浅谈ｖｌａｎ技术的应用

1 / 10浅谈 技术的应用【摘 要】虚拟局域网技术是目前局域网中的一项常用技术；VLAN 技术是在不改变局域网上节点物理位置的基础上，按照功能、部门、应用等因素划分为若干“逻辑工作组” ；VLAN 技术有效避免了广播风暴，增强了局域网的安全性。介绍了 VLAN 的概念、原理、优点以及其分类，并实现了 VLAN 在高校局域网上的配置和验证方法。 【关键词】VLAN 广播风暴 虚拟局域网 交换机 在高校局域网中，数据通信通常满足 20/80 模式，即其中 20%的流量属于远程用户，80%的流量属于本地用户，同时本地用户又隶属于不同的部门，如教务处、学生处及各个系部，怎样保证同部门内和部门间的资源安全，协调各部门工作则是十分重要的。那么 VLAN 技术会成为其中不可缺少的技术之一。 2 / 101 VLAN 的优势简介 VLAN 的中文名为“虚拟局域网” 。是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用在有 VLAN 协议的第三层以上交换机之中。 VLAN 技术允许网络管理者将一个物理的局域网逻辑地划分成不同的广播域，每一个 VLAN 都是按照企业的一个职能部门来划分，包含着一组具有相同工作特点的计算机。它是按功能划分而不是按物理划分，同一个 VLAN 内的各个工作站无须被放置在同一个物理空间里，这些工作站可以不属于同一个物理局域网网段，一个 VLAN 内部的广播和单播流量都不会转发到其他 VLAN 中。因此使用 VLAN 技术可以控制流量，减少设备投资，简化网络管理，提高网络的安全性。 2 使用 VLAN 的优点 3 / 10减少网络管理开销 网络管理员采用 VLAN 技术轻松管理整个学校局域网络。例如，学校内部由于业务调整，人员部门间相互调动，需要将变动的人员的计算机归入相应的新的工作组。如果局域网内采用了 VLAN 技术，网管员只需更改交换机上的几条设置，就能迅速地建立适应新需要的 VLAN 网络，不用花时间和人力去搬动电脑。 控制网络上的广播 大量的广播可以形成广播风暴，VLAN 可以提供建立防火墙的机制，防止交换网络的过量广播。使用 VLAN，可以将某个交换端口或用户赋予某一个特定的 VLAN 组，该VLAN 组可以在一个交换网中或跨接多个交换机，在一个VLAN 中的广播不会送到 VLAN 之外。同样，相邻的端口不会收到其他 VLAN 产生的广播。这样可以减少广播流量，释放带宽给用户应用，减少广播的产生。 4 / 10增加网络的安全性 VLAN 就是一个单独的广播域之间相互隔离，这大大提高了网络的利用率，确保了网络的安全保密性。人们在LAN 上经常传送一些保密的、关键性的数据。保密的数据应提供访问控制等安全手段。一个有效和容易实现的方法是将网络分段成几个不同的广播组，网络管理员限制了 VLAN中用户的数量，禁止未经允许而访问 VLAN 中的应用。交换端口可以基于应用类型和访问特权来进行分组，被限制的应用程序和资源一般置于安全性 VLAN 中。 3 VLAN 的分类 基于端口划分的 VLAN 基于端口划分 VLAN 是最常应用的一种 VLAN 划分方法，应用也最为广泛有效，目前绝大多数 VLAN 协议的交换机都提供这种 VLAN 配置方法。这种划分 VLAN 的方法是根5 / 10据以太网交换机的交换端口来划分的，它是将 VLAN 交换机上的物理端口和 VLAN 交换机内部的 PVC 端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的 VLAN 交换机。 对于不同部门需要互访时，可通过路由器转发，并配合基于 MAC 地址的端口过滤。对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上，设定可通过的 MAC 地址集。这样就可以防止非法入侵者从内部盗用 IP 地址从其他可接入点入侵的可能。 基于 MAC 地址划分 VLAN 这种划分 VLAN 的方法是根据每个主机的 MAC 地址来划分，即对每个 MAC 地址的主机都配置他属于哪个组，它实现的机制就是每一块网卡都对应唯一的 MAC 地址，VLAN交换机跟踪属于 VLAN MAC 的地址。这种方式的 VLAN 允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属 VLAN 的成员身份。 基于网络层协议划分 VLAN 6 / 10VLAN 按网络层协议来划分，可分为IP、IPX、DECnet、AppleTalk、Banyan 等 VLAN 网络。这种按网络层协议来组成的 VLAN，可使广播域跨越多个 VLAN 交换机。这对于希望针对具体应用和服务来组织用户的网络管理员来说是非常具有吸引力的。而且，用户可以在网络内部自由移动，但其 VLAN 成员身份仍然保留不变。 根据 IP 组播划分 VLAN IP 组播实际上也是一种 VLAN 的定义，即认为一个IP 组播组就是一个 VLAN。这种划分的方法将 VLAN 扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，主要适合于不在同一地理范围的局域网用户组成一个 VLAN，不适合局域网，主要是效率不高。 按策略划分 VLAN 基于策略组成的 VLAN 能实现多种分配方法，包括VLAN 交换机端口、MAC 地址、IP 地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪种类型的 VLAN。 7 / 10按用户定义、非用户授权划分 VLAN 基于用户定义、非用户授权来划分 VLAN，是指为了适应特别的 VLAN 网络，根据具体的网络用户的特别要求来定义和设计 VLAN，而且可以让非 VLAN 群体用户访问VLAN，但是需要提供用户密码，在得到 VLAN 管理的认证后才可以加入一个 VLAN。 4 VLAN 在高校局域网上的配置和验证方法 现将以高校中的几个部门为例，进行 VLAN 进行配置，拓扑机构如图 1 所示。 为了相应部分网络资源的安全性需要，特别是对于像教务处、人事处这样的敏感部门，其网络上的信息不想让太多人可以随便进出，于是采用了 VLAN 的方法来解决以上问题。通过 VLAN 的划分，各 VLAN 组所对应的网段如表1 所示。 8 / 10VLAN 的配置过程其实非常简单，只需如下列举两步，我们以目前最为流行的 Cisco 交换机为例，说明 VLAN 在局域网中的基本配置方法。 为各 VLAN 组命名，在 VLAN 数据库配置模式下，开始创建 VLAN，具体的配置指令如下： Switch1enable Switch1#vlan database Switch1 (config)#vlan 2 name JW 其他交换机的类似： Switch2 (config)#vlan 3 name RS Switch2 (config)#vlan 3 name CSSwitch3 (config)#vlan 4 name CS Switch4(config)#vlan 5 name BA 9 / 10把相应的 VLAN 对应到相应的交换机端口 Switch1enable Switch1#config Switch1(config)#interface range f0/2 - 21 Switch1(config-if-range)#switchport access vlan 2 Switch1(config-if-range)#exit 添加其他的接口方法类似。把 VLAN 都定义到了相应交换机的端口上之后，为了验证我们的配置，可以在特权模式使用show vlan命令显示出刚才所做的配置，检查一下是否正确。 5 结束语