网络安全笔记-16-VLAN

VLAN

作用

控制广播域。

VLAN技术是在交换机上实现的，目的是通过逻辑隔离划分的广播域。

VLAN 的类型

1. 静态VLAN：手工配置，基于端口划分的VLAN
2. 动态VLAN：手工配置，基于MAC地址划分的VLAN

创建VLAN

conf t

vlan ID [name] :name为可选的自定义名称

show vlan brief :查看vlan表

int f0/1

swicthport access vlan id :添加端口

默认情况下，所有端口处于vlan 1

原理

交换机收到帧时先看vlan表再看MAC表，在同一个交换机上，入口跟出口不在同一个vlan就不能通信。

如图，从10.1 发出一个帧后，交换机收到帧时，首先查看这个这个端口是哪个vlan，然后匹配MAC地址表,发现这个帧是发送给CC的，要从 f 0/3 端口出去,然后再匹配vlan表，看f 0/3 是不是vlan 10，如果是就发送，否则交换机不转发这个数据。

在跨交换机时，由于端口默认属于vlan 1 ，所以就算10.1跟10.4属于同一个vlan，但是端口f 0/4在匹配vlan表时发现端口f 0/1 跟端口f 0/4不是同一个vlan，就不会转发数据，信息也到达不了第二个交换机。

所以，为了解决上述问题，将交换机之间的链路配置为trunk链路/公共链路，允许所有vlan的数据都能通过该端口与链路。

trunk链路/中继链路/公共链路

作用：

允许所有vlan数据通过trunk链路

方法：

通过在数据帧上加标签来区分不同的vlan数据。

trunk标签

• ISL标签：思科私有的，标签大小（26+4）个字节
• 802.1q标签：公有协议，标签大小（4）个字节，在帧内部，属于内部标签。

交换机端口链路类型

• 接入端口：access端口，属于单个vlan
• 中继端口：trunk端口，公共端口，属于所有vlan

配置命令

conf t

int f 0/x

[switchport trunk encapsulation dot1q/isl] :选择trunk标签类型

switchport mode trunk

exit

trunk端口配置后不再出现在vlan表中。

---

总结

1. vlan控制广播域
2. 不同vlan之间无法通信
3. 通常规划一个vlan一个网段

---

总结

1. vlan控制广播域
2. 不同vlan之间无法通信
3. 通常规划一个vlan一个网段