第三章配置VLAN

《第三章配置VLAN》由會員分享，可在線閱讀，更多相關(guān)《第三章配置VLAN（10頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、——VLAN技術(shù)—— 第三章 配置VLAN 一、 VLAN（Virtual Local Area Network，虛擬局域網(wǎng)） 1、VALN概述 VLAN是一種將局域網(wǎng)設(shè)備從邏輯上劃分（注意，不是從物理上劃分）成一個個網(wǎng)段，從而實現(xiàn)虛擬工作組的新興數(shù)據(jù)交換技術(shù)。VLAN所指的LAN特指使用路由器分割的網(wǎng)段——也就是廣播域。廣播域，指的是廣播幀（目標(biāo)MAC地址全部為1）所能傳遞到的范圍，亦即能夠直接通信的范圍。嚴格地說，并不僅僅是廣播幀，多播幀（Multicast Frame）和目標(biāo)不明的單播幀（Unknown Unicast Frame）也能在同一個廣播域中暢行無阻。本來

2、，二層交換機只能構(gòu)建單一的廣播域，不過使用VLAN功能后，它能夠?qū)⒕W(wǎng)絡(luò)分割成多個廣播域。 通過將企業(yè)網(wǎng)絡(luò)劃分為虛擬網(wǎng)絡(luò)VLAN網(wǎng)段，可以強化網(wǎng)絡(luò)管理和網(wǎng)絡(luò)安全，控制不必要的數(shù)據(jù)廣播。在共享網(wǎng)絡(luò)中，一個物理的網(wǎng)段就是一個廣播域。而在交換網(wǎng)絡(luò)中，廣播域可以是有一組任意選定的第二層網(wǎng)絡(luò)地址（MAC地址）組成的虛擬網(wǎng)段。這樣，網(wǎng)絡(luò)中工作組的劃分可以突破共享網(wǎng)絡(luò)中的地理位置限制，而完全根據(jù)管理功能來劃分。這種基于工作流的分組模式，大大提高了網(wǎng)絡(luò)規(guī)劃和重組的管理功能。在同一個VLAN中的工作站，不論它們實際與哪個交換機連接，它們之間的通訊就好象在獨立的交換機上一樣。同一個VLAN中的廣播只有VLAN

3、中的成員才能聽到，而不會傳輸?shù)狡渌腣LAN中去，這樣可以很好的控制不必要的廣播風(fēng)暴的產(chǎn)生。同時，若沒有路由的話，不同VLAN之間不能相互通訊，這樣增加了企業(yè)網(wǎng)絡(luò)中不同部門之間的安全性。網(wǎng)絡(luò)管理員可以通過配置VLAN之間的路由來全面管理企業(yè)內(nèi)部不同管理單元之間的信息互訪。交換機是根據(jù)用戶工作站的MAC地址來劃分VLAN的。所以，用戶可以自由的在企業(yè)網(wǎng)絡(luò)中移動辦公，不論他在何處接入交換網(wǎng)絡(luò)，他都可以與VLAN內(nèi)其他用戶自如通訊。 一個VLAN就是一個交換網(wǎng)，其邏輯上按功能、項目、應(yīng)用來分而不必考慮用戶的物理位置。任何交換口都可以屬于某一VLAN，IP包、廣播包及組播包均可以發(fā)送或廣播給在此

4、VLAN內(nèi)的最終用戶。每一個VLAN均可看成是一個邏輯網(wǎng)絡(luò)，發(fā)往另一VLAN的數(shù)據(jù)包必須由路由器或網(wǎng)橋轉(zhuǎn)發(fā)。由于VLAN被看成是一個邏輯網(wǎng)絡(luò)，其具有自己的網(wǎng)橋管理信息庫 (MIB) 并可支持自己的生成樹。VLAN常常與IP子網(wǎng)相聯(lián)系，同一IP子網(wǎng)屬于同一VLAN。 VLAN網(wǎng)絡(luò)可以是有混合的網(wǎng)絡(luò)類型設(shè)備組成，比如：10M以太網(wǎng)、100M以太網(wǎng)、令牌網(wǎng)、FDDI、CDDI等等，可以是工作站、服務(wù)器、集線器、網(wǎng)絡(luò)上行主干等等。 圖1是應(yīng)用VLAN管理網(wǎng)絡(luò)的典型例子： Switch #A VLAN5 VLAN4 VLAN3

5、 Pc1 Pc2 Pc3 Pc4 Pc5 Pc6 1 2 3 4 23 24 圖1、VLAN應(yīng)用示意圖 在圖1中編號為A的交換機端口fa0/1、fa0/2所連接的終端工作站PC1、PC2組成了VLAN3，交換機端口fa0/3、fa0/4所連接的終端工作站PC3、PC4組成了VLAN4，交換機端口fa0/23、fa0/24所連接的終端工作站PC5、PC6組成了VLAN5。他們在各自的VLAN中是可以直接通信，若要跨VLAN通信，必須引入第三層交換或VLAN間路由技術(shù)才可能通信。 注意：VLAN編號1，1

6、002到1005是在交換機開機初始化時自動生成的不能被去掉的。因而在進行VLAN自定義編號時，應(yīng)避開這些編號。 2、VALN的劃分方法 （1）、基于端口劃分的VLAN 這是最常應(yīng)用的一種VLAN劃分方法，應(yīng)用也最為廣泛、最有效，目前絕大多數(shù)VLAN協(xié)議的交換機都提供這種VLAN配置方法。這種劃分VLAN的方法是根據(jù)以太網(wǎng)交換機的交換端口來劃分的，它是將VLAN交換機上的物理端口和VLAN交換機內(nèi)部的PVC（永久虛電路）端口分成若干個組，每個組構(gòu)成一個虛擬網(wǎng)，相當(dāng)于一個獨立的VLAN交換機。 對于不同部門需要互訪時，可通過路由器轉(zhuǎn)發(fā)，并配合基于MAC地址的端口過濾。對某站點的

7、訪問路徑上最靠近該站點的交換機、路由交換機或路由器的相應(yīng)端口上，設(shè)定可通過的MAC地址集。這樣就可以防止非法入侵者從內(nèi)部盜用IP地址從其他可接入點入侵的可能。 （2）、基于MAC地址劃分VLAN 這種劃分VLAN的方法是根據(jù)每個主機的MAC地址來劃分，即對每個MAC地址的主機都配置他屬于哪個組，它實現(xiàn)的機制就是每一塊網(wǎng)卡都對應(yīng)唯一的MAC地址，VLAN交換機跟蹤屬于VLAN MAC的地址。這種方式的VLAN允許網(wǎng)絡(luò)用戶從一個物理位置移動到另一個物理位置時，自動保留其所屬VLAN的成員身份。 （3）、基于網(wǎng)絡(luò)層協(xié)議劃分VLAN VLAN按網(wǎng)絡(luò)層協(xié)議來劃分，可分為IP、IPX、DE

8、Cnet、AppleTalk、Banyan等VLAN網(wǎng)絡(luò)。這種按網(wǎng)絡(luò)層協(xié)議來組成的VLAN，可使廣播域跨越多個VLAN交換機。這對于希望針對具體應(yīng)用和服務(wù)來組織用戶的網(wǎng)絡(luò)管理員來說是非常具有吸引力的。而且，用戶可以在網(wǎng)絡(luò)內(nèi)部自由移動，但其VLAN成員身份仍然保留不變。 （4）、根據(jù)IP組播劃分VLAN IP 組播實際上也是一種VLAN的定義，即認為一個IP組播組就是一個VLAN。這種劃分的方法將VLAN擴大到了廣域網(wǎng)，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展，主要適合于不在同一地理范圍的局域網(wǎng)用戶組成一個VLAN，不適合局域網(wǎng)，主要是效率不高。 （5）、按策略

9、劃分VLAN 基于策略組成的VLAN能實現(xiàn)多種分配方法，包括VLAN交換機端口、MAC地址、IP地址、網(wǎng)絡(luò)層協(xié)議等。網(wǎng)絡(luò)管理人員可根據(jù)自己的管理模式和本單位的需求來決定選擇哪種類型的VLAN 。 （6）、按用戶定義、非用戶授權(quán)劃分VLAN 基于用戶定義、非用戶授權(quán)來劃分VLAN，是指為了適應(yīng)特別的VLAN網(wǎng)絡(luò)，根據(jù)具體的網(wǎng)絡(luò)用戶的特別要求來定義和設(shè)計VLAN，而且可以讓非VLAN群體用戶訪問VLAN，但是需要提供用戶密碼，在得到VLAN管理的認證后才可以加入一個VLAN。 3、VLAN中繼（VLAN Trunk） （1）、VLAN中繼 VLAN中繼也稱為VLAN主干，是

10、在交換機與交換機之間或交換機與路由器械之間連接的情況下在互相連接的端口上配置中繼模式，使得屬于不同VLAN的數(shù)據(jù)幀都可以通過這條中繼鏈路進行傳輸。 VLAN中繼的幀格式，分為ISL（Inter-Swicth Link，交換機之間連接）和IEEE802.1Q兩種協(xié)議，其中前者是Cisco交換機獨有的協(xié)議，后者是國標(biāo)標(biāo)準協(xié)議，被幾乎所有的網(wǎng)絡(luò)設(shè)備生產(chǎn)廠商所共同支持。 （2）、VLAN中繼協(xié)議(VLAN Trunking Protocol) 對于Cisco設(shè)備而言，VLAN中繼協(xié)議（即VTP協(xié)議）可以幫助交換設(shè)置VLAN。VTP協(xié)議可以維護VLAN信息的全網(wǎng)一致性。 VTP工作模式分為三

11、種：服務(wù)器模式、客戶模式和透明模式。 （3）、生成樹協(xié)議（STP，Spanning Tree Protocol） STP協(xié)議的目的是在實現(xiàn)交換機之間的冗余連接的同時，避免網(wǎng)絡(luò)環(huán)路的出現(xiàn)，實現(xiàn)網(wǎng)絡(luò)的高可靠性。 STP協(xié)議通過在交換機之間傳遞BPDU（Bridge Protocol Data Unit，橋接協(xié)議數(shù)據(jù)單元）來互相告知諸臺交換機的橋IP（號）、鏈路性質(zhì)、根橋（Root Bridge）ID等信息，以便確定根橋，決定哪些端口處于轉(zhuǎn)發(fā)狀態(tài)，哪些端口處于阻止轉(zhuǎn)發(fā)狀態(tài)，以免引起網(wǎng)絡(luò)環(huán)路。 4、VALN的特點 （1）、網(wǎng)絡(luò)的增加,移動和改變,只需要在適當(dāng)?shù)腣LAN中配置合適的

12、端口； （2）、安全,因為不同VLAN的用戶不能互相通信,除非依靠router來做VLAN間的通信； （3）、因為VLAN可以被認為是按功能劃分的邏輯分組,所以VLAN和物理位置,地理位置無關(guān)； （4）、VLAN增加安全性； （5）、VLAN增加廣播域的數(shù)量,而減小廣播域的大小。 5、應(yīng)用VLAN技術(shù)應(yīng)注意事項： 1、 VLAN 的其中一個優(yōu)點是交換機端口很容易便可以從一個VLAN改變到另一個VLAN。由于改變太容易，大部分的改變都沒有立刻記錄下來。這也是對維護VLAN網(wǎng)絡(luò)、做文檔備案的最大挑戰(zhàn)。因而在某一個VLAN發(fā)生變化時，應(yīng)及時記錄下來。 2、 VLAN最佳實踐

13、的原因：擁有一個健康的VLAN 不能依靠僥幸。需要在腦海中有最優(yōu)化性能的目標(biāo)，仔細地設(shè)計和維護。如果在VLAN 設(shè)計的時候就不注意，結(jié)果就是網(wǎng)絡(luò)會非常復(fù)雜，在故障查找和維護時都會非常困難。 3、 使用VLAN減少路由跳數(shù)：為了把幀從一個VLAN傳遞到另一個，必須用一個3層設(shè)備進行路由。這個設(shè)備可以是一個傳統(tǒng)的路由器，或者是一個3層交換機。從發(fā)送者到接收者，路由器每增加一跳都會增加幀的延遲時間，這有可能造成一個性能瓶頸。 4、 保持最小的VLAN數(shù)目：有一個創(chuàng)建過多的不需要的VLAN的傾向。當(dāng)交換機本身可以支持上千個VLAN的時候，每增加一個VLAN就會給路由器和網(wǎng)絡(luò)其他設(shè)備帶來額外

14、的開銷。 二、 VLAN配置常用命令 1、有關(guān)常用命令 命 令 作 用 ip address ip_address subnet_mask 配置本機IP地址； ip default-gateway ip_address 配置本機缺省網(wǎng)關(guān)； VTP Server 配置交換機成為Vtp Server模式； VTP Client 配置交換機成為Vtp Client模式； VTP domain vtp_domain_name 配置VTP域名，后面為自定義的域名； trunk {auto|desirable|nonegotiate|off|on}

15、配置Trunk模式； vlan database 進入VLAN配置模式； vlan vlan_id name vlan_name 定義VLAN編號和VLAN名 vlan-membership static vlan_id 配置端口的VLAN編號 Switchport 配置二層口 2、命令有關(guān)注釋 （1）、VTP配置 VTP domain vtp_domain_name 設(shè)置VTP域名為CISCO的例：vtp domain cisco 設(shè)置vtp模式：server、client和transparent（透明模式） 設(shè)置vtp

16、口命令：vtp password （2）、VLAN中繼命令： trunk {auto|desirable|nonegotiate|off|on} atuo：設(shè)置DISL（動態(tài)ISL）狀態(tài)為自動，當(dāng)相連設(shè)備端口狀態(tài)為on和desirable，此時端口成為主干模式； desirable：設(shè)置DISL狀態(tài)為“希望成為”，與之相連的設(shè)備端口狀態(tài)為on、desirable或auto時，雙方協(xié)商成為主干模式，若與之相連的設(shè)備端口狀態(tài)為off、nonegotiate，則為非主干模式； off：禁止DISL狀態(tài)成為主干模式； on：設(shè)置禁止DISL狀態(tài)成為主干模

17、式； （3）、Switchport配置二層口命令： switchport mode {dynamic {auto | desirable} | trunk} 配置二層trunk模式 dynamic auto—自動協(xié)商是否成為trunk dynamic desirable—把端口設(shè)置為trunk如果對方端口是trunk，desirable，或自動模式 trunk—設(shè)置端口為強制的trunk模式，而不理會對方端口是否為trunk switchport access vlan vlan-id 指定一個缺省VLAN，如果此端口不再是t

18、runk 交換機2950是只能支持二層的交換機，即是所有端口缺省的端口都是二層口。在三層交換機上，若端口已經(jīng)配置成三層端口的話，則需要用switchport來使其成為二層端口。 （4）、常用監(jiān)測命令： show vlan {name vlan-name | id vlan-id} 查看VLAN編號配置信息 show vlan brief 查看VLAN配置信息 show vtp status 查看vtp配置信息 show runnin

19、g-config interface interface-id 查看某個端口的VLAN號 show interfaces interface-id switchport 查看某個端口的管理模式和VLAN配置信息 show interfaces interface-id trunk 查看某個端口有關(guān)trunk的配置信息 show running-config 查看整機運行配置信息 三、 應(yīng)用VLAN的網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖 網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖： 跨交換機的VLAN設(shè)置 VLAN Trunk 交

20、叉雙絞線 Fa0/24 Fa0/24 C2950A C2950B 圖2、跨交換機的VLAN設(shè)置 兩臺交換機的fa0/24端口均是通過交叉雙絞線相連，形成VLAN中繼； 四、 實驗部分 (一)、跨交換機的VLAN設(shè)置（取用圖2拓撲圖） A、實驗?zāi)康? 1、配置VLAN。 2、通過VLAN Trunk配置跨交換機的VLAN。 3、配置VTP，STP。 4、查看上述配置項目的相關(guān)信息 B、實驗設(shè)備 1、Cisco Catalyst 2950-24 Switch二臺。 2、交叉線序雙絞線一條。 3、帶網(wǎng)卡及裝有超級終端的計算機一臺。 4、控制臺

21、專用線下一根。 C、實驗網(wǎng)絡(luò)拓撲圖 取用圖2拓撲圖 D、實驗配置過程及結(jié)果監(jiān)測 (1)、在交換機C2950A配置VTP和VLAN； Switch>en Switch# Switch#conf t Switch(config)#hostn C2950A C2950A(config)#end C2950A# C2950A#vlan data //：用vlan database 進入VLAN配置狀態(tài)，用no vlan vlan-id 來刪除VLAN； C2950A(vlan)#vtp server //：將C2950A配置成VTP server 模式；

22、 Setting device to VTP SERVER mode. C2950A(vlan)#vtp domain test //：配置C2950A 的VTP域為test； Changing VTP domain name from Test to test C2950A(vlan)#vlan 10 name vlan10 //：加入VLAN號及VLAN名； VLAN 10 modified: //：系統(tǒng)返回信息，編號為10的VLAN建立，VLAN名為vlan10； Name: vlan10 C2950A(vlan)#vlan 11 name vla

23、n11 VLAN 11 modified: Name: vlan11 C2950A(vlan)#vlan 12 name vlan12 VLAN 12 modified: Name: vlan12 C2950A(vlan)#vlan 13 name vlan13 VLAN 13 modified: Name: vlan13 C2950A(vlan)#exit //：更新VLAN數(shù)據(jù)庫并退出； APPLY completed. Exiting.... C2950A#sh vtp status //：查看VTP的配置，并顯示VTP相關(guān)信息；

24、 VTP Version : 2 Configuration Revision : 3 Maximum VLANs supported locally : 64 Number of existing VLANs : 9 VTP Operating Mode : Server VTP Domain Name : test VTP Pruning Mode : Disabled VTP V2 Mode

25、 : Disabled VTP Traps Generation : Disabled MD5 digest : 0x28 0x7C 0x81 0x45 0x9D 0x76 0x6F 0x3D Configuration last modified by 0.0.0.0 at 3-1-93 00:06:32 Local updater ID is 0.0.0.0 (no valid interface found) C2950A#sh vtp coun VTP statistics: Summary advert

26、isements received : 4 Subset advertisements received : 2 Request advertisements received : 0 Summary advertisements transmitted : 3 Subset advertisements transmitted : 2 Request advertisements transmitted : 2 Number of config revision errors : 0 Number of config digest

27、 errors : 0 Number of V1 summary errors : 0 VTP pruning statistics: Trunk Join Transmitted Join Received Summary advts received from non-pruning-capable device ---------------- ---------------- ---------------- ---------

28、------------------ Fa0/24 0 0 0 C2950A# C2950A#conf t C2950A(config)#int fa0/1 C2950A(config-if)#switchport mode access //：將端口fa0/1定義為二層口； C2950A(config-if)#switch acc vlan 10 //：把端口fa0/1分配給編號為10的VLAN； C2950A(config-if)#int fa0/2 C2950A(config-if)#s

29、witch mode access C2950A(config-if)#switch acc vlan 11 C2950A(config-if)#int fa0/3 C2950A(config-if)#switch mode access C2950A(config-if)#switch acc vlan 12 C2950A(config-if)#int fa0/4 C2950A(config-if)#switch mode access C2950A(config-if)#switch acc vlan 13 C2950A(config-if)#end C2950A# C

30、2950A#sh vlan brief //：查看VLAN配置情況； VLAN Name Status Ports ---- -------------------------------- --------- ------------------------------- 1 default //：自動生成VLAN號； active Fa0/5, Fa0/6, Fa0/7, Fa0/8 Fa0/9, Fa0

31、/10, Fa0/11, Fa0/12 Fa0/13, Fa0/14, Fa0/15, Fa0/16 Fa0/17, Fa0/18, Fa0/19, Fa0/20 Fa0/21, Fa0/22, Fa0/23 10 vlan10 active

32、 Fa0/1 11 vlan11 active Fa0/2 12 vlan12 active Fa0/3 13 vlan13 active Fa0/4 1002 fddi-default active //：FDDI專用缺省VLAN號； 1003 token-ring-default active //：令牌環(huán)專用缺省VL

33、AN號； 1004 fddinet-default active //：FDDInet專用缺省VLAN號； 1005 trnet-default active //： TRnet專用缺省VLAN號； C2950A# (2)、配置在交換機C2950B的VTP； Switch>en Switch#conf t Switch(config)#host C2950B C2950B(config)#int vlan1 //：在VLAN1接口下配置，默認所有接口均是VLAN1的成員； C2950B(

34、config-if)#ip addr 192.168.1.1 255.255.255.0 C2950B(config-if)#no shut //：打開接口； C2950B(config-if)#end C2950B# C2950B#vlan data C2950B(vlan)#vtp domain test //：配置C2950B 的VTP域為test； Domain name already set to test . //：作為Client端的VTP取名必須與Server端的VTP的域名相同； C2950B(vlan)#vtp client

35、 //：配置VTP為Client模式； Setting device to VTP CLIENT mode. C2950B(vlan)#exit In CLIENT state, no apply attempted. Exiting.... C2950B# (3)、配置和監(jiān)測交換機C2950A和C2950B之間VLAN Trunk； a、在C2950A上配置VLAN Trunk： C2950A# C2950A#conf t C2950A(config)#int fa0/24 C2950A(config-if)#switch mode trunk //

36、：設(shè)置端口fa0/24為強制的trunk模式； C2950A(config-if)#end C2950A# b、在C2950B上監(jiān)測VLAN Trunk運行信息： C2950B# C2950B#show int fa0/24 switch //：顯示端口fa0/24有關(guān)switchport 的配置及運行信息； Name: Fa0/24 Switchport: Enabled Administrative Mode: dynamic desirable Operational Mode: trunk Administrative Trunking Encapsula

37、tion: dot1q //：dot1Q —IEEE 802.1Q 協(xié)議； Operational Trunking Encapsulation: dot1q //：802.1Q的主要目的是提供VLAN間通信； Negotiation of Trunking: On Access Mode VLAN: 1 (default) Trunking Native Mode VLAN: 1 (default) Administrative private-vlan host-association: none Administrative private-vlan mapping:

38、 none Operational private-vlan: none Trunking VLANs Enabled: ALL Pruning VLANs Enabled: 2-1001 Protected: false Voice VLAN: none (Inactive) Appliance trust: none C2950B# (4)、在C2950B上查看VTP和VLAN信息； C2950B# C2950B#sh vtp status //：show vtp status 查看C2950B的VTP信息； VTP Version

39、 : 2 Configuration Revision : 3 Maximum VLANs supported locally : 64 Number of existing VLANs : 9 VTP Operating Mode : Client VTP Domain Name : test VTP Pruning Mode : Disabled VTP V2 Mode : Disabled VTP Tr

40、aps Generation : Disabled MD5 digest : 0x28 0x7C 0x81 0x45 0x9D 0x76 0x6F 0x3D Configuration last modified by 0.0.0.0 at 3-1-93 00:06:32 C2950B# C2950B#ping 192.168.1.1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2

41、 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms C2950B# 五、 實驗預(yù)習(xí)、報告內(nèi)容及思考題 （一）、實驗預(yù)習(xí) 1、閱讀本章理論及實驗內(nèi)容。 2、弄清VLAN的基本原理及VTP、VLAN Trunk的含義。 3、弄清VLAN間的通信原理，以及配置IEEE 802.1Q 通信協(xié)議。 （二）、實驗報告內(nèi)容 1、列出實驗過程中的命令及其實際輸出。 2、實驗中所遇到的問題及解決方法。 3、對用到的命令進行說明。 4、回答思考題。 （三）、思考題 1、VLAN應(yīng)用前景如何，有何優(yōu)缺點？ 2、VLAN間為什么不能直接通信？如何實現(xiàn)VLAN間的通信？ - 29 -