企业网中的VLAN设计方案.doc

企业网中的vlan设计方案 在企业网络刚刚兴起之时，由于规模小、应用面窄、对internet接入认识程度低以及关于网络安全和管理知识贫乏等原因，使得企业网仅仅局限于交换模式状态。交换技术主要有2种方式: 基于以太网的帧交换和基于atm的信元交换，它相对于共享式网络性能有很大提高，但对于所有处于一个ip网段或ipx网段的网络设备来说，却同在一个广播域中。当工作站数量较多和信息流较大时，容易形成广播风暴，严重影响了网络运行速度，甚至容易造成网络瘫痪。怎样避免这个问题出现呢？采用划分网络的办法是个不错的选择。 - 在采用交换技术的网络模式中，一般采用划分物理网段的手段进行网络结构的划分。从效率和安全性等方面来看，这种结构划分有一定缺陷，而且在很大程度上限制了网络的灵活性。因为如果要将一个广播域分开，必须另外购买交换机，并且需要重新进行人工布线。好在，虚拟局域网（virtual local area network，vlan）技术的出现解决了上述问题。实际上，vlan就是一个广播域，它不受地理位置的限制，可以跨多个局域网交换机。一个vlan可以根据部门职能、对象组或者应用来将不同地理位置的网络用户划分为一个逻辑网段。对于局域网交换机，其每一个端口只能标记一个vlan，一个vlan中的所有端口拥有一个广播域，而处于不同vlan的端口则共享不同的广播域，这样就避免了广播风暴的产生。可以说，在一个交换网络中，vlan提供了网段和机构的弹性组合机制。 - 通常，一个规模较大的企业，其下属一般拥有多个二级单位，为保证对不同职能部门管理的方便性和安全性以及整体网络运行的稳定性，可以采用vlan划分技术，进行虚拟网络划分。下面，我们通过对一个实际案例的分析，让大家了解和掌握应用vlan技术的真谛。 网络状况 - 某大型起重设备总公司下属有2个二级单位，主要进行研发、服务与销售等工作。由于地理位置相对较远，业务规模尚未发展壮大，在企业成立之初，公司总部、二级单位1和二级单位2分别建立了独立的网络环境，各网络系统均采用以交换技术为主的方式，3网主干均采用千兆以太网技术。公司总部中心交换机采用了cisco catalyst 6506产品，它是带有三层路由的引擎，可使企业网具有很强的升级能力。各二级单位的中心交换机采用了cisco catalyst 4006。其他二级和三级交换机采用了cisco catalyst 3500系列交换机，主要因为catalyst 3500系列交换机具有很高的性能和可堆叠能力。 需求分析 - 由于业务发展迅猛，总公司与2个二级单位迫切需要畅通无阻的信息交流，从而让公司总部能对2个下属单位进行更直接和更有效的管理，进而达到三方信息共享的目的，所以将彼此相互独立的3个子网联成一个统一网络势在必行。 - 图1所示的是起重设备总公司3个子网互联形成统一网络的示意图，3个子网是采用千兆以太网技术进行互联的。为了避免在主干引发瓶颈问题，各子网在互联时采用了trunk技术(即双千兆技术)，使网络带宽达到4gb，这样，既增加了带宽，又提供了链路的冗余，还提高了整体网络高速、稳定和安全的运行性能。 - 然而，由于网络规模不断扩大，信息流量逐渐加大，人员管理变得日益复杂，给企业网的安全、稳定和高效运行带来新的隐患，如何消除这些隐患呢？vlan划分技术能为此排忧解难。 - 根据起重设备总公司业务发展需要，我们将联网后的统一网络划分为5个虚拟子网，分别是: 经理办子网、财务子网、供销子网和信息中心子网，其余部分划为一个子网。 - 由于统一网络的ip地址处于192.168.0.0网段，所以我们可以将各vlan的ip地址分配如下。 - 经理办子网：192.168.1.0192.168.2.0/22 网关：192.168.1.1 - 财务子网： 192.168.3.0192.168.5.0/22 网关：192.168.3.1 - 供销子网： 192.168.6.0192.168.8.0/22 网关：192.168.6.1 - 信息中心子网：192.168.7.0/24 网关：192.168.7.1 - 服务器子网：192.168.100.0/24 网关：192.168.100.1 - 其余子网： 192.168.8.0192.168.9.0/22 网关：192.168.8.1 详细设计 - 在划分vlan时，cisco的产品主要基于2种标准协议：isl和802.1q。isl是cisco自己研发设计的通用于所有cisco网络产品的vlan间互联封装协议，该协议针对cisco网络设备的硬件平台在信息流处理和多媒体应用方面进行了合理有效的优化。802.1q协议是ieee802委员会于1996年发布的国际规范标准。 - 在此案例中，因为所采用的均是cisco网络设备，故在进行vlan间互联时采用了isl协议(对于不同网络设备的互联，本文在结尾处有相应介绍)。 - 从图1我们可以看到，总公司中心交换机采用了cisco catalyst 6506，其2级节点为catalyst 3508和catalyst 3548，catalyst 3508交换机具有8个千兆以太网端口，并且利用catalyst 3500系列交换机的堆叠能力，可以随时扩充工作站数量。边缘交换机则采用具有千兆模块的catalyst 3548。二级单位的中心交换机则采用了cisco catalyst 4006，其2级节点和边缘交换机采用的也是catalyst 3548。公司总部与各二级附属单位的连接采用了isl封装的trunk方式，用2组光纤连接（在catalyst 6506与catalyst 4006之间），这样既解决了vlan间的互联问题，同时又提高了网络带宽和系统的冗余，为3个子网互联提供了可靠保障。对于到internet的连接，接口为2mb ddn专线接入，各二级单位通过公司总部的proxy接入internet。internet的管理由公司总部信息中心统一规划。 - 需要说明的是，由于本案例中关于vlan的划分覆盖了各个交换机，所以交换机之间的连接都必须采用trunk方式。鉴于经理办和供销子网代表了vlan划分中的2个问题: 扩展交换机vlan的划分和端口vlan的划分，所以我们再将经理办子网和供销子网对vlan做一详细介绍。 经理办vlan - 由于经理办工作站所在局域网交换机划分了多个vlan，连接了多个vlan工作站，所以该交换机与其上层交换机之间的连接必须采用trunk方式(如图2所示)。 - 公司总部采用了catalyst 3508和catalyst 6506，二级单位1采用了catalyst 3548和catalyst 4006，二级单位2采用了catalyst 3548和catalyst 4006。 供销vlan - 虽然当一个交换机覆盖了多个vlan时，必须采用trunk方式连接，但在供销vlan划分中，其二级单位1中的供销独立于交换机catalyst 3548，所以在这里，catalyst 3548与二级中心交换机catalyst 4006只需采用正常的交换式连接即可(如图3所示)。对于此部分供销vlan的划分，只要在catalyst 4006上针对与catalyst 3548连接的端口进行划分即可。这是一种基于端口的vlan划分。 - 由于2个catalyst 4006与主中心交换机catalyst 6506间采用的是双光纤通道式连接，屏蔽了catalyst 4006与catalyst 6506间线路故障的产生，所以对整体网络的路由进行基于catalyst 6506的集中式管理。下面我们对vlan之间的路由做一个介绍。 - 在中心交换机catalyst 6506上设置vlan路由如下。 - 经理办vlan：192.168.1.1/22 - 财务vlan： 192.168.3.1/22 - 供销vlan： 192.168.6.1/22 - 信息中心vlan：192.168.7.1/24 - 其余vlan： 192.168.8.1/22 - 在中心交换机上设置路由协议rip或ospf，并指定网段192.168.0.0。在全局配置模式下执行如下命令。 - router rip network 192.168.0.0 - 由于ip地址处于192.168.0.0网段，所以对各vlan的ip地址分配如下所示。 - 经理办子网: 192.168.1.0，子网掩码: 255.255.255.0，网关: 192.168.1.1。 - 财务子网: 192.168.2.0，子网掩码: 255.255.255.0，网关: 192.168.2.1。 - 供销子网: 192.168.3.0，子网掩码为255.255.255.0，网关: 192.168.3.1。 - 信息中心子网: 192.168.4.0，子网掩码: 255.255.255.0，网关: 192.168.4.1。 - 服务器子网: 192.168.100.0，子网掩码: 255.255.255.0，网关: 192.168.100.1。 - 其余子网: 192.168.8.0，子网掩码为255.255.255.0，网关: 192.168.8.1。 - 根据上述ip地址分配情况，不难看出各子网的网络终端数均可达到254台，完全满足目前或将来的应用需要，同时还降低了管理工作量，增强了管理力度。 注意事项 - 需要注意的是: 因为起重设备总公司统一网络系统的vlan划分是作为一个整体结构来设计的，所以为了保持与vlan列表的一致性，需要catalyst 4006对整体网络的其他部分进行广播。所以在设置vtp（vlan trunk protocol）时注意，要将vtp的域作为一个整体，其中vtp类型为server和client。 - 有些企业建网较早，若所选用的网络设备为其他厂商的产品，而后期的产品又不能与前期统一，这样在vlan的划分中就会遇到一些问题。例如，在cisco产品与3com产品的混合网络结构中划分vlan，对于cisco网络设备trunk的封装协议必须采用802.1q，以达到能与3com产品进行通信的目的。虽然两者之间可以建立vlan的正常划分，并进行正常的应用，但两者配合使用的协调性略差一些。当两者的连接发生变化时，必须在cisco交换机上使用命令clear counter进行清除，方可使两者工作协调起来。 vlan - 所谓vlan是指处于不同物理位置的节点根据需要组成不同的逻辑子网，即一个vlan就是一个逻辑广播域，它可以覆盖多个网络设备。vlan允许处于不同地理位置的网络用户加入到一个逻辑子网中，共享一个广播域。通过对vlan的创建可以控制广播风暴的产生，从而提高交换式网络的整体性能和安全性。 - vlan对于网络用户来说是完全透明的，用户感觉不到使用中与交换式网络有任何的差别，但对于网络管理人员则有很大的不同，因为这主要取决于vlan的几点优势。 - 1. 控制广播风暴 - 主要有2种方式: 物理网络分段和vlan逻辑分段。 - 2. 提高网络整体安全性 - 通过路由访问列表和mac地址分配等vlan划分原则，可以控制用户访问权限和逻辑网段大小。 - 3. 网络管理简单、直观 - 对于交换式以太网，如果对某些用户重新进行网段分配，需要网管员对网络系统的物理结构重新进行调整，甚至需要追加网络设备，增大网络管理的工作量。而对于采用vlan技术的网络来说，只需网管人员在网管中心对该用户进行vlan网段的重新分配即可。 关于trunk方式 - trunk是独立于vlan的、将多条物理链路模拟为一条逻辑链路的vlan与vlan之间的连接方式。采用trunk方式不仅能够连接不同的vlan或跨越多个交换机的相同vlan，而且还能增加交换机间的物理连接带宽，增强网络设备间的冗余。由于在基于交换机的vlan划分当中，交换机的各端口分别属于各vlan段，如果将某一vlan端口用于网络设备间的级联，则该网络设备的其他vlan中的网络终端就无法与隶属于其他网络设备的vlan网络终端进行通信。有鉴于此，网络设备间的级联必须采用trunk方式，使得该端口不隶属于任何vlan，也就是说该端口所建成的网络设备间的级联链路是所有vlan进行通信的公用通道。 vlan划分的4种策略 - 1. 基于端口的vlan划分 - 基于端口的vlan划分是最简单、最有效的划分方法。该方法只需网络管理员对网络设备的交换端口进行重新分配即可，不用考虑该端口所连接的设备。 - 2. 基于mac地址的vlan划分 - mac地址其实就是指网卡的标识符，每一块网卡的mac地址都是惟一且固化在网卡上的。mac地址由12位16进制数表示，前8位为厂商标识，后4位为网卡标识。 - 基于mac地址的