信安Note_day13

VLAN原理

VLAN（Virtual Local Area Network）即虚拟局域网，是将一个物理的局域网在逻辑上划分成多个广播域的技术。

VLAN内的用户可以进行二层互访，而不同VLAN间的用户被二层隔离。这样既能够隔离广播域，又能够提升网络的安全性。（VLAN的作用）

局域网的划分

物理划分：一台交换机，划分一个局域网。（成本较高）

逻辑划分：PC连接一台交换机，通过VLAN技术划分局域网。VLAN也就类似于在逻辑上创建一台交换机。

VLAN帧格式

没有携带Tag的帧，也就是Ethernet2（以太网2）帧格式。

VLAN帧：携带Tag的帧格式：

1. D.MAC（目标MAC）：6B

2. S.MAC（源MAC）：6B

3. Tag（4B）：标识此条数据帧，属于哪一台逻辑交换机（VLAN）。

   Tag组成：

   • TPID 2B：固定取值，0x8100，是IEEE定义的新类型，表明这是一个携带802.1Q标签的帧。如果不支持802.1Q的设备收到这样的帧，会将其丢弃。

   • TCI 2B：

     • PRI ：Priority：3比特，表示帧的优先级，取值范围为0～7，值越大优先级越高。当交换机阻塞时，优先发送优先级高的数据帧。

     • CFI：Canonical Format Indicator，1比特。CFI表示MAC地址是否是经典格式。CFI为0说明是经典格式，CFI为1表示为非经典格式。用于区分以太网帧、FDDI（Fiber Distributed Digital Interface）帧和令牌环网帧。在以太网中，CFI的值为0。

     • 1.VLAN Identifier：VLAN ID，12比特。

4. Type（上层数据类型）：2B

5. Data（数据）：46-1500B

6. FCS（帧校验）：4B

交换机主要通过Tag来区分设备属于哪一个VLAN。

目前Tag技术，仅存在于交换机。所以，PC发送给交换机的数据帧，以及交换机发送给PC的数据帧，都不Tag，否则主机将不能识别此数据帧。

链路类型

接入链路（Access Link）

• 连接用户主机和交换机的链路称为接入链路。

• 主机通过Access Link接入交换机，传输标准以太网帧格式的数据帧。

• 交换机收到标准以太网帧后，会根据交换机内的VLAN配置、主机接口，将此条数据帧加上Tag（Tag的值唯一，即主机只能逻辑上属于一个局域网）。

干道链路（Trunk Link）

• 连接交换机和交换机的链路称为干道链路。

• 干道链路上通过的帧一般为带Tag的VLAN帧。

• 交换机发给由Trunk Link连接的其他交换机的数据帧为带有Tag的VLAN数据帧。此时Tag的值不再唯一（即交换机可以互联多个虚拟局域网）。

PVID

PVID表示端口在缺省情况下所属的VLAN。

缺省情况下，常见交换机每个接口的PVID都是1（即默认情况下，交换机的所有接口都在编号为1的VLAN下）。

<