虛擬局域網簡介

　　虛擬局域網（VLAN）是一組邏輯上的設備和用戶，這些設備和用戶并不受物理位置的限制，可以根據功能、部門及應用等因素將它們組織起來，相互之間的通信就好像它們在同一個網段中一樣，由此得名虛擬局域網。VLAN是一種比較新的技術，工作在OSI參考模型的第2層和第3層，一個VLAN就是一個廣播域，VLAN之間的通信是通過第3層的路由器來完成的。

　　VLAN的劃分

　　根據端口來劃分VLAN

　　許多VLAN廠商都利用交換機的端口來劃分VLAN成員。被設定的端口都在同一個廣播域中。例如，一個交換機的1，2，3，4，5端口被定義為虛擬網AAA，同一交換機的6，7，8端口組成虛擬網BBB。這樣做允許各端口之間的通訊，并允許共享型網絡的升級。但是，這種劃分模式將虛擬網限制在了一臺交換機上。

　　第二代端口VLAN技術允許跨越多個交換機的多個不同端口劃分VLAN，不同交換機上的若干個端口可以組成同一個虛擬網。

　　以交換機端口來劃分網絡成員，其配置過程簡單明了。因此，從目前來看，這種根據端口來劃分VLAN的方式仍然是最常用的一種方式。

　　根據MAC地址劃分VLAN

　　這種劃分VLAN的方法是根據每個主機的MAC地址來劃分，即對每個MAC地址的主機都配置它屬于哪個組。這種劃分VLAN方法的最大優點就是當用戶物理位置移動時，即從一個交換機換到其他的交換機時，VLAN不用重新配置，所以，可以認為這種根據MAC地址的劃分方法是基于用戶的VLAN，這種方法的缺點是初始化時，所有的用戶都必須進行配置，如果有幾百個甚至上千個用戶的話，配置是非常累的。而且這種劃分的方法也導致了交換機執行效率的降低，因為在每一個交換機的端口都可能存在很多個VLAN組的成員，這樣就無法限制廣播包了。另外，對于使用筆記本電腦的用戶來說，他們的網卡可能經常更換，這樣，VLAN就必須不停地配置。

　　根據網絡層劃分VLAN

　　這種劃分VLAN的方法是根據每個主機的網絡層地址或協議類型（如果支持多協議）劃分的，雖然這種劃分方法是根據網絡地址，比如IP地址，但它不是路由，與網絡層的路由毫無關系。

　　這種方法的優點是用戶的物理位置改變了，不需要重新配置所屬的VLAN，而且可以根據協議類型來劃分VLAN，這對網絡管理者來說很重要，還有，這種方法不需要附加的幀標簽來識別VLAN，這樣可以減少網絡的通信量。

　　這種方法的缺點是效率低，因為檢查每一個數據包的網絡層地址是需要消耗處理時間的（相對于前面兩種方法），一般的交換機芯片都可以自動檢查網絡上數據包的以太網幀頭，但要讓芯片能檢查IP幀頭，需要更高的技術，同時也更費時。當然，這與各個廠商的實現方法有關。

　　根據IP組播劃分VLAN

　　IP組播實際上也是一種VLAN的定義，即認為一個組播組就是一個VLAN，這種劃分的方法將VLAN擴大到了廣域網，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展，當然這種方法不適合局域網，主要是效率不高。

　　基于規則的VLAN

　　也稱為基于策略的VLAN。這是最靈活的VLAN劃分方法，具有自動配置的能力，能夠把相關的用戶連成一體，在邏輯劃分上稱為“關系網絡”。網絡管理員只需在網管軟件中確定劃分VLAN的規則（或屬性），那么當一個站點加入網絡中時，將會被“感知”，并被自動地包含進正確的VLAN中。同時，對站點的移動和改變也可自動識別和跟蹤。

　　采用這種方法，整個網絡可以非常方便地通過路由器擴展網絡規模。有的產品還支持一個端口上的主機分別屬于不同的VLAN，這在交換機與共享式Hub共存的環境中顯得尤為重要。自動配置VLAN時，交換機中軟件自動檢查進入交換機端口的廣播信息的IP源地址，然后軟件自動將這個端口分配給一個由IP子網映射成的VLAN。

　　按用戶劃分VLAN

　　基于用戶定義、非用戶授權來劃分VLAN，是指為了適應特別的VLAN網絡，根據具體的網絡用戶的特別要求來定義和設計VLAN，而且可以讓非VLAN群體用戶訪問VLAN，但是需要提供用戶密碼，在得到VLAN管理的認證后才可以加入一個VLAN。

　　*以上劃分VLAN的方式中，基于端口的VLAN端口方式建立在物理層上；MAC方式建立在數據鏈路層上；網絡層和IP廣播方式建立在第三層上。

　　VLAN的優點

　　廣播風暴防范

　　限制網絡上的廣播，將網絡劃分為多個VLAN可減少參與廣播風暴的設備數量。LAN分段可以防止廣播風暴波及整個網絡。VLAN可以提供建立防火墻的機制，防止交換網絡的過量廣播。使用VLAN，可以將某個交換端口或用戶賦于某一個特定的VLAN組，該VLAN組可以在一個交換網中或跨接多個交換機，在一個VLAN中的廣播不會送到VLAN之外。同樣，相鄰的端口不會收到其他VLAN產生的廣播。這樣可以減少廣播流量，釋放帶寬給用戶應用，減少廣播的產生。

　　安全

　　增強局域網的安全性，含有敏感數據的用戶組可與網絡的其余部分隔離，從而降低泄露機密信息的可能性。不同VLAN內的報文在傳輸時是相互隔離的，即一個VLAN內的用戶不能和其它VLAN內的用戶直接通信，如果不同VLAN要進行通信，則需要通過路由器或三層交換機等三層設備。

　　成本降低

　　成本高昂的網絡升級需求減少，現有帶寬和上行鏈路的利用率更高，因此可節約成本。

　　性能提高

　　將第二層平面網絡劃分為多個邏輯工作組（廣播域）可以減少網絡上不必要的流量并提高性能。

　　提高IT員工效率

　　VLAN為網絡管理帶來了方便，因為有相似網絡需求的用戶將共享同一個VLAN。

　　應用管理

　　VLAN將用戶和網絡設備聚合到一起，以支持商業需求或地域上的需求。通過職能劃分，項目管理或特殊應用的處理都變得十分方便，例如可以輕松管理教師的電子教學開發平臺。此外，也很容易確定升級網絡服務的影響范圍。

　　增加網絡連接的靈活性

　　借助VLAN技術，能將不同地點、不同網絡、不同用戶組合在一起，形成一個虛擬的網絡環境，就像使用本地LAN一樣方便、靈活、有效。VLAN可以降低移動或變更工作站地理位置的管理費用，特別是一些業務情況有經常性變動的公司使用了VLAN后，這部分管理費用大大降低。

　　組建VLAN的條件

　　VLAN是建立在物理網絡基礎上的一種邏輯子網，因此建立VLAN需要相應的支持VLAN技術的網絡設備。當網絡中的不同VLAN間進行相互通信時，需要路由的支持，這時就需要增加路由設備——要實現路由功能，既可采用路由器，也可采用三層交換機來完成，同時還嚴格限制了用戶數量。

　　虛擬局域網（VLAN）配置實例

　　例一：

　　設備選用Catalyst5500交換機1臺，安裝WS-X5530-E3管理引擎，多塊WS-X5225R及WS-X5302路由交換模塊，WS-X5302被直接插入交換機，通過二個通道與系統背板上的VLAN相連，從用戶角度看認為它是1個1接口的模塊，此接口支持ISL。在交換機內劃有3個虛擬網，分別名為default、qbw、rgw，通過WS-X5302實現虛擬網間路由。

　　以下加重下橫線部分，如setsystemname5500C為需設置的命令。

　　設置如下：

　　Catalyst5500配置：

　　begin

　　setpassword$1$FMFQ$HfZR5DUszVHIRhrz4h6V70

　　setenablepass$1$FMFQ$HfZR5DUszVHIRhrz4h6V70

　　setpromptConsole》

　　setlength24default

　　setlogout20

　　setbannermotd^C^C

　　！

　　#system

　　setsystembaud9600

　　setsystemmodemdisable

　　setsystemname5500C

　　setsystemlocation

　　setsystemcontact

　　！

　　#ip

　　setinterfacesc0110.230.4.240255.255.255.010.230.4.255

　　setinterfacesc0up

　　setinterfacesl00.0.0.00.0.0.0

　　setinterfacesl0up

　　setarpagingtime1200

　　setipredirectenable

　　setipunreachableenable

　　setipfragmentationenable

　　setiproute0.0.0.010.230.4.151

　　setipaliasdefault0.0.0.0

　　！

　　#Commandalias

　　！

　　#vtp

　　setvtpdomainhne

　　setvtpmodeserver

　　setvtpv2disable

　　setvtppruningdisable

　　setvtppruneeligible2-1000

　　clearvtppruneeligible1001-1005

　　setvlan1namedefaulttypeethernetmtu1500said100001stateactive

　　setvlan777namergwtypeethernetmtu1500said100777stateactive

　　setvlan888nameqbwtypeethernetmtu1500said100888stateactive

　　setvlan1002namefddi-defaulttypefddimtu1500said101002stateactive

　　setvlan1004namefddinet-defaulttypefddinetmtu1500said101004stateactivebridge0x0stpieee

　　setvlan1005nametrnet-defaulttypetrbrfmtu1500said101005stateactivebridge0x0stpibm

　　setvlan1003nametoken-ring-defaulttypetrcrfmtu1500said101003stateactiveparent0ring0x0modesrbaremaxhop7stemaxhop7

　　！

　　#setbootcommand

　　setbootconfig-register0x102

　　setbootsystemflashbootflash:cat5000-sup3.4-3-1a.bin

　　！

　　#module1：2-port1000BaseLXSupervisor

　　setmodulename1

　　setvlan11/1-2

　　setportenable1/1-2

　　！

　　#module2：empty

　　！

　　#module3：24-port10/100BaseTXEthernet

　　setmodulename3

　　setmoduleenable3

　　setvlan13/1-22

　　setvlan7773/23

　　setvlan8883/24

　　settrunk3/1onisl1-1005

　　#module4empty

　　！

　　#module5empty

　　！

　　#module6：1-portRouteSwitch

　　setmodulename6

　　setportlevel6/1normal

　　setporttrap6/1disable

　　setportname6/1

　　setcdpenable6/1

　　setcdpinterval6/160

　　settrunk6/1onisl1-1005

　　！

　　#module7：24-port10/100BaseTXEthernet

　　setmodulename7

　　setmoduleenable7

　　setvlan17/1-22

　　setvlan8887/23-24

　　settrunk7/1onisl1-1005

　　settrunk7/2onisl1-1005

　　！

　　#module8empty

　　！

　　#module9empty

　　！

　　#module10：12-port100BaseFXMMEthernet

　　setmodulename10

　　setmoduleenable10

　　setvlan110/1-12

　　setportchannel10/1-4off

　　setportchannel10/5-8off

　　setportchannel10/9-12off

　　setportchannel10/1-2on

　　setportchannel10/3-4on

　　setportchannel10/5-6on

　　setportchannel10/7-8on

　　setportchannel10/9-10on

　　setportchannel10/11-12on

　　#module11empty

　　！

　　#module12empty

　　！

　　#module13empty

　　！

　　#switchportanalyzer

　　！setspan11/1bothinpktsdisable

　　setspandisable

　　！

　　#cam

　　setcamagingtime1-2，777，888，1003，1005300

　　end

　　5500C》（enable）

　　WS-X5302路由模塊設置：

　　Router#writ

　　Buildingconfiguration.。。

　　Currentconfiguration：

　　！

　　version11.2

　　noservicepassword-encryption

　　noserviceudp-small-servers

　　noservicetcp-small-servers

　　！

　　hostnameRouter

　　！

　　enablesecret5$1$w1kK$AJK69fGOD7BqKhKcSNBf6.

　　！

　　ipsubnet-zero

　　！

　　interfaceVlan1

　　ipaddress10.230.2.56255.255.255.0

　　！

　　interfaceVlan777

　　ipaddress10.230.3.56255.255.255.0

　　！

　　interfaceVlan888

　　ipaddress10.230.4.56255.255.255.0

　　！

　　noipclassless

　　！

　　linecon0

　　lineaux0

　　linevty04

　　passwordrouter

　　login

　　！

　　end

　　Router#

　　例二：

　　交換設備仍選用Catalyst5500交換機1臺，安裝WS-X5530-E3管理引擎，多塊WS-X5225R在交換機內劃有3個虛擬網，分別名為default、qbw、rgw，通過Cisco3640路由器實現虛擬網間路由。交換機設置與例一類似。

　　路由器Cisco3640，配有一塊NM-1FE-TX模塊，此模塊帶有一個快速以太網接口可以支持ISL。Cisco3640快速以太網接口與交換機上的某一支持ISL的端口實現連接，如交換機第3槽第1個接口（3/1口）。

　　Router#writ

　　Buildingconfiguration.。。

　　Currentconfiguration：

　　！

　　version11.2

　　noservicepassword-encryption

　　noserviceudp-small-servers

　　noservicetcp-small-servers

　　！

　　hostnameRouter

　　！

　　enablesecret5$1$w1kK$AJK69fGOD7BqKhKcSNBf6.

　　！

　　ipsubnet-zero

　　！

　　interfaceFastEthernet1/0

　　！

　　interfaceFastEthernet1/0.1

　　encapsulationisl1

　　ipaddress10.230.2.56255.255.255.0

　　！

　　interfaceFastEthernet1/0.2

　　encapsulationisl777

　　ipaddress10.230.3.56255.255.255.0

　　！

　　interfaceFastEthernet1/0.3

　　encapsulationisl888

　　ipaddress10.230.4.56255.255.255.0

　　！

　　noipclassless

　　！

　　linecon0

　　lineaux0

　　linevty04

　　passwordrouter

　　login

　　！

　　end

　　Router#