交换机VLAN和VTP的基础知识

一、VLAN --虚拟局域网

1、交换机所有接口默认处于一个广播域。
2、通过VLAN技术来对网络进行划分，可以将交换机划分成多个广播域。
一个广播域一个子网一个VLAN
3、VLAN的灵活性：可以根据功能、部门等一些因素来进行划分。
4、VLAN的安全性：不同VLAN之间不能都相互通信，相互隔离，减少广播域和故障域。
5、VLAN的管理性：可以针对不同的VLAN用户做出不同的策略。
6、VLAN的部署简单、灵活。

基本配置

IOU1(config)#vlan 10
IOU1(config-vlan)#name fa
IOU1(config)#int e0/0
IOU1(config-if)#switchport mode access
IOU1(config-if)#switchport access vlan 10

IOU1(config-if)#switchport trunk encapsulation dot1q
IOU1(config-if)#switchport mode trunk

二、交换机的接口模式：

①access ：接入模式，只能承载一种特定VLAN的流量，一般接在PC或者是终端设备
②trunk ：中继模式；属于trunk模式的接口能够承载多种VLAN的流量，一般是连接路由器或者是交换机的接口
802.1Q :dot1q ：是IEEE定义具有工业标准的协议，一共有四个字节，两个字节的以太网类型、3位的COQ 1位的令牌环网，12位VLAN ID

三、trunk模式对数据帧的处理方式：

思科： 数据帧从trunk发送会打上相应的标签
数据帧从trunk接收时会把标签解掉，查看本地的VLAN数据库，如果VLAN数据库存在相应的VLAN信息，就按照Mac地址表进行转发，如果不存在，就将其丢弃
华为：所有的数据帧在交换机内部都带有标签，就算没划分vlan也会有vlan1的标签，在trunk口传递数据帧前进行检测，如果是本征vlan的数据帧，则将标签解除，否则将带着标签传递）
native ：本征VLAN 属于native数据帧在trunk发送不会被打上标签，接收到一个没有打标签的数据帧，就将其当做本征VLAN处理
DTP --动态trunk协议，思科私有的，用于协商trunk
①dynamic auto --不会主动发送报文协商，等待协商，如果协商通过就工作在trunk
②dynamic desirable --动态期望，主动发送报文协商，

四、避免VLAN的跳跃攻击

①将接口设置成具体的模式（access），并将其划分进相应的VLAN
②修改本征VLAN为不常用的VLAN
③关闭自动协商
④trunk放行生产VLAN

IOU1(config-if)#switchport nonegotiate
IOU1(config-if)#switchport trunk native vlan 100
IOU1#show int trunk --查看那些接口是trunk
IOU1(config-if)#switchport trunk allowed vlan 1,10,20 --设置允许通过的VLAN
华为
[Huawei-GigabitEthernet0/0/1]port link-type access
[Huawei-GigabitEthernet0/0/1]port default vlan 10
[Huawei-GigabitEthernet0/0/1]port link-type trunk
[Huawei-GigabitEthernet0/0/2]port trunk allow-pass vlan all

五、端到端的VLAN

交换机不需要支持三层功能，出现故障不好排查
本地VLAN
需要支持三层功能
以本地VLAN的部署为主，端到端的VLAN 为辅

VTP—同步VLAN信息 （建议配置 trunk --vtp --VLAN ）

域名、密码、模式、修订版本号
①server：可以创建修改删除VLAN，并且断电之后不会消失
②client：不可以创建修改删除VLAN，同步的VLAN断电之后会消失
③transparent：可以创建修改删除VLAN，不会同步，也不会被同步，但是可以转发通告。

基本配置

IOU1(config)#vtp domain admin
IOU1(config)#vtp password 123
IOU1(config)#vtp mode server
IOU1#show vtp status --查看VTP的状态
IOU1#show vtp password -

IOU1(config)#vtp pruning --开启VTP的修剪，修剪掉本台不需要的VLAN信息

QINQ --802.1Q in 802.1Q
应用在ISP。在公网上传输私网的VLAN ，ISP与公司相连的接口设置为QINQ接口
IOU1(config-if)#switchport mode dot1q-tunnel --设置端口为QINQ接口
IOU1(config-if)#switchport access vlan 100 --将其划分进VLAN100
经过该接口的数据帧会额外打上一层100 的标签