网络安全学习第十六篇【VLAN】

virtual LAN 虚拟局域网

1.广播/广播域

（广播只能存在于内网中，出了内网，到达路由器是通过路由表进行传播的，路由器不转发ARP报文）

2.如何控制广播

控制广播 = 隔离广播域

   1.路由器隔离广播（物理隔离广播）

       缺点：成本高，不够灵活

3.广播危害

   增加网络/终端的负担，传播病毒，完全性

4.新技术控制广播

采用新的技术Vlan技术来控制广播，VLAN技术是在交换机上实现的，且是通过逻辑隔离划分的广播域。交换机中默认存在大概5个VLAN，其中VLAN 1 中存在所有端口，所有没配置VLAN感觉不出已经启动。

5.VLAN原理

VLAN是控制广播域的，在广播域中，通过逻辑隔离，创建VLAN表，分配不同的VLAN段，处于不同段的不能通信，如果跨VLAN通信，帧就会被交换机干掉。

同一交换机内：同一交换机上，入口和出口不在同一VLAN上，不能通信，帧将会被干掉。同一交换机上配置VLAN的接口被称为access接口。

进行通信时，交换机会先查看VLAN表，然后根据Mac地址表进行转发，（VLAN确定是否能通信，Mac地址表决定转发的方向）

6.VLAN的特点

可以减小广播域的范围

一个VLAN等于一个广播域等于一个网段

一个局域网内，存在多个交换机时，多个交换机都需要配置相同的VLAN表，但是不需要将端口也配置一致。

7.VLAN的类型

1).静态VLAN：手工配置的，基于端口划分的VLAN（而不是基于主机划分的，该端口一直属于该VLAN中，而主机可以变）

2).动态VLAN：手工配置的，基于MAC地址划分的VLAN，（而不是基于端口划分的，该主机一直属于该VLAN中，换端口接入也还是该VLAN中）

3）采用802.1x端口认证，基于账号来划分的VLAN

静态VLAN配置命令：

创建VLAN

 conf   t           #进入配置模式

 VLAN  ID，ID，ID-ID      #创建VLAN

 {name   自定义名称 }

exit  

查看VLAN表

show  vlan   b              #查看VLAN表

将端口加入VLAN

int  f0/x                 #选择端口

 switchport  access   vlan  10              #加入VLAN 10 组里

exit   

trunk技术

不同交换机内：交换机与交换机之间的接口，交换机与交换机上存在多个相同的VLAN，但是只有一个接口，最多只能配置通过一个VLAN段，使用将交换机与交换机之间的端口，更改为公共链路/trunk/中继链路。当在不同交换机之间进行通信时，帧传输到公共端口时，会打上一个标签，说明自己是哪个VLAN的，到达对方交换机之后才能识别，然后检查Mac地址表，转发！

作用：允许所有VLAN数据通过trunk链路

方法：通过给数据帧上加标签，来区分不同的VLAN的数据

1. trunk标签

TSL标签：Cisco私有的，标签大小30字节26+4

802.1q标签：公有协议，所有厂家支持，标签大小4字节，属于内部标签。

2.交换机端口链路类型

1）接入端口：access端口，一般用于PC连接，只能属于一个VLAN，也只能传输一个VLAN

2）中继端口：也称为trunk端口，一般用于连接其他的交换机，属于公共端口，允许所有VLAN的数据通过

3. 配置trunk命令

   int  f0/x             #选择端口

   switchport  trunk encapsulation dot1q / isl       #配置通用或者思科协议

   exit

 如果要实现同一内网中不同VLAN之间的通信，需要通过三层结构，通过路由实现通信！

【千锋教育】网络安全工程师 （共311集培训班全套）