VLAN技术介绍.doc

1、福建金钱猫电子科技有限公司 http:/ VLAN技术介绍一、 VLAN 基础 VLAN（Virtual Local Area Network）的中文名为“虚拟局域网“，注意不是“VPN“（虚拟专用网）。VLAN 是一种将局域网设备从逻辑上划分（注意，不是从物理上划分）成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。但又不是所有交换机都具有此功能，只有 VLAN协议的第三层以上交换机才具有此功能。 IEEE于 1999年颁布了用以标准化 VLAN实现方案的 802.1Q协议标准草案。VLAN技术的出现，使得管理员根据实际应

2、用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个 VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的 LAN有着相同的属性。由于它是从逻辑上划分，而不是从物理上划分，所以同一个 VLAN内的各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理 LAN网段。由 VLAN的特点可知，一个 VLAN内部的广播和单播流量都不会转发到其他 VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。 交换技术的发展，也加快了新的交换技术（VLAN）的应用速度。通过将企业网络划分为虚拟网络 VLAN网段，可以强化网络管理和网络安全，控制不必要的数

3、据广播。在共享网络中，一个物理的网段就是一个广播域。而在交换网络中，广播域可以是有一组任意选定的第二层网络地址（MAC 地址）组成的虚拟网段。这样，网络中工作组的划分可以突破共享网络中的地理位置限制，而完全根据管理功能来划分。这种基于工作流的分组模式，大大提高了网络规划和重组的管理功能。在同一个 VLAN中的工作站，不论它们实际与哪个交换机连接，它们之间的通讯就好象在独立的交换机上一样。同一个 VLAN中的广播只有 VLAN中的成员才能听到，而不会传输到其他的 VLAN中去，这样可以很好的控制不必要的广播风暴的产生。同时，若没有路由的话，不同 VLAN之间不能相互通讯，这样增加了企业网络中不同

4、部门之间的安全性。网络管理员可以通过配置 VLAN之间的路由来全面管理企业内部不同管理单元之间的信息互访。交换机是根福建金钱猫电子科技有限公司 http:/ 据用户工作站的 MAC地址来划分 VLAN的。所以，用户可以自由的在企业网络中移动办公，不论他在何处接入交换网络，他都可以与 VLAN内其他用户自如通讯。 VLAN网络可以是有混合的网络类型设备组成，比如： 10M以太网、100M 以太网、令牌网、FDDI、CDDI 等等，可以是工作站、服务器、集线器、网络上行主干等等。 VLAN除了能将网络划分为多个广播域，从而有效地控制广播风暴的发生，以及使网络的拓扑结构变得非常灵活的优点外，还可以用

5、于控制网络中不同部门、不同站点之间的互相访问。 VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了 VLAN头，用 VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。二、 VLAN 的划分方法 VLAN在交换机上的实现方法，可以大致划分为六类: 1. 基于端口划分的 VLAN 这是最常应用的一种 VLAN划分方法，应用也最为广泛、最有效，目前绝大多数VLAN协议的交换机都提供这种 VLAN配置方法。这种划分 VLAN的方法是根据以太网交换机的

6、交换端口来划分的，它是将 VLAN交换机上的物理端口和 VLAN交换机内部的PVC（永久虚电路）端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。 对于不同部门需要互访时，可通过路由器转发，并配合基于 MAC地址的端口过滤。对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上，设定可通过的 MAC地址集。这样就可以防止非法入侵者从内部盗用 IP地址从其他可接入点入侵的可能。 从这种划分方法本身我们可以看出，这种划分的方法的优点是定义 VLAN成员时非常简单，只要将所有的端口都定义为相应的 VLAN组即可。适合于任何大小的网络。它的缺点是如果某用户离开了

7、原来的端口，到了一个新的交换机的某个端口，必须重新定义。福建金钱猫电子科技有限公司 http:/ 2. 基于 MAC地址划分 VLAN 这种划分 VLAN的方法是根据每个主机的 MAC地址来划分，即对每个 MAC地址的主机都配置他属于哪个组，它实现的机制就是每一块网卡都对应唯一的 MAC地址，VLAN交换机跟踪属于 VLAN MAC的地址。这种方式的 VLAN允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属 VLAN的成员身份。 由这种划分的机制可以看出，这种 VLAN的划分方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN 不用重新配置，因为它

8、是基于用户，而不是基于交换机的端口。这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的，所以这种划分方法通常适用于小型局域网。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个 VLAN组的成员，保存了许多用户的 MAC地址，查询起来相当不容易。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样 VLAN就必须经常配置。3. 基于网络层协议划分 VLAN VLAN按网络层协议来划分，可分为 IP、IPX、DECnet、AppleTalk、Banyan 等VLAN网络。这种按网络层协议来组成的 V

9、LAN，可使广播域跨越多个 VLAN交换机。这对于希望针对具体应用和服务来组织用户的网络管理员来说是非常具有吸引力的。而且，用户可以在网络内部自由移动，但其 VLAN成员身份仍然保留不变。 这种方法的优点是用户的物理位置改变了，不需要重新配置所属的 VLAN，而且可以根据协议类型来划分 VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别 VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查 IP帧头，需要更高的技术，

10、同时也更费时。当然，这与各个厂商的实现方法有关。 4. 根据 IP组播划分 VLAN IP 组播实际上也是一种 VLAN的定义，即认为一个 IP组播组就是一个 VLAN。这种划分的方法将 VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易福建金钱猫电子科技有限公司 http:/ 通过路由器进行扩展，主要适合于不在同一地理范围的局域网用户组成一个 VLAN，不适合局域网，主要是效率不高。 5. 按策略划分 VLAN 基于策略组成的 VLAN能实现多种分配方法，包括 VLAN交换机端口、MAC 地址、IP地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪

11、种类型的 VLAN 。 6. 按用户定义、非用户授权划分 VLAN 基于用户定义、非用户授权来划分 VLAN，是指为了适应特别的 VLAN网络，根据具体的网络用户的特别要求来定义和设计 VLAN，而且可以让非 VLAN群体用户访问VLAN，三、VLAN 的运作原理与实作方式物理层（physical layer）直接以交换机上的埠做为划分 VLAN 的基础。这个方式的优点是简单与直观，因此，运用这种设定 VLAN 的情况十分普遍。但因为是实体层的设定，所以比较适合在规模不大的组织。数据链路层（data link layer）以每台主机的 MAC地址做为划分 VLAN 的基础。方法是先建立一个比较

12、复杂的数据库，通常为某网络设备的 MAC地址与 VLAN的映射关系数据库。当该网络设备连接到端口后，交换机会向 VMPS（VLAN 管理策略服务器）来请求这个数据库。找到相应映射关系，完成端口到 VLAN的分配。这个方式的优点是即使计算机在实体上的位置不同，也不影响 VLAN的运作。但缺点是网管人员必须在交换机中设定组织内每一台设备 MAC地址与 VLAN 间的映射关系数据库。因此，这种设定策略的管理复杂度会随着越来越多的设备、与实体位置的群落、和不同工作任务需要而增加。网络层（network layer）福建金钱猫电子科技有限公司 http:/ 以每台设备的 IP地址做为划分 VLAN 的基

13、础，以子网络视为 VLAN 设定的依据。这个方式的优点是当网管人员已经将内部网段做好规划与分配的情况下，将可大辐降低网管人员规划并设定 VLANs 架构的复杂度。但缺点是原本传统交换机不需要对讯框作任何处理，但在这个机制下，交换机不但必须剖析讯框，还必须进一步取出 Source IP与 Destination IP进行比对，连带降低交换机接收与分派封包的效率。但是需要提供用户密码，在得到 VLAN管理的认证后才可以加入一个 VLAN。 四、VLAN 通信VLAN交换机必须有一种方式来了解 VLAN的成员关系，即要让交换机知道哪一个工作站属于哪一个 VLAN。一般地，基于 VLAN交换机端口或者

14、工作站的 MAC地址来组建的VLAN，其 VLAN成员是以直接的形式与其他成员联系的；基于三层如按 IP来组建的VLAN，其 VLAN成员是以间接的形式与其他成员联系的。目前 VLAN之间的通信主要采取如下 4种方式。（1）MAC 地址静态登记方式。 MAC地址静态登记方式是预先在 VLAN交换机中设置好一张地址列表，这张表含有工作站的 MAC地址 JLAN交换机的端口号、VLANID 等信息，当工作站第一次在网络上发广播包时，交换机就将这张表的内容一一对应起来，并对其他交换机广播。这种方式的缺点在于，网络管理员要不断修改和维护 MAC地址静态条目列表；且大量的 MAC地址静态条目列表的广播信

15、息易导致主干网络拥塞。（2）帧标签方式。帧标签方式采用的是标签（tag）技术，即在每个数据包都加上一个标签，用来标明数据包属于哪个 VLAN，这样，VLAN 交换机就能够将来自不同VLAN的数据流复用到相同的 VLAN交换机上。这种方式存在一个问题，即每个数据包加上标签，使得网络的负载也相应增加了。（3）虚连接方式。网络用户 A和 B第一次通信时，发送地址解析（ARP）广播包，VLAN交换机将学习到的 MAC和所连接的 VLAN交换机的端口号保存到动态条目 MAC地址列表中，当 A和 B有数据要传时，VLAN 交换机从其端口收到的数据包中识别出目的MAC地址，查动态条目 MAC地址列表，得到目

16、的站点所在的 VLAN交换机端口，这样两个端口间就建立起一条虚连接，数据包就可从源端口转发到目的端口。数据包一旦转发完毕，虚连接即被撤销。这种方式使带宽资源得到了很好利用，提高了 VLAN交换机效率。福建金钱猫电子科技有限公司 http:/ （4）路由方式。在按 IP划分的 VLAN中，很容易实现路由，即将交换功能和路由功能融合在 VLAN交换机中。这种方式既达到了作为 VLAN控制广播风暴的最基本目的，又不需要外接路由器。但这种方式对 VLAN成员之间的通信速度不是很理想。五、 VLAN 的优越性 任何新技术要得到广泛支持和应用，肯定存在一些关键优势，VLAN 技术也一样，它的优势主要体现在

17、以下几个方面： 1. 增加了网络连接的灵活性 借助 VLAN技术，能将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境 ，就像使用本地 LAN一样方便、灵活、有效。VLAN 可以降低移动或变更工作站地理位置的管 理费用，特别是一些业务情况有经常性变动的公司使用了 VLAN后，这部分管理费用大大降低。 2. 控制网络上的广播 VLAN可以提供建立防火墙的机制，防止交换网络的过量广播。使用 VLAN，可以将某个交换端口或用户赋于某一个特定的 VLAN组，该 VLAN组可以在一个交换网中或跨接多个交换机， 在一个 VLAN中的广播不会送到 VLAN之外。同样，相邻的端口不会收到其他 V

18、LAN产生的广 播。这样可以减少广播流量，释放带宽给用户应用，减少广播的产生。 3. 增加网络的安全性 因为一个 VLAN就是一个单独的广播域，VLAN 之间相互隔离，这大大提高了网络的利用率，确保了网络的安全保密性。人们在 LAN上经常传送一些保密的、关键性的数据。保密的数据应 提供访问控制等安全手段。一个有效和容易实现的方法是将网络分段成几个不同的广播组， 网络管理员限制了 VLAN中用户的数量，禁止未经允许而访问 VLAN中的应用。交换端口可以基 于应用类型和访问特权来进行分组，被限制的应用程序和资源一般置于安全性 VLAN中。 六、交换机的端口工作模式福建金钱猫电子科技有限公司 htt

19、p:/ 交换机的端口工作模式通常可以分为三种，它们分别为 Access模式、Multi 模式、Trunk模式。允许多个 vlan的是 multi模式，而不是 trunk模式。Access 模式的交换端口往往只能属于 1个 VLAN，通常用于连接普通计算机的端口；Trunk 模式的交换端口可以属于多个 VLAN，能够发送和接收多个 VLAN的数据报文，通常使用在交换机之间的级联端口上；multi 模式的交换端口可以属于多个 VLAN，能够发送和接受多个 VLAN的数据报文，可以用于交换机之间的连接，也可以用于连接普通计算机的端口，所以access和 trunk没有可比性。三种模式的交换端口能够共同使用在相同的一台交换机中，不过 Trunk模式的交换端口和 multi模式的交换端口相互之间不能直接切换，往往只能先将交换端口设置为 Access模式，之后再设置为其他模式。