VLAN及VLAN间路由

VLAN及VLAN间路由

一、 VLAN原理

• VLAN技术是二层技术，是交换机所支持的技术；
• VLAN技术主要实施目的是优化网络性能，通过逻辑上的广播域隔离实现的
• VLAN技术和其物理位置无关，是一种逻辑上的隔离
• VLAN技术是通过交换机中的VLAN映射表来完成
  • 动态VLAN：VLAN和PC的MAC地址的对应关系，使用的较少
  • 静态VLAN：VLAN和交换机接口的对应关系，使用的最多
• VLAN间想要互通，必须通过路由设备或三层交换设备才可以
• 归划VLAN时，一个VALN应该对应一个IP子网

配置静态VLAN

1. 创建VLAN
2. 将接口加入到相应VLAN

VLAN标签

• 使用的是IEEE802.1q标签技术
• 目的是让VLAN支持跨交换机
• 标准以太网帧的源MAC地址和类型字段之间插入4个字节，其中又12个Bit位表示VLAN ID，所以交换机最大支持的VLAN个数时4096个，取值范围是0~4095，但是0和4095保留了；
  • VLAN1是交换机所i有接口默认所属的VLAN
  • 在VLAN环境中，存在带标签帧和不带标签帧两种，电脑收到的应该是不带标签的帧。

二、 VLAN链路类型

• **接入链路（Access Link）：**连接用户主机和交换机的链路称为接入链路，接入链路上通过的帧一般是不带tag的标准帧。
• **干道链路（Trunk Link）：**连接交换机和交换机的链路称为干道链路。干道链路上通过的帧一般为带Tag的VLAN帧。

1. 端口类型

• **Access端口：**属于一个VLAN，且只能属于一个VLAN
• **Trunk端口：**不属于任何VLAN，但是可以承载所有的VLAN信息
• **Hybrid端口：**类似于Trunk端口，

2.端口收发规则

Access端口收发数据帧的规则如下：

1. 如果该端口收到对端设备发送的帧是untagged（不带VLAN标签） ，交换机将强制加上该端口的PVID。 如果该端口收到对端设备发送的帧是tagged（带VLAN标签） ， 交换机会检查该标签内的VLAN ID。当VLAN ID与该端口的PVID相同时， 接收该报文。 当VLAN ID与该端口的PVID不同时， 丢弃该报文。

2.Access端口发送数据帧时， 总是先剥离帧的Tag， 然后再发送。端口发往对

Trunk端口是交换机上用来和其他交换机连接的端口， 它只能连接干道链路。 Trunk端口允许多个VLAN的帧（带Tag标记） 通过。

Trunk端口收发数据帧的规则如下：

1. 当接收到对端设备发送的不带Tag的数据帧时， 会添加该端口的PVID， 如果PVID 在允许通过的VLAN ID列表中， 则接收该报文， 否则丢弃该报文。 当接收到对端设备发送的带Tag的数据帧时， 检查VLAN ID是否在允许通过的VLAN ID列表中。 如果VLAN ID在接口允许通过的VLAN ID列表中， 则接收该报文。 否则丢弃该报文。

2. 端口发送数据帧时， 当VLAN VLAN 时， 去掉

Access端口发往其他设备的报文， 都是Untagged数据帧， 而Trunk端口仅在一种特定情况下才能发出untagged数据帧， 其它情况发出的都是Tagged数据帧。

Hybrid端口

是交换机上既可以连接用户主机， 又可以连接其他交换机的端口。 Hybrid端口既可以连接接入链路又可以连接干道链路。 Hybrid端口允许多个VLAN的帧通过， 并可以在出端口方向将某些VLAN帧的Tag剥掉。 华为设备默认的端口类型是Hybrid。

Hybrid端口收发数据帧的规则如下：

1. 当接收到对端设备发送的不带Tag的数据帧时， 会添加该端口的PVID， 如果PVID 在允许通过的VLAN ID列表中， 则接收该报文， 否则丢弃该报文。 当接收到对端设备发送的带Tag的数据帧时， 检查VLAN ID是否在允许通过的VLAN ID列表中。 如果VLAN ID在接口允许通过的VLAN ID列表中， 则接收该报文， 否则丢弃该报文。

**2.**Hybrid端口发送数据帧时，将检查该接口是否允许该VLAN数据帧通过。如果允许通过，则可以通过命令配置发送时是否携带Tag。

三、 VLAN基本配置

概述

VLAN的划分有很多种方法，基于交换机端口的静态VLAN方法是最常用的。

根据交换机的端口编号来划分VLAN。 通过为交换机的每个端口配置不同的PVID， 来将不同端口划分到VLAN中。

配置操作

1、在交换机上划分VLAN时，需要首先创建VLAN。

[switch]vlan 10
[switch-vlan10]description caiwubu
// 	可以批量创建
[switch]vlan batch 2 to 9

• 执行display vlan [ vlan-id [ verbose ] ]命令， 可以查看指定VLAN的详细信息， 包括VLAN ID、 类型、 描述、 VLAN的状态、 VLAN中的端口、以及VLAN中端口的模式等。

• 执行display vlan vlan-id statistics命令， 可以查看指定VLAN中的流量统计信息。需要开启vlan统计功能才能查看。

• 在VLAN视图下: statistic enable 执行display vlan summary命令， 可以查看系统中所有VLAN的汇总信息。

2、将交换机接口配置为access接口。

[switch]interface  GigabitEthernet  0/0/2
[switch-GigabitEthernet0/0/2]port link-type access

3、将交换机端口加入到相应的VLAN中

[switch]interface GigabitEthernet 0/0/2
[switch-GigabitEthernet0/0/2]port default vlan 2

===================或者=========================

[switch]vlan 2
[switch-vlan2]port GigabitEthernet 0/0/2

配置接口到trunk端口

[switch]interface GigabitEthernet 0/0/3
[switch-GigabitEthernet0/0/3]port link-type trunk
[switch-GigabitEthernet0/0/3]port trunk allow-pass vlan 2 to 5

四、 配置Hybrid

华为交换机默认的端口类型就是Hybrid端口，它类似于trunk端口，可以允许多个

VLAN信息通过，还可以规定哪些VLAN打标签，哪些VLAN不打标签，合理的配置好Hybrid端口，可以起到安全隔离的作用。

1 、 配 置 端 口 类 型 为 Hybrid

[sw1] interface GigabitEthernet 0/0/1
[sw1-GigabitEthernet0/0/1] port link-type hybrid

2、配置Hybrid端口的PVID

[sw1-GigabitEthernet0/0/1] port hybrid pvid vlan 2

3、配置Hybrid端口上打标签的VLAN和不打标签的VLAN

[sw1-GigabitEthernet0/0/1]port hybrid untagged vlan 2 3
[sw1-GigabitEthernet0/0/1]port hybrid tagged vlan 4 6

五、 配置单臂路由

VLAN隔离了二层广播域， 也严格地隔离了各个VLAN之间的任何二层流量， 属于不同VLAN的用户之间不能进行二层通信。

因为不同VLAN之间的主机是无法实现二层通信的， 所以必须通过三层路由才能将报文从一个VLAN转发到另外一个VLAN。

单臂路由解决方案：

在交换机和路由器之间仅使用一条物理链路连接。 在交换机上， 把连接到路由器的端口配置成Trunk类型的端口， 并允许相关VLAN的帧通过。在路由器上需要创建子接口， 逻辑上把连接路由器的物理链路分成了多条。 一个子接口代表了一条归属于某个VLAN的逻辑链路。

配置子接口时， 需要注意以下几点：

1. 必须为每个子接口分配一个IP地址。 该IP地址与子接口所属VLAN位于同一网段。

2. 需要在子接口上配置802.1Q封装， 来剥掉和添加VLAN Tag， 从而实现VLAN间互通。

3. 在子接口上执行命令arp broadcast enable使能子接口的ARP广播功能。

1 、 交 换 机 配 置

1. 创建vlan

   [SWA]vlan batch 2 3
   

2. 选择接口

   [SWA]interface GigabitEthernet 0/0/1
   

3. 选择接口类型为trunk

   [SWA-GigabitEthernet0/0/1]port link-type trunk
   

4. 允许trunk端口通过vlan 2 3

   [SWA-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 3 
   

5. 选择接口

   [SWA]interface Ethernet 0/0/1
   

6. 设置端口类型为access

   [SWA-Ethernet0/0/1]port link-type access 
   

7. 将接口划分到vlan 2

   [SWA-Ethernet0/0/1]port default vlan 2
   

8. 选择接口

   [SWA]interface Ethernet 0/0/2
   

9. 设置端口类型为access

   [SWA-Ethernet0/0/2]port link-type access
   

10. 将接口划分到vlan 3

    [SWA-Ethernet0/0/2]port default vlan 3
    

2、路由器配置

1. 选择接口

   [RTA]interface GigabitEthernet 0/0/0
   

2. 打开接口

   [RTA-GigabitEthernet0/0/0]undo shutdown 
   

3. 选择接口

   [RTA]interface GigabitEthernet 0/0/0.1
   

4. 封装dot1q协议,该子接口对应vlan 25

   [RTA-GigabitEthernet0/0/0.1]dot1q termination vid 25
   

5. 设置子接口IP地址和子网掩码

    [RTA-GigabitEthernet0/0/0.1]ip address 192.168.2.254 24
   

6. 开启子接口的ARP广播

   [RTA-GigabitEthernet0/0/0.1]arp broadcast enable 
   

7. 选择接口

   [RTA]interface GigabitEthernet 0/0/0.2
   

8. 封装dot1q协议,该子接口对应vlan 3

   [RTA-GigabitEthernet0/0/0.2]dot1q termination vid 3 
   

9. 设置子接口IP地址和子网掩码

   [RTA-GigabitEthernet0/0/0.2]ip address 192.168.3.254 24
   

10. 开启子接口的ARP广播

    [RTA-GigabitEthernet0/0/0.2]arp broadcast enable
    

interface interface-type interface-number.sub-interface number命令用来创建子接口。 sub-interface number代表物理接口内的逻辑接口通道。

dot1q termination vid命令用来配置子接口dot1q封装的单层VLAN ID。缺省情况， 子接口没有配置dot1q封装的单层VLAN ID。 本命令执行成功后， 终结子接口对报文的处理如下：接收报文时， 剥掉报文中携带的Tag后进行三层转发。 转发出去的报文是否带Tag由出接口决定。 发送报文时， 将相应的VLAN信息添加到报文中再发送。

arp broadcast enable命令用来使能终结子接口的ARP广播功能。 缺省情况下， 终结子接口没有使能ARP广播功能。 终结子接口不能转发广播报文， 在收到广播报文后它们直接把该报文丢弃。 为了允许子接口能转发广播报文，可以通过在子接口上执行命令。

六、 配置三层交换

三层交换机及多层交换机通过专用板卡设计，实现了比路由器更快的转发效率，所以在企业中得到大量应用，很多核心层设备都以及使用了多层交换机，包括在数据中心也基本是用其来做为核心交换。

通过SVI（交换虚拟接口）接口实现

三层交换机具体配置命令

1、需要先创建相应的VLAN，并且VLAN中还要有活跃接口。如果没有相应VLAN，VLANIF接口不会激活

2、创建VLANIF接口

[L3-SWB]interface Vlanif 2

[L3-SWB-Vlanif2]ip address 192.168.2.254 24

[L3-SWB]interface Vlanif 3 

[L3-SWB-Vlanif2]ip address 192.168.3.254 24

interface vlanif vlan-id命令用来创建VLANIF接口并进入到VLANIF接口视图。vlan-id表示与VLANIF接口相关联的VLAN编号。 VLANIF接口的IP地址作为主机的网关IP地址，和主机的IP地址必须位于同一网段。