交換機 VLAN配置基礎 及 VLAN最強實例說明(圖)
|
(CCNA必看知識點) 交換機 VLAN配置基礎 及 VLAN最強實例說明(圖) 有關VLAN的技術標準IEEE 802.1Q早在1999年6月份就由IEEE委員正式頒佈實施了，而且最早的VLNA技術早在1996年Cisco（思科）公司就提出了。隨着幾年來的發展，VLAN技術得到廣泛的支持，在大大小小的企業網絡中廣泛應用，成爲當前最爲熱門的一種以太局域網技術。本篇就要爲大家介紹交換機的一個最常見技術應用--VLAN技術，並針對中、小局域網VLAN的網絡配置以實例的方式向大家簡單介紹其配置方法。 一、VLAN基礎 VLAN（Virtual Local Area Network）的中文名爲"虛擬局域網"，注意不是"***"（虛擬專用網）。VLAN是一種將局域網設備從邏輯上劃分（注意，不是從物理上劃分）成一個個網段，從而實現虛擬工作組的新興數據交換技術。這一新興技術主要應用於交換機和路由器中，但主流應用還是在交換機之中。但又不是所有交換機都具有此功能，只有VLAN協議的第三層以上交換機才具有此功能，這一點可以查看相應交換機的說明書即可得知。 IEEE於1999年頒佈了用以標準化VLAN實現方案的802.1Q協議標準草案。VLAN技術的出現，使得管理員根據實際應用需求，把同一物理局域網內的不同用戶邏輯地劃分成不同的廣播域，每一個VLAN都包含一組有着相同需求的計算機工作站，與物理上形成的LAN有着相同的屬性。由於它是從邏輯上劃分，而不是從物理上劃分，所以同一個VLAN內的各個工作站沒有限制在同一個物理範圍中，即這些工作站可以在不同物理LAN網段。由VLAN的特點可知，一個VLAN內部的廣播和單播流量都不會轉發到其他VLAN中，從而有助於控制流量、減少設備投資、簡化網絡管理、提高網絡的安全性。 交換技術的發展，也加快了新的交換技術（VLAN）的應用速度。通過將企業網絡劃分爲虛擬網絡VLAN網段，可以強化網絡管理和網絡安全，控制不必要的數據廣播。在共享網絡中，一個物理的網段就是一個廣播域。而在交換網絡中，廣播域可以是有一組任意選定的第二層網絡地址（MAC地址）組成的虛擬網段。這樣，網絡中工作組的劃分可以突破共享網絡中的地理位置限制，而完全根據管理功能來劃分。這種基於工作流的分組模式，大大提高了網絡規劃和重組的管理功能。在同一個VLAN中的工作站，不論它們實際與哪個交換機連接，它們之間的通訊就好象在獨立的交換機上一樣。同一個VLAN中的廣播只有VLAN中的成員才能聽到，而不會傳輸到其他的 VLAN中去，這樣可以很好的控制不必要的廣播風暴的產生。同時，若沒有路由的話，不同VLAN之間不能相互通訊，這樣增加了企業網絡中不同部門之間的安全性。網絡管理員可以通過配置VLAN之間的路由來全面管理企業內部不同管理單元之間的信息互訪。交換機是根據用戶工作站的MAC地址來劃分VLAN的。所以，用戶可以自由的在企業網絡中移動辦公，不論他在何處接入交換網絡，他都可以與VLAN內其他用戶自如通訊。 VLAN網絡可以是有混合的網絡類型設備組成，比如：10M以太網、100M以太網、令牌網、FDDI、CDDI等等，可以是工作站、服務器、集線器、網絡上行主幹等等。 VLAN除了能將網絡劃分爲多個廣播域，從而有效地控制廣播風暴的發生，以及使網絡的拓撲結構變得非常靈活的優點外，還可以用於控制網絡中不同部門、不同站點之間的互相訪問。 VLAN是爲解決以太網的廣播問題和安全性而提出的一種協議，它在以太網幀的基礎上增加了VLAN頭，用VLAN ID把用戶劃分爲更小的工作組，限制不同工作組間的用戶互訪，每個工作組就是一個虛擬局域網。虛擬局域網的好處是可以限制廣播範圍，並能夠形成虛擬工作組，動態管理網絡。 二、VLAN的劃分方法 VLAN在交換機上的實現方法，可以大致劃分爲六類: 1. 基於端口劃分的VLAN 這是最常應用的一種VLAN劃分方法，應用也最爲廣泛、最有效，目前絕大多數VLAN協議的交換機都提供這種VLAN配置方法。這種劃分VLAN的方法是根據以太網交換機的交換端口來劃分的，它是將VLAN交換機上的物理端口和VLAN交換機內部的PVC（永久虛電路）端口分成若干個組，每個組構成一個虛擬網，相當於一個獨立的VLAN交換機。 對於不同部門需要互訪時，可通過路由器轉發，並配合基於MAC地址的端口過濾。對某站點的訪問路徑上最靠近該站點的交換機、路由交換機或路由器的相應端口上，設定可通過的MAC地址集。這樣就可以防止非法***者從內部盜用IP地址從其他可接入點***的可能。 從這種劃分方法本身我們可以看出，這種劃分的方法的優點是定義VLAN成員時非常簡單，只要將所有的端口都定義爲相應的VLAN組即可。適合於任何大小的網絡。它的缺點是如果某用戶離開了原來的端口，到了一個新的交換機的某個端口，必須重新定義。 2. 基於MAC地址劃分VLAN 這種劃分VLAN的方法是根據每個主機的MAC地址來劃分，即對每個MAC地址的主機都配置他屬於哪個組，它實現的機制就是每一塊網卡都對應唯一的 MAC地址，VLAN交換機跟蹤屬於VLAN MAC的地址。這種方式的VLAN允許網絡用戶從一個物理位置移動到另一個物理位置時，自動保留其所屬VLAN的成員身份。 由這種劃分的機制可以看出，這種VLAN的劃分方法的最大優點就是當用戶物理位置移動時，即從一個交換機換到其他的交換機時，VLAN不用重新配置，因爲它是基於用戶，而不是基於交換機的端口。這種方法的缺點是初始化時，所有的用戶都必須進行配置，如果有幾百個甚至上千個用戶的話，配置是非常累的，所以這種劃分方法通常適用於小型局域網。而且這種劃分的方法也導致了交換機執行效率的降低，因爲在每一個交換機的端口都可能存在很多個VLAN組的成員，保存了許多用戶的MAC地址，查詢起來相當不容易。另外，對於使用筆記本電腦的用戶來說，他們的網卡可能經常更換，這樣VLAN就必須經常配置。 3. 基於網絡層協議劃分VLAN VLAN按網絡層協議來劃分，可分爲IP、IPX、DECnet、AppleTalk、Banyan等VLAN網絡。這種按網絡層協議來組成的 VLAN，可使廣播域跨越多個VLAN交換機。這對於希望針對具體應用和服務來組織用戶的網絡管理員來說是非常具有吸引力的。而且，用戶可以在網絡內部自由移動，但其VLAN成員身份仍然保留不變。 這種方法的優點是用戶的物理位置改變了，不需要重新配置所屬的VLAN，而且可以根據協議類型來劃分VLAN，這對網絡管理者來說很重要，還有，這種方法不需要附加的幀標籤來識別VLAN，這樣可以減少網絡的通信量。這種方法的缺點是效率低，因爲檢查每一個數據包的網絡層地址是需要消耗處理時間的(相對於前面兩種方法)，一般的交換機芯片都可以自動檢查網絡上數據包的以太網禎頭，但要讓芯片能檢查IP幀頭，需要更高的技術，同時也更費時。當然，這與各個廠商的實現方法有關。 4. 根據IP組播劃分VLAN IP 組播實際上也是一種VLAN的定義，即認爲一個IP組播組就是一個VLAN。這種劃分的方法將VLAN擴大到了廣域網，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展，主要適合於不在同一地理範圍的局域網用戶組成一個VLAN，不適合局域網，主要是效率不高。 5. 按策略劃分VLAN 基於策略組成的VLAN能實現多種分配方法，包括VLAN交換機端口、MAC地址、IP地址、網絡層協議等。網絡管理人員可根據自己的管理模式和本單位的需求來決定選擇哪種類型的VLAN 。 6. 按用戶定義、非用戶授權劃分VLAN 基於用戶定義、非用戶授權來劃分VLAN，是指爲了適應特別的VLAN網絡，根據具體的網絡用戶的特別要求來定義和設計VLAN，而且可以讓非VLAN羣體用戶訪問VLAN，但是需要提供用戶密碼，在得到VLAN管理的認證後纔可以加入一個VLAN。 三、VLAN的優越性 任何新技術要得到廣泛支持和應用，肯定存在一些關鍵優勢，VLAN技術也一樣，它的優勢主要體現在以下幾個方面： 1. 增加了網絡連接的靈活性 藉助VLAN技術，能將不同地點、不同網絡、不同用戶組合在一起，形成一個虛擬的網絡環境，就像使用本地LAN一樣方便、靈活、有效。VLAN可以降低移動或變更工作站地理位置的管理費用，特別是一些業務情況有經常性變動的公司使用了VLAN後，這部分管理費用大大降低。 2. 控制網絡上的廣播 VLAN可以提供建立防火牆的機制，防止交換網絡的過量廣播。使用VLAN，可以將某個交換端口或用戶賦於某一個特定的VLAN組，該VLAN組可以在一個交換網中或跨接多個交換機， 在一個VLAN中的廣播不會送絍LAN之外。同樣，相鄰的端口不會收到其他VLAN產生的廣播。這樣可以減少廣播流量，釋放帶寬給用戶應用，減少廣播的產生。 3. 增加網絡的安全性 因爲一個VLAN就是一個單獨的廣播域，VLAN之間相互隔離，這大大提高了網絡的利用率，確保了網絡的安全保密性。人們在LAN上經常傳送一些保密的、關鍵性的數據。保密的數據應 提供訪問控制等安全手段。一個有效和容易實現的方法是將網絡分段成幾個不同的廣播組，網絡管理員限制了VLAN中用戶的數量，禁止未經允許而訪問VLAN中的應用。交換端口可以基於應用類型和訪問特權來進行分組，被限制的應用程序和資源一般置於安全性VLAN中。 四、VLAN網絡的配置實例 爲了給大家一個真實的配置實例學習機會，下面就以典型的中型局域網VLAN配置爲例向各位介紹目前最常用的按端口劃分VLAN的配置方法。 某公司有100臺計算機左右，主要使用網絡的部門有：生產部(20)、財務部(15)、人事部(8)和信息中心(12)四大部分，如圖1所示。 網絡基本結構爲：整個網絡中幹部分採用3臺Catalyst 1900網管型交換機（分別命名爲：Switch1、Switch2和Switch3，各交換機根據需要下接若干個集線器，主要用於非VLAN用戶，如行政文書、臨時用戶等）、一臺Cisco 2514路由器，整個網絡都通過路由器Cisco 2514與外部互聯網進行連接。  所連的用戶主要分佈於四個部分，即：生產部、財務部、信息中心和人事部。主要對這四個部分用戶單獨劃分VLAN，以確保相應部門網絡資源不被盜用或破壞。 現爲了公司相應部分網絡資源的安全性需要，特別是對於像財務部、人事部這樣的敏感部門，其網絡上的信息不想讓太多人可以隨便進出，於是公司採用了VLAN的方法來解決以上問題。通過VLAN的劃分，可以把公司主要網絡劃分爲：生產部、財務部、人事部和信息中心四個主要部分，對應的VLAN組名爲：Prod、Fina、Huma、Info，各VLAN組所對應的網段如下表所示。 VLAN 號 VLAN 名 端口號 2 Prod Switch 1 2-21 3 Fina Switch2 2-16 4 Huma Switch3 2-9 5 Info Switch3 10-21【注】之所以把交換機的VLAN號從"2"號開始，那是因爲交換機有一個默認的VLAN，那就是"1"號VLAN，它包括所有連在該交換機上的用戶。 VLAN的配置過程其實非常簡單，只需兩步：（1）爲各VLAN組命名；（2）把相應的VLAN對應到相應的交換機端口。 以下是配置過程： 第1步：設置好超級終端，連接上1900交換機，通過超級終端配置交換機的VLAN，連接成功後出現如下所示的主配置界面（交換機在此之前已完成了基本信息的配置）： 1 user(s) now active on Management Console. User Interface Menu [M] Menus [K] Command Line [I] IP Configuration Enter Selection: 【注】超級終端是利用Windows系統自帶的"超級終端"（Hypertrm）程序進行的，具體參見有關資料。 第2步：單擊"K"按鍵，選擇主界面菜單中"[K] Command Line"選項 ，進入如下命令行配置界面： CLI session with the switch is open. To end the CLI session,enter [Exit ]. > 此時我們進入了交換機的普通用戶模式，就象路由器一樣，這種模式只能查看現在的配置，不能更改配置，並且能夠使用的命令很有限。所以我們必須進入"特權模式"。 第3步：在上一步">"提示符下輸入進入特權模式命令"enable"，進入特權模式，命令格式爲">enable"，此時就進入了交換機配置的特權模式提示符： #config t Enter configuration commands,one per line.End with CNTL/Z (config)# 第4步：爲了安全和方便起見，我們分別給這3個Catalyst 1900交換機起個名字，並且設置特權模式的登陸密碼。下面僅以Switch1爲例進行介紹。配置代碼如下： (config)#hostname Switch1 Switch1(config)# enable password level 15 XXXXXX Switch1(config)# 【注】特權模式密碼必須是4~8位字符這，要注意，這裏所輸入的密碼是以明文形式直接顯示的，要注意保密。交換機用 level 級別的大小來決定密碼的權限。Level 1 是進入命令行界面的密碼，也就是說，設置了 level 1 的密碼後，你下次連上交換機，並輸入 K 後，就會讓你輸入密碼，這個密碼就是 level 1 設置的密碼。而 level 15 是你輸入了"enable"命令後讓你輸入的特權模式密碼。 第5步：設置VLAN名稱。因四個VLAN分屬於不同的交換機，VLAN命名的命令爲" vlan vlan號 name vlan名稱 ，在Switch1、Switch2、Switch3、交換機上配置2、3、4、5號VLAN的代碼爲： Switch1 (config)#vlan 2 name Prod Switch2 (config)#vlan 3 name Fina Switch3 (config)#vlan 4 name Huma Switch3 (config)#vlan 5 name Info 【注】以上配置是按表1規則進行的。 第6步：上一步我們對各交換機配置了VLAN組，現在要把這些VLAN對應於表1所規定的交換機端口號。對應端口號的命令是"vlan- membership static/ dynamic VLAN號 "。在這個命令中"static"(靜態)和"dynamic"(動態)分配方式兩者必須選擇一個，不過通常都是選擇"static"(靜態)方式。 VLAN端口號應用配置如下： （1）. 名爲"Switch1"的交換機的VLAN端口號配置如下： Switch1(config)#int e0/2 Switch1(config-if)#vlan-membership static 2 Switch1(config-if)#int e0/3 Switch1(config-if)#vlan-membership static 2 Switch1(config-if)#int e0/4 Switch1(config-if)#vlan-membership static 2 …… Switch1(config-if)#int e0/20 Switch(config-if)#vlan-membership static 2 Switch1(config-if)#int e0/21 Switch1(config-if)#vlan-membership static 2 Switch1(config-if)# 【注】"int"是"nterface"命令縮寫，是接口的意思。"e0/3"是"ethernet 0/2"的縮寫，代表交換機的0號模塊2號端口。 （2）. 名爲"Switch2"的交換機的VLAN端口號配置如下： Switch2(config)#int e0/2 Switch2(config-if)#vlan-membership static 3 Switch2(config-if)#int e0/3 Switch2(config-if)#vlan-membership static 3 Switch2(config-if)#int e0/4 Switch2(config-if)#vlan-membership static 3 …… Switch2(config-if)#int e0/15 Switch2(config-if)#vlan-membership static 3 Switch2(config-if)#int e0/16 Switch2(config-if)#vlan-membership static 3 Switch2(config-if)# （3）. 名爲"Switch3"的交換機的VLAN端口號配置如下(它包括兩個VLAN組的配置)，先看VLAN 4（Huma）的配置代碼： Switch3(config)#int e0/2 Switch3(config-if)#vlan-membership static 4 Switch3(config-if)#int e0/3 Switch3(config-if)#vlan-membership static 4 Switch3(config-if)#int e0/4 Switch3(config-if)#vlan-membership static 4 …… Switch3(config-if)#int e0/8 Switch3(config-if)#vlan-membership static 4 Switch3(config-if)#int e0/9 Switch3(config-if)#vlan-membership static 4 Switch3(config-if)# 下面是VLAN5（Info）的配置代碼： Switch3(config)#int e0/10 Switch3(config-if)#vlan-membership static 5 Switch3(config-if)#int e0/11 Switch3(config-if)#vlan-membership static 5 Switch3(config-if)#int e0/12 Switch3(config-if)#vlan-membership static 5 …… Switch3(config-if)#int e0/20 Switch3(config-if)#vlan-membership static 5 Switch3(config-if)#int e0/21 Switch3(config-if)#vlan-membership static 5 Switch3(config-if)# 好了，我們已經按表1要求把VLAN都定義到了相應交換機的端口上了。爲了驗證我們的配置，可以在特權模式使用"show vlan"命令顯示出剛纔所做的配置，檢查一下是否正確。 以上是就Cisco Catalyst 1900交換機的VLAN配置進行介紹了，其它交換機的VLAN配置方法基本類似 大型企業網設VLAN 在企業網絡剛剛興起之時，由於企業網絡規模小、應用範圍的侷限性、對Internet接入的認識程度、網絡安全及管理的貧乏等原因，使得企業網僅僅限於交換模式的狀態。交換技術主要有兩種方式：基於以太網的幀交換和基於ATM的信元交換，LAN交換機的每一個端口均爲自己獨立的碰撞域，但同時對於所有處於一個IP網段或IPX網段的網絡設備來說，卻同在一個廣播域中，當工作站的數量較多、信息流很大的時候，就容易形成廣播風暴，甚者造成網絡的癱 瘓。 在採用交換技術的網絡模式中，對於網絡結構的劃分採用的僅僅是物理網段的劃分的手段。這樣的網絡結構從效率和安全性的角度來考慮都是有所欠缺的，而且在很大程度上限制了網絡的靈活性，如果需要將一個廣播域分開，那麼就需要另外購買交換機並且要人工重新佈線。由此，需要進行虛擬網絡（VLAN）設置。 在一個規模較大的企業中，其下屬有多個二級單位，在各單位的孤立網絡進行互連時，出於對不同職能部門的管理、安全和整體網絡的穩定運行，我們進行了VLAN的劃分。 第一步 子網分析 該網絡系統由三部分組成：公司、二級單位1、二級單位2，初始爲三部分各自獨立，未形成統一的網絡環境，故各網絡系統的運行採用的是以交換技術爲主的方式。 三網主幹均採用的是千兆以太網技術，起點的高定位爲企業的信息應用帶來了高速、穩定、符合國際標準的網絡平臺。公司中心交換機採用的是Cisco的 Catalyst 6506，帶有三層路由的引擎使得企業網具有將來升級的能力；同時各二級單位的中心交換機採用的亦是Cisco的Catalyst 4006；各二級、三級交換機則採用的是Cisco的Catalyst 3500系列，主要因爲Catalyst 3500系列交換機的高性能和可堆疊能力。 現三部分應公司的要求聯網，網絡的互連仍採用千兆帶寬，但因三網均採用了千兆以太網技術，爲了不在主幹形成瓶頸，因此各子網的互連採用Trunk技術，即雙千兆技術，使網絡帶寬達到4G，如此既增加了帶寬，又提供了鏈路的冗餘，提高了整體網絡的高速、穩定、安全運行性能。 但亦由於網絡規模的擴大化，信息流量的加大，人員的複雜化等原因，爲企業網絡的安全性、穩定性、高效率運行帶來了新的隱患。由此引發了VLAN的劃分。 對於VLAN的劃分，應公司的需求，我們對各VLAN的IP地址分配爲： 經理辦子網：192.168.1.0——192.168.2.0/22 網關：192.168.1.1； 財務子網： 192.168.3.0——192.168.5.0/22 網關：192.168.3.1； 供銷子網： 192.168.6.0——192.168.8.0/22 網關：192.168.6.1； 信息中心子網：192.168.7.0/24 網關：192.168.7.1； 服務器子網：192.168.100.0/24 網關：192.168.100.1 其餘子網： 192.168.8.0——192.168.9.0/22 網關：192.168.8.1；第二步 系統分析 對於Cisco的產品劃分，VLAN主要是基於兩種標準協議：ISL和802.1Q。在我們這裏，因爲所採用的均是Cisco的網絡設備，故在進行VLAN 間的互連時採用ISL的協議封裝，該協議針對Cisco網絡設備的硬件平臺在信息流的處理、多媒體應用的優化進行了合理有效的優化。對於不同產品的 VLAN互連，我們在後面會提到。  網絡拓撲圖 由於本案例中關於VLAN的劃分擴展了各個交換機，所以交換機之間的連接都必須採用Trunk的方式。經理辦和供銷子網代表了VLAN劃分中的兩種問題——擴展交換機VLAN的劃分和端口VLAN的劃分： 在經理辦虛網中，對於一個交換機擴展多個VLAN的時候，前面提到了該交換機與其上層交換機間必須採用Trunk方式連接，但在供銷的虛網劃分中，在二級單位1中的供銷獨立於一個LAN交換機Catalyst3548，所以在這裏，Catalyst3548與二級中心交換機Catalyst4006只需採用正常的交換式連接即可，對於此部分供銷VLAN的劃分，只要在Catalyst4006上針對與Catalyst3548連接的端口進行劃分即可。也就是前面提到的基於端口的VLAN的劃分。 第三步 路由列表 做完了VLAN之間的連接後，因爲兩個Catalyst4006 與主中心交換機Catalyst6506間採用的是雙光纖通道式連接，屏蔽了Catalyst406與Catalyst6506間的線路故障的產生，所以要對整體網絡的路由進行基於Catalyst6506的集中式管理。我們在主中心交換機Catalyst6506上設置了VLAN路由： 經理辦虛網：192.168.1.1/22； 財務虛網： 192.168.3.1/22； 供銷虛網： 192.168.6.1/22； 信息中心虛網：192.168.7.1/24； 其餘虛網： 192.168.8.1/22； 接下來，在中心交換機上設置路由協議RIP或OSPF，並指定網段192.168.0.0。在全局配置模式下執行如下命令： router rip network 192.168.0.0 注意事項 1. 在這裏需要注意的是：因爲整個公司的網絡系統的VLAN的劃分是作爲一個整體結構來設計的，所以爲了保持VLAN列表的一致性，例如當二級單位1的 VLAN有所變化時，VLAN列表也會有所變化，這時就需要該Catalyst 4006對整體網絡的其他部分進行廣播，以達到VLAN的列表的一致性。所以在設置VTP（VLAN Trunk Protocol）時要注意，要將VTP的域作爲一個整體，即：VTP類型分別爲Server和Client。 2. 有些企業建網較早，所選用的網絡設備爲其他的廠商的產品，而後期的產品又不能與前期統一，這樣在VLAN的劃分中就會遇到些問題。 例如：在Cisco產品與3Com產品的混合網絡結構中劃分VLAN，對於Cisco網絡設備的Trunk的封裝協議則必須採用802.1Q，以達到與 3Com的通訊。雖然兩者之間可以建立VLAN的正常劃分，和正常的應用，但由於交換機都具有自學習的能力，以致兩者之間的協調配合較差。當兩者之間的連接發生變化時，必須在Cisco交換機上使用命令（clear counter）進行清除，方可達到兩者的重新協調工作。 交換機建立vlan出錯時的解決辦法當配置多個vlan時候，在鍵入exit或apply時候經常會出現下面的出錯信息，使得無法創建新的vlan SW1(vlan)#exit % not enough space on flash to store vlan database. trying squeeze...First create squeeze log by erasing the entire device % error squeezing flash - (Missing or corrupted log) Error on database apply 40: NV storage failure Use 'abort' command to exit SW1(vlan)# sw1#erase flash: Erasing the flash filesystem will remove all files! Continue? [confirm] Erasing device... eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee ...erased Erase of flash: complete 解決辦法:出現錯誤時候，鍵入abort先退到特權模式，然後打入erase flash，點確定完，再進入vlan database配置vlan即可。 |