VLAN的特点:

VLAN的好处:

VLAN的实现原理

VLAN标签

VLAN的划分方式

接口划分VLAN--接口类型

Access接口

Trunk接口

Hybrid接口

实现VLAN之间通信

使用路由器物理接口

使用子接口

使用三层交换机的VLANIF接口

配置

VLANIF的转发流程

三层交换机参与下的三层通信流程

网络拓扑

连接逻辑图

二层接口与三层接口对比

综合实验

VLAN的特点:

1.一个VLAN就是一个广播域，所以在同一个VLAN内部，计算机可以直接进行二层通信;而不同VLAN内的计算机，无法直接进行二层通信，只能进行三层通信来传递信息，即广播报文被限制在一个VLAN内。

2.VLAN的划分不受地域的限制。

VLAN的好处:

1.灵活构建虚拟工作组:用VLAN可以划分不同的用户到不同的工作组，同一工作组的用户也不必局限于某—固定的物理范围，网络构建和维护更方便灵活。

2.限制广播域:广播域被限制在一个VLAN内，节省了带宽，提高了网络处理能力。

3.增强局域网的安全性:不同VLAN内的报文在传输时是相互隔离的，即一个VLAN内的用户不能和其它VLAN内的用户直接通信。

4.提高了网络的健壮性:故障被限制在一个VLAN内，本VLAN内的故障不会影响其他VLAN的正常工作。

VLAN的实现原理

1.Switch1与Switch2同属一个企业，该企业统一规划了网络中的VLAN。其中VLAN10用于A部门，VLAN20用于B部门。A、B部门的员工在Switch1和Switch2上都有接入。

2.PC1发出的数据经过Switch1和Switch2之间的链路到达了Switch2。如果不加处理，后者无法判断该数据所周的VLAN，也不知道应该将这个数据输出到本地哪个VLAN中。

VLAN标签

要使交换机能够分辨不同VLAN的报文，需要在报文中添加标识VLAN信息的字段。

IEEE 802.1.Q协议规定，在以太网数据帧中加入4个字节的VLAN标签，又称VLANTag，简称Tag。

Switch1和Switch2之间的链路要承载多个VLAN的数据，需要一种基于VLAN的数据"标记"手段，以便对不同VLAN的数据帧进行区分。

IEEE 802,1.Q标准（也被称为Dot1Q）定义了该"标记"方法。该标准对传统的以太网数据帧进行修改

在帧头中插入802.1.Q Tag，而在该Tag中，便可以写入VLAN信息。

VLAN的划分方式

VLAN的划分包括如下5种方法:

1.基于接口划分:根据交换机的接口来划分VLAN。

2.网络管理员预先给交换机的每个接口配置不同的PVID，当一个数据帧进入交换机时，如果没有带VL签，该数据帧就会被打上接口指定PVID的标签，然后数据帧将在指定VLAN中传输。

（1）缺省VLAN，PVID

Port VLANID，是接口上的缺省VLAN。

取值:1~4094。

（2）特点:

这种划分原则简单而直观，实现容易，是目前实际的网络应用中最为广泛的划分VLAN的方式。

当计算机接入交换机的端口发生了变化时，该计算机发送的帧的VLAN归属可能会发生变化。∈

3.基于MAC地址划分:根据数据帧的源MAC地址来划分VLAN。

（1）网络管理员预先配置MAC地址和VLAN ID映射关系表,T当交换机收到的是Untagged帧时，就依据该表给数据帧添加指定VLAN的标签，然后数据帧将在指定VLAN中传输。

（2）映射表

记录了MAC地址和VLAN ID的关联情况。

（3）特点:

这种划分实现稍微复杂，但灵活性得到了提高。

当计算机接入交换机的端口发生了变化时，该计算机发送的帧的VLAN归属不会发生变化(因为计算

机的MAC地址没有变)。

但这种类型的VLAN划分安全性不是很高，因为恶意计算机很容易伪造MAC地址。

4.基于IP子网划分:根据数据帧中的源地址和子网掩码来划分VLAN。

网络管理员预先配置IP地址和VLAN ID映射关系表，当交换机收到的是Untagged帧，就依据该表给数据帧添加指定VLAN的标签，然后数据帧将在指定VLAN中传输。

5.基于协议划分:根据数据帧所属的协议(族）类型及封装格式来划分VLAN。

网络管理员预先配置以太网帧中的协议域和VLAN ID的映射关系表，如果收到的是Untagged帧，S中Y

该表给数据帧添加指定VLAN的标签，然后数据帧将在指定VLAN中传输。

6.基于策略划分:根据配置的策略划分VLAN，能实现多种组合的划分方式，包括接口、MAC地址、P地址等。

网络管理员预先配置策略，如果收到的是Untagged帧，且匹配配置的策略时，给数据帧添加指定VLAN的标签，然后数据帧将在指定VLAN中传输。

接口划分VLAN--接口类型

1. Access接口

交换机上常用来连接用户PC、服务器等终端设备的接口。Access接口所连接的这些设备的网卡往往只收发无标记帧。Access接口只能加入一个YLAN。

2.Trunk接口

Trunk接口允许多个VLAN的数据帧通过，这些数据帧通过802.1QTag实现区分。Trunk接口常用于交换机之间的互联，也用于连接路由器、防火墙等设备的子接口。

3. Hybrid接口

Hybrid接口与Trunk接口类似，也允许多个VLAN的数据帧通过，这些数据帧通过802.1.QTag实现区分。用户可以灵活指定Hybrid接口在发送某个(或某些)VLAN的数据帧时是否携带Tag。

Access接口

Trunk接口

Hybrid接口

列如

实验：

[LSw1]display port vlan active——查看vlan

[LSw1]vlan 2——创建vlan 2

[LSw1]interface GigabitEthernet0/0/1

[LSw1-GigabitEthernet0/0/1]port link-type hybrid

[LSw1-GigabitEthernet0/0/1]port hybrid pvid vlan 2 //修改接口PVID

[LSw1-GigabitEthernet0/0/1]port hybrid untagged vlan 2 100 //对端PC3过来的100拆除标签，即意味允许。Untagged只对接口发送数据生效

.........

[LSw1]vlan 3——创建vlan 3

[LSw1]interface GigabitEthernet0/0/2

[LSw1-GigabitEthernet0/0/2]port link-type hybrid

[LSw1-GigabitEthernet0/0/2]port hybrid pvid vlan 3

[LSw1-GigabitEthernet0/0/2]port hybrid untagged vlan 3 100

..........

[LSw1]interface GigabitEthernet0/0/3 //同对端的交换机相连接口

[LSw1-GigabitEthernet0/0/3]port link-type hybrid

[LSw1-GigabitEthernet0/0/3]port hybrid tagged vlan 2to3 100 //交换机之间所有的VLAN都不拆标签，用于区分不同VLAN

.........

[LSw2]interface GigabitEthernet0/0/1 //连接PC3的接口，因为和PC1&PC2都要通，所以2和3都不打标签

[LSw2-GigabitEthernet0/0/1]port link-type hybrid

[LSw2-GigabitEthernet0/0/1]port hybrid pvid vlan 100

[LSw2-GigabitEthernet0/0/1]port hybrid untagged vlan 2 3 100

............

[LSw2]interface GigabitEthernet0/0/2 //同对端的交换机相连接口

[LSw2-GigabitEthernet0/0/2]port link-type hybrid

[LSw2-GigabitEthernet0/0/2]port hybrid tagged vlan 2 to 3 100

实现VLAN之间通信

传统交换二层组网中，默认所有网络都处于同一个广播域，这带了诸多问题。VLAN (Virtual Local Area Network，虚拟局域网）技术的提出，满足了二层组网隔离广播域需求，使得属于不同VLAN的网络无法互访，但不同VLAN之间又存在着相互访问的需求。

1.实际网络部署中一般会将不同IP地址段划分到不同的VLAN。

2.同VLAN且同网段的PC之间可直接进行通信，无需借助三层转发设备，该通信方式被称为二层通信.

3.VLAN之间需要通过三层通信实现互访，三层通信需借助三层设备。

使用路由器物理接口

1.路由器三层接口作为网关，转发本网段前往其它网段的流量

2.路由器三层接口无法处理携带VLAN Tag的数据帧，因此交换机上联路由器的接口需配置为Access。

3.路由器的一个物理接口作为一个VLAN的网关，因此存在一个VLAN就需要占用一个路由器物理接口。

4.路由器作为三层转发设备其接口数量较少，方案的可扩展性太差。

使用子接口

1.子接口(Sub-Interface)是基于路由器以太网接口所创建的逻辑接口，以物理接口ID+子接口ID进行标识，子接口同物理接口—样可进行三层转发。

2.子接口不同于物理接口，可以终结携带VLAN Tag的数据帧。由于三层子接口不支持VLAN报文，当它收到VLAN报文时，会将VLAN报文当成是非法报文而丢弃。因此，需要在子接口上将VLANTag剥掉，也就是需要VLAN终结(VLAN Termination)。

3.基于一个物理接口创建多个子接口，将该物理接口对接到交换机的Trunk接口，即可实现使用一个物理接口为多个VLAN提供三层转发服务。

交换机连接路由器的接口类型配置为Trunk，根据报文的VLAN Tag不同，路由器将收到的报文交由对应的子接口处理。

4.interface interface-type interface-number.sub-interface number命令用来创建子接口。sub-interfacenumber代表物理接口内的逻辑接口通道。一般情况下，为了方便记忆，子接口ID与所要终结的VLAN ID相同。

5.dot1q termination vid命令用来配置子接口Dot1q终结的单层VLAN ID’。缺省情况，子接口没有配置dot1q终结的单层VLAN ID。arp broadcast enable命令用来使能终结子接口的ARP广播功能。缺省情况下，终结子接口没有使能ARP广播功能。终结子接口不能转发广播报文，在收到广播报文后它们直接把该报文丢弃。为了允许终结子接口能转发广播报文，可以通过在子接口上执行此命令。