VLAN在交換機上的實現方法

　　1.基于端口的VLAN

　　這是最常應用的一種VLAN劃分方法，應用也最為廣泛、最有效，目前絕大多數VLAN協議的交換機都提供這種VLAN配置方法。這種劃分VLAN的方法是根據以太網交換機的交換端口來劃分的，它是將VLAN交換機上的物理端口和VLAN交換機內部的PVC（永久虛電路）端口分成若干個組，每個組構成一個虛擬網，相當于一個獨立的VLAN交換機。對于不同部門需要互訪時，可通過路由器轉發，并配合基于MAC地址的端口過濾。對某站點的訪問路徑上最靠近該站點的交換機、路由交換機或路由器的相應端口上，設定可通過的MAC地址集。這樣就可以防止非法入侵者從內部盜用IP地址從其他可接入點入侵的可能。

　　從這種劃分方法本身我們可以看出，這種劃分的方法的優點是定義VLAN成員時非常簡單，只要將所有的端口都定義為相應的VLAN組即可。適合于任何大小的網絡。它的缺點是如果某用戶離開了原來的端口，到了一個新的交換機的某個端口，必須重新定義。

　　2.基于MAC地址的VLAN

　　這種劃分VLAN的方法是根據每個主機的MAC地址來劃分，即對每個MAC地址的主機都配置他屬于哪個組，它實現的機制就是每一塊網卡都對應唯一的MAC地址，VLAN交換機跟蹤屬于VLANMAC的地址。這種方式的VLAN允許網絡用戶從一個物理位置移動到另一個物理位置時，自動保留其所屬VLAN的成員身份。

　　由這種劃分的機制可以看出，這種VLAN的劃分方法的最大優點就是當用戶物理位置移動時，即從一個交換機換到其他的交換機時，VLAN不用重新配置，因為它是基于用戶，而不是基于交換機的端口。這種方法的缺點是初始化時，所有的用戶都必須進行配置，如果有幾百個甚至上千個用戶的話，配置是非常累的，所以這種劃分方法通常適用于小型局域網。而且這種劃分的方法也導致了交換機執行效率的降低，因為在每一個交換機的端口都可能存在很多個VLAN組的成員，保存了許多用戶的MAC地址，查詢起來相當不容易。另外，對于使用筆記本電腦的用戶來說，他們的網卡可能經常更換，這樣VLAN就必須經常配置。

　　3.基于網絡層協議的VLAN

　　VLAN按網絡層協議來劃分，可分為IP、IPX、DECnet、AppleTalk、Banyan等VLAN網絡。這種按網絡層協議來組成的VLAN，可使廣播域跨越多個VLAN交換機。這對于希望針對具體應用和服務來組織用戶的網絡管理員來說是非常具有吸引力的。而且，用戶可以在網絡內部自由移動，但其VLAN成員身份仍然保留不變。

　　這種方法的優點是用戶的物理位置改變了，不需要重新配置所屬的VLAN，而且可以根據協議類型來劃分VLAN，這對網絡管理者來說很重要，還有，這種方法不需要附加的幀標簽來識別VLAN，這樣可以減少網絡的通信量。這種方法的缺點是效率低，因為檢查每一個數據包的網絡層地址是需要消耗處理時間的（相對于前面兩種方法），一般的交換機芯片都可以自動檢查網絡上數據包的以太網幀頭，但要讓芯片能檢查IP幀頭，需要更高的技術，同時也更費時。當然，這與各個廠商的實現方法有關。

　　4.根據IP組播的VLAN

　　IP組播實際上也是一種VLAN的定義，即認為一個IP組播組就是一個VLAN。這種劃分的方法將VLAN擴大到了廣域網，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展，主要適合于不在同一地理范圍的局域網用戶組成一個VLAN，不適合局域網，主要是效率不高。

　　5.按策略劃分的VLAN

　　基于策略組成的VLAN能實現多種分配方法，包括VLAN交換機端口、MAC地址、IP地址、網絡層協議等。網絡管理人員可根據自己的管理模式和本單位的需求來決定選擇哪種類型的VLAN。

　　6.按用戶定義、非用戶授權劃分的VLAN

　　基于用戶定義、非用戶授權來劃分VLAN，是指為了適應特別的VLAN網絡，根據具體的網絡用戶的特別要求來定義和設計VLAN，而且可以讓非VLAN群體用戶訪問VLAN，但是需要提供用戶密碼，在得到VLAN管理的認證后才可以加入一個VLAN。

　　虛擬局域網三種實現方式

　　第一種實現方式：以端口為中心的虛擬局域網

　　以端口為中心的虛擬局域網中，虛擬局域網交換機的一個端口就是一個虛擬局域網，雖有連接在這個端口上的主機都在同一個虛擬局域網中。很顯然，這回使得我們的管理工作更加的容易，而且網絡運行也會更加的有效。

　　具體來說，這種實現方式有如下的優點：

　　1、數據不會泄露到其他域

　　由于一個交換機端口就是一個獨立的局域網。所以，當數據在網絡中傳輸的時候，交換機就不會把數據包轉發給其他的端口中。這就可以保證數據包只在自己的虛擬局域網中傳輸。若需要發送到其他的虛擬局域網中，則交換機也是先把數據發送給路由器，然后，再由路由器發送給交換機中其他的端口。可見，以端口為中心的虛擬局域網，可以有效的避免網絡偵聽，從而比其他的實現方式具有更高的安全性。

　　2、用戶由端口分配，虛擬局域網易于管理

　　相對于其他方式來說，以端口為中心的虛擬局域網中，一個交換機的端口就表示一個虛擬局域網。這種特性，便于我們對局域網進行設置與管理。因為一個端口上的主機都在一個虛擬局域網中，如此的話，就不需要我們做過多的配置，就可以實現虛擬局域網。而相對于其他實現方式來說，都需要進行一些比較繁瑣的設置，因為他們往往兩個甚至更多以上的端口是同一個虛擬局域網。

　　這種方式雖然易于管理，提供了比較高的安全性能，但是，其也有一些比較致命的缺陷。主要的缺陷就是不夠靈活，當用戶變動位置的時候，這種實現方式的變化就會比較大。如現在由于要開發一個產品，為此質量、銷售、生產、采購等等組成一個臨時的項目小組，負責這個產品的開發。為了提高產品開發效率，所以把他們臨時搬到會議室進行工作。如此地理位置的變動后，他們連接的網線也要變了。若采用其他的實現方式，如動態的虛擬局域網，根據主機的MAC地址來判斷該用戶是屬于哪個虛擬局域網中，則不用進行其他的配置，就可以連接到他們以前的虛擬局域網中。而采用以端口為中心的虛擬局域網，由于會議室中網線的端口沒有進行調整過，則他們就不屬于他們以前的局域網中。這就會給他們的日常工作帶來比較大的影響。

　　第二種實現方式：靜態的虛擬局域網

　　靜態的虛擬局域網與以端口為中心的虛擬局域網類似。靜態的虛擬局域網是在交換機上靜態的配置，可以讓一個或者幾個交換機的端口為一個虛擬局域網。這些端口將一直保持著這種配置，除非網絡管理員人為的去改變他們。可見，這跟上面的這種實現方式的差異，主要在于前者一個端口就是一個虛擬局域網，而后者的話，可以通過配置實現幾個端口是同一個虛擬局域網。這種差異，可以減少當用戶位置改變時或者當公司組織結構發生改變時的管理成本。

　　如有家企業，隨著公司規模的擴大，產品研發部門人數也隨之增加。后來研發部門下面分成了兩個組，一個是產品開發組，另外一個是供應商開發組。他們雖然在兩個不同的辦公室，但是都屬于同一個部門。而現在產品開發組的網絡通過集線器連接到交換機的一個端口上;供應商開發組的網路連接到另外一個端口上。若是采用以端口為中心的實現方式的話則可能就需要額外的添加一個額外的物理層局域網交換機，把他們兩個組的網絡連接到同一個虛擬局域網中。但是，若采用靜態的虛擬局域網的話，則不需要添置其他的硬件設備，而只需要在虛擬局域網交換機上，把他們所連接的兩個端口設置為同一個虛擬局域網即可。很明顯，靜態虛擬局域網能夠比較適應組織結構的變動，它應對這種情況的管理成本相對比較低廉一些。

　　但是，靜態局域網他也有一定的缺陷。主要在于對一些移動用戶無法作出靈活的調整。如現在財務經理有一臺筆記本電腦，當開部門管理層會議的時候，財務經理需要在會議室中連接到他所在的網絡，訪問其他財務人員的共享文件。同理，產品研發部門經理也需要訪問他們部門的共享文件。但是，根據靜態虛擬局域網的特征，會議室的網線所連接端口在同一時間中只能屬于同一個虛擬局域網。除非在會議室中部屬很多的網線并且分屬于不同的端口;或者說當用戶改變的時候網絡管理員手工的更改端口配置。但是，無論是哪一種實現方式，其管理成本都是比較高的，管理工作量也比較大。

　　第三種實現方式：動態的虛擬局域網

　　當企業員工在公司內部到處走動，在任何一個位置上都能夠連接到自己所在的虛擬局域網的話，則采用動態的虛擬局域網是最佳的選擇。其實，隨著無線網絡在公司內部的普及，這種需求對于企業來說，也越來越普遍。

　　這種實現方式的好處就是可以應對用戶位置的地理變化。當用戶在公司內部移動時，我們網絡管理員基本上不用為他們做額外的配置與管理。虛擬局域網交換機會根據用戶主機的MAC地址或者IP地址，來自我的進行調整。

　　不過這種方式也有一個比較大的缺陷，就是前期的維護工作量比較大。如在虛擬局域網配置的時候，要把公司所有主機的MAC地址跟其所屬的虛擬局域網對應起來。當公司中新添加主機的時候，也需要調整交換機中的這個對應表。天下沒有白吃的午餐。要在后續的維護工作中省心的話，則在前期虛擬局域網規劃中，就要多花點功夫了。