。VLAN 技术白皮书Baud communication Co.,LTD Page 10 of 19图 3 GARP 体系结构在 GARP Participant 中，GARP Application 组件负责属性值的管理，GARP 协议报文的接收和发送。 GARP Application 组件利用 GID 组件和操作时的状态机，以及 GIP 组件控制协议实体之间的消息交互。GID 组件(GARP Information Declaration)是 GARP 协议的核心组件，一个 GID 实例如图 6 所示包含了当前所有属性值的状态。每个属性的状态由该属性的状态机决定

26、。每个属性的状态机有两个：Applicant 和 Registrar，其中 Registrar 状态机负责属性的注册，注销等，并决定协议内部定时器的启动和停止。Applicant 状态机负责决定协议报文的发送。VLAN 技术白皮书Baud communication Co.,LTD Page 11 of 19图 4 GID 组件模型GID 的具体操作由以下情况决定：a）Applicant 状态迁移表（表略，见具体协议 802.1d）b）Registrar 状态迁移表（表略，见具体协议 802.1d）c）记录 Applicant 的每一个属性的当前声明状态的 Applicant 状态机和 Reg

27、istrar 状态机d）GID 服务原语有二种服务原语可以使得 GID 通过指定的端口进行属性声明或撤销声明：（1）GID_JOIN.request（attribute_type，attribute_value ）（2）GID_LEAVE.request （ attribute_type，attribute_value）有二种服务原语可以要求 GID 在指定的端口上进行属性注册和撤销：（1）GID_JOIN. indication（attribute_type，attribute_value ）（2）GID_LEAVE. indication （attribute_type，attribute

28、_value ）GIP 组件（GARP Information Propagation )负责将属性信息从一个 Participant 传播到其他 Participant，实质上，是将属性信息在 Participant 的 GID 组件之间传递。GIP 组件从一个 Participant 接收到 GID_JOIN.indication，就产生 GID_JOIN.request 到其他Participant 上。同样， GIP 组件从一个 Participant 接收到 GID_LEAVE.indication，产生一个 GID_LEAVE.request 到其他 Participant 上。V

29、LAN 技术白皮书Baud communication Co.,LTD Page 12 of 19在协议中，GARP 定义了以太网交换机之间交换各种属性信息的方法，包括如何发送和接收协议消息，如何处理接收到的不同的协议消息，如何维护协议状态机之间的跃迁等等。通过 GARP 的协议机制，一个 GARP 成员所知道的配置信息会迅速传播到整个交换网。GARP 成员可以是终端工作站或交换机。GARP 成员通过注册消息或注销消息通知其他的 GARP 成员注册或注销自己的属性信息，并根据其他 GARP 成员的注册消息或注销消息注册或注销对方的属性信息。 不同的GARP 成员之间的协议消息就是这些注册消息或

30、注销消息的具体形式。 GARP 的协议消息类型有六种分别为 JoinIn，JoinEmpty， Leave Empty， Leave In，Empty， 和LeaveAll。 当一个 GARP 成员希望注册某属性信息时将对外发送 Join 消息，当一个 GARP 应用实体希望注销某属性信息时将对外发送 Leave 消息。每个 GARP 成员启动后将同时启动 LeaveAll 定时器，当 LeaveAll 定时器超时后将对外发送 LeaveAll 消息，JoinEmpty 消息与 Leave 消息配合确保属性信息的注销或重新注册。通过这五种消息交互，所有待注册或待注销的属性信息得以动态地反映到交

31、换网中的所有交换机。GARP 应用协议的协议数据报文都有特定的目的 MAC 地址，在支持 GARP 特性的交换机中接收到 GARP 应用协议的报文时，根据 MAC 地址加以区分后交由不同的应用协议模块处理，如 GVRP 或 GMRP。图 5 是 GARP 报文协议内容的结构，在 GARP 报文中，包含有多个Message，Message 由属性类型和属性列表两部分组成，属性列表是多个属性的集合，每个属性通过长度，类型，属性值等值来定义。在 GARP 不同的应用中，通过设置属性的内容，就可以注册和传播不同的属性信息。GVRP 协议中，属性为 VLAN 信息，GMRP 协议中，属性则为多播地址信息

32、。以 GVRP 为例，每个属性值是 VLAN ID，类型则取决于协议的状态机。VLAN 技术白皮书Baud communication Co.,LTD Page 13 of 19图 5 GARP 报文结构2.2 GVRP 协议GVRP （ GARP VLAN Registration Protocol） ， GARP VLAN 注册协议是 GARP 所定义的一种应用协议，它基于 GARP 的协议机制动态维护交换机中的 VLAN 信息。所有支持GVRP 特性的交换机能够接收来自其他交换机的 VLAN 注册信息，并动态更新本地的VLAN 注册信息，其中包括交换机上当前的 VLAN，以及 这些 VL

33、AN 包含了哪些端口等，而且所有支持 GVRP 特性的交换机能够将本地的 VLAN 注册信息向其他交换机传播，以便根据需要使同一交换网内所有支持 GVRP 特性的设备的 VLAN 配置在互通性上达成一致。通过 GVRP 传播的 VLAN 注册信息既包括本地手工配置的静态 VLAN 信息，也包括来自其他交换机中的动态 VLAN 信息。对 GVRP 特性的支持使得不同的交换机上的 VLAN 信息可以由协议动态维护和更新，用户只需要对少数交换机进行 VLAN 配置即可应用到整个交换网络，无需耗费大量时间进行拓朴分析和配置管理，协议会自动根据网络中 VLAN 的配置情况，动态地传播 VLAN 信息并配

34、置在相应的端口上。VLAN 技术白皮书Baud communication Co.,LTD Page 14 of 192.3 GVRP 协议组网方案图 6 是一个典型的利用 BDCOM Switch GVRP 应用组网图，其配置步骤如下：图 6 BDCOM 系列以太网交换机 GVRP 应用组网图（1）将所有与其它交换机相连的端口均设置为 Trunk 端口，并设置允许添加所有的VLAN 到这些 Trunk 端口。（2）在各个接入交换机上手工创建了如表 3 所示的静态 VLAN：表 1 启动 GVRP 前交换机 VLAN 配置情况交换机 交换机上的VLANTrunk 端口 1上的 VLANTrun

35、k 端口 2上的 VLANTrunk 端口 3上的 VLAN接入交换机 C 10-20 10-20 NULL NULL接入交换机 D 20-30 20-30 NULL NULL接入交换机 E 20-40 20-40 NULL NULL接入交换机 F 30-40 30-40 NULL NULL核心交换机 A NULL NULL NULL NULL接入交换机 B NULL NULL NULL NULL（3）在各个交换机中全局启动 GVRP，并分别启动各个相连 Trunk 端口的 GVRP， 设置各个端口的 GVRP 注册类型为缺省值 Normal 。那么启动 GVRP 后，所有启动 GVRP 的

36、Trunk 端口将会根据协议学习到配置在其它交换机上的 VLAN，并将这些 VLAN 配置到相应的 Trunk 端口上，那么整个网络中的 VLAN配置情况如表 4 所示，其中除了各 Trunk 端口所在的交换机本身配置的静态 VLAN 外其它VLAN 都是通过 GVRP 协议学习到的动态 VLAN：表 2 启动 GVRP 后交换机 VLAN 配置情况交换机 交换机上的 Trunk 端口 1 Trunk 端口 2 Trunk 端口 3核 心 交 换 机 A 核 心 交 换 机 B接 入 交 换 机 C接 入 交 换 机 D接 入 交 换 机 E接 入 交 换 机 F1 11 1123 321VL

37、AN 技术白皮书Baud communication Co.,LTD Page 15 of 19VLAN 上的 VLAN 上的 VLAN 上的 VLAN接入交换机 C 10-40 10-40 NULL NULL接入交换机 D 10-40 10-40 NULL NULL接入交换机 E 10-40 10-40 NULL NULL接入交换机 F 10-40 10-40 NULL NULL核心交换机 A 10-40 10-20 20-30 20-40接入交换机 B 10-40 30-40 20-40 10-30VLAN 技术白皮书Baud communication Co.,LTD Page 16 o

38、f 193. PRIVATEVLAN3.1 PrivateVLAN 定义PrivateVLAN，简称 PVLAN。一个 PVLAN 是一个广播域，与 VLAN 不同的是，PVLAN 提供在该广播域中实现端口之间的 2 层隔离功能，属于 PVLAN 的端口分为以下三种接口类型，Promiscuous 端口，Isolated 端口，Community 端口。1、 Promiscuous 端口，即混杂端口。该类型的端口能同 PVLAN 内的所有端口进行报文转发，包括 PVLAN 的 isolated 和 community 类型的端口；2、 Isolated 端口，即隔离端口。一个隔离端口除了与混杂

39、端口可以进行报文转发外，该类型端口将与其他端口完全隔离。PVLAN 只允许混杂端口的报文能从隔离端口转发出去，其它端口的报文到该端口将完全被阻塞；同样从隔离端口接收的报文则只允许转发到混杂端口，到其他端口的数据报文将完全被阻塞。3、 Community 端口，即通信端口。通信类型的端口只会与混杂类型的端口和同一通信端口内部进行报文转发，而与隔离类型端口禁止报文转发。通信类型的端口将与其他隔离端口完全隔离，同时不同通信类型之间的端口也完全隔离。主 机 A 主 机 B 主 机 C 主 机 D 主 机 E 主 机 FPrivate VLANF0/1 F0/5 F0/6F0/3 F0/4F0/2主 机

40、 G 主 机 HF0/7 F0/8如上图：在 PVLAN 中，端口 1、2 是混杂端口，3、4 是一种通信端口，5 、6 是另一种通信端口，7、 8 是隔离端口。则，1 、2 能与其它的所有端口进行通信，3、4 只能与 1、2 以及 3、4 之间可以相互通信，5 、6 只能与 1、2 以及 5、6 之间可以相互通信，7 只能与 1、2通信，8 只能与 1、2 通信。VLAN 技术白皮书Baud communication Co.,LTD Page 17 of 193.2 PrivateVLAN 方案InternetMailServer InternetRouterSwitchNMS部 门 A

41、部 门 B部门 A 和部门 B 的主机、网关 NMS、Mail 服务器以及 Internet 接入路由器均与交换机相连。上面示意的组网中部门 A 和部门 B 的主机、网关 NMS 都需要能够访问 Mail 服务器和 Internet，同时 Internet 用户也要能够访问 Mail 服务器，显然交换机与 Mail 服务器和Router 相连的端口是 Promiscuous 端口；部门 A 内部的员工相互能通信，但不能访问部门B 以及 NMS，同样部门 B 也象 A 一样实现隔离，故交换机与部门 A 相连的端口是一组Community 端口，交换机与部门 B 相连的端口是另一组 Communi

42、ty 端口；而 NMS 只能访问Mail 服务器、和接入路由器，故交换机与 NMS 相连的端口是 Isolated 端口。VLAN 技术白皮书Baud communication Co.,LTD Page 18 of 194. SUPERVLAN4.1 介绍SuperVLAN 是一个三层功能，它只实现在三层交换机上。SuperVLAN 主要解决供应商 IP 地址利用率的问题，它将几个虚拟广播域（VLAN ）绑定到一个更大的一个超级虚拟网络（SuperVLAN） ，这几个虚拟广播域并不需要真正的子网网段，只需要实现 IPv4 的通信即可，这样可以分配给超级虚拟网络一个子网网段，让这些虚拟广播域公

43、用该子网网段，使用统一的路由网关。这样，每个虚拟广播域可以任意的定义网络大小而不受子网网段的限制，同时节约了 IP 地址的使用，很好的解决了 IP 地址匮乏的问题。每一个虚拟广播域（VLAN）都会实现广播的隔离，这样整个 SuperVLAN 内就不会出现广播风暴。主 机 A1 主 机 A2 主 机 B1 主 机 C1 主 机 B2SwitchRouter如上图示：主机 A.1 和 A.2 属于用户 A，并划分到 VLAN A；主机 B.1 和 B.2 属于用户 B 并划分到 VLAN B；而主机 C.1 属于用户 C，划分到 VLAN C。按照通常做法，每一个 VLAN 都将分配一个 IP 子

44、网，分配子网时将要考虑初始化的IP 地址空间，如表所示：用户 IP 子网 网关地址 可用主机数 用户主机数A 1.1.1.0/28 1.1.1.1 14 13B 1.1.1.16/29 1.1.1.17 6 5C 1.1.1.24/30 1.1.1.25 2 1用户 A 最开始时只有两个主机，为了满足主机可能增加到 10 个主机的需求，故，给用户 A 分配拥有 16 个地址的子网 1.1.1.0/28，第一个地址是 1.1.1.0，表示是子网地址，最后一个地址是 1.1.1.15，表示子网的广播地址，第一个可用的地址是 1.1.1.1，用于作为子网内主机的默认网关地址，然后就剩下 13 个可以

45、提供给用户使用的地址，足够满足用户 A使用的地址数。以此类推，用户 B 分配子网 1.1.1.16/29，网关是 1.1.1.17，可用主机数是 5 个。用户C 分配子网 1.1.1.24/30，网关是 1.1.1.25，可用主机数是 1 个。三个用户总共需要 16 个地址，然而方案实现却占用了 28 个 IP 地址，而且当用户需要增加主机时，例如，当用户 C 增加两台主机，C 分配的子网 1.1.1.24/30 就不够使用，这时VLAN 技术白皮书Baud communication Co.,LTD Page 19 of 19需要另行分配子网，如，给 C 分配子网 1.1.1.32/29，这

46、时还需要重新设置网关。SuperVLAN 可以解决上面的问题，将 VLAN A、VLAN B 和 VLAN C 看作SuperVLAN 的的子 VLAN（SubVLAN、一个虚拟广播域） ，SuperVLAN 就是一个 IP 的子网，该子网的网关是 SuperVLAN 的管理地址，地址分配如下图：用户 IP 子网 网关地址 可用主机数 用户主机数A 1.1.1.0/24 1.1.1.1 254 13B 1.1.1.0/24 1.1.1.1 254 5C 1.1.1.0/24 1.1.1.1 254 1SuperVLAN 提供主机 IP 地址是 254 个，除去网关地址，A、B、C 可以使用的 IP 地址是 253 个，明显节约了 IP 地址，提高了 IP 地址的使用率。