HCIP---VLAN

已于 2025-04-13 22:58:41 修改
阅读量669 收藏
点赞数
分类专栏： HCIP 文章标签： 网络安全 网络协议 VLAN
于 2023-11-08 21:39:10 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zhoutong2323/article/details/134298291
版权

前言

VLAN技术是现代企业网络和数据中心网络的核心技术之一。本文将重点针对VLAN技术进行详解。

一.VLAN概述

   VLAN（Virtual Local Area Network，虚拟局域网）是一种基于交换机和网络设备的划分技术，可以将不同区域的计算机、服务器和网络设备分成逻辑上的“虚拟”子网，使得不同的虚拟子网在物理上可以处于同一局域网中，但彼此之间相互隔离，从而增强网络的安全性、可管理性和灵活性。   

    VLAN技术可以通过交换机的端口配置、MAC地址、IP地址、协议类型等多种方式进行划分，从而为网络管理员提供更加细致和灵活的网络管理方式。

作用： 

  • 隔离广播域，让每个节点（比如电脑、手机）不需要收到太多无关的广播包，从而减少计算性能和网络带宽的无谓消耗。从而保证局域网的性能。
  • 隔离常见病毒与攻击，这样即使某个主机感染了arp攻击病毒、dhcp攻击病毒等常见局域网病毒，影响的范围也只限于本vlan，不会影响到其他vlan，可以将故障限制在比较小的范围。一来造成的影响小，二来排查故障也更加容易。

 二.VLAN基础认识

 ​​​​​​

先根据下面的配置完成拓扑图中的vlan划分：

【 配置命令 】
首先分别在交换机 SW1 和 交换机 SW2 上创建 VLAN 10 和 VLAN 20

# SW1 配置
[SW1]vlan batch 10 20

# SW2 配置
[SW2]vlan batch 10 20

完成 VLAN 10 和 VLAN 20 的创建后，下面将 SW1 的接口划入对应的 VLAN（SW2配置相同）：

# SW1 配置
[SW1]interface GigabitEthernet 0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access 
[SW1-GigabitEthernet0/0/1]port default vlan 10

[SW1]interface GigabitEthernet 0/0/2	
[SW1-GigabitEthernet0/0/2]port link-type access 	
[SW1-GigabitEthernet0/0/2]port default vlan 20

[SW1]interface GigabitEthernet 0/0/3
[SW1-GigabitEthernet0/0/3]port link-type trunk 	
[SW1-GigabitEthernet0/0/3]port trunk allow-pass vlan 10 
[SW1-GigabitEthernet0/0/3]port trunk allow-pass vlan 20
[SW1-GigabitEthernet0/0/3]port trunk pvid vlan 10

 VLAN ID 

VLAN ID（Virtual Local Area Network Identifier）即虚拟局域网标识符，是用于区分不同 VLAN 的编号。在基于 VLAN 技术构建的网络中，它是识别和管理 VLAN 的关键标识，在网络设备间传递数据时，用于标记数据帧所属的 VLAN。

基于上面的拓扑图，我们可以使用下述命令查看vlan信息

#查看vlan信息
[Huawei]display vlan
VLAN 信息展示

 图片中展示的信息显示交换机 SW1 存在 VLAN 1（默认），VLAN 10 和 VLAN 20，其中接口G0/0/1 和 接口 G0/0/3属于 VLAN 10，接口G0/0/2属于 VLAN 20

VLAN 执行表格 

  • 查看 VLAN 执行表格 
[LSW1]display port vlan active
接口能够转发的VLAN报文示意图

 VLAN端口类别

  •  交换机的转发原理：

    当数据通过交换机的接口进入交换机时，交换机首先查看数据包中的源MAC地址和接口的映射关系 ，同时，记录接口对应的VID。若目标MAC地址在地址表中映射的VID 和源MAC 映射的VID 相同，则进行单播转发，否则，交换机将通过VID 和源MAC地址映射的VID相同的接口泛洪。 

  •  一层VLAN (物理VLAN):给对应的接口和VLAN ID 作映射 
  • 二层VLAN：将MAC地址和VLAN ID 作映射
  • 三层VLAN;基于数据帧中的类型字段和VID 作映射(例：IPv4属于VID2 IPv6属于VID3)

如上图，LSW 2 为了区分 LSW 1 发送的数据包并将数据包发送到对应的vlan 中(例如：将LSW1 vlan1中的数据传送到 LSW2 中的vlan1)，需要将数据帧打上标签Tag。

  •  未打标签的数据帧为以太网二进制帧（untagged帧）

  •  在以太网二进制帧的源MAC和Type之间打上Tag标签的帧为802.1Q帧（Tag帧）

 Tag帧用于交换机之间区分数据来源，而交换机与电脑之间数据帧格式为以太网二进制帧帧格式无需使用Tag帧来区分数据，根据此特点，将交换机的接口分为以下几种类型：

  •  PVID

接口的VID,反应的接口所属的VLAN ID，PVID默认为1，华为·体系下，所有进入交换机的数据帧必须是tagged帧，因此数据帧在进入交换机之前必须打上进入接口的PVID标签。 

  •  VLAN List

当数据通过该端口进入/出去访问其它VLAN 时，如果该端口的VLAN List 的值中有对应VLAN的VID，则允许访问。

Access接口

 交换机和电脑之间的链路称为Access链路，Access链路对应的交换机接口为Access接口。

转发原理：

  • Access接口会给未打上标签的数据帧打上自己的PVID ；
  • Access接口仅接收标签=PVID的报文，转发给主机时会剥离数据帧标签；若标签≠PVID，则丢弃报文

Trunk接口

交换机和交换机之间的链路称为Trunk链路，Trunk链路对应的交换机接口为Trunk接口。 

当Trunk端口转发帧时，该帧的标签在Trunk允许发送的列表中

转发原理：

  • 若数据帧VID=PVID，Trunk接口转发该数据帧时会剥离标签
  • 若数据帧VID≠PVID，Trunk接口转发该数据帧时不会剥离标签

接收原理：

  • 接收无标签数据帧：直接打上trunk端口的PVID
  • 接收有标签数据帧：直接转发，不剥离标签

Hybrid接口

    交换机上既可连接用户主机又可连接其他交换机的端口，它既可连接接入链路又可连接汇聚链路。Hybrid 端口允许多个Vlan的帧通过，并可在出端口方向将某些Vlan帧的Tag标签剥掉。

  Hybrid 接口可以修改PVID,可以修改执行列表中的 VLAN List  ，Trunk端口对应的执行列表中VLAN List可以存在多个VLAN，可以修改封装类型 。
数据接收：

  • 收到无标记数据帧会打上本端口的PVID
  • 收到有标记的数据帧，直接转发，不剥离标签

数据帧发送：

  • Hybrid端口可以灵活设备哪些VLAN数据帧发送时需要剥离标签

实验分析： 

判断PC7是否可以正常访问PC8

 分析：

   当PC7访问PC8时，报文来到LSW 4 的0/0/2 接口时，access类型的端口会给主机发送过来的报文打上标签Tag 2，当报文进入交换机来到LSW4 的0/0/1 接口时，Trunk类型的端口会检查Tag标签值是否和PVID相等，图中Tag=PVID，则剥离标签。

   当数据包来到LSW5 的0/0/1接口时，Trunk类型的端口会打上标签Tag=3，数据包进入交换机LSW 5来到接口 0/0/2 时，首先查看VLAN List允许通过的VLAN，接着access类型的端口会将Tag值和PVID比较，相等则剥离标签转发，上图相同，则PC7的数据包可以发送给PC8。

三.VLAN 间通信

3.1  单臂路由器

 配置要求：

在路由器上配置虚拟接口，子接口0.1允许VLAN 3 流量通过，子接口0.2允许VLAN 2流量通过

其余配置如上图所示，全网可达。

  •  关闭配置命令的提示信息
[LSW1]undo info-center enable
  •  创建VLAN：
[LSW1]vlan 2
  •  将接口划入VLAN
[LSW1]interface Gigabitethernet 0/0/3
#选择链路类型
[LSW1-GigabitEthernet0/0/3]port link-type access

#上一步已已将0/0/1接口对应的链路设定为access链路
#将0/0/1接口对应的链路划入指定VLAN，指定该链路允许通过的VLAN数据
#原因：access链路仅向指定的VLAN发送数据
[LSW1-GigabitEthernet0/0/3]port default vlan 2

其余配置如上
  •  创建子接口管理不同VLAN
#创建虚拟接口
[R1]interface GigabitEthernet 0/0/0.1
[R1-GigabitEthernet-0/0/0.1]ip address 192.168.1.254 24
#只有交换机可以识别标签，因此需要设置使子接口能够识别标签
[R1-GigabitEthernet-0/0/0.1]dot1q termination vid 2
#子接口并非真实接口无法回复ARP应答包，需要开启ARP广播
[R1-GigabitEthernet-0/0/0.1]arp broadcast enable

子接口0.2配置如上图
  •  配置trunk接口
[sw1-GigabitEthernet0/0/2]port link-type trunk
#设置允许通过的VLAN
[sw1-GigabitEthernet0/0/2]port trunk allow-pass vlan 2
[sw1-GigabitEthernet0/0/2]port trunk allow-pass vlan 3
  •  拓展配置
#批量创建VLAN 1-vlan 5
[LSW1]vlan bantch 1 to 5
#单独创建vlan 1 3 5
[LSW1]vlan batch 1 3 5
#批量删除
[LSW1]undo vlan bantch 1 to 5、

#为了提高效率批量配置，可以创建一个临时接口组，将接口划入到接口组中
[LSW1]port-group group-member GIgabitEthernet 0/0/1 GIgabitEthernet 0/0/2
#进入接口组视图进行批量创建，将0/0/1 和 0/0/2 接口同时划入vlan 2
[LSW1-port-group]port link-type access
[LSW1-port-group]port default vlan 2

#修改PVID
[LSW1-GigabitEthernet0/0/2]port hybrid pvid vlan 2
#设置接口转发数据到指定VLAN时不带标签且修改VLAN List允许指定VLAN的流量通过
[LSW1-GigabitEthernet0/0/2]port hybrid untagged vlan 2 3 4

3.2  VLANIF  

vlanif能够实现三层通信，同时兼备不同vlan间隔绝广播（ARP/dhcp）的能力

作用：

  VLANIF接口是一种逻辑接口，用于连接VLAN和物理接口。在华为交换机上，VLANIF接口是通过VLANIF概念来实现的，一般用于VLAN间的通信或者子网间的路由。

演示图

充当 VLAN 网关

  • 每个 VLANIF 接口都有对应的 IP 地址，如 VLANIF2 对应 192.168.0.1/24 、VLANIF3 对应 192.168.1.1/24 ，这些 IP 地址是对应 VLAN 内主机的默认网关 。比如主机 A（192.168.0.2/24 ）要与其他 VLAN 主机通信时，会将数据包先发送到 VLANIF2（192.168.0.1/24 ） 。

数据转发流程

  • 发送至网关：当主机 A 要向不同 VLAN 的主机 D（192.168.1.5/24 ）发送数据包时，主机 A 首先会将数据包发送到自己所属 VLAN（VLAN 2）的默认网关，即 VLANIF2 。这是因为不同 VLAN 在二层是隔离的，无法直接通信，需要通过三层的网关设备进行转发 。
  • 路由查找：交换机（如交换机 A、C、B ）接收到数据包后，根据自身的路由表（直连路由或动态路由 ）查找目标网络（VLAN 3 ）的转发路径。这里交换机之间通过 Trunk 链路相连，Trunk 链路允许不同 VLAN 的数据帧通过，且会携带 VLAN 标签 。
  • 转发至目标 VLAN：交换机根据路由表找到目标网络（VLAN 3 ）后，通过 VLANIF3 接口将数据包转发至 VLAN 3 内的主机 D 。在这个过程中，VLANIF 接口会处理 VLAN 标签，进行 VLAN Tag 的剥离和添加等操作 。

ARP 代理（Proxy ARP）

  • 若不同 VLAN 间未配置网关，VLANIF 接口可代理响应跨 VLAN 的 ARP 请求 。例如在图中，若没有配置 VLANIF 相关网关，当主机 A 要访问主机 D 时，主机 A 发送 ARP 请求获取主机 D 的 MAC 地址，VLANIF 接口可以代替主机 D 回应 ARP 请求，告知主机 A 自己（VLANIF 接口 ）的 MAC 地址，使主机 A 将数据包发送到 VLANIF 接口，进而实现跨 VLAN 通信，即透明路由 。

 创建VLANIF

每个VLAN都可以创建一个VLANIF接口 

[LSW1]interface vlanif 2

四. VLAN 划分方法

基于端口划分VLAN

端口划分演示图

先根据下面的配置完成拓扑图中的vlan划分，命令如下 ：
首先分别在交换机 SW1 和 交换机 SW2 上创建 VLAN 10 和 VLAN 20

# SW1 配置
[SW1]vlan batch 10 20

# SW2 配置
[SW2]vlan batch 10 20

完成 VLAN 10 和 VLAN 20 的创建后，下面将 SW1 的接口划入对应的 VLAN（SW2配置相同）：

# SW1 配置
[SW1]interface GigabitEthernet 0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access 
[SW1-GigabitEthernet0/0/1]port default vlan 10

[SW1]interface GigabitEthernet 0/0/2	
[SW1-GigabitEthernet0/0/2]port link-type access 	
[SW1-GigabitEthernet0/0/2]port default vlan 20

[SW1]interface GigabitEthernet 0/0/3
[SW1-GigabitEthernet0/0/3]port link-type trunk 	
[SW1-GigabitEthernet0/0/3]port trunk allow-pass vlan 10 
[SW1-GigabitEthernet0/0/3]port trunk allow-pass vlan 20
[SW1-GigabitEthernet0/0/3]port trunk pvid vlan 10

基于MAC划分VLAN

【 配置思路 】

  • 创建 VLAN 10
  • 配置以太网接口并加入 VLAN，实现接口允许 VLAN 报文通过
  • 配置 PC1，PC2，PC3的 MAC 地址与 VLAN 10关联，PC4的MAC与 vlan 20 关联

【 SW1 配置 】

先创建 vlan 10 然后在 vlan 10 中配置 mac-vlan 绑定规则：

[SW4]vlan 10
[SW4]mac-vlan mac-address 5489-982f-617d priority 0
[SW4]mac-vlan mac-address 5489-9850-7780 priority 0
[SW4]mac-vlan mac-address 5489-9803-3c0e priority 0

[SW4-vlan20]mac-vlan mac-address 5489-9851-5a88

接下来，在交换机 SW4 接口上开启 mac-vlan 绑定

[SW4-vlan10]ip-subnet-vlan ip 192.168.1.0 24

功能，同时放行 vlan 10

[SW4-GigabitEthernet0/0/1]port hybrid untagged vlan 10
# 接口上开启 mac-vlan绑定功能
[SW4-GigabitEthernet0/0/1]mac-vlan enable

[SW4-GigabitEthernet0/0/2]port hybrid pvid vlan 10

 【 转发原理 】

SW4 交换机 G0/0/1 口接收到 PC1 发往 AR1 的报文。因该口开启 mac - vlan 绑定，且源 MAC 与 vlan10 绑定，故报文被打上 vlan10 标签。又因 G0/0/1 口配置了 port hybrid untagged vlan 10，故tag表中 G0/0/1 口允许 vlan 10 报文通过，所以报文被转至 G0/0/2 口。G0/0/2 口同样配置了 port hybrid untagged vlan 10，会剥离标签后将报文转发给路由器，同理，由于接口未G0/0/1口未放行vlan20，所以报文会被丢弃

基于IP地址划分VLAN

 

 总结

【eNSP】vlan隔离
m0_73621267的博客
02-09 631
实现仅仅只让研发、人事、财务三个部门的用户能各自相互访问，生产和销售两个部门隔离两个交换机之间的访问。 1、进入sw1的e0/0/1口进行配置 去掉原先设置好的vlan命令： Undo port trunk allow-pass vlan * 2、进入sw2
交换机高级特性（MUX-VLAN、端口隔离、ARP代理、super-vlan、QinQ、端口镜像）
scy1034446395的博客
01-03 1123
交换机高级特性（MUX-VLAN、端口隔离、ARP代理、super-vlan、QinQ、端口镜像）
一篇详解VLAN虚拟局域网（Virtual Local Area Network）（超详细，内含配置案例）
最新发布
DreamCollector的博客
04-14 3597
🔒 增强网络安全🧹 减少广播范围🧩 灵活划分网络结构（逻辑大于物理）📶 提升资源使用效率与可管理性IEEE 802.1Q 规定在目的 MAC 地址和源 MAC 地址之间插入 4 字节的 VLAN Tag，用于标识 VLAN 信息。VLAN Tag 使得网络设备能够识别报文的 VLAN 归属；只有处于同一 VLAN 的主机之间才能通信；普通二层交换机仅识别数据链路层信息，因此 VLAN 标签也必须封装在链路层内。端口类型接收无 VLAN Tag接收带 VLAN Tag。
交换机的Vlan技术 以及Vlan隔离和 端口隔离区别
xiacunhanzi的博客
09-26 1万+
在学习交换机的基本业务过程，Vlan是L2中有着重要的地位，先需要了解 Vlan技术。 1、VLAN技术 1.1、什么是VLAN Virtual Local Area Network（虚拟局域网）简称VLAN ，能够将一个物理的LAN在逻辑上划分成多个广播域1。每个VLAN是一个广播域，VLAN内的主机间可以直接通信，而VLAN间则不能直接互通。这样，广播报文就被限制在一个VLAN内。 1.2、为什么需要VLAN 早期以太网是一种基于CSMA/CD（Carrier Sense Multiple Access
交换机VLAN划分的三种方法
热门推荐
qq_54657366的博客
10-10 3万+
VLAN划分的三种方法，本篇单纯为个人的学习总结，如有内容有所差错，请各位积极指正，共同进步！
vlanif虚拟网关
qq_73212565的博客
08-10 1万+
vlanif可以理解为交换机上一个逻辑网关，他可以使vlan内的终端跨vlan通信，当配置了vlanif后在交换机上就会出现一条该网段的直连路由，当数据包需要跨三层通信时就回去找这个vlanif接口。在配置好二层vlan后，三层交换机上使用vlanif命令建立对应vlan的路由，配置完成后，可以实现不同VLAN之间的通信。，是华为交换机的一个配置项，应用于三层交换机。这是一种逻辑接口，物理上不存在。...
VLAN基础知识3_VLAN间三层通信（VLANIF接口）
weixin_28673511的博客
06-23 1万+
基于VLAN间三层通信原理图文详解，提供完整配置和实验资料，5分钟轻松掌握
配置 隔离策略_VLAN隔离是什么？具有哪些应用场景？0基础掌握VLAN隔离技术
weixin_35778603的博客
12-11 2817
VLAN隔离应用场景场景1：同一设备下挂的用户属于同一VLAN，需要禁止某些用户访问。场景2：设备下挂许多用户，需要部分VLAN间可以互通部分VLAN间隔离VLAN内用户隔离场景3：VLAN间三层互通后，需要禁止部分用户互访或者只允许用哪个和单向互访。端口隔离如果不希望同一VLAN下某些用户进行互通，可以通过配置端口隔离实现。用户只需要将端口加入到隔离组中，就可以实现隔离组内端口直接二层数据的隔离...
vlan和vlanif区别
m0_63197559的博客
03-08 7753
vlan和vlanif区别
2023年 HCIP-Cloud Computing V-H13-527 5.0题库（HCIP-云计算 5.0）
01-31
### 2023年 HCIP-Cloud Computing V-H13-527 5.0题库（HCIP-云计算 5.0）知识点详解 #### 一、题库基本信息 - **名称**：2023年 HCIP-Cloud Computing V-H13-527 5.0题库 - **版本号**：5.0 - **领域**：云计算 - *...
HCIP-Datacom-Core Technology V1.0文档和实验手册.zip
09-14
此外，还会涉及到VLAN、STP、RSTP、MSTP等二层交换技术，以及静态路由、OSPF、ISIS、BGP等动态路由协议的应用。 其次，"HCIP-Datacom-Core Technology V1.0 文档.pdf" 是理论知识的详细阐述，涵盖数据通信的基础...
华为交换机端口隔离技术【限制VLAN内与VLAN间的流量】
06-28
华为交换机
HCIP-Security 网络安全 上课笔记
06-26
HCIP-Security 网络安全 上课笔记 本文档主要讲解HCIP-Security网络安全上课笔记，涵盖了Eth-trunk的配置、LACP模式、链路健康检查等网络安全知识点。 1. Eth-trunk配置 Eth-trunk是将多个物理接口捆绑成一个逻辑...
HCIP-Datacom-Advanced Routing & Switching Technology PPT教材
07-07
《HCIP-Datacom-Advanced Routing & Switching Technology》是华为认证互联网专家（HCIP-Datacom）课程中关于高级路由与交换技术的部分，旨在帮助网络专业人士深入理解并掌握复杂网络环境下的路由与交换原理及实践...
PPT-HCIP-Routing & Switching V2.5.zip
11-08
《华为HCIP-Routing & Switching V2.5：数通技术深度解析》 华为的HCIP（Huawei Certified ICT Professional）认证是针对中级网络专业人士的权威认证，其中的Routing & Switching方向专注于网络路由与交换技术。V...
【杂记-浅谈VLANIF接口】
叫我小虎就行了的博客
07-12 2179
【杂记-浅谈VLANIF接口】
vlanif：
qq_64907515的博客
04-09 4422
a。
三层交换机【Vlanif详解】开启OSPF与路由器互通【eNSP实现】
Infinity_and_beyond的博客
04-20 2万+
交换机属于二层设备，只能通过MAC地址表进行转发且转发范围受VLAN限制 若我们想跨VLAN进行通信，通常方法有两种 利用路由器实现单臂路由 通过三层交换机的虚拟接口Vlanif进行转发，Vlanif接口编号必须与VLAN编号一一对应 实验目的 理解Vlanif接口的作用 了解数据的转发过程 了解OSPF在三层交换机上的特殊形式 实验拓扑 实验步骤 手动为各个PC分配好图示IP地址，掩码与网关，在S1上创建VLAN 10，在S2上创建VLAN 20，并将两个接口分别配置为Access类型与Tr
【新星计划·2023】常用的5种VLAN的划分方式，你知道几种？
m0_73995538的博客
05-16 2999
VLAN(Virtual Local Area Network)即虚拟局域网，是将一个物理的LAN在逻辑上划分成多个广播域的通信技术。每个VLAN是一个广播域，VLAN内的主机间可以直接通信，而VLAN间则不能直接互通。这样，广播报文就被限制在一个VLAN内。
HCIP-Datacom校园网络规划与部署培训手册
- 高级网络功能的配置，如VLAN划分、IP路由、交换机堆叠等 2. 版本说明： 版本说明文档会详细描述HCIP-Datacom-Campus Network Planning and Deployment V1.0课程内容的变更、新增和更新部分。这可能包括： - 对...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

北 染 星 辰

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值