VLAN工作原理
什么是VLAN？
VLAN（Virtual LAN），翻译成中文是“虚拟局域网”。LAN可以是由少数几台家用计算机构成的网络，也可以是数以百计的计算机构成的企业网络。VLAN 所指的LAN特指使用路由器分割的网络——也就是广播域。
图中，是一个由5台二层交换机（交换机1～5）连接了大量客户机构成的网络。假设这时，计算机A需要与计算机B通信。在基于以太网的通信中，必须在数据帧中指定目标MAC地址才能正常通信，因此计算机A必须先广播“ARP 请求（ARP Request）信息”，来尝试获取计算机B的MAC地址。
交换机1收到广播帧（ARP请求）后，会将它转发给除接收端口外的其他所有端口，也就是Flooding了。接着，交换机2收到广播帧后也会Flooding。交换机3、4、5也还会Flooding。最终ARP请求会被转发到同一网络中的所有客户机上。
ARP广播，是在需要与其他主机通信时发出的。当客户机请求DHCP服务器分配IP地址，就必须发出DHCP的广播。而使用RIP作为路由协议时，每隔30秒路由器都会对邻近的其他路由器广播一次路由信息。RIP以外的其他路由协议使用多播传输路由信息，这也会被交换机转发（Flooding）。除了TCP/IP 以外，NetBEUI、IPX和Apple Talk等协议也经常需要用到广播。例如在Windows 下双击打开“网络计算机”时就会发出广播（多播）信息。（Windows XP除外……）总之，广播就在我们身边。下面是一些常见的广播通信：
l ARP请求：建立IP地址和MAC地址的映射关系。
RIP：一种路由协议。
DHCP：用于自动设定IP地址的协议。
NetBEUI：Windows下使用的网络协议。
IPX：Novell Netware使用的网络协议。
Apple Talk：苹果公司的Macintosh计算机使用的网络协议。
如果整个网络只有一个广播域，那么一旦发出广播信息，就会传遍整个网络，并且对网络中的主机带来额外的负担。因此，在设计LAN时，需要注意如何才
能有效地分割广播域。
广播域的分割与VLAN的必要性
分割广播域时，一般都必须使用到路由器。使用路由器后，可以以路由器上的网络接口（LAN Interface）为单位分割广播域。但是，通常情况下路由器上不会有太多的网络接口，其数目多在1～4个左右。随着宽带连接的普及，宽带路由器（或者叫IP共享器）变得较为常见，但是需要注意的是，它们上面虽然带着多个（一般为4个左右）连接LAN一侧的网络接口，但那实际上是路由器内置的交换机，并不能分割广播域。
况且使用路由器分割广播域的话，所能分割的个数完全取决于路由器的网络接口个数，使得用户无法自由地根据实际需要分割广播域。
与路由器相比，二层交换机一般带有多个网络接口。因此如果能使用它分割广播域，那么无疑运用上的灵活性会大大提高。
用于在二层交换机上分割广播域的技术，就是VLAN。通过利用VLAN，我们可以自由设计广播域的构成，提高网络设计的自由度。
实现VLAN的机制
交换机使用VLAN分割广播，在一台未设置任何VLAN的二层交换机上，任何广播帧都会被转发给除接收端口外的所有其他端口（Flooding）。例如，计算机A发送广播信息后，会被转发给端口2、3、4。
这时，如果在交换机上生成红、蓝两个VLAN；同时设置端口1、2属于红色VLAN、端口3、4属于蓝色VLAN。再从A发出广播帧的话，交换机就只会把它转发给同属于一个VLAN的其他端口——也就是同属于红色VLAN的端口2，不会再转发给属于蓝色VLAN的端口。同样，C发送广播信息时，只会被转发给其他属于蓝色VLAN的端口，不会被转发给属于红色VLAN的
就这样，VLAN通过限制广播帧转发的范围分割了广播域。上图中为了便于说明，以红、蓝两色识别不同的VLAN，在实际使用中则是用“VLAN ID”来区分的。
直观地描述VLAN
如果要更为直观地描述VLAN的话，则为将一台交换机在逻辑上分割成了数台交换机。在一台交换机上生成红、蓝两个VLAN，也可以看作是将一台交换机换做一红一蓝两台虚拟的交换机。
在红、蓝两个VLAN之外生成新的VLAN时，可以想象成又添加了新的交换机。但是，VLAN生成的逻辑上的交换机是互不相通的。因此，在交换机上设置VLAN后，如果未做其他处理，VLAN间是无法通信的。
VLAN的访问链接
交换机的端口，可以分为以下两种：
l 访问链接（Access Link）
l 汇聚链接（Trunk Link）
接下来就让我们来依次学习这两种不同端口的特征。这一讲，首先学习“访问链接”。
访问链接，指的是“只属于一个VLAN，且仅向该VLAN转发数据帧”的端口。在大多数情况下，访问链接所连的是客户机。
通常设置VLAN的顺序是：l 生成VLAN l 设定访问链接（决定各端口属于哪一个VLAN）设定访问链接的手法，可以是根据所连的计算机而动态改变设定。前者被称为“静态VLAN”、后者自然就是“动态VLAN”了。
静态VLAN
静态VLAN又被称为基于端口的VLAN（Port Based VLAN）。
由于需要一个个端口地指定，因此当网络中的计算机数目超过一定数字（比如数百台）后，设定操作就会变得烦杂无比。并且，客户机每次变更所连端口，都必须同时更改该端口所属VLAN的设定——这显然不适合那些需要频繁改变拓补结构的网络。
动态VLAN
另一方面，动态VLAN则是根据每个端口所连的计算机，随时改变端口所属的VLAN。这就可以避免上述的更改设定之类的操作。动态VLAN可以大致分为3类：l 基于MAC地址的VLAN（MAC Based VLAN）
l 基于子网的VLAN（Subnet Based VLAN）
l 基于用户的VLAN（User Based VLAN）
其间的差异，主要在于根据OSI参照模型哪一层的信息决定端口所属的VLAN。基于MAC地址的VLAN，是通过查询并记录端口所连计算机上网卡的MAC地址来决定端口的所属。假定有一个MAC地址“A”被交换机设定为属于VLAN“10”，那么不论MAC地址为“A”的这台计算机连在交换机哪个端口，该端口都会被划分到VLAN10中去。计算机连在端口1时，端口1属于VLAN10；而计算机连在端口2时，则是端口2属于VLAN10。
由于是基于MAC地址决定所属VLAN的，因此可以理解为这是一种在OSI 的第二层设定访问链接的办法。
基于子网的VLAN，则是通过所连计算机的IP地址，来决定端口所属VLAN 的。不像基于MAC地址的VLAN，即使计算机因为交换了网卡或是其他原因导致MAC地址改变，只要它的IP地址不变，就仍可以加入原先设定的VLAN。
因此，与基于MAC地址的VLAN相比，能够更为简便地改变网络结构。IP 地址是OSI参照模型中第三层的信息，所以我们可以理解为基于子网的VLAN 是一种在OSI的第三层设定访问链接的方法。
基于用户的VLAN，则是根据交换机各端口所连的计算机上当前登录的用户，来决定该端口属于哪个VLAN。这里的用户识别信息，一般是计算机操作系统登录的用户，比如可以是Windows域中使用的用户名。这些用户名信息，属于OSI 第四层以上的信息。
VLAN的汇聚链接
在规划企业级网络时，很有可能会遇到隶属于同一部门的用户分散在同一座建筑物中的不同楼层的情况，这时可能就需要考虑到如何跨越多台交换机设置VLAN的问题了。假设有如下图所示的网络，且需要将不同楼层的A、C和B、D设置为同一个VLAN。
“交换机1和交换机2该如何连接才好呢？”
最简单的方法，在交换机1和交换机2上各设一个红、蓝VLAN专用的接口并互联了。
在现有网络基础上再新建VLAN时，为了让这个VLAN能够互通，就需要在交换机间连接新的网线。建筑物楼层间的纵向布线是比较麻烦的，一般不能由基层管理人员随意进行。并且，VLAN越多，楼层间（严格地说是交换机间）互联所需的端口也越来越多，交换机端口的利用效率低是对资源的一种浪费、也限制了网络的扩展。为了避免这种低效率的连接方式，人们想办法让交换机间互联的网线集中到一根上，这时使用的就是汇聚链接（Trunk Link）。蓝色VLAN发送数据帧时的情形也与此相同。
通过汇聚链路时附加的VLAN识别信息，有可能支持标准的“IEEE 802.1Q”协议，也可能是Cisco产品独有的“ISL（Inter Switch Link）”。如果交换机支持
这些规格，那么用户就能够高效率地构筑横跨多台交换机的VLAN。
另外，汇聚链路上流通着多个VLAN的数据，自然负载较重。因此，在设定汇聚链接时，有一个前提就是必须支持100Mbps以上的传输速度。
另外，默认条件下，汇聚链接会转发交换机上存在的所有VLAN的数据。换一个角度看，可以认为汇聚链接（端口）同时属于交换机上所有的VLAN。由于实际应用中很可能并不需要转发所有VLAN的数据，因此为了减轻交换机的负载、也为了减少对带宽的浪费，我们可以通过用户设定限制能够经由汇聚链路互联的VLAN。
IEEE802.1Q与ISL
汇聚方式
在交换机的汇聚链接上，可以通过对数据帧附加VLAN信息，构建跨越多台交换机的VLAN。这两种协议IEEE802.1Q与ISL数据帧附加VLAN信息
IEEE802.1Q，俗称“Dot One Q”，是经过IEEE认证的对数据帧附加VLAN识别信息的协议。
IEEE802.1Q所附加的VLAN识别信息，位于数据帧中“发送源MAC地址”与“类别域（Type Field）”之间。具体内容为2字节的TPID和2字节的TCI，共计4字节。
在数据帧中添加了4字节的内容，那么CRC值自然也会有所变化。这时数据帧上的CRC是插入TPID、TCI后，对包括它们在内的整个数据帧
ISL有如用ISL包头和新CRC将原数据帧整个包裹起来，因此也被称为“封装型VLAN（Encapsulated VLAN）”。不论是IEEE802.1Q的“Tagging VLAN”，还是ISL的“Encapsulated VLAN”，都不是很严密的称谓。不同的书籍与参考资料中，上述词语有可能被混合使用，因此需要大家在学习时格外注意。并且由于ISL是Cisco独有的协议，因此只能用于Cisco网络设备之间的互联。
VLAN间路由1
使用路由器进行VLAN间路由
在使用路由器进行VLAN间路由时，与构建横跨多台交换机的VLAN时的情况类似，我们还是会遇到“该如何连接路由器与交换机”这个问题。路由器和交换机的接线方式，大致有以下两种：
l 将路由器与交换机上的每个VLAN分别连接
l 不论VLAN有多少个，路由器与交换机都只用一条网线连接
最容易想到的，当然还是“把路由器和交换机以VLAN为单位分别用网线连接”了。将交换机上用于和路由器互联的每个端口设为访问链接，然后分别用网线与路由器上的独立端口互联。如下图所示，交换机上有2个VLAN，那么就需要在交换机上预留2个端口用于与路由器互联；路由器上同样需要有2个端口；两者
如果采用这个办法，需要消耗路由器的端口和交换机上的访问链接，而且还需要重新布设一条网线。而路由器，通常不会带有太多LAN接口的。新建VLAN 时，为了对应增加的VLAN所需的端口，就必须将路由器升级成带有多个LAN 接口的高端产品，这部分成本、还有重新布线所带来的开销，都使得这种接线法成为一种不受欢迎的办法。
第二种办法“不论VLAN数目多少，都只用一条网线连接路由器与交换机”呢？当使用一条网线连接路由器与交换机、进行VLAN间路由时，需要用到汇聚链接。
具体实现过程为：首先将用于连接路由器的交换机端口设为汇聚链接，而路由器上的端口也必须支持汇聚链路。双方用于汇聚链路的协议自然也必须相同。接着在路由器上定义对应各个VLAN的“子接口（Sub Interface）”。尽管实际与交换机连接的物理端口只有一个，但在理论上我们可以把它分割为多个虚拟端口。VLAN将交换机从逻辑上分割成了多台，因而用于VLAN间路由的路由器，也必须拥有分别对应各个VLAN的虚拟接口。
采用这种方法的话，即使之后在交换机上新建VLAN，仍只需要一条网线连接交换机和路由器。用户只需要在路由器上新设一个对应新VLAN的子接口就可以了。与前面的方法相比，扩展性要强得多，也不用担心需要升级LAN接口数不足的路由器或是重新布线。
使用VLAN设计局域网
使用VLAN设计局域网的特点
通过使用VLAN构建局域网，用户能够不受物理链路的限制而自由地分割广播域。另外，通过先前提到的路由器与三层交换机提供的VLAN间路由，能够适应灵活多变的网络构成。但是，由于利用VLAN容易导致网络构成复杂化，因此也会造成整个网络的组成难以把握。
假设有如图所示的由1台路由器、2台交换机构成的“不使用VLAN构建”的网络。
图中的路由器，带有2个LAN接口。左侧的网络是192.168.1.0/24，右侧是192.168.2.0/24。
现在如果想将192.168.1.0/24这个网络上的计算机A转移到192.168.2.0/24上去，就需要改变物理连接、将A接到右侧的交换机上。并且，当需要新增一个地址为192.168.3.0/24的网络时，还要在路由器上再占用一个LAN接口并添置一台交换机。而由于这台路由器上只带了2个LAN接口，因此为了新增网络还必须将路由器升级为带有3个以上LAN接口的产品。
使用VLAN的局域网中网络构成的改变
再假设有一个由1台路由器、2台交换机构成的“使用VLAN”的局域网。交换机与交换机、交换机与路由器之间均为汇聚链路；并且假设192.168.1.0/24对应红色VLAN、192.168.2.0/24对应蓝色VLAN
需要将连接在交换机1上192.168.1.0/24这个网段的计算机A转属192.168.2.0/24时，无需更改物理布线。只要在交换机上生成蓝色VLAN，然后将计算机A所连的端口1加入到蓝色VLAN中去，使它成为访问链接即可。
然后，根据需要设定计算机A的IP地址、默认网关等信息就可以了。
使用VLAN设计局域网（2）
，假设有下图所示的网络。计算机A向计算机C发送数据时，数据流的整体走向如下：
计算机A→交换机1→路由器→交换机1→交换机2→计算机C
首先计算机A向交换机1送出数据（①），其后数据被转发给路由器（②）进行VLAN间路由。路由后的数据，再从汇聚链路返回交换机1（③）。由于通信目标计算机C并不直连在交换机1上，因此还需要经过汇聚链路转发到交换机2（④）。在交换机2上，数据最终被转发到C所连的端口2上，这才完成整个流程（⑤）。
网络的逻辑结构与物理结构
为了对应日渐复杂化的数据流，管理员需要从“逻辑结构”与“物理结构”两方面入手，把握好网络的现状。物理结构，指的是从物理层和数据链路层观察到的网络的现状，表示了网络的物理布线形态和VLAN的设定等等。而逻辑结构，则表示从网络层以上的层面观察到的网络结构。下面我们就试着以路由器为中心分析一个IP网络的逻辑结构。
布线形态和VLAN设定的“物理结构”如下图所示。
分析这个物理结构并转换成以路由器为中心的逻辑结构后，会得到如下的逻
辑结构图。当我们需要进行路由或是数据包过滤的设定时，
把握这两种网络结构图的区别是十分重要的，特别是在VLAN和三层交换机大行其道的现代企业级网络当中。
Vlan 配置过程
1、基本配置
1 、Switch>enable
Switch>enable
进入特权模式
2、Seitch#config terminal
Seitch#config terminal
进入全局配置模式
3 、Switch(config)#hostname SW1
Switch(config)#hostname SW2
给交换机命令
4、 SW1(config)#enable secret 123
SW2(config)#enable secret 123
配置enable密码
5 、 SW1(config)#line console 0
SW2(config)#line console 0
进入line模式
6、 SW1(config-line)#password 123
SW2(config-line)#password 123
配置进入用户模式密码
7、 SW1(config-line)#login
SW2(config-line)#login
8 、SW1(config-line)#exit
SW2(config-line)#exit
推出到全局模式
9、SW1(config)#
SW2(config)#
2、配置vlan，两种方法
1 、SW1#vlan database
SW2#vlan database
进入vlan database
2 、SW1(vlan)#vlan 2 name vlan2
SW2 (vlan)#vlan 2 name vlan2
配置vlan2
3 、SW1(vlan)#vlan 3 name vlan3
SW2(vlan)#vlan 3 name vlan3
配置vlan3
4 、SW1(vlan)exit
SW2(vlan)exit
返回特权模式 Or
1 、SW1#config terminal
SW2#config terminal
进入全局配置模式
2 、SW1(config)#vlan 2
SW2(config)#vlan 2
培植VLAN 2
3 、SW1(config-vlan)#name vlan2
SW2(config-vlan)#name vlan2
将VLAN 2命令
4 、SW1(config-vlan)#vlan 3
SW2(config-vlan)#vlan 3
配置VLAN 3
5 、SW1(config-vlan)#name vlan3
SW2(config-vlan)#name vlan3
将VLAN3命令
6 、SW1(config-vlan)#end
SW2(config-vlan)#end
推出到特权模式
7、SW1#show vlan brief
SW2#show vlan brief
查看VLAN情况
三、配置中继
1、SW1#config terminal
SW2#config terminal
进入特权模式
2 、SW1(config)#interface f0/24
SW2(config)#interface f0/24
进入接口配置模式
3 、SW1(config-if)#switchport mode trunk SW2(config-if)#switchport mode trunk 将F0/24口配置为中继
4 、SW1(config-if)#end
SW2(config-if)#end
返回特权模式
5 、SW1#show interface f0/24 switchport
SW2#show interface f0/24 switchport
查看F0/24的中继状态
四、将接口加入vlan
1 、SW1#config terminal
SW2#config terminal
进入特权模式
2 、
SW1(config)#interface range f0/1 - 10
SW2(config)#interface range f0/1 - 10
进入接口配置模式
SW1(config-if-range)#switchport access vlan 2
SW1(config-if-range)#switchport access vlan 2
将f0/1-10分配给valn2
SW1(config-if-range)#interface range f0/11 – 20 SW1(config-if-range)#interface range f0/11 – 20 进入f0/11-20的接口配置模式
SW1(config-if-range)#switchport access vlan 3
SW1(config-if-range)#switchport access vlan 3
将接口分配vlan 3
SW1(config-if-range)#end
SW1(config-if-range)#end
返回特权模式
SW1#show vlan brief
SW1#show vlan brief
查看vlan 情况
子网划分与VLAN技术详解 子网划分 子网划分定义：Internet组织机构定义了五种IP地址，有A、B、C三类地址。A类网络有126个，每个A类网络可能有16777214台主机，它们处于同一广播域。而在同一广播域中有这么多结点是不可能的，网络会因为广播通信而饱和，结果造成16777214个地址大部分没有分配出去。可以把基于类的IP网络进一步分成更小的网络，每个子网由路由器界定并分配一个新的子网网络地址,子网地址是借用基于类的网络地址的主机部分创建的。划分子网后，通过使用掩码，把子网隐藏起来，使得从外部看网络没有变化，这就是子网掩码。 子网掩码 RFC 950定义了子网掩码的使用，子网掩码是一个32位的2进制数，其对应网络地址的所有位置都为1，对应于主机地址的所有位都置为0。由此可知，A类网络的默认子网掩码是255.0.0.0，B类网络的默认子网掩码是255.255.0.0，C类网络的默认子网掩码是255.255.255.0。将子网掩码和IP地址按位进行逻辑“与”运算，得到IP地址的网络地址，剩下的部分就是主机地址，从而区分出任意IP地址中的网络地址和主机地址。子网掩码常用点分十进制表示，我们还可以用网络前缀法表示子网掩码，即“/<网络地址位数>”。如138.96.0.0/16表示B类网络138.96.0.0的子网掩码为255.255.0.0。 路由器判断IP 子网掩码告知路由器，地址的哪一部分是网络地址，哪一部分是主机地址，使路由器正确判断任意IP地址是否是本网段的，从而正确地进行路由。例如，有两台主机，主机一的IP 地址为222.21.160.6，子网掩码为255.255.255.192，主机二的IP地址为222.21.160.73，子网掩码为255.255.255.192。现在主机一要给主机二发送数据，先要判断两个主机是否在同一网段。 主机一 222.21.160.6即：11011110.00010101.10100000.00000110 255.255.255.192即：11111111.11111111.11111111.11000000 按位逻辑与运算结果为：11011110.00010101.10100000.00000000 主机二 222.21.160.73 即：11011110.00010101.10100000.01001001 255.255.255.192即：11111111.11111111.11111111.11000000 按位逻辑与运算结果为：11011110.00010101.10100000.01000000 两个结果不同，也就是说，两台主机不在同一网络，数据需先发送给默认网关，然后再发送给主机二所在网络。那么，假如主机二的子网掩码误设为255.255.255.128，会发生什么情况呢？ 让我们将主机二的IP地址与错误的子网掩码相“与”： 222.21.160.73 即：11011110.00010101.10100000.01001001 255.255.255.128即：11111111.11111111.11111111.10000000 结果为11011110.00010101.10100000.00000000 这个结果与主机一的网络地址相同，主机一与主机二将被认为处于同一网络中，数据不
VLAN知识点及其深入 专业：数通专业 指导教师： 姓名：
1为何引入vlan？ 1.1vlan克服了传统局域网组网缺陷 传统局域网组网图 1.1.1传统局域网组网缺陷 1.冲突域 载波侦听多路访问/冲突检测CSMA/CD（Carrier Sense Multiple Access/Collision Detect）没有从根本上解决冲突问题。
2.广播域 广播流量耗费大量带宽，占用电脑cpu资源（在以TCP/IP协议栈通信的网络中，ARP广播、DHCP等广播非常频繁）。 3.信息安全 所有主机共享一条传输通道，无法控制网络中的信息安全。 1.1.2克服传统局域网组网缺陷的技术 1.网桥Bridge 2.二层局域网交换机（L2 Switch） 二层局域网交换机是从网桥技术发展而来，二层局域网交换机技术克服了共享介质上的冲突域问题，将来自入端口的信息转发到出端口，将冲突域缩小到端口级。
二层交换机组网图
3.路由器做ip 转发 路由器是根据三层ip 地址来选择路由，因此可以有效的抑制广播报文的转发。使用路由器的缺点为：路由器成本高，且基于软件转发导致转发效率低，接口少，不利于推广。 4.vlan 技术 VLAN 技术的出现，划分了广播域，克服冲突域，解决网络安全问题。 2 vlan 典型应用示意图 上图是一个典型的VLAN 应用场景。3台交换机放置在不同的地点，比如写字楼的不同楼层。每台交换机分别连接3台计算机，他们分别属于3 个不同的
VLAN，比如不同的企业客户。在图中，一个虚线框内表示一个VLAN。 3vlan帧格式 3.1以太网帧格式 以太网两种帧（以太网ip数据报文封装格式）结构： 1、Ethernet_Ⅱ（或称Ethernet DIX）:RFC894定义的以太帧（TCP/IP协议栈使用的帧结构） 2、IEEE802.3：RFC1042定义的以太帧 3.2IEEE802.1Q（Dot One Q） 定义了基于端口（于物理层划分访问链路）和MAC地址（于二层划分访问链路）划分vlan的标准（vlan间是不可以直接通信的，需要通过路由器或者三层交换机进行“vlan间路由”）注：华为VRP（通用路由平台）实现了基于端口的vlan划分。 3.2.1以端口来划分vlan 类似于把一台交换机分成了两台交换机使用。缺点：基于端口划分的vlan 适用于网络拓扑比较固定、计算机数目不多的场合使用
浅谈ＶＬＡＮ技术(一) 摘要:随着网络的不断扩展，接入设备逐渐增多，迫切需要一种技术解决在局域网内部出现的访问冲突与广播风暴一类的问题，VLAN的产生就解决这个问题。本文介绍了VLAN技术的概念、优点，详细描述了VLAN的划分方法，给出了一个简单的公司内部进行VLAN的划分实例。 关键词:VLAN;网络管理 一、VLAN技术概述 VLAN(VirtualLocalAreaNetwork)也就是虚拟局域网，是一种建立在交换技术基础之上的，通过将局域网内的机器设备逻辑地而不是物理地划分成一个个不同的网段，以软件方式实现逻辑工作组的划分与管理的技术。VLAN的作用是使得同一VLAN中的成员间能够互相通信，而不同VLAN之间则是相互隔离的，不同的VLAN间的如果要通信就要通过必要的路由设备。 二、VLAN的优点 （一）可以控制网络广播 在没有应用VLAN技术的局域网内的整个网络都是广播域，这样就使得网内的一台设备发出网络广播时，在局域网内的任何一台设备的接口都能接收到广播，因此当网络内的设备越来越多时，网络上的广播也就越来越多，占用的时间和资源也就越来越多，当广播多到一定的数量时，就会影响到正常的信息的传送。这样就能导致信息延迟，严重的可以造成网络的瘫痪、堵塞，严重的影响了正常的网络应用，这就是所谓的网络风暴。 在应用了VLAN技术的局域网中，缩小了广播的广播域，在一个VLAN中的广播风暴也不会影响到其他的VLAN，从而有效地减少了广播风暴对局域网网络的影响。 （二）增强了网络的安全性 在局域网中应用VLAN技术可以把互相通信比较频繁的用户划分到同一个VLAN中，这样在同一个工作组中的信息传输只在同一个组内广播，从而也减轻了因广播包被截获而引起的信息泄露，增强了网络的安全性。 （三）简化网络管理员的管理工作 在应用VLAN技术后网络管理员就可以轻松的管理网络，灵活构建虚拟工作组。用VLAN可以划分不同的用户到不同的工作组，同一工作组的用户也不必局限于某一固定的物理范围，网络构建和维护更方便灵活。 三、VLAN的划分方法 （一）根据端口来划分VLAN 许多VLAN厂商都利用交换机的端口来划分VLAN成员。被设定的端口都在同一个广播域中。例如，一个交换机的1，2，3，4，5端口被定义为虚拟网AAA，同一交换机的6，7，8端口组成虚拟网BBB。这样做允许各端口之间的通讯，并允许共享型网络的升级。但是，这种划分模式将虚拟网限制在了一台交换机上。 第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN，不同交换机上的若干个端口可以组成同一个虚拟网。 以交换机端口来划分网络成员，其配置过程简单明了。因此，从目前来看，这种根据端口来划分VLAN的方式仍然是最常用的一种方式。不足之处是不够灵活，当一台机器设备需要从一个端口移动到另一个新的端口，但是新端口与旧端口不在同一个VLAN之中时，要修改端口的VLAN设置，或在用户计算机上重新配置网络地址，这样才能使这台设备加入到新的VLAN。 （二）根据MAC地址划分VLAN 这种划分VLAN方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，就无需对它进行重新配置，自动把它添加到相应的VLAN中。所以，可以认为这种
Vlan技术原理 在数据通信和宽带接入设备里，只要涉及到二层技术的，就会遇到VLAN。而且，通常情况下，VLAN在这些设备中是基本功能。所以不管是刚迈进这个行业的新生，还是已经在这个行业打拼了很多年的前辈，都要熟悉这个技术。在论坛上经常看到讨论各种各样的关于VLAN的问题，在工作中也经常被问起关于VLAN的这样或那样的问题，所以，有了想写一点东西的冲动。 大部分童鞋接触交换这门技术都是从思科技术开始的，讨论的时候也脱离不了思科的影子。值得说明的是，VLAN是一种标准技术，思科在实现VLAN的时候加入了自己的专有名词，这些名词可能不是通用的，尽管它们已经深深印在各位童鞋们的脑海里。本文的描述是从基本原理开始的，有些说法会和思科技术有些出入，当然，也会讲到思科交换中的VLAN。 1. 以太网交换原理 VLAN的概念是基于以太网交换的，所以，为了保持连贯性，还是先从交换原理讲起。不过，这里没有长篇累牍的举例和配置，都是一些最基本的原理。 本节所说的以太网交换原理，是针对‘传统’的以太网交换机来说的。所谓‘传统’，是指不支持VLAN。 简单的讲，以太网交换原理可以概括为‘源地址学习，目的地址转发’。考虑到IP层也涉及到地址问题，为了避免混淆，可以修改为‘源MAC学习，目的MAC转发’。从语文的语法角度来讲，可能还有些问题，就再修改一下‘根据源MAC进行学习，根据目的MAC进行转发’。总之，根据个人习惯了。本人比较喜欢‘源MAC学习，目的MAC转发’的口诀。 稍微解释一下。 所谓的‘源MAC学习’，是指交换机根据收到的以太网帧的帧头中的源MAC地址
来建立自己的MAC地址表，‘学习’是业内的习惯说法，就如同在淘宝上买东西都叫‘宝贝’一样。 所谓的‘目的MAC转发’，是指交换机根据收到的以太网帧的帧头中的目的MAC 地址和本地的MAC地址表来决定如何转发，确定的说，是如何交换。 这个过程大家应该是耳熟能详了。但为了与后面的VLAN描述对比方便，这里还是简单的举个例子。 Figure 1-1: |-------------------------------| | SW1 (Ethernet Switch) | |-------------------------------| | | |port1 |port 2 | | |-------| |-------| | PC1| | PC2| |-------| |-------| 简单描述一下PC1 ping PC2的过程：（这里假设，PC1和PC2位于同一个IP网段，IP地址分别为IP_PC1和IP_PC2，MAC地址分别为MAC_PC1和MAC_PC2） 1). PC1首先发送ARP请求，请求PC2的MAC。目的MAC=FF:FF:FF:FF:FF:FF(广播)；源MAC=MAC_PC1。 SW1收到该广播数据帧后，根据帧头中的源MAC地址，首先学习到了PC1的MAC，建立MAC地址表如下： MAC地址端口 MAC_PC1 PORT 1 2). 由于ARP请求为广播帧，所以，SW1向除了PORT1之外的所有UP的端
数通知识基础 This model paper was revised by the Standardization Office on December 10, 2020
1.多层交换可以依据如下信息进行交换（B） A. 源MAC地址和目的MAC地址 B. 源IP地址和目的IP地址 C. 地址源端口和目的端口 D. IP包协议字段 把以太网链路层分成两个子层 , 分别是（） A. 物理子层 B. MAC子层 C. LLC子层 D. IP子层 3.以下几种以太网标准中支持速率自协商的有（ C） A. 10BASE-T B. 100BASE-TX C. 1000BASE-LX D. 1000BASE-SX 4.以下关于端口汇聚的说法正确的是（A ）
A.可以应用在交换机和交换机的连接 B.可以应用在交换机和路由器的连接 C.不能应用在高速服务器之间的连接 D.不能应用在交换机和高速服务器之间的连接 5.如果需要设置Quidway S3526以太网端口10的工作速率仅为100Mbit/s，使用以下哪条命令（B） A. speed 10 B. speed 100 C. speed auto D. speed full 协议中规定的VLAN报文比普通的以太网报文增加了以下哪几部分（ BD ） A. TPID （Tag Protocol Indentifier） B. Priority C. Canonical Format Indicator( CFI ) D. VLAN Identifier( VLAN ID ) 本身仅仅是一个协议规范，不作为一个实体在交换机中存在。遵循GARP协议的应用实体称为GARP应用（）
精心整理 第二周：局域网及vlan技术 一、组建局域网的条件 1.从硬件的角度来说，需要“直连线”网线把本身独立的个人电脑，连接到“交换机”上。 三、端口安全 练习3：为交换机SW2的端口f0/5,设置端口安全，绑定PC5,的mac地址，安全模式设置为“shutdown” SW2(config)#intf0/5//进入到端口F0/5 SW2(config-if)#switchportmodeaccess
//设置端口为数据接入模式 SW2(config-if)#switchportport-security //启动端口安全 SW2(config-if)#switchportport-securitymac-address //为本端口绑定MAC地址 练习5：为交换机SW1连接交换机SW2的端口F0/10设置端口安全，允许最大连接数为“3”，安全模式设置为“protect” SW1(config)#intf0/10 SW1(config-if)#switchportmodetrunk SW1(config-if)#switchportport-security
SW1(config-if)#switchportport-securitymaximum3 //允许端口F0/10最多对应3个MAC地址 SW1(config-if)#switchportport-securityviolationprotect 四、组建虚拟局域网 1.首先，这些处于局域网中的个人电脑能够通信。 2. 3. 4. 5. 6. 7.和f0/2收 8.如何让交换机为端口进行分组： 练习6：把交换机SW1端口f0/1和f0/2分到编号是“10”的虚拟局域网，f0/3和f0/4分到编号是“20”的虚拟局域网。 把交换机“SW2”的f0/5和f0/6分到编号是“20”的虚拟局域网。为交换机相连的端口开启“trunk”
第二周：局域网及vlan技术 一、组建局域网的条件 1.从硬件的角度来说，需要“直连线”网线把本身独立的个人电脑，连接到“交换机”上。 2.从软件的角度来说，需要连接到局域网的个人电脑，拥有IP地址。 （1）IP地址的分配，首先要求处于同一个局域网的个人电脑拥有相同的网络位。 （2）其次在拥有相同的网络位的前提先，必须拥有不同的主机位。 （3）处于同一个局域网的电脑拥有相同的“子网掩码”。练习1：组建局域网，局域网中拥有四台电脑，局域网处于192.168.1.0网络中，子网掩码是255.255.255.0 四台电脑的IP地址的主机位分别是“1”、“2”、“3”、“4”。 二、组建多台交换机组成的局域网 1.要求首先每个交换机都能够通过连接，实现自己建立的局域网。 2.交换机之间需要通过“反线”的网线进行连接。 3.多台交换机连接的个人电脑必须处于同一个网段。拥有相同的网络位，不同的主机位，相同的子网掩码。 练习2：组建由两台交换机组成的局域网，网络地址如练习1。
三、端口安全 练习3：为交换机SW2的端口f0/5,设置端口安全，绑定PC5,的mac地址，安全模式设置为“shutdown” SW2(config)#int f0/5 //进入到端口F0/5 SW2(config-if)#switchport mode access //设置端口为数据接入模式 SW2(config-if)#switchport port-security //启动端口安全 SW2(config-if)#switchport port-security mac-address 0010.1158.ECEA //为本端口绑定MAC地址 SW2(config-if)#switchport port-security violation shutdown //设置控制规则为遇到非绑定的MAC地址的数据包的时候，关闭端口。 练习4：为交换机SW2的端口f0/6设置端口安全，绑定PC6的mac地址，安全模式设置为“protect” SW2(config)#int f0/6 //进入端口 SW2(config-if)#switchport mode access //设置端口为数据接入模式 SW2(config-if)#switchport port-security //启动端口安全
一文读懂VLAN和VXLAN技术 VLAN（Virtual Local Area Network）的中文名为“虚拟局域网”。VLAN是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的数据交换技术。这一技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。但又不是所有交换机都具有此功能，只有VLAN协议的第二层以上交换机才具有此功能。802.1Q的标准的出现打破了虚拟网依赖于单一厂商的僵局，从一个侧面推动了VLAN的迅速发展。 1、交换机端口工作模式简介 交换机端口有三种工作模式，分别是Access，Hybrid，Trunk。 Access类型的端口只能属于1个VLAN，一般用于连接计算机的端口; Trunk类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口; Hybrid类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。 Hybrid端口和Trunk端口在接收数据时，处理方法是一样的，唯一不同之处在于发送数据时：Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许缺省VLAN的报文发送时不打标签。 2、基本概念（tag，untag，802.1Q） untag就是普通的ethernet报文，普通PC机的网卡是可以识别这样的报文进行通讯; tag报文结构的变化是在源mac地址和目的mac地址之后，加上了4bytes的vlan信息，也就是vlan tag头;一般来说这样的报文普通PC机的网卡是不能识别的 下图说明了802.1Q封装tag报文帧结构 带802.1Q的帧是在标准以太网帧上插入了4个字节的标识。其中包含： 2个字节的协议标识符（TPID），当前置0x8100的固定值，表明该帧带有802.1Q的标记信息。
Vlan虚拟局域网（附代码） Vlan(Virtual Local Area Network)即虚拟局域网。 虚拟局域网（VLAN）是一组逻辑上的设备和用户，这些设备和用户并不受物理位置的限制，可以根据功能、部门及应用等因素将它们组织起来，相互之间的通信就好像它们在同一个网段中一样，由此得名虚拟局域网。VLAN是一种比较新的技术，工作在OSI参考模型的第2层和第3层，一个VLAN就是一个广播域，VLAN之间的通信是通过第3层的路由器来完成的。与传统的局域网技术相比较，VLAN技术更加灵活，它具有以下优点：网络设备的移动、添加和修改的管理开销减少；可以控制广播活动；可提高网络的安全性。 在计算机网络中，一个二层网络可以被划分为多个不同的广播域，一个广播域对应了一个特定的用户组，默认情况下这些不同的广播域是相互隔离的。不同的广播域之间想要通信，需要通过一个或多个路由器。这样的一个广播域就称为VLAN。 VLAN可以把同一个物理网络划分为多个逻辑网段，因此，Vlan可以抑制网络风暴，增强网络的安全性。 1.vlan 建立： 在全局模式下： vlan database vlan id name renshichu 2.把vlan 对应分给端口： 在配置模式下进入端口：
interface fastEthernet0/1 switch mode access switch access vlan id 3.如果一次把多个端口划分给某个vlan可以使用interface range命 令。 interface range fastEthernet0/1-4 switch mode access switch access vlan id 4.如果一个vlan需要改变id号，直接进入该端口，重新设置即可interface fastEthernet0/1 switch mode access switch access vlan id（新） 5.如果一个一个端口的vlan不在需要了，需要删除，进入该端口， 用no 命令： interface fastEthernet0/1 switch mode access no switch access vlan id（需要删除的id号） 6.查看vlan信息，在全局模式下： show vlan show vlan brief show vlan id 30 show vlan name renshichu
VLAN技术详解 1.VLAN的概念 1.1什么是VLAN VLAN（Virtual Local Area Network）又称虚拟局域网，是指在交换局域网的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。VLAN是一种比较新的技术，工作在OSI参考模型的第2层和第3层，VLAN之间的通信是通过第3层的路由器来完成的。 在此让我们先复习一下广播域的概念。广播域，指的是广播帧（目标MAC地址全部为1）所能传递到的范围，亦即能够直接通信的范围。严格地说，并不仅仅是广播帧，多播帧（Multicast Frame）和目标不明的单播帧（Unknown Unicast Frame）也能在同一个广播域中畅行无阻。 本来，二层交换机只能构建单一的广播域，不过使用VLAN功能后，它能够将网络分割成多个广播域。 那么，为什么需要分割广播域呢？那是因为，如果仅有一个广播域，有可能会影响到网络整体的传输性能。具体原因，请参看附图加深理解。 A B 图中，是一个由5台二层交换机（交换机1～5）连接了大量客户机构成的网络。假设这时，计算机A需要与计算机B通信。在基于以太网的通信中，必须在数据帧中指定目标MAC
地址才能正常通信，因此计算机A必须先广播“ARP请求（ARP Request）信息”，来尝试获取计算机B的MAC地址。交换机1收到广播帧（ARP请求）后，会将它转发给除接收端口外的其他所有端口，也就是Flooding了。接着，交换机2收到广播帧后也会Flooding。交换机3、4、5也还会Flooding。最终ARP请求会被转发到同一网络中的所有客户机上。 请大家注意一下，这个ARP请求原本是为了获得计算机B的MAC地址而发出的。也就是说：只要计算机B能收到就万事大吉了。可是事实上，数据帧却传遍整个网络，导致所有的计算机都收到了它。如此一来，一方面广播信息消耗了网络整体的带宽，另一方面，收到广播信息的计算机还要消耗一部分CPU时间来对它进行处理。造成了网络带宽和CPU运算能力的大量无谓消耗。 广播信息是那么经常发出的吗？ 读到这里，您也许会问：广播信息真是那么频繁出现的吗？ 答案是：是的！实际上广播帧会非常频繁地出现。利用TCP/IP协议栈通信时，除了前面出现的ARP外，还有可能需要发出DHCP、RIP等很多其他类型的广播信息。 ARP广播，是在需要与其他主机通信时发出的。当客户机请求DHCP服务器分配IP地址时 ，就必须发出DHCP的广播。而使用RIP作为路由协议时，每隔30秒路由器都会对邻近的其他路由器广播一次路由信息。RIP以外的其他路由协议使用多播传输路由信息，这也会被交换机转发（Flooding）。除了TCP/IP以外，NetBEUI、IPX和Apple Talk等协议也经常需要用到广播。例如在Windows下双击打开“网络计算机”时就会发出广播（多播）信息。（Windows XP除外……） 总之，广播就在我们身边。下面是一些常见的广播通信： ● ARP请求：建立IP地址和MAC地址的映射关系。 ● RIP：选路信息协议(Routing Infromation Protocol)。 ● DHCP：用于自动设定IP地址的协议。 ● NetBEUI：Windows下使用的网络协议。 ● IPX：Novell Netware使用的网络协议。 ● Apple Talk：苹果公司的Macintosh计算机使用的网络协议。 1.2 VLAN的实现机制 在理解了“为什么需要VLAN”之后，接下来让我们来了解一下交换机是如何使用VLAN分割广播域的。首先，在一台未设置任何VLAN的二层交换机上，任何广播帧都会被转发给除接收端口外的所有其他端口（Flooding）。例如，计算机A发送广播信息后，会被转发给端口2、3、4。
v l a n基本配置
实验1 vlan的基本配置 步骤1：创建vlan与命名 song#configure terminal ！进入全局配置模式 song(config)#vlan 2 ! 输入一个vlan id，如果输入的是一个新的vlan id，则交换机会创建一个vlan，如果输入的是已经存在的vlan id，则修改相应的vlan。在此是创建一个vlan号为2的。并进入vlan 2修改 song(config-vlan)#name test2 ！设置vlan 2的名字为test2 song(config-vlan)#end ！退回到特权模式 song#show vlan id 2 ！查看vlan 2的信息 VLAN Name Status Ports ---- -------------------------------- --------- ------------------------------- 2 test2 active song#write ！保存当前所有设置 Building configuration... [OK] 步骤2：把vlan的名字改回缺省名字 song# configure terminal song(config)#vlan 2 song(config-vlan)#no name ！将vlan 2的名字改为缺省名字 song(config-vlan)#end song#show vlan id 2 VLAN Name Status Ports
---- -------------------------------- --------- ------------------------------- 2 VLAN0002 active 步骤3：向VLAN分配Access口 song# configure terminal song(config)# interface fastEthernet 0/3 ！输入想要加入vlan的interface id song(config-if)# switchport mode access !定义该接口的VLAN成员类型 song(config-if)#switchport access vlan 3 ！将这个端口分配到vlan 3中 %Warning : Access VLAN does not exist. Creating vlan 3 song(config-if)#end song# show interfaces fastEthernet 0/3 switchport Interface Switchport Mode Access Native Protected VLAN lists ---------- ---------- --------- ------- -------- --------- --------------------- Fa0/3 Enabled Access 3 1 Disabled All ！检查接口的完整信息 song# write 步骤4：删除一个VLAN song# configure terminal song(config)# no vlan 2 ！输入一个vlan id，删除它 song(config)# end song# show vlan VLAN Name Status Ports ---- -------------------------------- --------- ------------------------------- 1 default active Fa0/1 ,Fa0/ 2 ,Fa0/ 3 ,Fa0/4 Fa0/5 ,Fa0/6 ,Fa0/7 ,Fa0/8 Fa0/9 ,Fa0/10,Fa0/11,Fa0/12 Fa0/13,Fa0/14,Fa0/15,Fa0/16 Fa0/17,Fa0/18,Fa0/19,Fa0/20 Fa0/21,Fa0/22,Fa0/23,Fa0/24 ！检查一下是否删除vlan 2
课程 DA000005 VLAN技术原理 ISSUE 1.0
目录 课程说明 (1) 课程介绍 (1) 课程目标 (1) 第1章虚拟局域网（VLAN）概述 (2) 1.1 VLAN的产生 (2) 1.2 VLAN的类型 (6) 1.2.1 基于端口的VLAN (6) 1.2.2基于MAC地址的VLAN (7) 1.2.3基于协议的VLAN (8) 1.2.4基于子网的VLAN (9) 第2章 IEEE802.1Q协议 (10) 2.1 协议概述 (10) 2.2 VLAN帧格式 (11) 2.3 VLAN链路 (12) 2.3.1 VLAN链路的类型 (12) 2.3.2 VLAN帧在网络中的通信 (14) 2.3.3 Trunk和VLAN (15)
课程说明 课程介绍 本课程介绍虚拟局域网（VLAN）的原理，VLAN 在功能和操作上与传统LAN 基本相同，可以提供一定范围内终端系统的互联。IEEE于1999年颁布了用 以标准化VLAN实现方案的802.1Q协议标准草案。 课程目标 完成本课程的学习后，您应该能够： ●了解VLAN 产生的原因 ●了解划分VLAN的方法 ●掌握VLAN的帧格式 ●掌握以太网帧在通信过程中的变化
第1章虚拟局域网（VLAN）概述 1.1 VLAN的产生 传统的局域网使用的是HUB，HUB只有一根总线，一根总线就是一个冲突域。 所以传统的局域网是一个扁平的网络，一个局域网属于同一个冲突域。任何 一台主机发出的报文都会被同一冲突域中的所有其它机器接收到。后来，组 网时使用网桥（二层交换机）代替集线器（HUB），每个端口可以看成是一 根单独的总线，冲突域缩小到每个端口，使得网络发送单播报文的效率大大 提高，极大地提高了二层网络的性能。但是网络中所有端口仍然处于同一个 广播域，网桥在传递广播报文的时候依然要将广播报文复制多份，发送到网 络的各个角落。随着网络规模的扩大，网络中的广播报文越来越多，广播报 文占用的网络资源越来越多，严重影响网络性能，这就是所谓的广播风暴的 问题。 由于网桥二层网络工作原理的限制，网桥对广播风暴的问题无能为力。为了 提高网络的效率，一般需要将网络进行分段：把一个大的广播域划分成几个 小的广播域。
VLAN工作原理（VLAN通信原理）详解 VLAN工作原理即VLAN通信原理 1、vlan基本通信原理 为了提高处理效率，交换机内部的数据帧一律都带有VLAN Tag，以统一方式处理。当一个数据帧进入交换机接口时，如果没有带VLAN Tag，且该接口上配置了PVID（Port Default VLAN ID），那么，该数据帧就会被标记上接口的PVID。如果数据帧已经带有VLAN Tag，那么，即使接口已经配置了PVID，交换机不会再给数据帧标记VLAN Tag。 由于接口类型不同，交换机对数据帧的处理过程也不同。下面根据不同的接口类型分别介绍。
由于设备所有的接口都默认加入VLAN1，因此当网络中存在VLAN1的未知单播、组播或者广播报文时，可能会引起广播风暴。对于不需要加入VLAN1的接口及时退出VLAN1，避免环路。 2、VLAN内跨越交换机通信原理 有时属于同一个VLAN的用户主机被连接在不同的交换机上。当VLAN跨越交换机时，就需要交换机间的接口能够同时识别和发送跨越交换机的VLAN报文。这时，需要用到Trunk Link技术。 Trunk Link有两个作用： 1、中继作用： 把VLAN报文透传到互联的交换机。 2、干线作用： 一条Trunk Link上可以传输多个VLAN的报文。 图1 Trunk Link通信方式示意图
例如在上图1所示的网络中，为了让DeviceA和DeviceB之间的链路既支持VLAN2内的用户通讯又支持VLAN3内的用户通讯，需要配置连接接口同时加入两个VLAN。 即应配置DeviceA的以太网接口Port2和DeviceB的以太网接口Port1同时加入VLAN2和VLAN3。 当用户主机Host A发送数据给用户主机Host B时，数据帧的发送过程如下：数据帧首先到达DeviceA的接口Port4。 接口Port4给数据帧加上Tag，Tag的VID字段填入该接口所属的VLAN的编号2。 DeviceA查询自己的MAC地址表中是否存在目的地址为DeviceB的MAC地址的转发表项。 如果存在，DeviceA将数据帧转发给接口Port2。 如果不存在，DeviceA会将数据帧发送到本设备上除port4接口外的所有属于VLAN2的接口。 接口Port2将帧转发到DeviceB上。 DeviceB收到数据帧后，会查询自己的MAC地址表中是否存在目的地址为Host B的MAC地址的转发表项。 如果存在，DeviceB会将数据帧发送给出接口Port3。 如果不存在，DeviceB会将数据帧发送到本设备上除port1接口外的所有属于VLAN2的接口。 接口Port3将数据帧发送给主机Host B。 本文转自重庆网管博客：https://www.doczj.com/doc/2816269606.html,/vlan/56.html
Vlan 技术详解 什么是VLAN ？ VLAN （Virtual LAN ），翻译成中文是“虚拟局域网”。LAN 可以是由少数几台家用计算机构成的网络，也可以是数以百计的计算机构成的企业网络。VLAN 所指的LAN 特指使用路由器分割的网络——也就是广播域。 在此让我们先复习一下广播域的概念。广播域，指的是广播帧（目标MAC 地址全部为1）所能传递到的范围，亦即能够直接通信的范围。严格地说，并不仅仅是广播帧，多播帧（Multicast Frame ）和目标不明的单播帧（Unknown Unicast Frame ）也能在同一个广播域中畅行无阻。 本来，二层交换机只能构建单一的广播域，不过使用VLAN 功能后，它能够将网络分割成多个广播域。 未分割广播域时…… 那么，为什么需要分割广播域呢？那是因为，如果仅有一个广播域，有可能会影响到网络整体的传输性能。具体原因，请参看附图加深理解。 图中，是一个由5台二层交换机（交换机1～5）连接了大量客户机构成的网络。假设这时，计算机A 需要与计算机B 通信。在基于以太网的通信中，必须在数据帧中指定目标MAC 地址才能正常通信，因此计算机A 必须先广播“ARP 请求（ARP Request ）信息”，来尝试获取计算机B 的MAC 地址。 交换机1收到广播帧（ARP 请求）后，会将它转发给除接收端口外的其他所有端口，也就 交换机1 交换机2 交换机3 交换机4 交换机5 …… …… …… A B
是Flooding 了。接着，交换机2收到广播帧后也会Flooding 。交换机3、4、5也还会Flooding 。最终ARP 请求会被转发到同一网络中的所有客户机上。 请大家注意一下，这个ARP 请求原本是为了获得计算机B 的MAC 地址而发出的。也就是说：只要计算机B 能收到就万事大吉了。可是事实上，数据帧却传遍整个网络，导致所有的计算机都收到了它。如此一来，一方面广播信息消耗了网络整体的带宽，另一方面，收到广播信息的计算机还要消耗一部分CPU 时间来对它进行处理。造成了网络带宽和CPU 运算能力的大量无谓消耗。 广播信息是那么经常发出的吗？ 读到这里，您也许会问：广播信息真是那么频繁出现的吗？ 答案是：是的！实际上广播帧会非常频繁地出现。利用TCP/IP 协议栈通信时，除了前面出现的ARP 外，还有可能需要发出DHCP 、RIP 等很多其他类型的广播信息。 ARP 广播，是在需要与其他主机通信时发出的。当客户机请求DHCP 服务器分配IP 地址时 ，就必须发出DHCP 的广播。而使用RIP 作为路由协议时，每隔30秒路由器都会对邻近的其他路由器广播一次路由信息。RIP 以外的其他路由协议使用多播传输路由信息，这也会被交换机转发（Flooding ）。除了TCP/IP 以外，NetBEUI 、IPX 和Apple Talk 等协议也经常需要用到广播。例如在Windows 下双击打开“网络计算机”时就会发出广播（多播）信息。（Windows XP 除外……） 总之，广播就在我们身边。下面是一些常见的广播通信： 交换机1 交换机2 交换机3 交换机4 交换机5 …… …… …… ARP Request Broadcast 广播帧会传播到网络中的每一台主机， 并且对每一台计算机的CPU 造成负担。
Linux vlan知识总结(beta 1) ——by moonflow qq:171932120 (总结自互联网)
目录 前言 (3) 第一章vlan的基本概念 (4) 1.1 vlan的作用 (4) 1.2 vlan的实现原理 (4) 1.3 vlan的分类 (4) 1.4 vlan帧结构 (4) 第二章重要结构 (6) 2.1 /include/linux/if_vlan.h (6) 第三章主要函数 (20) 3.1 vlan_proto_init [net\8021q\vlan.c] (20) 3.2 register_pernet_subsys [net\8021q\vlan.c] (21) 3.3 register_netdevice_notifier [/net/core/dev.c] (21) 3.4 dev_add_pack [/net/core/dev.c] (21) 3.5 vlan_skb_recv [/net/core/dev.c] (22) 3.5 vlan_ioctl_set [ /net/socket.c] (25) 第四章总结 (26) 参考资料 (27)
前言 此文档是本人这段时间内学习Linux网络协议栈vlan功能相关知识，总结并且整理出来的文档。本文中的参考内核代码为2.6.24(相关的资料较多,便于开展)，当然也是对互联网资源的整合。 参考了锐捷的一份文档，并且参考了网上很多资源。可以说基本上总结自互联网。参考中附上我学习时参考的资料，很多，而且他们写的都非常好，导致我都不知道写啥了。不过仅仅只是为了借这次总结的机会，让个人对Linux vlan部分更加深入。 因为本人初学Linux协议栈，对很多部分都还很迷茫，所以很多地方会出现失误或者不够清楚。我接触Linux时间很短，但是非常喜爱Linux，同时对网络部分非常喜爱，希望大家喜欢并且与我交流，共同进步。
Super—vlan技术详解 在传统的VLAN间路由中，我们需要每个VLAN配置一个IP地址，作为此VLAN的网关，以实现三层路由;此方法中，每个VLAN都是一个子网，子网号不能为主机所用，此子网需要分配一个IP地址作为网关，还有一个IP地址作为定向广播地址，如果VLAN中的主机不需要那么多IP地址，那此子网内的剩余IP地址，也不能分配给其它VLAN的主机使用，造成极大的浪费。就算是使用VLSM分配IP地址，每个VLAN也至少浪费三个IP地址，如果有几十或上百个VLAN,那会浪费大量的IP地址。在此这种情况下，为节约IP地址，提出Super VLAN的概念。Super VLAN又称VLAN聚合，其原理是一个Super VLAN包含多个Sub VLAN，每个Sub VLAN是一个广播域，不同Sub VLAN之间二层相互隔离。Super VLAN可以配置三层接口，Sub VLAN不能配置三层接口。当Sub VLAN 内的用户需要进行三层通信时，将使用Super VLAN三层接口的IP地址作为网关地址，通过ARP 代理可以进行ARP 请求和响应报文的转发与处理，从而实现了二层隔离端口间的三层互通。这样多个Sub VLAN共用一个IP网段，从而节省了IP地址资源。 Super VLAN只建立三层接口，不包含物理端口，可以看到成是一个逻辑的三层接口，若干sub-VLAN的集合。sub-VLAN 则只包含物理端口，但不能建立三层VLAN虚接口.它的三层通信依靠super-vlan来实现。 与原来的VLAN间路由不通，原本的三层交换可以根据各自的网关进行，但是现在所有的sub-vlan都属于同一个网段，则就处于不同的sub-vlan通信时，会认在同一个网段，会做二层转发，而不会进行三层转发，但是二层转发是被VLAN隔离了，这就造成sub-vlan间不能通信。解决方法就是代理ARP。 代理ARP的工作原理： 源主机认为目标主机与自己在同一网段，广播发送ARP请求。 与源主机网络相连的网关已经使能ARP PROXY功能，如果存在到达目的主机的正常路由，则代替目的主机REPL Y 自己接口的MAC地址； 源主机向目的主机发送的IP报文都发给了路由器； 路由器对报文做正常的IP路由转发； 发往目的主机的IP报文通过网络，最终到达目的主机。 三层通信原理 PC1:192.168.10.10 MAC=PC1MAC与PC2：192.168.10.20 MAC=PC2MAC的通信过程: 首先PC1与PC2通信，通过对方IP和自己的子网掩码进行与运算，发现在同一个网段，所以广播发送ARP请求(DMC=FFF:FFF:FFF，SMAC=PC1MAC,ARP字段中SMAC=PC1MAC,SIP=192.168.10.10 DMAC=000:000:000 DIP=192.168.10.20),SW2收到后学习SMAC（PC1MAC），同时向VLAN10 里广播，SW3收到后也学习SMAC（PC1MAC），同时向VLAN10里广播，并抄送一份给接口板的ARP模块，经过接口板ARP的分析，发现它来自SubVLAN，就将此ARP请求报文交给主控板ARP模块处理。主控板ARP首先在ARP表中查找ARP请求报文中的目的IP地址，假如找到对应项，看看目的IP地址是不是在SubVLAN10中，是就丢弃该报文，不是就将SuperVLAN5的MAC地址应答给PC1，完成代理工作（DMC=PC1MAC，SMAC=VLAN5MAC,ARP字段SMAC=VLAN5MAC,SIP=192.168.10.10,DMAC=PC1MAC,DIP=192.168.10.20）。假如在ARP表中没有找到对应项，主控板ARP就查VLAN聚合与VLAN的逻辑映射表，知道Sub-VLAN10属于Super-VLAN5，将此报文中的源MAC地址替换成SuperVLAN5的MAC地址，VLAN ID的值由10分别替换成属于SuperVLAN3的其它Sub-VLAN的值，之后逐个向属于此SuperVLAN的其它Sub-VLAN（本例中为Sub-VLAN20）广播，并同时将此请求报文中的信息学习加入动态ARP表中。此后若收到PC2的ARP应答报文（其目的MAC地址为Super-VLAN5的MAC地址），主控板ARP模块发现此ARP应答报文的VLAN ID是Sub-VLAN20，即PC2位于Sub-VLAN20中，主控板CPU根据应答报文中的信息，搜索ARP表中的各项，找到对应项后把SuperVLAN5对应的MAC地址通过ARP应答报文回给PC1（若PC2位于Sub-VLAN10，PC2响应的ARP应答报文直接通过二层转发回给PC1，交换机就不再应答）。同时在接口板上将SubVLAN20中的响应报文信息记录在ARP表及FIB表中，以后再收到来自主机X的报文就可以通过查询FIB表进行三层转发了。二层通信原理 因为super-vlan并不包含物理端口，是一个逻辑的三层接口，所以实际上不会有带有super-vlan的VLAN标记的报文。就算是有super-vlan的VLAN标记的报文过来，但由于trunk上不允许super vlan的VLAN标记的报文通过。所以二层通信与原来的通信是一样的。 与外部PC通信原理 PC1=192.168.1.10/24 MAC=PC1MAC PC3=1.1.1.10/24 MAC=PC3MAC 首先PC1与PC3通信，通过目标IP与PC1的子网掩码进行与运算，发现不在同一个网段，则应该将数据发送给网