虚拟局域网VLAN

一、VLAN

1. 概述

VLAN（虚拟局域网）是Virtual Local Area Network的简称。
VLAN是将一个物理的LAN在逻辑上划分成多个广播域的通信技术，不同VLAN间不能够直接通信。
交换机在第一次转发数据包都是以广播的方式进行转发，这样就会在网络中产生很多的广播流量，从而会影响网络的通畅。
从安全的角度来讲，交换机收到一个来自目地MAC地址不在MAC地址表中的数据帧时，将以广播的方式除接收接口外从其他所有接口转送出去，默认交换机所有接口都属于vlan 1，也就是，默认所有连接此交换机的主机都能够接收到数据帧，通过vlan技术可以进行划分广播域，使交换机的接口处于不同的vlan（广播域），从而提升网络安全性。

2. 优势

1. 控制广播
2. 增强网络安全性
3. 简化网络管理
   

3. 种类

1. 静态 VLAN
   基于端口划分静态VLAN。主要是在交换机上创建对应VLAN，并将交换机的接口加入到对应VLAN中，如下图所示：
   
2. 动态 VLAN
   基于MAC地址划分VLAN。
   根据终端用户的MAC地址，决定属于哪一个VLAN；VMPS（VLAN 管理策略服务器) 中包含一个文本文件，文件中存有 VLAN 与 MAC 地址对应表。交换机对这个文件进行下载，然后对文件中的 MAC地址进行校验。从而实现主机自动加入对应 VLAN 中，此种方式下终端设备可以连接在任意位置，只要 MAC 地址不变，加入的 vlan 就不变，设备移动性强，但在实际应用场景中相对较少。

二、静态 VLAN 配置

1. VLAN 范围

VLAN的范围（思科设备为例，总计4096个VLAN，不同设备大同小异）

VLAN ID范围	范围	用途
0，4095	保留	仅限系统使用，用户不能查看和使用这些VLAN
1	正常	Cisco默认VLAN用户，能够使用该VLAN，但不能删除它
2-1001	正常	用于以太网的VLAN，用户可以创建、使用和删除这些VLAN
1002-1005	正常	用于FDDI和令牌环的Cisco默认VLAN，用户不能删除这些VLAN
1006-1024	保留	仅限系统使用，用户不能查看和使用这些VLAN
1025-4094	扩展	仅用于以太网VLAN

2. 配置步骤

1. 创建VLAN（两种方式）
   VLAN数据库配置模式：

   Switch#vlan database              //进入VLAN数据库模式
   Switch(vlan)#vlan 2 name test     //添加VLAN 2并命名test，如不指定名称系统会使用默认名称
   Switch(vlan)#exit                 //保存退出
   

   全局配置模式：

   Switch(config)#vlan 2                    //添加一个VLAN 2
   Switch(config-vlan)#name test			 //给VLAN命名test，此命令可选
   

2. 将交换机的端口加入到相应的VLAN中
   将端口加入VLAN

   Switch(config)#interface fastethernet 0/10         //进入要配置的端口f0/10
   Switch(config-if)#switchport mode access           //定义二层端口模式，默认为access端口，可省略
   Switch(config-if)#switchport access vlan 2         //将端口添加到VLAN 2中
   Switch(config-if)#no switchport access vlan 2      //如需将端口从某个VLAN中删除可执行命令
   

   同时将多个端口加入VLAN

   Switch(config)#interface range f0/1 – 10            //使用范围关键字range
   Switch(config-if-range)#switchport access vlan 2
   

3. 还原接口为默认配置状态

   Switch(config)#default interface f0/10
   

4. 验证VLAN的配置
   查看所有VLAN的摘要信息

   Switch#show vlan brief
   

   查看指定VLAN信息

   Switch#show vlan id 2
   

5. 删除VLAN（使用 no vlan vlan-id 命令删除VLAN）
   VLAN数据库中删除VLAN

   Switch#vlan database
   Switch(vlan)#no vlan 2
   Deleting VLAN 2...
   

   全局模式下删除VLAN

   Switch(config)#no vlan 20
   

三、VLAN Trunk

1. 概述

交换机与交换机之间使用一条链路，并且通过标识来区分不同VLAN的数据。

2. 交换网络中的链路类型

接入链路 access（接入链路是属于一个并且只属于一个VLAN的端口）
中继链路 trunk（中继链路可以承载多个VLAN）

3. VLAN Trunk 标准

ISL（思科私有标准，ISL只是对帧进行封装，而没有修改帧中的任何内容）
.
IEEE 802.1q（是IEEE的国际标准，802.1q为公共标准，不同厂商交换机进行互联时需要使用共有标准）
IEEE 802.1q工作原理

如图所示，交换机收到来自vlan 20的数据帧，数据帧需要转发到另端的交换机上，交换机与交换机之间为中继链路，在转发前打上vlan 20标签通过中继链路传输，另端的交换机收到打上标签的数据帧后，进行数据帧解封装，发现是携带vlan 20的数据帧，然后拆除标签，找到vlan 20的对应接口进行转发。

• TPID：Tag Protocol Identifier，2字节，固定取值，0x8100，是IEEE定义的新类型，表明这是一个携带802.1Q标签的帧。如果不支持802.1Q的设备收到这样的帧，会将其丢弃。
• TCI：Tag Control Information，2字节。帧的控制信息，详细说明如下：
  • Priority：3比特，表示帧的优先级，取值范围为0～7，值越大优先级越高。当交换机阻塞时，优先发送优先级高的数据帧。
  • CFI：Canonical Format Indicator，1比特。CFI表示MAC地址是否是经典格式。CFI为0说明是经典格式，CFI为1表示为非经典格式。用于区分以太网帧、FDDI（Fiber Distributed Digital Interface）帧和令牌环网帧。在以太网中，CFI的值为0。
  • VLAN Identifier：VLAN ID，12比特，在X7系列交换机中，可配置的VLAN ID取值范围为0～4095，但是0和4095在协议中规定为保留的VLAN ID，不能给用户使用。

4. Trunk 的模式和协商

Trunk 中继链路采用动态中继协议（DTP：Dynamic Trunking Protocol）在交换网络中通过 ISL 或 IEEE 802.1Q 的帧封装在交换机之间就中继进行协商。

Trunk 的模式：

• 接入（Access）
• 干道（Trunk）
• 动态企望（Dynamic desirable）
• 动态自动（Dynamic auto）
• 非协商（Nonegotiate）

Trunk模式协商结果：

SW1端口模式	SW2端口模式	SW1结果	SW2结果
trunk	dynamic auto	trunk	trunk
trunk	dynamic desirable	trunk	trunk
dynamic auto	dynamic auto	access	access
dynamic auto	dynamic desirable	trunk	trunk
dynamic desirable	dynamic desirable	trunk	trunk
trunk、nonegotiate	trunk	trunk	trunk
trunk、nonegotiate	dynamic auto	trunk	access
trunk、nonegotiate	dynamic desirable	trunk	access

四、Trunk 配置

1. 配置步骤

进入接口配置模式

Switch(config)#interface fastethernet 0/10

选择封装类型

Switch(config-if)#switchport trunk encapsulation dot1q    //可选三种封装类型 isl | dot1q | negotiate

将接口配置为Trunk

Switch(config-if)#switchport  mode  trunk    //可选4中trunk的模式 dynamic {desirable | auto} | trunk | access

2. 其他配置

禁止Trunk传送某个VLAN的数据，删除这个VLAN

Switch(config-if)#switchport trunk allowed vlan remove 10    //禁止传输vlan 10数据

允许Trunk传送某个VLAN的数据，添加这个VLAN

Switch(config-if)#switchport trunk allowed vlan add 10    //允许传输vlan 10数据（中继链路默认允许全部VLAN的数据通过）

查看接口模式、状态

Switch#show interface fastethernet 0/10 switchport