虚拟局域网——VLAN

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,11/19/2024,1,一 问题的引入,有很多企业在发展的初期，人员较少，因此对网络的要求也不高，而且为了节约成本，很多企业网都采用了通过,路由器,实现分段的简单结构。在这样的网络下，每一个局域网上的广播数据包都可以被该段上的所有设备收到，而无论这些设备是否需要。随着企业规模的不断扩大，特别是多媒体在企业局域网中的应用，使每个部门内部的数据传输量非常大。此外，由于公司发展中的需要，使得一个部门的员工不能相对集中办公。更重要的是，公司的财务部门需要越来越高的,安全性,，不能和其他的部门混用一个以太网段，以防止数据窃听。,11/19/2024,2,1 存在的问题,广播问题,大量的数据广播给了没必要接受这些数据的终端。网络中存在过多的数据。,安全性问题,把数据传送给了本不应该接受这些数据的终端，存在安全隐患。,管理问题,终端的移动会造成管理的负担,11/19/2024,3,2 问题的解决途径,利用,交换机,通过,VLAN（Virtual Local Area Network）,技术分割,广播域,，划分不同的逻辑局域网以解决上述存在的问题。,11/19/2024,4,二 什么是VLAN,VLAN,（Virtual Local Area Network）又称,虚拟局域网,，是指在,交换局域网,的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。,11/19/2024,5,三 划分VLAN的基本策略,基于端口的VLAN划分,基于MAC地址的VLAN划分,基于子网的VLAN划分,基于用户的VLAN划分,11/19/2024,6,1 基于端口的VLAN划分,基于端口的VLAN的划分是最简单、有效的VLAN划分方法（目前定义VLAN的最广泛的方法），它按照局域网交换机端口来定义VLAN成员。VLAN从逻辑上把局域网交换机的端口划分开来，从而把终端系统划分为不同的部分，各部分相对独立，在功能上模拟了传统的局域网。基于端口的VLAN又分为在,单交换机端口,和,多交换机端口,定义VLAN两种情况：,11/19/2024,7,单交换机端口定义VLAN,如图所示，交换机的1、2、6、7、8端口组成VLAN1，3、4、5端口组成了VLAN2。这种VLAN只支持一个交换机。,11/19/2024,8,多交换机端口定义VLAN,如图所示，交换机1的1、2、3端口和交换机2的4、5、6端口组成VLAN1，交换机1的4、5、6、7、8端口和交换机2的1、2、3、7、8端口组成VLAN2。,11/19/2024,9,2基于MAC地址的VLAN划分,基于,MAC地址,的VLAN，就是通过查询并记录端口所连计算机上网卡的MAC地址来决定端口的所属。假定有一个MAC地址“A”被交换机设定为属于VLAN10，那么不论MAC地址为“A”的这台计算机连在交换机哪个端口，该端口都会被划分到VLAN10中去。计算机连在端口1时，端口1属于VLAN10；而计算机连在端口2时，则是端口2属于VLAN10。（,如下图,）,11/19/2024,10,11/19/2024,11,3基于子网的VLAN划分,基于子网的VLAN，则是通过所连计算机的IP地址，来决定端口所属VLAN的。不像基于MAC地址的VLAN，即使计算机因为交换了网卡或是其他原因导致MAC地址改变，只要它的IP地址不变，就仍可以加入原先设定的VLAN（,如下图,）,11/19/2024,12,11/19/2024,13,4基于用户的VLAN划分,基于用户的VLAN，则是根据交换机各端口所连的计算机上当前登录的用户，来决定该端口属于哪个VLAN。这里的用户识别信息，一般是计算机操作系统登录的用户，比如可以是Windows域中使用的用户名。这些用户名信息，属于OSI第四层以上的信息。,11/19/2024,14,策略小结,VLAN的划分策略基本可分为,静态VLAN,和,动态VLAN,。其中基于子网的VLAN和基于用户的VLAN有可能是网络设备厂商使用独有的协议实现的，不同厂商的设备之间互联有可能出现兼容性问题。,11/19/2024,15,各种策略的比较,基于端口的,VLAN,划分,优点,：简单，容易实现，从一个端口发出的广播，直接发送到虚拟局域网内的其他端口，也便于直接监控。,缺点,：使用不够灵活，当用户从一个端口移动到另一个端口的时候网络管理员必须重新配置虚拟局域网成员（这一点可以通过灵活的网络管理软件来弥补）。,11/19/2024,16,2.基于MAC地址的VLAN划分,优点：,交换机对终端的MAC地址和交换机端口进行跟踪，在新终端入网时根据已经定义的虚拟局域网MAC对应表将其划归至某一个虚拟局域网，而无论该终端在网络中怎样移动，由于其MAC地址保持不变，故不需进行虚拟局域网的重新配置。这种方式减少了日常维护工作量。,缺点：,所有的终端必须被明确的分配在一个具体的虚拟局域网，任何时候增加终端或者更换网卡，都要对虚拟局域网数据库调整，以实现对该终端的动态跟踪。,11/19/2024,17,3.基于子网的VLAN划分,优点：,用户的物理位置改变，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，并且这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。,缺点：,效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时（与各厂商的实现方法有关）。,11/19/2024,18,4.基于用户的VLAN划分,属于OSI第四层以上的信息，决定端口所属VLAN时利用的信息在OSI中的层面越高，就越适于构建灵活多变的网络。,11/19/2024,19,四 VLAN的标准,对VLAN的标准，我们只是介绍两种比较通用的标准，当然也有一些公司具有自己的标准，比如Cisco公司的ISL标准，虽然不是一种大众化的标准，但是由于Cisco Catalyst交换机的大量使用，ISL也成为一种不是标准的标准了。,802.10VLAN标准,在1995年，Cisco公司提倡使用IEEE802.10协议。在此之前，IEEE802.10曾经在全球范围内作为VLAN安全性的同一规范。Cisco公司试图采用优化后的802.10帧格式在网络上传输FrameTagging(帧标签)模式中所必须的VLAN标签。然而，大多数802委员会的成员都反对推广802.10。因为，该协议是基于FrameTagging方式的。,11/19/2024,20,802.1Q,在1996年3月，IEEE802.1Internetworking委员会结束了对VLAN初期标准的修订工作。新出台的标准进一步完善了VLAN的体系结构，统一了FrameTagging方式中不同厂商的标签格式，并制定了VLAN标准在未来一段时间内的发展方向，形成的802.1Q的标准在业界获得了广泛的推广。它成为VLAN史上的一块里程碑。802.1Q的出现打破了虚拟网依赖于单一厂商的僵局，从一个侧面推动了VLAN的迅速发展。另外，来自市场的压力使各大网络厂商立刻将新标准融合到他们各自的产品中。,Cisco ISL 标签,ISL（Inter-Switch Link)是Cisco公司的专有封装方式，因此只能在Cisco的设备上支持。ISL是一个在交换机之间、交换机与路由器之间及交换机与服务器之间传递多个VLAN信息及VLAN数据流的协议，通过在交换机直接的端口配置ISL封装，即可跨越交换机进行整个网络的VLAN分配和配置。,11/19/2024,21,五,VLAN发展趋势,目前在宽带网络中实现的VLAN基本上能满足广大网络用户的需求，但网络性能、网络流量控制、网络通信优先级控制等还有待提高。VTP(VLAN Trunking Protocol虚拟局域网干道协议)技术、STP(Spanning Tree Protocol 生成树协议)技术，基于三层交换的VLAN技术等在VLAN使用中存在网络效率的瓶颈问题，这主要是IEEE802.1Q、IEEE802.1D协议的不完善所致，IEEE正在制定和完善IEEE802.1S（MultipleSpanningTrees）和IEEE802.1W（RapidReconfigurationofSpanningTree）来改善VLAN的性能。采用IEEE802.3z和IEEE802.3ab协议，并结合使用RISC（精简指令集计算）处理器或者网络处理器而研制的吉位VLAN交换机在网络流量等方面采取了相应的措施，大大提高了VLAN网络的性能。IEEE802.1P协议提出了COS（ClassofService）标准，这使网络通信优先级控制机制有了参考。,11/19/2024,22,ARP协议（address resolution Protocol）,基本功能：,在以太网协议中规定，同一局域网中的一台主机要和另一台主机进行直接通信，必须要知道目标主机的MAC地址。而在TCP/IP协议栈中，网络层和传输层只关心目标主机的IP地址。这就导致在以太网中使用IP协议时，数据链路层的以太网协议接到上层IP协议提供的数据中，只包含目的主机的IP地址。于是需要一种方法，根据目的主机的IP地址，获得其MAC地址。这就是ARP协议要做的事情。所谓,地址解析（address resolution）,就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。,11/19/2024,23,ARP协议（address resolution Protocol）,工作原理：,1 发送主机发送一个本地的RARP广播，在此广播包中，声明自己的MAC地址并且请求任何收到此请求的RARP服务器分配一个IP地址；,2 本地网段上的RARP服务器收到此请求后，检查其RARP列表，查找该MAC地址对应的IP地址；,3 如果存在，RARP服务器就给源主机发送一个响应数据包并将此IP地址提供给对方主机使用；,4 如果不存在，RARP服务器对此不做任何的响应；,5 源主机收到从RARP服务器的响应信息，就利用得到的IP地址进行通讯；如果一直没有收到RARP服务器的响应信息，表示初始化失败。,6如果在第1-3中被ARP病毒攻击，则服务器做出的反映就会被占用，源主机同样得不到RARP服务器的响应信息，此时并不是服务器没有响应而是服务器返回的源主机的IP被占用。(ARP命令),11/19/2024,24,广播域,广播域(Broadcast Domain)是指网段上所有设备的集合。这些设备收听送往那个网段的所有广播；网络中能接收任一设备发出的广播帧的所有设备的集合；广播域是基于第二层（链路层）；广播域就是说如果站点发出一个广播信号后能接收到这个信号的范围。通常来说一个局域网就是一个广播域。,11/19/2024,25,广播风暴,所谓,广播风暴（Broadcast Storm）,，简单的讲，当广播数据充斥网络无法处理，并占用大量网络带宽，导致正常业务不能运行，甚至彻底瘫痪，这就发生了“广播风暴”。一个数据帧或 包被传输到本地网段(由广播域定义)上的每个节点就是广播；由于网络拓扑的设计和连接问题，或其他原因导致广播在网段内大量复制，传播数据帧，导致网络性能下降，甚至网络瘫痪，这就是广播风暴。,11/19/2024,26,交换局域网,交换式局域网所有站点都连接到一个交换式集线器或局域网交换机上。交换式集线器或局域网交换机具有交换功能，它们的特点是：所有端口平时都不连通，当工作站需要通信时，交换式集线器或局域网交换机能同时连通许多端口，使 每一对端口都能像独占通信媒体那样无冲突的传输数据，通信完成后断开连接。由于消除了公共的通信媒体，每个站点独自使用