二层vlan隔离下跨vlan互访配置和原理

实现二层不同vlan互通

1. 通过配置同网段不同vlan实现PC1仅与PC2互通。

网络拓扑

Tag字段

TPID（0x8100）

PRI

CFI

VID

1. TPID：这是一个2字节的字段，用于标识以太网帧中存在标签信息。在IEEE 802.1Q中，TPID的值为0x8100。

2. PRI：这是一个3位的字段，用于指定数据帧的优先级。它用于QoS（Quality of Service）机制，对数据进行不同级别的处理和传输。

3. CFI：这是一个1位的字段，用于标识VLAN标签中MAC地址的格式。它指示是否遵循IEEE 802.3规范的MAC地址规范性。

4. VID：这是一个12位的字段，用于指定数据帧所属的VLAN标识。它可以表示从1到4094之间的VLAN标识，其中1保留用于默认VLAN，而4094保留用于一些特殊目的。

VLAN ID作为VLAN的唯一标识符，用于划分和区分不同的虚拟局域网。通过VLAN ID，可以提供更好的隔离、管理和控制，同时优化网络性能和安全性。

业务vlan和管理vlan：管理vlan可远程管理设备灵活可靠，与设备安全技术结合使用。

方案一：用混和接口进行配置

Hybrid具有在同一个网段实现不同vlan通信可以使用混合接口的配置那些接口剥离标记tag，那些接口不剥离tag。具有access和trunk口的功能。

配置

[SW1-GigabitEthernet0/0/1]port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/1]port hybrid tagged vlan 10 [SW1-GigabitEthernet0/0/1]undo port hybrid untagged vlan 20 [SW1-GigabitEthernet0/0/2]port hybrid untagged vlan 10 20

[SW3-GigabitEthernet0/0/2]port hybrid pvid vlan 20 [SW3-GigabitEthernet0/0/2]port hybrid tagged vlan 20 [SW3-GigabitEthernet0/0/2]undo port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/1]port hybrid untagged vlan 10 20

实现同网段不同vlan互访。

验证过程： 无标签数据帧进入SW时，被打上端口对应的vlan id ，在交换机中带标签传输，在离开时untagged。应为混合接口控制了tag标签的剥离与添加。

方案二：用Access口配置，添加和玻璃tag

实现原理：终端发送的数据帧untagged进入交换机的Access接口后，会被加上一个标记tag，这个标记用于表示当前端口号的PVID的所属的VLAN号，默认情况下交换机所有端口都属于VLAN 1，被加上这个标记的数据只会向被允许这个VLAN号通过的端口去转发，如果它的VLAN ID与端口的PVID不同时，数据帧会被丢弃，而当这个数据帧到达它的目标端口号后，这个标记就会被剥离，避免将打了标记的数据包传给终端。

将两交换机之间端口用Access类型。

Access口上的数据帧通常不会打上802.1Q的VLAN标签，只有在进入或离开交换机时，数据帧的VLAN标签才会被添加或移除。

配置方法：将交换机sw1，sw2 g0/0/1,g0/0/2 接口类型设为access，并划分到对应的vlan中,创建vlan10 20

[SW1-GigabitEthernet0/0/1]dis this # interface GigabitEthernet0/0/1  port link-type access  port default vlan 10 #	[SW3-GigabitEthernet0/0/2]dis this # interface GigabitEthernet0/0/2  port link-type access  port default vlan 20 #
[SW1-GigabitEthernet0/0/2]dis this # interface GigabitEthernet0/0/2  port link-type access  port default vlan 10 #	[SW3-GigabitEthernet0/0/1]dis this # interface GigabitEthernet0/0/1  port link-type access  port default vlan 20 #

验证：tag标签在进入和离开时，被添加和剥离，全配置为access口数据帧在离开时就会不带标签。最终pc1与pc2互通。

方案三：修改pvid vlan id，把vlan标识去掉

原理：

1.Pvid用于描述一个交换机端口默认所属的VLAN标识。

2.pvid 是用来标识端口接收到的未标记的帧。

也就是说，当端口收到一个未标记的帧时，就把该帧打上vlan id标识，这个id值等于pvid的值，然后转发到VID和PVID相等的VLAN 中。

3.帧从端口出去时，如果帧头中的VID和端口的PVID值相同一样，就把这个标识去掉，再送出去。

4.trunk角度，首先将Trunk接口对端交换机也做同样的VLAN配置,允许带指定VLAN ID的标记的数据帧通过，修改默认PVID等，与Access接口不同的是Trunk接口允许多个VLAN的数据帧通过，相同的是当数据帧离开交换机时会剥离Trunk接口的PVID对应的VLAN tag，当非Trank接口的PVID的数据帧通过Trunk接口时，标记不会被剥离

配置方法：

[SW1-GigabitEthernet0/0/1]dis this # interface GigabitEthernet0/0/1  port link-type access  port default vlan 10 #	[SW3-GigabitEthernet0/0/2]dis this # interface GigabitEthernet0/0/2  port link-type access  port default vlan 20 #
[SW1-GigabitEthernet0/0/2]dis this # interface GigabitEthernet0/0/2  port link-type trunk  port trunk pvid vlan 10 #剥掉vlan 10数据标签进行转发  port trunk allow-pass vlan 2 to 4094	[SW3-GigabitEthernet0/0/1]dis this # interface GigabitEthernet0/0/1  port link-type trunk  port trunk pvid vlan 20 #收到空白数据帧，打上vlan 20标识  port trunk allow-pass vlan 10 20 #

验证：数据帧离开交换机时，vlan id标签与端口对应的pvid值相等，最终会剥离标签。

在进入时，不带标签的数据帧会被打上与端口pvid对应的标签，实现交换机内部带标签传输。