说说VLAN-虚拟局域网

一、 VLAN分类：
1.按端口划分VLAN


2.按MAC地址划分VLAN： 配置是非常累的


3.按网络层划分： IP地址，但它不是路由，与网络层的路由毫无关系
               效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的


4.按IP组播划分：这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。


5.基于规则的：自动地包含进正确的VLAN中。同时，对站点的移动和改变也可自动识别和跟踪


6.按用户划分：需要提供用户密码


reference:
虚拟局域网
http://baike.baidu.com/link?url=HQGW_t1sKq0rZSDemgY--sudeFJPXCVRYOApEnGB7RQ--B9Oyi6qJ2ISafglwGmT2NfjMsjo0VwZVPqX1HQElS7lOxNzenZJrHMqLEl8U6iyzBbawHsDlXhD8EsQh9cg


VLAN在交换机上的六大分类
1. 基于端口的VLAN
这是最常应用的一种VLAN划分方法，应用也最为广泛、最有效，目前绝大多数VLAN协议的交换机都提供这
WY573T intel82573 VLAN网卡
WY573T intel82573 VLAN网卡
种VLAN配置方法。这种划分VLAN的方法是根据以太网交换机的交换端口来划分的，它是将VLAN交换机上的物理端口和VLAN交换机内部的PVC（永久虚电路）端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。
对于不同部门需要互访时，可通过路由器转发，并配合基于MAC地址的端口过滤。对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上，设定可通过的MAC地址集。这样就可以防止非法入侵者从内部盗用IP地址从其他可接入点入侵的可能。
从这种划分方法本身我们可以看出，这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都定义为相应的VLAN组即可。适合于任何大小的网络。它的缺点是如果某用户离开了原来的端口，到了一个新的交换机的某个端口，必须重新定义。
2. 基于MAC地址的VLAN
这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组，它实现的机制就是每一块网卡都对应唯一的MAC 地址，VLAN交换机跟踪属于VLAN MAC的地址。这种方式的VLAN允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属VLAN的成员身份。
由这种划分的机制可以看出，这种VLAN的划分方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，因为它是基于用户，而不是基于交换机的端口。这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的，所以这种划分方法通常适用于小型局域网。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，保存了许多用户的MAC地址，查询起来相当不容易。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样VLAN就必须经常配置。
3. 基于网络层协议的VLAN
VLAN按网络层协议来划分，可分为IP、IPX、DECnet、AppleTalk、Banyan等VLAN网络。这种按网络层协议来组成的VLAN，可使广播域跨越多个VLAN交换机。这对于希望针对具体应用和服务来组织用户的网络管理员来说是非常具有吸引力的。而且，用户可以在网络内部自由移动，但其VLAN成员身份仍然保留不变。
这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。
4. 根据IP组播的VLAN
IP 组播实际上也是一种VLAN的定义，即认为一个IP组播组就是一个VLAN。这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，主要适合于不在同一地理范围的局域网用户组成一个VLAN，不适合局域网，主要是效率不高。
5. 按策略划分的VLAN
基于策略组成的VLAN能实现多种分配方法，包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪种类型的VLAN 。
6. 按用户定义、非用户授权划分的VLAN
基于用户定义、非用户授权来划分VLAN，是指为了适应特别的VLAN网络，根据具体的网络用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。


reference:
http://baike.baidu.com/link?url=agNbOfDREHNN6phAWXJfQIgC5wQ7qWks9i33l4_Vlsp2j4WsQMtOs2I9hXKml7z4KPFgllOidvKqbflgdyxBcq


VLAN的分类


基于端口VLAN


基于端口的VLAN是划分虚拟局域网最简单也是最有效的方法，这实际上是某些交换端口的集合，网络管理员
只需要管理和配置交换端口，而不管交换端口连接什么设备。


基于MAC地址


由于只有网卡才分配有MAC地址，因此按MAC地址来划分VLAN实际上是将某些工作站和服务器划属于某个VLAN。
事实上，该VLAN是一些MAC地址的集合。当设备移动时，
VLAN能够自动识别。网络管理需要管理和配置设备的MAC地址，显然当网络规模很大，设备很多时，会给管理带来难度。


基于第3层VLAN


基于第3层的VLAN是采用在路由器中常用的方法：IP子网和IPX网络号等。其中，局域网交换机允许一个子网
扩展到多个局域网交换端口，甚至允许一个端口对应于多个子网。


基于策略VLAN


基于策略的VLAN是一种比较灵活有效的VLAN划分方法。该方法的核心是采用什么样的策略？常用的策略
有（与厂商设备的支持有关）：按MAC地址, 按IP地址, 按以太网协议类型, 按网络的应用等
reference:
http://baike.baidu.com/link?url=hv4e5az60TTNwbZksR2TdP3S-mWTfDhzGJKEnfL4oewPw7I7AQW5IKyTZWg-lQ8L


二、VLAN相关协议：
802.1Q
IEEE802.1D
IEEE正在制定和完善IEEE802.1S（Multiple Spanning Trees）和IEEE802.1W（Rapid Reconfiguration of Spanning Tree）来改善VLAN的性能。
VTP（VLAN Trunking Protocol）：  它是思科私有协议。          作用是十几台交换机在企业网中，配置VLAN工作量大，可以使用VTP协议，把一台交换机配置成VTP Server, 其余交换机配置成VTP Client,这样他们可以自动学习到server 上的VLAN 信息。

802.10标准：大多数802委员会的成员都反对推广802.10
Cisco ISL 标签
STP（生成树协议）
IEEE802.1P协议提出了COS（Class of Service）标准，这使网络通信优先级控制机制有了参考


三、
VLAN是一种比较新的技术，工作在OSI参考模型的第2层和第3层，一个VLAN就是一个广播域，VLAN之间的通信是通过第3层的路由器来完成的。
VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户互访，每个工作组就是一个虚拟局域网




四、
只是划分VLAN在实际表现中就是端口之间不能正常通信（ARP泛洪接收不到）所以就会被认为是起到了隔离的作用
1.提高安全性----------举个例子:没有划分VLAN前,交换机端口连接下的所有PC都处于一个VLAN中即一个广播域中,实现ARP中间人攻击太简单了.划分了VLAN之后,缩小了ARP攻击的范围.ARP报文是一个2.5层的报文,只能在同一个VLAN中传播.
2.提高性能-----------不划分VLAN,整个交换机都处于一个广播域,随便一台PC发送的广播报文都能传送整个广域播,占用了很多带宽.划分了VLAN,缩小的广播域的大小,缩小了广播报文能够到达的范围