虚拟局域网VLAN

概念

1. 链路层的交换机可以隔离基于物理层的冲突域1
2. 网络层的路由器可以隔离基于链路层的广播域2。
3. 一些属于同一个局域网的主机，也属于同一个广播域，当其中一台主机发送广播时，广播内的所有主机都能收到广播报文。
4. 设置虚拟局域网VLAN可以利用交换机将一个大的广播域划分成多个小的广播域，即多个虚拟的局域网，避免了使用路由器的高成本(不是家里那种路由器)和路由器处理报文时繁琐的过程来隔离广播域，这样就可以减少过多的广播信息所形成的广播风暴啦，增加了网络的利用率。
   
   如上图中的LAN2，连接不同交换机的主机可以也划分到同一个VLAN中

实现VLAN

实现原理

为一个大局域网内的各网络设备的端口标记，指明他们分别属于哪个VLAN，即配置VLAN ID3, 同一个VLAN ID的端口间的网络就是一个虚拟局域网(也是一个广播域)。同时，为那些在这个大局域网中传播的数据帧添加标签(tag)，网络设备的端口通过将数据帧的tag和自己的VLAN ID比对，以此来确定该数据帧是否属于本VLAN。
802.1q标准规定在原有以太网帧格式中增加tag域，用来标示数据帧所属的VLAN ID

VLAN数据帧的传输

由于任何主机都不支持带有tag域的以太网帧，所以网络设备将VLAN以太网帧发送给交换机和主机时要区别对待。(上层的路由器不受影响)。以太网帧在VLAN交换机间传递要打上tag域，要传给主机，则要删除tag域。如果交换机收到的数据帧没有tag域，就默认它属于该端口的缺省VLAN(一个端口可以有多个VLAN, 缺省的VLAN就是原来的大局域网， H3C交换机中缺省VLAN是VLAN 1, 不打标签)。

VLAN端口分类

• Access端口（不打标签）：只能属于1个VLAN，从该端口出去的数据包不带TAG，一般接主机或路由器；
• trunk端口：可以属于多个VLAN，可以接收和发送带多种VLAN标签的报文，一般用于交换机之间连接的端口；
• hybrid端口：可以属于多个VLAN，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于接用户的计算机。属于Access和trunk的混合模式。

Hybrid端口和trunk端口的不同之处在于hybrid端口可以允许多个VLAN的报文不打标签，而trunk端口只允许缺省VLAN的报文不打标签。因为Hybrid端口可以接主机，从主机过来或发向主机的数据帧不管属于哪个VLAN都不打标签。而trunk端口连交换机，除了默认VLAN以为的数据帧都必须打标签。

VLAN的配置

[S1]vlan 2 # 创建VLAN 2
# 将e0/1-e0/5端口添加进VLAN2
[S1-VLAN2]port Ethernet1/0/1 to Ethernet1/0/5 
[S1-VLAN2]quit
# 用同样的方法配置VLAN3
[S1]vlan 3
[S1-VLAN3]port Ethernet1/0/20 to Ethernet1/0/24 
[S1-VLAN3]quit
# 为端口配置VLAN端口类型
[S1]inter Ethernet1/0/1
[S1-Ethernet1/0/1]port link-type trunk # 设置该端口为trunk类型
# 将该Trunk端口加入到VLAN2和VLAN3中
[S1-Ethernet1/0/1]port trunk permit VLAN 2 3 

注意：应先配置好VLAN, 有那些端口，再去端口或者聚合端口视图中设置端口类型，如果一个端口属于多个VLAN, 还要在端口中另外设置。

• 什么情况下VLAN 要配置trunk？
  为了让不同交换机上相同的VLAN内的主机能彼此通信。如下图的VLAN2（PCA和PCC）和VLAN3(PCB和PCD).
  当没有配置VLAN时，PCA ping PCC是没有问题的，S1收到PCA的帧后查找转发表，如果没有找到PCB就把PCA的入端口和MAC地址记下来（当有主机想联系PCA时使用)然后向除了E0/1以为的端口广播，S2也做类似的事，所以数据帧可以到达PCC。
  而一旦设置了VLAN而没有配trunk，由于S1不能向其他端口广播了， 因此就无法ping通。因为当PCA ping PCC时, S1看了一下从PCA发过来的数据帧的tag, 不知道应该把数据帧应从哪个端口发送出去，总不能原路发回来吧，而且交换机毕竟不是路由器，不能根据IP地址和子网掩码来判断要转发的目的子网以及连接该子网的端口。而当我们为S1和S2的E0/13端口配置了trunk，且设置这2个trunk端口属于VLAN2, 那么S1和S2都将知道如何转发数据报了。
  

---

1. 一个冲突域中的两个比特同时进行传输会发生冲突，所有的共享介质环境都是一个冲突域。两台计算机直接用网线连接，通过网桥或者集线器连接，都处在一个冲突域中。 ↩
2. 网络中的某一设备同时向网络中所有的其它设备发送数据，这个数据所能广播到的范围即为广播域。 ↩
3. VLAN ID的范围为0~4095（VLAN ID占12bit） ↩