基于端口的ＶＬＡＮ划分方式是较常用的一种划分方法，目前许多厂商的交换产品均支持这一功能。其原理是按照用户交换机端口来定义ＶＬＡＮ用户，即ＶＬＡＮ从逻辑上把局域网交换机的端口划分开来，然后根据用户需要的ＩＰ地址在ＶＬＡＮ中划分子网（子网是将Ｉｎｔｅｒｎｅｔ地址中的主机地址空间进行细分，可有效提高网络可靠性、灵活性、适应性和地址资源利用率）。端口ＶＬＡＮ划分分为单交换机端口ＶＬＡＮ划分和多交换机端口ＶＬＡＮ划分两种方式，前者只支持在一台交换机上指定若干的端口组成ＶＬＡＮ，而多交换机端口ＶＬＡＮ划分则可以使一个ＶＬＡＮ跨越多个交换机，并且同一个交换机上的端口可以属于不同的ＶＬＡＮ。端口ＶＬＡＮ划分能够较好地进行用户管理，减少广播风暴，并且安全性也较高。但ＩＰ地址利用率不高，原因是一个完整的子网由网段地址、网关地址、用户地址和广播地址组成。这样，只包含一个用户的ＶＬＡＮ就由４个ＩＰ地址组成，而真正被用户使用的ＩＰ地址只有一个（用户地址）。我们知道，ＩＰ地址是一种有限的资源，这样的划分方法将带来ＩＰ地址的浪费，因此端口ＶＬＡＮ方式的地址使用率较低。
 
　　
　　
　　从这种划分方法本身我们可以看出，这种划分的方法的优点是定义 VLAN成员时非常简单，只要将所有的端口都定义为相应的VLAN组即可。适合于任何大小的网络。它的缺点是如果某用户离开了原来的端口，到了一个新的交换机的某个端口，必须重新定义。
　　
　　 2. 基于MAC地址划分VLAN
　　
　　这种划分 VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组，它实现的机制就是每一块网卡都对应唯一的MAC地址，VLAN交换机跟踪属于VLAN MAC的地址。这种方式的VLAN允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属VLAN的成员身份。
　　
　　由这种划分的机制可以看出，这种 VLAN的划分方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，因为它是基于用户，而不是基于交换机的端口。这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的，所以这种划分方法通常适用于小型局域网。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，保存了许多用户的MAC地址，查询起来相当不容易。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样VLAN就必须经常配置。
　　
　　 3. 基于网络层协议划分VLAN
　　

　　 这种方法的优点是用户的物理位置改变了，不需要重新配置所属的 VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。
 
　　4. 根据IP组播划分VLAN
　　
　　
　　 5. 按策略划分VLAN
　　
　　基于策略组成的 VLAN能实现多种分配方法，包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪种类型的VLAN 。
?
　　6. 按用户定义、非用户授权划分VLAN

　　基于用户定义、非用户授权来划分 VLAN，是指为了适应特别的VLAN网络，根据具体的网络用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。
 　
 7．动态ＶＬＡＮ划分
 
　　动态ＶＬＡＮ划分的原理是在用户交换机的内存中制定一张用户信息表，用来记录用户的ＩＰ地址、ＶＬＡＮ号（ＶＬＡＮ ＩＤ）以及端口信息等。当用户数据信息进行交换时，交换机根据信息表进行检查，通过认证的数据分组进一步进行寻址和路由选择，反之则将其丢弃。动态ＶＬＡＮ划分的保密性较之端口ＶＬＡＮ划分更高，因为交换机不仅要检查用户的ＩＰ地址还要复核其ＶＬＡＮＩＤ。
 
    8． sｕｐｅｒ ＶＬＡＮ划分法
 
 　　Ｓｕｐｅｒ ＶＬＡＮ划分法是目前最先进的一种ＶＬＡＮ划分方法，ＳｕｐｅｒＶＬＡＮ又称为ＶＬＡＮ聚合（ＶＬＡＮ Ａｇｇｒｅｇａｔｉｏｎ），是一种专门设计的优化ＩＰ地址的管理技术。其原理是每个子网（ｓｕｂ－ＶＬＡＮ）都是独立的多播通道，多播信息不能在不同的子网中进行交换。当数据需要送到多个目的节点时，就动态建立ＶＬＡＮ代理，通过代理设备对ＶＬＡＮ中的用户进行管理。这样每个子网不需要设定ＩＰ地址，而是一个ＳｕｐｅｒＶＬＡＮ中的所有子网共享一个ＩＰ地址，这个ＩＰ地址就是Ｓｕｐｅｒ ＶＬＡＮ的ＩＰ地址。
 
 　　前两种划分ＶＬＡＮ的方法，对于每个用户ＶＬＡＮ都需要分配一个ＩＰ子网地址，因此需要大量的ＩＰ地址资源，而采用ＳｕｐｅｒＶＬＡＮ技术后，可以极大程度地节约ＩＰ地址。只要对包含多个ＶＬＡＮ的Ｓｕｐｅｒ ＶＬＡＮ分配一个ＩＰ地址，既节约地址又便于网络管理。
 
 　　另外，还有ＭＡＣ ＶＬＡＮ以及三层ＶＬＡＮ等划分方式，ＭＡＣＶＬＡＮ通过设备的ＭＡＣ地址（硬件地址），由人工进行初始配置来完成ＶＬＡＮ分类，实际使用中比较复杂。三层ＶＬＡＮ是由协议类型或网络层地址来定义ＶＬＡＮ，例如通过ＴＣＰ／ＩＰ的子网地址来划分ＶＬＡＮ用户，由于技术实现比较复杂，目前还未大规模使用。
 
 
网络地址转换（ NAT）配置实例
 
baidu
　　 NAT技术在企业中都采取两种技术类型结合应用，比较好的还是和端口复用地址转换。结合起来的技术如：端口复用地址转换、TCP/UDP端口NAT映射、静态地址转换+端口复用地址转换、动态地址转换+端口复用地址转换。
　　如果 ISP提供的合法IP地址数量较多，当然可以采用静态地址转换+端口复用动态地址转换技术得以完美实现。然而，如果只获得1个合法IP地址，虽然可以采用端口复用地址转换技术，实现整个网络的Internet接入。但是，由于服务器也采用动态端口，Internet中的计算机将无法访问到网络内部的服务器。有没有好的解决问题的方案呢？当然，这就是TCP/UDP端口NAT映射。既然只有一个可用的合法IP地址，当然采用端口复用方式来实现NAT.不过，由于同时有要求网络内部的服务器要被Internet访问到，因此必须采用PAT创建TCP/UDP端口的NAT映射。
　　我们知道，不同应用程序使用 TCP/UDP端口是不同的，例如，WEB服务器使用80、    FTP服务使用21、SMTP服务使用25、POP3服务使用110等。由于每种应用服务器都有自己默认的端口，所以这种NAT方式下，网络内部每种应用服务器成为Internet中的主机，例如，只能有一台WEB服务器、一台E-mail服务、一台FTP服务器。尽管可以采用改变默认端口的方式创建多台应用服务器，但这种服务器在访问时比较困难，要求用户必须先了解某种服务采用的新TCP端口。因此，可以将不同的TCP端口绑定至不同的内部IP地址，从而只使用一个IP地址，即可在允许内部所有服务器被Internet访问的同时，实现内部所有主机对Internet的访问。
　　具体 配置文件如下：
　 Interface fastethernet 0/0
　 Ip address 192.168.100.1 255.255.255.0
!—－定义本地端口 IP地址
 Ip nat inside
!—－定义为本地端口
　 Interface fastethernet 0/1
 Ip address 202.99.160.129 255.255.255.252
!—－定义 广域网端口IP地址
 Ip nat outside
!—－定义为广域网端口
　 Access-list 1 permit 192.168.100.0 0.0.0.255
!—－定义本地访问列表
　 Ip nat pool multiip 202.99.160.130 202.99.160.134 netmask 255.255.255.248
!—－定义 multiip地址池的IP范围
　 Ip nat inside source list 1 mullitip overload
　 Ip nat inside source static tcp 192.168.1.11 80 202.99.16.130 80
　 Ip nat inside source static tcp 192.168.1.12 80 202.99.16.131 80
　 Ip nat inside source static tcp 192.168.1.13 80 202.99.16.132 80
!—－将 80端口映射为192.168.1.11～13的80端口（WEB1-3）
　 Ip nat inside source static tcp 192.168.1.14 21 202.99.16.130 21
　 Ip nat inside source static tcp 192.168.1.15 21 202.99.16.131 21
!—－将 21端口映射为192.168.1.14～15的21端口（FTP1-2）
　 Ip nat inside source static tcp 192.168.1.16 25 202.99.16.133 25
　 Ip nat inside source static tcp 192.168.1.16 110 202.99.16.133 110
　 Ip nat inside source static tcp 192.168.1.17 25 202.99.16.134 25
　 Ip nat inside source static tcp 192.168.1.17 110 202.99.16.134 110
!—－将 25和110端口映射为192.168.1.16～17的25和110端口（mail1-2）
　　在企业中因根据具体的网络环境与条件选择相应的组合方式。在许多 FTP网站考虑到服务器性能和Internet连接带宽的占用问题，都限制同一IP地址的多个进程访问。该选择动态地址转换+端口复用地址转换。在很多时候，服务器即为企业内部客户提供网络服务，同时又要为Internet中的用户提供访问服务，选择静态地址转换+端口复用地址转换是一种比较好的方案。当ISP只提供一个合法 IP地址，网络又没有特殊需要，使用端口复用地址转换技术，既能节省了IP地址的同时，又可有效的保护网络内部计算机。
 
 
NAT基础： ip nat in/outside示范


baidu
baidu
　　一、直接通过路由器访问 INTERNET资源的配置
　　 1. 总体思路和设备连接方法
　　一般情况下，单位内部的局域网都使用 INTERNET上的保留地址：
10.0.0.0/8： 10.0.0.0～10.255.255.255
172.16.0.0/12： 172.16.0.0～172.31.255.255
192.168.0.0/16： 192.168.0.0～192.168.255.255
　　 NAT有两种类型：Single模式和global模式。
　　使用 NAT的global模式，路由器的接口将众多的本地局域网主机映射为一定的Internet地址范围（IP地址池）。当本地主机端口与 Internet上的主机连接时，IP地址池中的某个IP地址被自动分配给该本地主机，连接中断后动态分配的IP地址将被释放，释放的IP地址可被其他本地主机使用。
　　下面以我单位的网络环境为例，将配置方法及过程列示出来，供大家参考。
211.90.137.25（ 255.255.255.252）用于本地路由器的广域网端口
211.90.137.26（ 255.255.255.252）用于对方（联通）的端口
211.90.139.41（ 255.255.255.252）供自己支配
211.90.139.42（ 255.255.255.252）供自己支配
 
 
 
虚拟局域网（ＶＬＡＮ）是从传统的局域网（ＬＡＮ）概念上引申出来的，两者在功能和操作上基本相同。不同的是ＶＬＡＮ依据协议、ＭＡＣ地址或端口在逻辑上将网络划分为若干部分。换言之，ＶＬＡＮ模拟了一组终端设备，即使它们处于不同的物理网段上，也不受物理位置的限制。ＶＬＡＮ的作用是使得同一ＶＬＡＮ中的成员之间能够通信，而不同ＶＬＡＮ用户之间是相互隔离的，如果需要通信必须通过路由设备。ＶＬＡＮ使网络管理简单化，可以减少工作站移动和变化所需的费用，方便地进行逻辑分组，添加、删除和修改用户信息以及通过网络流量测试工具进行计费等工作。此外ＶＬＡＮ可以将广播风暴遏制在本ＶＬＡＮ的范围之内，其他ＶＬＡＮ用户不受影响，大大节约了网络带宽，提高了带宽利用率。
 
 　　虚拟局域网产生的基础是交换局域网的发展。目前，ＶＬＡＮ标准有Ｉｎｔｅｒ－ＳｗｉｔｃｈＬｉｎｋ、ＡＴＭ ＬＡＮ Ｎｅｍｕｌａｔｉｏｎ和ＩＥＥＥ８０２．１０等几种协议可以采用。其中较常用的是１９９５年制定的ＩＥＥＥ８０２．１０。目前许多基于二层交换的交换机都支持ＶＬＡＮ技术，并可以识别不同的ＶＬＡＮ用户。
 
 　　ＶＬＡＮ划分可以分为端口ＶＬＡＮ、动态ＶＬＡＮ、Ｓｕｐｅｒ ＶＬＡＮ等几种划分方式，这几种划分方式各有特点。可根据实际情况选择不同的ＶＬＡＮ划分方式。
 
     总结
 
ＶＬＡＮ技术的使用为解决网络配置和管理提供了良好的方法，随着局域网和用户数量的不断增加，ＶＬＡＮ技术将得到更加广泛的使用，目前ＳｕｐｅｒＶＬＡＮ技术还处于初级阶段，但有理由相信其有着巨大的发展空间，ＶＬＡＮ技术必将发挥更大的作用。
 
交换机的VLAN配置
一、【实验目的】
初步熟悉和掌握配置VLAN的方法。
二、【实验环境】
    Cisco Packet Tracer5.1或5.2。
三、【实验内容】
1. 组建交换式以太网
2. 用模拟器 Tracer模拟VLAN的构建，以及通信。
3. 建立和删除 VLAN
四、【实验步骤】
1. 建立网络拓扑，如图1所示。
图1 网络拓扑图
2. VLAN的配置
（1）为各主机配置IP地址
为主机PC0-PC7依次分配IP地址：
PC0：192.168.1.10                    PC1：192.168.1.20                 PC2：192.168.1.30
PC3：192.168.1.40                    PC4：192.168.1.50                 PC5：192.168.1.60
PC6：192.168.1.70                    PC7：192.168.1.80
（2）测试PC0与PC4的连通性：ping命令
（3）VLAN配置
把PC0-3分配给VLAN 1，把PC4-5分配给VLAN 2，把PC6-7分配给VLAN 3。
具体步骤和命令如下所示。
①显示默认vlan数据库

交换机默认有一个vlan
各端口都属于vlan 1
显示VLAN数据库
进入特权模式
②创建新的vlan

已创建vlan 2和vlan 3
创建vlan 2
创建vlan 3
进入全局配置模式
③把端口Fathernet0/5分配给指定vlan 2

端口Fathernet0/5已经分配给vlan 2
定义端口的Vlan成员类型
将该端口分配给指定vlan
进入端口配置模式 端口Fathernet0/5
（4）测试PC0与PC2的连通性，测试PC0与PC4的连通性。
方法1：ping命令       
方法2：发送包
（5）依照（3）（4）中的步骤，把PC5分配给VLAN 2，把PC6-7分配给VLAN 3。进一步熟悉和掌握vlan的配置和vlan内主机与vlan间主机的连通性测试。
3. VLAN的删除
VLAN的删除：no vlan 2