VLAN简介

本文详细介绍了虚拟局域网(VLAN)的概念和技术特点,包括VLAN如何隔离广播风暴、提高网络安全性及简化网络管理等内容。此外还讨论了基于端口、MAC地址和IP地址的VLAN划分方式。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

虚拟局域网
虚拟局域网(VLAN),是指网络中的站点不拘泥于所处的物理位置,而可以根据需要灵活地加入不同的逻辑子网中的一种网络技术。

基于交换式以太网的虚拟局域网在交换式以太网中,利用VLAN技术,可以将由交换机连接成的物理网络划分成多个逻辑子网。也就是说,一个虚拟局域网中的站点所发送的广播数据包将仅转发至属于同一VLAN的站点。

在交换式以太网中,各站点可以分别属于不同的虚拟局域网。构成虚拟局域网的站点不拘泥于所处的物理位置,它们既可以挂接在同一个交换机中,也可以挂接在不同的交换机中。虚拟局域网技术使得网络的拓扑结构变得非常灵活,例如位于不同楼层的用户或者不同部门的用户可以根据需要加入不同的虚拟局域网。

划分虚拟局域网主要出于三种考虑:

第一是基于网络性能的考虑。对于大型网络,现在常用的Windows NetBEUI是广播协议,当网络规模很大时,网上的广播信息会很多,会使网络性能恶化,甚至形成广播风暴,引起网络堵塞。那怎么办呢?可以通过划分很多虚拟局域网而减少整个网络范围内广播包的传输,因为广播信息是不会跨过VLAN的,可以把广播限制在各个虚拟网的范围内,用术语讲就是缩小了广播域,提高了网络的传输效率,从而提高网络性能。

第二是基于安全性的考虑。因为各虚拟网之间不能直接进行通讯,而必须通过路由器转发,为高级的安全控制提供了可能,增强了网络的安全性。在大规模的网络,比如说大的集团公司,有财务部、采购部和客户部等,它们之间的数据是保密的,相互之间只能提供接口数据,其它数据是保密的。我们可以通过划分虚拟局域网对不同部门进行隔离。

第三是基于组织结构上考虑。同一部门的人员分散在不同的物理地点,比如集团公司的财务部在各子公司均有分部,但都属于财务部管理,虽然这些数据都是要保密的,但需统一结算时,就可以跨地域(也就是跨交换机)将其设在同一虚拟局域网之中,实现数据安全和共享。采用虚拟局域网有如下优势:抑制网络上的广播风暴;增加网络的安全性;集中化的管理控制。

基于交换式的以太网要实现虚拟局域网主要有三种途径:基于端口的虚拟局域网、基于MAC地址(网卡的硬件地址)的虚拟局域网和基于IP地址的虚拟局域网。

(1)基于端口的虚拟局域网

基于端口的虚拟局域网是最实用的虚拟局域网,它保持了最普通常用的虚拟局域网成员定义方法,配置也相当直观简单,就局域网中的站点具有相同的网络地址,不同的虚拟局域网之间进行通信需要通过路由器。采用这种方式的虚拟局域网其不足之处是灵活性不好。例如,当一个网络站点从一个端口移动到另外一个新的端口时,如果新端口与旧端口不属于同一个虚拟局域网,则用户必须对该站点重新进行网络地址配置,否则,该站点将无法进行网络通信。在基于端口的虚拟局域网中,每个交换端口可以属于一个或多个虚拟局域网组,比较适用于连接服务器。

(2) 基于MAC地址的虚拟局域网

在基于MAC地址的虚拟局域网中,交换机对站点的MAC地址和交换机端口进行跟踪,在新站点入网时根据需要将其划归至某一个虚拟局域网,而无论该站点在网络中怎样移动,由于其MAC地址保持不变,因此用户不需要进行网络地址的重新配置。这种虚拟局域网技术的不足之处是在站点入网时,需要对交换机进行比较复杂的手工配置,以确定该站点属于哪一个虚拟局域网。

(3)基于IP地址的虚拟局域网

在基于IP地址的虚拟局域网中,新站点在入网时无需进行太多配置,交换机则根据各站点网络地址自动将其划分成不同的虚拟局域网。在三种虚拟局域网的实现技术中,基于IP地址的虚拟局域网智能化程度最高,实现起来也最复杂。 VLAN
使用VLAN优点

    使用VLAN具有以下优点:

    1、控制广播风暴

    一个VLAN就是一个逻辑广播域,通过对VLAN的创建,隔离了广播,缩小了广播范围,可以控制广播风暴的产生。

    2、提高网络整体安全性

    通过路由访问列表和MAC地址分配等VLAN划分原则,可以控制用户访问权限和逻辑网段大小,将不同用户群划分在不同VLAN,从而提高交换式网络的整体性能和安全性。

    3、网络管理简单、直观

    对于交换式以太网,如果对某些用户重新进行网段分配,需要网络管理员对网络系统的物理结构重新进行调整,甚至需要追加网络设备,增大网络管理的工作量。而对于采用VLAN技术的网络来说,一个VLAN可以根据部门职能、对象组或者应用将不同地理位置的网络用户划分为一个逻辑网段。在不改动网络物理连接的情况下可以任意地将工作站在工作组或子网之间移动。利用虚拟网络技术,大大减轻了网络管理和维护工作的负担,降低了网络维护费用。在一个交换网络中,VLAN提供了网段和机构的弹性组合机制。

    三层交换技术

    传统的路由器在网络中有路由转发、防火墙、隔离广播等作用,而在一个划分了VLAN以后的网络中,逻辑上划分的不同网段之间通信仍然要通过路由器转发。由于在局域网上,不同VLAN之间的通信数据量是很大的,这样,如果路由器要对每一个数据包都路由一次,随着网络上数据量的不断增大,路由器将不堪重负,路由器将成为整个网络运行的瓶颈。

    在这种情况下,出现了第三层交换技术,它是将路由技术与交换技术合二为一的技术。三层交换机在对第一个数据流进行路由后,会产生一个MAC地址与IP地址的映射表,当同样的数据流再次通过时,将根据此表直接从二层通过而不是再次路由,从而消除了路由器进行路由选择而造成网络的延迟,提高了数据包转发的效率,消除了路由器可能产生的网络瓶颈问题。可见,三层交换机集路由与交换于一身,在交换机内部实现了路由,提高了网络的整体性能。

    在以三层交换机为核心的千兆网络中,为保证不同职能部门管理的方便性和安全性以及整个网络运行的稳定性,可采用VLAN技术进行虚拟网络划分。VLAN子网隔离了广播风暴,对一些重要部门实施了安全保护;且当某一部门物理位置发生变化时,只需对交换机进行设置,就可以实现网络的重组,非常方便、快捷,同时节约了成本。

交换机充当的角色

    交换机的好处在于其可以隔离冲突域,每个端口就是一个冲突域,因此在一个端口单独接计算机的时候,该计算机是不会与其它计算机产生冲突的,也就是带宽是独享的,交换机能做到这一点关键在于其内部的总线带宽是足够大的,可以满足所有端口的全双工状态下的带宽需求,并且通过类似电话交换机的机制保护不同的数据包能够到达目的地,可以把HUB和交换机比喻成单排街道与高速公路。

    IP广播是属于OSI的第三层,是基于TCP/IP协议的,其产生和原理这里就不多讲了,大家可以看看TCP/IP协议方面的书籍。交换机是无法隔离广播的,就像HUB无法隔离冲突域一样,因为其是工作在OSI第二层的,无法分析IP包,但我们可以使用路由器来隔离广播域,路由器的每个端口可以看成是一个广播域,一个端口的广播无法传到另外一个端口(特殊设置除外),因此在规模较大,机器较多的情况下我们可以使用路由器来隔离广播。
下面开始归入正题。

    通常,只有通过划分子网才可以隔离广播,但是VLAN的出现打破了这个定律,用二层的东西解决三层的问题很是奇怪,但是的确做到了。VLAN中文叫做虚拟局域网,它的作用就是将物理上互连的网络在逻辑上划分为多个互不相干的网络,这些网络之间是无法通讯的,就好像互相之间没有连接一样,因此广播也就隔离开了。

    VLAN的实现原理非常简单,通过交换机的控制,某一VLAN成员发出的数据包交换机只发个同一VLAN的其它成员,而不会发给该VLAN成员以外的计算机。

    使用VLAN的目的不仅仅是隔离广播,还有安全和管理等方面的应用,例如将重要部门与其它部门通过VLAN隔离,即使同在一个网络也可以保证他们不能互相通讯,确保重要部门的数据安全;也可以按照不同的部门、人员,位置划分VLAN,分别赋给不同的权限来进行管理。

    VLAN的划分有很多种,我们可以按照IP地址来划分,按照端口来划分、按照MAC地址划分或者按照协议来划分,常用的划分方法是将端口和IP地址结合来划分VLAN,某几个端口为一个VLAN,并为该VLAN配置IP地址,那么该VLAN中的计算机就以这个地址为网关,其它VLAN则不能与该VLAN处于同一子网。

    如果两台交换机都有同一VLAN的计算机,怎么办呢,我们可以通过VLAN Trunk来解决。

    如果交换机1的VLAN1中的机器要访问交换机2的VLAN1中的机器,我们可以把两台交换机的级联端口设置为Trunk端口,这样,当交换机把数据包从级联口发出去的时候,会在数据包中做一个标记(TAG),以使其它交换机识别该数据包属于哪一个VLAN,这样,其它交换机收到这样一个数据包后,只会将该数据包转发到标记中指定的VLAN,从而完成了跨越交换机的VLAN内部数据传输。VLAN Trunk目前有两种标准,ISL和802.1q,前者是Cisco专有技术,后者则是IEEE的国际标准,除了Cisco两者都支持外,其它厂商都只支持后者。 

 

下一篇将日志内容为:

用思科Boson NetSim for CCNP v6.0 Beta3b设置简易的VLAN

基于端口的虚拟局域网,pc1,pc2用交换机相连,本来可以ping通的,设置vlan后,禁止ping通,将pc1与pc2隔离

 

ensp实验案例任务二:实现华为MUX VLAN配置 MUX VLAN简介 MUX VLAN提供了一种通过VLAN进行网络资源控制的机制。它既可实现VLAN间用户通信,也可实现VLAN内的用户相互隔离。常见的场景有宾馆酒店,小区宽带接入和企业内部。他们的特点是一个宾馆或者一个小区或一个公司同用一个VLAN,但每个房间,每户人家,每个部门又彼此隔离。 与Super VLAN相比,MUX VLAN属于二层交换机功能,Super VLAN属于三层功能,需要三层交换机支持。MUX VLAN对用户间的访问控制灵活性好,但MUX VLAN配置较为复杂。 组网需求 在企业网络中,企业所有员工都可以访问企业的服务器。但对于企业来说,希望企业内部部分员工之间可以互相交流,而部分员工之间是隔离的,不能够互相访问。 如图2所示,Switch1位于网络的汇聚层,作为下挂终端设备的网关设备。Switch2、Switch3、Switch4、Switch5和Switch6为接入层设备,与终端相连的接口都是GE1/0/1,与Switch1相连的接口都是GE1/0/2。此时可在Switch1上部署MUX VLAN特性。MUX VLAN不但能够实现企业需求,同时也解决了VLAN ID紧缺问题,也便于网络管理者维护。 图2 配置MUX VLAN组网图 配置思路 采用如下思路配置MUX VLAN功能: 配置主VLAN的MUX VLAN功能,并配置VLANIF接口,其IP地址可以作为下挂Host及Server的网关IP。 配置Group VLAN功能。 配置Separate VLAN功能。 配置接口加入VLAN并使能MUX VLAN功能。 配置接入层设备接口加入相应VLAN。 操作步骤 配置Switch1的MUX VLAN功能 (记录配置命令): 配置接入层交换机的接口加入相应VLAN(记录配置命令): 检查配置结果 (截图): # Server和HostB、HostC、HostD、HostE二层流量互通。 # HostB和HostC二层流量互通。 # HostD和HostE二层流量不通。 # HostB、HostC和HostD、HostE二层流量不通。 任务二:实现华为MUX VLAN配置 MUX VLAN简介 MUX VLAN提供了一种通过VLAN进行网络资源控制的机制。它既可实现VLAN间用户通信,也可实现VLAN内的用户相互隔离。常见的场景有宾馆酒店,小区宽带接入和企业内部。他们的特点是一个宾馆或者一个小区或一个公司同用一个VLAN,但每个房间,每户人家,每个部门又彼此隔离。 与Super VLAN相比,MUX VLAN属于二层交换机功能,Super VLAN属于三层功能,需要三层交换机支持。MUX VLAN对用户间的访问控制灵活性好,但MUX VLAN配置较为复杂。 组网需求 在企业网络中,企业所有员工都可以访问企业的服务器。但对于企业来说,希望企业内部部分员工之间可以互相交流,而部分员工之间是隔离的,不能够互相访问。 如图2所示,Switch1位于网络的汇聚层,作为下挂终端设备的网关设备。Switch2、Switch3、Switch4、Switch5和Switch6为接入层设备,与终端相连的接口都是GE1/0/1,与Switch1相连的接口都是GE1/0/2。此时可在Switch1上部署MUX VLAN特性。MUX VLAN不但能够实现企业需求,同时也解决了VLAN ID紧缺问题,也便于网络管理者维护。 图2 配置MUX VLAN组网图 配置思路 采用如下思路配置MUX VLAN功能: 配置主VLAN的MUX VLAN功能,并配置VLANIF接口,其IP地址可以作为下挂Host及Server的网关IP。 配置Group VLAN功能。 配置Separate VLAN功能。 配置接口加入VLAN并使能MUX VLAN功能。 配置接入层设备接口加入相应VLAN。 操作步骤 配置Switch1的MUX VLAN功能 (记录配置命令): 配置接入层交换机的接口加入相应VLAN(记录配置命令): 检查配置结果 (截图): # Server和HostB、HostC、HostD、HostE二层流量互通。 # HostB和HostC二层流量互通。 # HostD和HostE二层流量不通。 # HostB、HostC和HostD、HostE二层流量不通。 任务二:实现华为MUX VLAN配置 MUX VLAN简介 MUX VLAN提供了一种通过VLAN进行网络资源控制的机制。它既可实现VLAN间用户通信,也可实现VLAN内的用户相互隔离。常见的场景有宾馆酒店,小区宽带接入和企业内部。他们的特点是一个宾馆或者一个小区或一个公司同用一个VLAN,但每个房间,每户人家,每个部门又彼此隔离。 与Super VLAN相比,MUX VLAN属于二层交换机功能,Super VLAN属于三层功能,需要三层交换机支持。MUX VLAN对用户间的访问控制灵活性好,但MUX VLAN配置较为复杂。 组网需求 在企业网络中,企业所有员工都可以访问企业的服务器。但对于企业来说,希望企业内部部分员工之间可以互相交流,而部分员工之间是隔离的,不能够互相访问。 如图2所示,Switch1位于网络的汇聚层,作为下挂终端设备的网关设备。Switch2、Switch3、Switch4、Switch5和Switch6为接入层设备,与终端相连的接口都是GE1/0/1,与Switch1相连的接口都是GE1/0/2。此时可在Switch1上部署MUX VLAN特性。MUX VLAN不但能够实现企业需求,同时也解决了VLAN ID紧缺问题,也便于网络管理者维护。 图2 配置MUX VLAN组网图 配置思路 采用如下思路配置MUX VLAN功能: 配置主VLAN的MUX VLAN功能,并配置VLANIF接口,其IP地址可以作为下挂Host及Server的网关IP。 配置Group VLAN功能。 配置Separate VLAN功能。 配置接口加入VLAN并使能MUX VLAN功能。 配置接入层设备接口加入相应VLAN。 操作步骤 配置Switch1的MUX VLAN功能 (记录配置命令): 配置接入层交换机的接口加入相应VLAN(记录配置命令): 检查配置结果 (截图): # Server和HostB、HostC、HostD、HostE二层流量互通。 # HostB和HostC二层流量互通。 # HostD和HostE二层流量不通。 # HostB、HostC和HostD、HostE二层流量不通。
最新发布
06-20
### 配置华为交换机 MUX VLAN 的教程 MUX VLAN 是一种灵活的用户隔离和通信解决方案,适用于企业网络中的不同需求。以下是如何在华为设备上配置 MUX VLAN 的详细说明。 #### 1. 配置 Group VLAN 和 Separate VLAN 首先,需要定义 Group VLAN 和 Separate VLAN。Group VLAN 是主 VLAN,Separate VLAN 是从 VLAN,用于进一步划分用户组。 ```shell [HUAWEI] sysname Switch1 [Switch1] vlan batch 10 20 30 [Switch1] mux-vlan [Switch1-mux-vlan] group-vlan 10 [Switch1-mux-vlan-group-vlan-10] separate-vlan 20 [Switch1-mux-vlan-group-vlan-10] separate-vlan 30 ``` 上述命令中,VLAN 10 被设置为主 VLAN(Group VLAN),而 VLAN 20 和 VLAN 30 被设置为从 VLAN(Separate VLAN)。[^1] #### 2. 配置接口以支持 MUX VLAN 接下来,在交换机接口上应用 MUX VLAN 配置,确保端口能够正确识别并处理 VLAN 流量。 ```shell [Switch1] interface GigabitEthernet 0/0/1 [Switch1-GigabitEthernet0/0/1] port link-type hybrid [Switch1-GigabitEthernet0/0/1] port hybrid untagged vlan 10 20 30 [Switch1-GigabitEthernet0/0/1] mux-vlan enable ``` 此步骤将接口配置为 Hybrid 模式,并允许 VLAN 10、20 和 30 的流量通过,同时启用 MUX VLAN 功能。[^1] #### 3. 实现用户隔离与通信需求 根据引用内容[^2],不同 VLAN 默认是二层隔离的,但可以通过三层功能实现 VLAN 间的通信。如果需要 Group VLAN 和 Separate VLAN 之间的通信,可以采用 VLANIF 接口或子接口方案。 例如,创建 VLANIF 接口以实现三层路由功能: ```shell [Switch1] interface Vlanif 10 [Switch1-Vlanif10] ip address 192.168.10.1 255.255.255.0 [Switch1-Vlanif10] quit [Switch1] interface Vlanif 20 [Switch1-Vlanif20] ip address 192.168.20.1 255.255.255.0 [Switch1-Vlanif20] quit [Switch1] interface Vlanif 30 [Switch1-Vlanif30] ip address 192.168.30.1 255.255.255.0 ``` 通过上述配置,可以实现 VLAN 10、20 和 30 之间的三层通信。[^2] #### 4. 验证配置 完成配置后,可以通过以下命令验证 MUX VLAN 的状态和功能是否正常。 ```shell [Switch1] display mux-vlan ``` 此命令将显示所有已配置的 MUX VLAN 信息,包括 Group VLAN 和 Separate VLAN 的映射关系。[^1] --- ### 注意事项 - 确保所有设备支持 MUX VLAN 功能。 - 在实际部署中,需根据具体网络需求调整 VLAN ID 和 IP 地址范围。 - 如果需要更复杂的用户隔离策略,可以结合 ACL 或其他高级功能进行配置。 ---
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值