端口类型与收发报文的处理方式

实训案例6——网络隔离【项目目标】掌握在单交换机上进行VLAN 划分的方法。

掌握在多交换机上进行VLAN 划分的方法。

掌握同一交换机上，同一VLAN中端口隔离的配置方法。

【项目背景】某企业有两个主要部门：销售部和技术部，其中销售部门的个人计算机系统连接在不同的交换机上，他们之间需要相互进行通信，但为了数据安全起见，销售部和技术部需要相互隔离；技术部的个人计算机系统虽然连接在一个交换机上，但由于研发项目的不同也要求研发小组之间相互隔离；同一研发小组的计算机之间能够通信，但某一研发小组的两台计算机之间要求隔离。

本项目的实施使用Packet Tracer 5.0。

Packet Tracer 5.0是一款非常不错的Cisco(思科)网络设备模拟器。

【方案设计】1.总体设计通过在单交换机上进行VLAN 划分和跨交换机进行VLAN配置的方法隔离销售部和技术部，以及技术部中各个研发小组的隔离。

通过交换机中同一VLAN的端口隔离来完成某一研发小组的两台计算机之间的隔离。

2.任务分解任务1：单交换机上创建多个VLAN段。

任务2：实现单交换机上多个VLAN的隔离。

任务3：跨交换机进行VLAN配置。

任务4：查看交换机的系统和配置信息。

任务5：设置同一VLAN两台PC的隔离。

任务6：删除VLAN。

3.知识准备（1）VLAN Tag为使交换机能够分辨不同VLAN的报文，需要在报文中添加标识VLAN的字段。

由于交换机工作在OSI模型的数据链路层，只能对报文的数据链路层封装进行识别。

因此，识别字段需要添加到数据链路层封装中。

传统的以太网数据帧在目的MAC地址和源MAC地址之后封装上层协议的类型字段。

如图7-1所示。

图7-1 封装类型字段其中DA表示目的MAC地址，SA表示源MAC地址，Type表示报上层协议的类型字段。

IEEE 802.1Q协议规定，在目的MAC地址和源MAC地址之后封装4个字节的VLAN Tag，用以标识VLAN的相关信息。

华为交换机端⼝模式华为交换机端⼝模式以太⽹端⼝的三种链路类型： Access, Trunk, Hybrid1. Access 类型的端⼝只能属于 1 个 VLAN ，⼀般⽤于连接计算机的端⼝；2. Trunk 类型的端⼝可以允许多个 VLAN 通过，可以接收和发送多个 VLAN 的报⽂，⼀般⽤于交换机之间连接的端⼝；3. Hybrid 类型的端⼝可以允许多个 VLAN 通过，可以接收的发送多个 VLAN 的报⽂，可以⽤于交换机之间连接，也可以⽤于连接⽤户的计算机。

Hybrid 端⼝可以允许多个 VLAN 的数据不带 tag ，⽽ 802.1Q 的 trunk 只能是 native vlan （即 pvid ）对应的 vlan 的数据不带 tag ，应该说hybrid 可以实现 trunk 端⼝的特性。

实际使⽤时都可以⽤ hybrid 端⼝，⽽不⽤ trunk 。

Hybrid 端⼝和 Trunk 端⼝在接收数据时，处理⽅法是⼀样的，唯⼀的不同之处在于发送数据时， hybrid 端⼝可以允许多个 VLAN 的报⽂发送时不打标签，⽽ trunk 端⼝只允许缺省 VLAN 的报⽂发送时不打标签。

QinQ端⼝QinQ端⼝是专⽤于QinQ协议的⼆层以太⽹端⼝。

它可以给数据帧加上双层VLAN标签，即在原来标签的基础上，给帧加上⼀个新的标签，从⽽可以⽀持多达4094×4094个VLAN，满⾜企业⽤户⽹络对VLAN数量更⾼的需求。

华为交换机端⼝模式命令：[Switch] interface GigabitEthernet 1/0/1 ——进⼊端⼝视图[Switch-GigabitEthernet1/0/1] port link-type access ——将端⼝模式改为Access模式注：Access端⼝主要是⽤来连接⽤户主机的⼆层以太⽹端⼝。

它有⼀种最主要的特性就是：仅允许⼀个VLAN的帧通过，反过来也就是Access端⼝仅可以加⼊到⼀个VLAN中，且Access端⼝发送的以太⽹帧永远是Untagged（不带标签）的。

目录1 LAN设置............................................................................................................................................1-11.1 概述...................................................................................................................................................1-11.1.1 VLAN简介...............................................................................................................................1-11.1.2 VLAN原理...............................................................................................................................1-11.1.3 VLAN划分...............................................................................................................................1-21.1.4 基于端口的VLAN简介.............................................................................................................1-31.1.5 VLAN接口简介........................................................................................................................1-31.2 配置VLAN和VLAN接口.....................................................................................................................1-41.2.1 配置概述.................................................................................................................................1-41.2.2 创建VLAN和VLAN接口...........................................................................................................1-41.2.3 配置VLAN成员........................................................................................................................1-51.2.4 配置VLAN接口参数.................................................................................................................1-61.3 注意事项............................................................................................................................................1-71 LAN设置1.1 概述1.1.1 VLAN简介以太网是一种基于CSMA/CD（Carrier Sense Multiple Access/Collision Detect，载波侦听多路访问/冲突检测）的共享通讯介质的数据网络通讯技术，当主机数目较多时会导致冲突严重、广播泛滥、性能显著下降，甚至网络不可用等问题。

KS8995芯片VLAN技术分析一、市场需求目前已经明确的4口光纤收发器应用场景有两种，后续可能还有其他的应用场景的需求。

一种就是光口上行接到MSAP或者交换机设备，4个电口接入4台监控设备,4个电口物理隔离。

一种就是光口上行接到MSAP或者交换机设备，而4个电口接入不同部门或公司的业务，不同部门或公司的业务需要隔离。

针对4口光纤收发器的应用场景，结合KS8995芯片实现，对KS8995芯片的VLAN技术从以下几个方面进行分析：交换模式：透传模式和VLAN模式端口类型：Access、Trunk和Hybrid端口PVID：端口默认VLANVLAN表项：端口加入VLAN并且下发硬件端口隔离：端口物理隔离功能VLAN-VPN：芯片不支持。

二、实现方法1.交换模式KS8995芯片默认交换模式为透传模式（Global Control 3（Reg0x05）的BIT7设置0），光纤收发器的端口不识别报文中带的VLAN tag，报文查找MAC转发表进行转发。

KS8995芯片另外一种模式就是VLAN模式（Global Control 3（Reg0x05）的BIT7设置1），光纤收发器的端口需要识别报文中带的VLAN tag。

如果报文中带VLAN tag，则报文的VLAN 指定该VLAN tag的VID；如果报文中不带VLAN tag，则报文的VLAN指定该端口的默认VLAN （PVID）。

然后根据VLAN查找VLAN表中获取FID，通过FID+MAC查找MAC转发表进行转发。

2.端口隔离通过端口隔离特性，用户可以对需要进行控制的端口配置端口隔离功能，实现所有需要隔离端口之间业务数据的隔离，既增强了网络的安全性，也为用户提供了灵活的组网方案。

此功能可以通过配置寄存器（Port N Control 1的BIT0~4）来实现。

例如要实现P1、P2的隔离，只需将P1的BIT1清零（即0x1d）、P2的BIT0清零（即0x1e）。