下载文档原格式
VLAN配置原理概述VLAN（Virtual Local Area Network）即虚拟局域网，是将一个物理的LAN在逻辑上划分成多个广播域（多个VLAN）的通信技术。
VLAN内的主机间可以直接通信，而VLAN 间不能直接互通，从而将广播报文限制在一个VLAN内，即广播隔离。
交换机可以基于端口、MAC地址、IP子网、协议和策略划分VLAN，通过802.1Q协议封装不同的VLAN报文，依据报文中的TAG字段对不同VLAN报文进行区分，并根据不同的端口属性对VLAN报文进行处理。
VLAN技术提供VLAN Aggregation、MUX VLAN等增强特性。
实验目的●掌握VLAN划分的不同方法●掌握VLAN Aggregation的配置方法●掌握MUX VLAN的配置方法●掌握VLAN间通信的基本配置方法●掌握端口隔离的配置方法实验内容1.任务要求公司A网络如实验拓扑所示，请根据如下需求对网络进行部署：1)在SW1、SW2、SW3和SW4上创建VLAN12、13、24、112、103、212、312、334、305、401和402；2)将SW1的E0/0/1和E0/0/2划入VLAN112，将E0/0/3划入VLAN103；3)在SW2的E0/0/1和E0/0/2划入VLAN212；4)在SW3的E0/0/1和SW3的E0/0/2划入VLAN312，将SW3的E0/0/3和E0/0/4划入VLAN334，将SW3的E0/0/5划入VLAN305；5)在SW4上，将MAC地址为5489-98CF-447F、IP地址为4.1.1.1的PC41划入VLAN401，MAC地址为5489-98CF-E17D、IP地址为4.2.2.2划入VLAN402；6)在SW1上，通过合适的技术实现VLAN112和VLAN103之间的二层隔离、三层转发功能。
另外可以在交换机上创建VLAN104，IP地址为1.0.0.254/24；7)在SW2上实现VLAN212内PC21和PC22二层隔离三层互通。
privatevlan配置三种端口类型：host隔离端口---属于隔离VLANhost联盟端口---属于联盟VLANpromiscuous混杂端口---可以和其它端口通信,不属于任何一个子VLAN,也可以和其他外部VLAN1、设置主VLANSW1（config）#vlan 2private-vlan primary2、设置二级子VLANSW1（config）#vlan 3private-vlan community #community的意思是：子vlan3下所有的主机能够互访也能访问Vlan2，但是不能访问vlan4,5,6,7,8里的主机SW1（config）#vlan 4private-vlan communityvlan 5private-vlan community。
3、将子VLAN划入主VLAN中,建立一个联系SW1（config）#vlan 2private-vlan association 3-84、将端口设定一个模式，并划入相应的VLAN中int fe0/1switchport mode private-vlan host 设置端口的模式，根据子VLAN的类型成为相应的端口switchport private-vlan host-association 2 3-----将端口划入VLAN2中的子VLAN3int fe0/2switchport mode private-vlan promiscuous 设置混杂端口switchport private-vlan mapping 2 3-8 设定混杂端口所能管理的子VLAN5、给予特权(正常情况下，子VLAN中的成员是不能访问外部端口的,混杂端口除外)int vlan 2private-valn mapping 3-8 设置给予哪几个子VLAN特权，允许这几个子VLAN下的端口访问外部的VLANshow interfaces private-vlan mapping●524917790">做私有vlan给你一个参考配置R1可以和PC1、PC2、PC3、PC4互访，PC1可以和PC2互访；PC3、PC4不能互访、VLAN501和VLAN502不可以互访1、必须将VTP的模式设置成为transparent模式sw1(config)#vtp mode transparent2、创建vlan在私有vlan中vlan有两种一个是primary vlan，另一个是secondary vlan，而再secondary vlan中又有两种模式，community（此类型中的vlan内的PC可以相互通讯）、isolated （此类型的vlan内的PC不能相互通讯）sw1(config)#vlan 20sw1(config-vlan)#private-vlan primarysw1(config)#vlan 501sw1(config-vlan)#private-vlan communitysw1(config)#vlan 502sw1(config-vlan)#private-vlan isolated3、将创建好的secondary vlan和primary vlan关联sw1(config)#vlan 20sw1(config-vlan)#private-vlan association 501，5024、将端口划入相应的vlansw1(config)#int f0/1（交换机上联路由器的接口）sw1(config-if)#switchport mode private-vlan promiscuous(混杂模式，可以接受任何vlan上来的数据包) sw1(config-if)#switchport private-vlan mapping 20 501-502（关联可以在主vlan中能够访问什么子vlan）sw1(config)#int range f0/2 – 3 (同时设置所有的接口)sw1(config-if)#switchport mode private-vlan host (主机模式，如果再community中则可以访问501中的所有设备，如果在isolated 中则同在502内照样无法访问)sw1(config-if)#switchport private-vlan host-association 20 501 （关联主vlan和自己的子vlan）sw1(config)#int range f0/4 – 5 (同时设置所有的接口)sw1(config-if)#switchport mode private-vlan hostsw1(config-if)#switchport private-vlan host-association 20502 （关联主vlan和自己的子vlan）注意如果是混杂模式promiscuous一定要对应mapping；如果是主机模式host就一定要对应host-association在配置PVLAN的时候，因为只有VTP透明模式支持PVLAN，所以必须首先将交换机配置为VTP透明模式。
虚拟局域网配置基础虚拟局域网配置（一）1.1 VLAN简介1.1.1 VLAN概述传统的以太网是广播型网络，网络中的所有主机通过HUB或交换机相连，处在同一个广播域中。
HUB和交换机作为网络连接的基本设备，在转发功能方面有一定的局限性：●网络中可能存在着大量广播和未知单播报文，浪费网络资源。
●网络中的主机收到大量并非以自身为目的地的报文，造成了严重的安全隐患。
解决以上网络问题的根本方法就是隔离广播域。
传统的方法是使用路由器，但使用路由器隔离广播域有很大的局限性，因此采用VLAN技术来实现广播域的隔离。
1.1.2 VLAN接口不同VLAN间的主机不能直接通信，需要通过路由器或三层交换机等网络层设备进行转发，目前的三层以太网交换机支持通过配置VLAN 接口实现对报文进行三层转发的功能。
VLAN接口是一种三层模式下的虚拟接口，主要用于实现VLAN间的三层互通，它不作为物理实体存在于交换机上。
每个VLAN对应一个VLAN接口，该接口可以为本VLAN内端口收到的报文根据其目的IP地址在网络层进行转发。
通常情况下，由于VLAN能够隔离广播域，因此每个VLAN也对应一个IP网段，VLAN接口将作为该网段的网关对需要跨网段转发的报文进行基于IP地址的三层转发。
1.2 基于端口的VLAN基于端口的VLAN是最简单的一种VLAN划分方法。
可以将设备上的端口划分到不同的VLAN中，此后从某个端口接收的报文将只能在相应的VLAN内进行传输，从而实现广播域的隔离和虚拟工作组的划分。
以太网交换机的端口链路类型可以分为三种：Access、Trunk、Hybrid。
这三种端口在加入VLAN和对报文进行转发时会进行不同的处理。
基于端口的VLAN 具有实现简单，易于管理的优点，适用于连接位置比较固定的用户。
1.2.1 以太网端口的链路类型以太网交换机支持的以太网端口链路类型有三种：●Access 类型：端口只能属于1个VLAN，一般用于交换机与终端用户之间的连接；●Trunk 类型：端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，一般用于交换机之间的连接；●Hybrid 类型：端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。
目录3 VLAN配置3.1 VLAN简介3.1.1 VLAN概述3.1.2 VLAN划分3.1.3 S-switch支持的VLAN特性3.1.4 配置任务的逻辑关系3.2 创建VLAN3.2.1 建立配置任务3.2.2 （可选）创建单个VLAN3.2.3 （可选）批量创建VLAN3.2.4 检查配置结果3.3 将接口加入VLAN3.3.1 建立配置任务3.3.2 （可选）将Access类型接口加入VLAN3.3.3 （可选）将Trunk类型接口加入VLAN3.3.4 （可选）将Hybrid类型接口加入VLAN3.3.5 （可选）将QinQ类型接口加入VLAN3.3.6 （可选）将接口批量加入VLAN3.3.7 检查配置结果3.4 配置VLANIF接口3.4.1 建立配置任务3.4.2 创建VLANIF接口3.4.3 配置VLANIF接口的IP地址3.4.4 （可选）配置VLANIF接口的MAC地址3.4.5 （可选）配置VLANIF接口的MTU3.4.6 检查配置结果3.5 配置基于MAC地址的VLAN划分3.5.1 建立配置任务3.5.2 关联MAC地址和VLAN3.5.3 允许基于MAC地址的VLAN通过当前接口3.5.4 使能基于MAC地址划分VLAN的功能3.5.5 （可选）配置VLAN匹配的优先级3.5.6 检查配置结果3.6 配置基于协议的VLAN划分3.6.1 建立配置任务3.6.2 配置基于协议的VLAN划分，并指定协议模板3.6.3 允许基于协议的VLAN通过当前接口3.6.4 关联协议和VLAN3.6.5 检查配置结果3.7 配置基于IP子网的VLAN划分3.7.1 建立配置任务3.7.2 关联IP子网和VLAN3.7.3 允许基于IP子网的VLAN通过当前接口3.7.4 使能基于IP子网划分VLAN的功能3.7.5 检查配置结果3.8 配置管理VLAN3.8.1 建立配置任务3.8.2 配置管理VLAN功能3.8.3 检查配置结果3.9 配置举例3.9.1 配置S-switch干道链路示例3.9.2 配置IP子网VLAN示例3.9.3 配置VLAN综合示例插图目录图3-1接口批量加入VLAN组网图图3-2配置S-switch干道链路组网图图3-3配置IP子网VLAN组网图图3-4配置VLAN综合组网图表格目录表3-1 IP子网配置数据3 VLAN配置介绍了VLAN的基本知识、配置方法和配置实例。
VLAN的分类和实现方式1 VLAN基础VLAN是英文Virtual Local Area Network的缩写, 即虚拟局域网。
一方面, VLAN建立在局域网交换机的基础之上；另一方面, VLAN是局域交换网的灵魂。
这是因为通过VLAN用户能方便地在网络中移动和快捷地组建宽带网络, 而无需改变任何硬件和通信线路。
这样, 网络管理员就能从逻辑上对用户和网络资源进行分配, 而无需考虑物理连接方式。
VLAN充分体现了现代网络技术的重要特征：高速、灵活、管理简便和扩展容易。
是否具有VLAN功能是衡量局域网交换机的一项重要指标。
网络的虚拟化是未来网络发展的潮流。
VLAN与普通局域网从原理上讲没有什么不同, 但从用户使用和网络管理的角度来看, VLAN与普通局域网最基本的差异体现在：VLAN并不局限于某一网络或物理范围, VLAN中的用户可以位于一个园区的任意位置, 甚至位于不同的国家。
1.1 描述VLANVlan是一种逻辑上的局域网, 如下图所示, 他可以将不同交换机, 不同地域的接口划分到一个虚拟的LAN中, 便于管理和维护, 同时划分vlan还可以隔离广播流量, 防止大型网络中多台机器广播影响性能对一个极大规模的未分配vlan的网络, 不明地址的单播帧和组播流量能在同一个广播域中畅通无阻, 例如下图, 图中, 是一个由5台二层交换机(交换机1～5)连接了大量客户机构成的网络。
假设这时, 计算机A需要与计算机B通信。
在基于以太网的通信中, 必须在数据帧中指定目标MAC地址才能正常通信, 因此计算机A必须先广播“ARP请求(ARP Request)信息”, 来尝试获取计算机B的MAC地址。
交换机1收到广播帧(ARP请求)后, 会将它转发给除接收端口外的其他所有端口, 也就是Flooding了。
接着, 交换机2收到广播帧后也会Flooding。
交换机3、4、5也还会Flooding。
最终ARP请求会被转发到同一网络中的所有客户机上。
VLAN 目录目录第1章 VLAN配置...................................................................................................................1-11.1 VLAN简介..........................................................................................................................1-11.1.1 VLAN概述................................................................................................................1-11.1.2 VLAN的划分............................................................................................................1-21.2 VLAN配置..........................................................................................................................1-21.2.1 VLAN的基本配置.....................................................................................................1-21.2.2 批量创建VLAN配置.................................................................................................1-31.2.3 配置基于端口的VLAN..............................................................................................1-31.3 VLAN显示与维护................................................................................................................1-31.4 VLAN典型配置举例............................................................................................................1-4第2章 VLAN-VPN配置...........................................................................................................2-12.1 VLAN-VPN配置..................................................................................................................2-12.1.1 VLAN-VPN原理介绍................................................................................................2-12.1.2 VLAN-VPN的实现方式............................................................................................2-12.2 配置端口的VLAN-VPN特性................................................................................................2-22.2.1 配置准备..................................................................................................................2-22.2.2 配置过程..................................................................................................................2-22.3 VLAN-VPN显示与维护.......................................................................................................2-22.4 VLAN-VPN典型配置举例...................................................................................................2-3第1章 VLAN配置1.1 VLAN简介1.1.1 VLAN概述为了解决以太网交换机在LAN中无法限制广播的问题，出现了VLAN（Virtual LocalArea Network，虚拟局域网）技术。
VLAN描述与基本配置 一、VLAN描述 简单地讲，VLAN是指那些看起来好像在同一个物理局域网中能够相互通信的设备的集合。对于以端口划分的VLAN而言，任何一个端口的集合（甚至交换机上的所有端口）都可以被看作是一个VLAN。VLAN的划分不受硬件设备物理连接的限制，用户可以通过命令灵活地划分端口，创建定义VLAN。使用VLAN的优点如下：
VLAN能帮助控制流量 在传统网络中，不管是否必要，大量广播数据被直接送往所有网络设备，从而导致网络堵塞。而VLAN的设置能够使每个VLAN只包含那些必须相互通信的设备，从而减少广播、提高网络效率。
VLAN提供更高的安全性 每个VLAN中的设备只能与本VLAN中的设备通信。例如，如果VLAN Market的设备要和VLAN Sales的设备通信，则只有通过路由器才能进行，在没有三层路由设备的情况下两个部门不能直接通信，从而提高了网络安全性能。
VLAN使网络设备的变更和移动更加方便 在传统网络中，网络管理员不得不在网络设备的变更和移动上花费大量的时间和精力。如果用户移动到另一个不同的子网，那么每个终端的地址都得重新设置。而使用VLAN则不需要这些复杂繁琐的设置。
1.1.1 VLAN的分类 用户可以根据以下标准创建VLAN： 物理端口 802.1Q tag 以上标准的组合 1. 以端口划分的VLAN 在一个Port-Based VLAN（基于端口的VLAN）中，用一个VLAN的名字来代表交换机中的一个或多个端口组成的一组端口。不同VLAN中的成员不能相互通信，即使它们在物理上属于同一个交换机的同一个I/O模块。如果要互相通信就必须通过三层交换机进行路由。这就意味着每一个VLAN的IP地址必须唯一，且不属于相同网段。
例如，在交换机上，端口1、9和15属于VLAN Market，端口3和14属于VLAN Finance，端口 6、18-21属于VLAN Sales。 2. 以标签划分的VLAN 标签就是在以太网帧中插入的特定标记，称为tag，它也是某个指定VLAN的标识号VLANID。 使用802.1Q标签的数据包可能导致数据包长度比现行的IEEE 802.3以太网帧的最大字节数1518稍微大一点，这可能导致其他设备中的数据包计数错误，使得在含有非802.1Q网桥或路由器的网络中有可能导致连接出现问题。
3. Tagged VLAN的应用 标签（Tagging）最常应用在跨交换机创建VLAN的情况，此时交换机之间的连接通常称为中继。使用标签后，可以通过一个或多个中继创建跨多个交换机的VLAN。一个VLAN可以很轻易地通过中继跨多个交换机。
使用Tagged VLAN的另一个好处就是一个端口可以属于多个VLAN。这一点在某个设备（例如服务器）必须属于多个VLAN的时候特别有用，此设备必须有支持802.1Q的网络接口卡。
4. 指定VLAN标签 每个VLAN都可被赋予一个802.1Q VLAN tag。当向一个由802.1Q标签定义的VLAN中添加端口时，可以决定该端口是否使用这个VLAN的标签。缺省模式是所有端口都属于一个名叫default的VLAN，其VLANID为2047。
并不是所有端口都必须使用标签。当数据流从交换机的一个端口输出时，交换机实时决定是否需将该VLAN的标签加入到数据包中。交换机根据每个VLAN端口的配置情况决定加上或者去掉数据包中的标签。
如果交换机收到带tag标记的数据包，当这个tag值与接收数据端口的tag值不同时，说明这个数据包来自其他VLAN，因此交换机将丢弃该数据包。
为使用Tag（tagged）和未使用Tag（untagged）划分VLAN的网络物理结构图。 图1-1 以tagged和untagged划分VLAN 交换机1的端口1和交换机2的端口1同时属于VLAN Market和VLAN Sales，且两个端口之间有中继线连接。跨交换机的VLAN Market和VLAN Sales通过这条中继线相连，从而实现跨交换机的VLAN通信。其中：
中继端口都为tagged。 连接到交换机1端口9上的Server须含有支持802.1Q Tagged的网络接口卡（NIC）。 连接Server的交换机1的端口9必须同时属于VLAN Market和VLAN Sales。 除了连接Server的交换机1的端口8和两台交换机的端口1是tagged以外，其他端口都是untagged。 当数据转发到交换机的端口时，交换机决定数据送达到目的端口是否需要加标签（tagged）。所有Server收发的数据都是加标签的（tagged）；从其余终端工作站收和发的数据都是untagged。
1. 混合使用Tagged VLAN和Port-Based VLAN 可以混合使用Tagged VLAN和Port-Based VLAN。一个给定的端口可以属于多个VLAN，前提是该端口只能在一个VLAN中是未加标签的（Untagged）。换句话说，一个端口同时能属于一个Port-Based VLAN和多个Tagged VLAN。
出于VLAN分类的目的，如果交换机收到一个含802.1Q标签的数据包，但是该802.1Q标签所含的VLANID的值为０，那么交换机会把该数据包当作是未加标签的（untagged）。
1.1.2 配置VLAN的有关规则 VLAN配置要求遵循一定的规则，对VLAN的命名、端口的添加、IP Address的配置、Tag值的范围等有一定的要求。
1. 缺省VLAN 交换机出厂时有一个缺省的VLAN，该VLAN有以下属性： VLAN 的名字是default 它包含所有端口 default VLAN的所有端口都是untagged的 default VLAN的VLANID是2047 2. VLAN的名字 每个VLAN的名字可以是由以字母开头的１至29个字符组成，这些字符只能是字母、数字或者下划线“_”。空格符、逗号、引号等字符都是不合法的。
VLAN的名字只是本地标志。也就是说，在一台交换机上设置的VLAN的名字只对该交换机有意义。如果另一台交换机（Switch2）与该交换机(Switch1)相连，那么这个交换机(Switch1)的VLAN的名字对那台交换机（Switch2）来讲毫无意义。
1.2 配置VLAN 1.2.1 配置步骤 配置VLAN包括以下步骤： 配置步骤 步骤1 create vlan 创建VLAN并给该VLAN取名 步骤2 config vlan tag <1-4094> 给VLAN指定一个Tag，或者使用创建时系统分配的Tag 步骤3 config vlan ipaddress 如果需要的话给该VLAN分配IP地址和子网掩码 步骤4 config vlan [add|delete] port [tagged|untagged] 在VLAN中加入端口，可以指定是否使用802.1Q tag 步骤5 show vlan {}*1 查看VLAN配置信息 使用命令delete vlan可以删除VLAN。使用命令no vlan ip可以删除VLAN的IP地址。 使用命令config port [add|delete] vlan也可以将一个或多个端口以tagged方式加入一个或多个vlan中，或从vlan中删除。参见“配置端口”一章。
1.2.2 配置案例 案例描述 在交换机上创建一个名为development的VLAN，给该VLAN分配IP地址202.106.15.3和子网掩码255.255.255.0，然后加入端口3，6，17-20，并指定端口为untagged模式。
配置步骤 步骤1 创建一个VLAN，名称为development Harbour(config)#create vlan development 步骤2 给该VLAN分配IP地址192.168.0.232/24 Harbour(config)# config vlan development ipaddress 192.168.0.232/24 步骤3 分配给该VLAN的VLANID是128 Harbour(config)#config vlan development tag 128 步骤4 给该VLAN加入端口3，6，17-20，并指定端口为untagged模式 Harbour(config)#config vlan development add port 3,6,17-20 untagged 步骤5 查看VLAN的配置信息 Harbour(config)#show vlan development VLAN ID : 128 Name : development IP Address : 192.168.0.232/24 MAC address : 00:45:32:65:98:72 Tagged Ports : Untagged Ports : 3 6 17 18 19 20 步骤6 向development添加一个以IEEE 802.1Q tagged模式属于该VLAN的端口3 Harbour(config)#config vlan development add port 3 tagged 步骤7 查看VLAN的配置信息，此时，端口3以IEEE 802.1Q tagged模式属于development，所以untagged ports中就没有端口3了
Harbour(config)#show vlan development VLAN ID : 128 Name : development MAC address : 00:45:32:65:98:72 Tagged Ports : 3 Untagged Ports : 6 17 18 19 20
