校园网VLAN设计与配置.doc

长沙理工大学城南学院计算机网络课程设计报告张鹏学 院 城南学院 专 业 通信工程 班 级 通信1001班 学 号 201085250133 学生姓名 张 鹏 指导教师 王 静 课程成绩 完成日期 2013年7月5日课程设计成绩评定学 院 城南学院 专 业 通信工程 班 级 通信1001班 学 号 201085250133 学生姓名 张 鹏 指导教师 王 静 完成日期 2013年7月5日 指导教师对学生在课程设计中的评价评分项目优良中及格不及格课程设计中的创造性成果学生掌握课程内容的程度课程设计完成情况课程设计动手能力文字表达学习态度规范要求课程设计论文的质量指导教师对课程设计的评定意见综合成绩 指导教师签字 2013年7月8日课程设计任务书 城 南 学院 通信工程专业 课程名称计算机网络课程设计时间20122013学年第二学期1819周学生姓名张鹏指导老师王静题 目校园网VLAN设计与配置 主要内容：(1)通过对计算机网络的学习，完成实验所需求的分析；(2)熟练掌握网络模拟软件，列出所需设备，进而设计完成网络拓扑结构图；(3)在实验环境下完成设备的具体配置和调试验证；(4)顺利、规范的完成本次课程设计的报告。要求：（1）按要求编写课程设计报告书，能正确阐述设计结果。（2）通过课程设计培养学生严谨的科学态度，认真的工作作风和团队协作精神。（3）学会文献检索的基本方法和综合运用文献的能力。（4）在老师的指导下，要求每个学生独立完成课程设计的全部内容。应当提交的文件：（1）课程设计报告。（2）课程设计附件（各类图纸、设备配置清单、报告等） 校园网VLAN设计与配置 校园网VLAN设计与配置 学生姓名：张鹏 指导老师：王静摘 要 目前校园网正处于一种高速发展之中,在校园网络中实施VLAN技术，可以提高网络管理效率、性能、带宽及灵活性, 同时还能控制广播风暴, 提高校园网安全性能。在本次课程设计中，结合高校校园网的特点，主要基于VLAN 技术，从IP 规划、网络架构设计、协议选择、网络设备配置等方面对校园网进行了规划和设计，以此来提高系统的运作性能, 起到均衡网络数据流量, 合理利用网络资源的作用，进而建设稳定性好、管理性强、安全性高的校园网络。关键词 校园网；VLAN；三层交换机；二层交换机目 录1 引言21.1 课程设计的目的31.2 课程设计的要求31.3 课程设计的平台31.4 课程设计的步骤42 设计原理42.1 VLAN技术的定义和特征42.2 VLAN在网络管理中的优势52.3 TRUNK链路技术62.4 VLAN的划分方法72.5 VLAN之间的通信83 VLAN技术在校园网中的设计103.1 网络设备的选择103.2 校园网络的设计113.3 校园网IP的划分123.4 VLAN在网络中的划分123.5 VLAN技术在校园网中的测试144 分析总结175 结束语18参考文献191 引言校园网是各种类型网络中一大分支，有着非常广泛的应用。作为新技术的发祥地，学校尤其是高等学校，和网络的关系十分密切，网络最初是在校园里进行实验并获得成功的，许多网络新技术也是首先在校园网中获得成功，进而才推向社会的。在传统的局域网中，各站点共享传输信道所造成的信道冲突和广播风暴，这是影响网络性能的重要因素。在这种网络结构中,由集线器、粗缆和细缆所构成的物理网络与逻辑子网相对应。通常一个IP子网是属于一个广播域的，因此网络中的广播域是根据物理网络来划分的。这样的网络结构无论从效率和安全性角度来考虑都有所欠缺。同时，由于网络中的站点被束缚在所处的物理网络中，而不能够根据需要将其划分至相应的逻辑子网，因此网络的结构缺乏灵活性。为解决这一问题,引入了虚拟局域网(VLAN，Virtual Local Area Network)的概念。1.1 课程设计的目的本课程设计主要目的是系统设计、软件仿真、程序安排与调试、写实习报告等步骤，使学生初步掌握工程设计的具体步骤和方法，提高分析问题和解决问题的能力，提高实际应用水平。本课程设计的主要是对校园网VLAN的设计和配置，进而提高网络管理效率、性能、带宽及灵活性, 同时还能控制广播风暴, 提高校园网安全性能。1.2 课程设计的要求本次课程设计需要分析具体情况，完成需求分析，正确运用网络模拟软件，列出所需设备，设计完成网络拓扑结构图；在实验环境下完成设备的具体配置和调试验证；最终在老师的指导下，按要求完成课程设计的全部内容。1.3 课程设计的平台 本次课程设计使用的网络模拟软件是Cisco Packet Tracer。 Packet Tracer是由Cisco公司发布的一个辅助学习工具，为学习CCNA课程的网络初学者去设计、配置、排除网络故障提供了网络模拟环境。学生可在软件的图形用户界面上直接使用拖曳方法建立网络拓扑，软件中实现的IOS子集允许学生配置设备；并可提供数据包在网络中行进的详细处理过程，观察网络实时运行情况1。1.4 课程设计的步骤 本次课程设计的步骤是先根据课题所需,同时结合计算机网络中通信原理以及其他网络资料所学，先在纸质文档上画出本课题所要用到的网络拓扑结构图，然后在通过网络模拟软件Cisco Packet Tracer找到拓扑结构图中所要用到的各元件，并按图中的连接方式进行连接，按照计算机网络中VLAN配置的原理对每个模块进行相应的参数设置，配置成功后，通过给出的PC机ping位于校园网中处于其它VLAN中得PC机，根据运行结果或出错提示，不断地修改配置的参数，直至达到实验的目的，最终顺利、规范的完成本次课程设计的报告。2 设计原理虚拟局域网 (VLAN)的诞生主要源于广播。广播在网络中起着非常重要的作用，如发现新设备、调整网络路径等，许多网络协议都要用到广播，局域网通常被定义为一个单独的广播域，主要使用集线器或交换机等网络设备连接同一网段内的所有节点2。2.1 VLAN技术的定义和特征VLAN即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。虚拟网络是在整个网络中通过网络交换设备建立的虚拟工作组。虚拟网在逻辑上等于OSI模型的第三层的广播域，与具体的物理网及地理位置无关，虚拟工作组可以包含不同位置的部门和工作组，不必在物理上重新配置任何端口，真正实现了网络用户与它们的物理位置无关。它以其高速、灵活、管理简便和扩充容易得到了广泛应用。一方面，VLAN建立在局域网交换机的基础之上；另一个方面， VLAN 是局域交换网的灵魂。VLAN 用户能方便的在网络中移动和快捷的组建宽带网络，而无需改变任何硬件和通信线路。网络管理员能从逻辑上对用户和网络资源进行分配，而无需考虑物理连接方式。它与普通局域网从原理上讲没有什么不同，但它与普通局域网最基本的差异体现在：VLAN 并不局限于某一网络或物理范围，VLAN中的用户可以位于一个园区甚至国家的任意位置。IEEE于1999年颁布了用以标准化VLAN实现方案的802. 1Q协议标准草案3。VLAN的特性使局域网的通信流量控制和数据保密性方面有了很大的提高，VLAN具有以下一些特征：1 同一个VLAN中的所有成员共同拥有一个VLAN ID，在逻辑上组成一个虚拟局域网络；2 同一个VLAN中的成员均能收到同一个VLAN中的其他成员发来的广播包，但收不到其他VLAN中成员发来的广播包。不同的VLAN处在不同的广播域中；3 不同VLAN的成员之间不可相互直接通信，需要通过路由支持才能相互通信，而同一VLAN中的成员通过VLAN交换机可以直接通信，不需路由支持。2.2 VLAN在网络管理中的优势1 增加了网络连接的灵活性网络管理员对网络工作站可以按业务功能, 而不必按地理位置分组。VLAN 可以降低移动或变更工作站地理位置的管理费用, 特别是一些业务情况有经常性变动的公司使用了VLAN后, 这部分管理费用大大降低。2 有效地控制网络上的广播风暴VLAN 可以提供建立防火墙的机制, 防止交换网络的过量广播风暴。使用VLAN可以将某个交换端口或用户赋予某一个特定的VLAN 组。该VLAN 组可以在一个交换网中或跨接多个交换机, 在一个VLAN 中的广播风暴不会送到VLAN之外。同样, 相邻的端口不会收到其他VLAN 产生的广播风暴。这样, 可以减少广播流量, 释放带宽给用户应用, 减少广播风暴的产生。3 增加网络的安全性人们在网络上经常传送一些保密的、关键性的数据。保密的数据应提供访问控制等安全手段。一个有效和容易实现的方法是将网络分段成几个不同的广播组，网络管理员限制了VLAN 中用户的数量, 禁止未经允许而访问VLAN 中的应用。交换端口可以基于应用类型和访问特权来进行分组, 被限制的应用程序和资源一般置于安全性VLAN中。4 增加了集中化的管理控制通过集中化的VLAN 管理程序, 网络管理员可以确定VLAN 组, 分配特定用户和交换端口给这些VLAN组, 设置安全性等级, 限制广播域的大小, 通过冗余链路负载分担网络流量, 跨越交换机配置VLAN 通信, 监控交通流量和VLAN 使用的网络带宽。这些能力有效地提高了网络管理程序的可控性、灵活性和监视功能,减少了管理的费用。2.3 TRUNK链路技术Trunk 技术是在两台交换机之间建立一条点到点的链路, 每台交换机的相应端口称为中继端口。一条中继链路可以传输多个VLAN 的数据流, 并允许用户将VLAN 的范围从一台交换机扩展到另一台交换机。Trunk是一种封装技术,它是在两台交换机之间的一条点到点链路,主要功能就是仅通过一条链路就可以连接多个交换机,从而扩展已配置的多个VLAN,传输多个VLAN 的数据流。还可以采用通过Trunk技术和上级交换机级连接的方式来扩展端口的数量,将VLAN的范围从一台交换机扩展到另一台交换机,节省了网络硬件的成本,从而扩展整个网络。TRUNK 可通过的VLAN 范围缺省下是11005, 可以修改, 但必须激活Trunk协议。使用Trunk 的端口不在任何VLAN 中。在校园网建设时, Trunk绝对是必需的. 在设置Trunk后, Trunk链路不属于任何一个VLAN. Trunk链路在交换机之间起着VLAN管道的作用,交换机会将该Trunk以外及Trunk中的端口处于一个VLAN中的其他端口的负载自动分配到该Trunk中的各个端口. 因为同一个VLAN中的端口之间会相互转发数据,而位于Trunk中的Trunk端口被当作一个端口来看待,因此在设置了Trunk后,该Trunk将自动加入其成员端口所属的VLAN中,而其成员端口则自动从VLAN中删除。对于Trunk端口来说,其上允许通过的VLAN范围体现的是一种能力,与系统中是否存在对应的VLAN实体没有关系。Trunk技术具有以下优点：1 可以在不同的交换机之间连接多个VLAN,可以将VLAN扩展到整个网络中; 2 Trunk可以捆绑任何相关的端口,也可以随时取消设置,提供了很高的灵活性; Trunk可以提供负载均衡能力以及系统容错. 由于Trunk实时平衡各个交换机端口和服务器接口的流量,若某个端口出现故障,它会自动把故障端口从Trunk组中撤消,进而重新分配各个Trunk端口的流量,从而实现系统容错。2.4 VLAN的划分方法VLAN在交换机上的实现方法，可以大致划分为4类：1 基于端口划分VLAN这种划分 VLAN的方法是根据以太网交换机的端口来划分，这种划分方法是目前定义 VLAN 的最广泛的方法，IEEE802.1Q 规定了依据以太网交换机的端口来划分VLAN的国际标准。 这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都指定义一下就可以了。它的缺点是如果 VLAN的用户离开了原来的端口，到了一个新的交换机的某个端口就必须重新定义。 2 基于MAC地址划分VLAN这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个 MAC地址的主机都配置它属于哪个组。这种划分VLAN的方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以可以认为这种根据 MAC地址的划分方法是基于用户的 VLAN，这种方法的缺点是初始化时所有的用户都必须进行配置，如果有几百个甚至上千个用户的话配置是非常繁琐的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样VLAN就必须重新配置。3 基于网络层划分VLAN这种划分 VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如IP地址，但它不是路由，与网络层的路由毫无关系。它虽然查看每个数据包的IP地址, 但由于不是路由，所以没有 RIP、OSPF等路由协议，而是根据生成树算法进行桥交换。这种方法的优点是当用户的物理位置改变时，不需要重新配置所属的 VLAN，而且可以根据协议类型来划分VLAN，同时这种方法不需要附加的帧标签来识别 VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查IP帧头，就要更高的技术, 同时也更费时。4 根据 IP组播划分VLANIP组播实际上也是一种 VLAN 的定义，即认为一个组播就是一个VLAN，这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。 2.5 VLAN之间的通信1 通过路由器实现VLAN间的通信局域网内的通信，是通过数据帧头中指定通信目标的来完成的。而为了获取MAC地址，使用地址协议解析通过广播报文的方法来实现获取MAC地址的，如果广播报文无法到达目的地，那么就无从解析MAC地址，亦即无法直接通信。当计算机分属不同的VLAN时，就意味着分属不同的广播域，自然收不到彼此的广播报文。如果想VLAN能通信，必须通过路由器或者三层交换机实现VLAN的通信4。可以利用路由器的多个端口实现VLAN间的路由选择。这是最简单的一种方法，但是也是最浪费资源的一种方法，在现实生活中，路由器的造价往往很高，通过端口来实现VLAN路由选择的成本太高。所以这种方法在现实中应用的很少，图2-1显示的是利用多个端口实现VLAN的路由选择。图2-1 利用路由器实现VLAN通信2 通过三层交换实现VLAN通信三层交换技术使一台交换机具有路由的功能。传统的交换机工作在数据链路层，只能在第二层对数据进行转发，但是三层交换机能工作在网络层，并对数据进行高速转发，它解决了局域网中划分网段后必须通过路由器实现数据转发，和路由器造价高以及存在的网络瓶颈等问题。三层交换技术的出现为VLAN的发展提供了更好的空间。三层交换技术的原理是：假设A和B要通信，A首先向交换机发送一个ARP请求包，寻找自己的缺省路由的MAC，然后将数据发送到交换机，若A和B在同一个子网中，直接通过二层转发出去，不再经过三层，若A和B不再同一个子网中，需要将数据转发到三层，在路由表中寻找匹配的条目，找到MAC地址，若存在直接在二层建立连接，使二层芯片处理数据通过二层转发可大大的节省时间，和提高效率。若在表中无法找到相关项，需三层交换机将目的IP地址和路由表项对比，发送ARP数据包到目的主机，得到该主机的MAC地址，然后再二层转发。原理如图2-2所示。 图2-2 三层交换原理3 通过设置单臂路由实现VLAN间的通信路由器与交换机之间是通过外部线路连接的, 这个外部线路只有一条, 但是它在逻辑上是分开的, 需要路由的数据包会通过这个线路到达路由器, 经过路由后再通过此线路返回交换机进行转发。所以把这种拓扑方式称为单臂路由。采用单臂路由技术可以在使用路由器时通常在路由器与交换机连接的一个物理端口上定义多个逻辑子端口，一个子端口连接一个VLAN，图2-3显示的是利用单臂路由实现VLAN间的通信。图2-3 利用单臂路由实现VLAN间的通信这种基于单臂路由的VLAN 通信模型不需要添加或更换路由器, 交换机等网络设备; 基于原有网络拓扑结构, 也不需要重新布线施工。但是, 作为中继链路的路由器端口往往成为限制VALN之间流量的主要瓶颈, 单臂路由作为一种廉价的网络升级方案只适用于通信质量要求不高的情况, 并不能完全取代路由器和三层交换机。3 VLAN技术在校园网中的设计目前校园网正处于一种高速发展之中,在校园网络中实施VLAN技术，可以提高网络管理效率、性能、带宽及灵活性, 同时还能控制广播风暴, 提高校园网安全性能。本章结合高校校园网的特点，从IP 规划、网络架构设计、协议选择、网络设备配置等方面对校园网进行了规划和设计。3.1 网络设备的选择本次设计采用Cisco2960、3560交换机和2811路由器。在出口的路由器选用Cisco Catalyst 2811，它是一款高端企业级路由器拥有强悍的性能，能很好的为网络提供可靠的服务，并提供了安全、可扩展的网络连接，容纳了多种流量类型，如VPN、动态多点VPN(DMVPN)等，以及安全话音，满足用户的使用需求。本次设计的网络核心层主要应用Cisco Catalyst 3560系列的交换机，它是三层交换机性能完全能满足校园网核心层的工作需要。在汇聚层和接入层主要用Cisco Catalyst 2960系列智能以太网交换机，它是一个全新、独立的固定配置设备系列，主要为小型企业和网络分支而生产的，它也能提供很好的服务，能进行桌面10/100快速以太网和10/100/1000千兆以太网连接，有助于实现增强LAN服务。3.2 校园网络的设计由于本次设计VLAN主要在局域网中，为便于进行实验且网络的规模要适中，所以选择了规模适中的校园网作为基础，在这个网络中大量采用Cisco交换机作为二层交换设备，由于在网络中大量使用交换设备会出现广播风暴以及存在的数据安全性问题，所以要进行合适的VLAN划分，减少网络流量的拥堵次数和数据泄漏的问题，保障网络的正常运行，保护数据的安全5。其校园网拓扑图如图3-1所示。 图3-1 校园网拓扑图3.3 校园网IP的划分本次设计共有图书馆、办公楼、理工大楼、教学楼和宿舍楼组成，由于存在大量的主机，所以采用10.0.0.010.255.255.255网段，其地址能够满足校园环境对IP地址的需求。宿舍楼：10.2.0.0/16办公楼：10.3.0.0/16图书馆：10.4.0.0/16理工大楼：10.6.0.0/16教学楼：10.7.0.0/163.4 VLAN在网络中的划分1 VLAN ID的规划表格3.1显示的是基于端口的对网络的VLAN划分。在每个VLAN中，都要进行合适的规划，适应网络中各种变化的需要。表3.1 VLAN 配置表位置VLAN ID网络地址子网掩码VLAN接口地址宿舍楼VLAN 1010.2.8.0255.255.255.010.2.8.1图书馆VLAN 2010.4.0.0255.255.0.010.4.0.1办公大楼VLAN 3010.3.0.0255.255.0.010.3.0.1家属楼VLAN 4010.6.0.0255.255.0.010.6.0.1教学楼VLAN 5010.7.0.0255.255.0.010.7.0.12 基于端口的划分在汇聚层交换机上配置VLAN(1)创建VLAN进入全局模式Switch#config terminal创建VLAN 10Switch(config)#vlan 10Switch(config-vlan)#exit(2)将端口加入到vlan 10中Switch(config-if)#switchport access vlan 10(3)指定端口成为trunkSwitch(config)#interface f0/24Switch(config-if)#switchport mode trunk(4)检查VLAN端口分配情况Switch#show vlan briefVLAN端口的分配情况如图3-2所示。 图3-2 VLAN端口分配情况以此类推，逐步创建VLAN 20、VLAN 30、VLAN 40、VLAN 50。并逐步把端口划分到各个VLAN中,配置Trunk口。在核心交换机Cisco Catalyst 3650上配置VLAN虚拟接口实现通信在Cisco Catalyst 3650上创建各个VLAN的虚拟接口，并配置IP地址。(1)配置vlan 10的虚拟接口IP地址。Switch(config)#vlan 10 Switch(config-vlan)#exitSwitch(config)#interface vlan 10 Switch(config-if)#%LINK-5-CHANGED: Interface Vlan10, changed state to upSwitch(config-if)#ip address 10.2.8.1 255.255.255.0Switch(config-if)#然后按照表1依次配置valn 20、valn 30 、vlan 40、 vlan 50。在三层交换机上启用路由功能Switch(config)#ip routing或者配置RIP动态路由 Switch(config)#router ripSwitch(config-router)# version 2Switch(config-router)# network 10.0.0.0 如上命令即可实现VLAN通信3.5 VLAN技术在校园网中的测试Cisco Packet Trace是由思科公司发布的一款模拟思科系列的各种交换机和路由器的软件，它能很好模拟现实的各种环境，通过它可以进行各种网络知识的学习，并了解路由器和交换机的工作原理，也能对思科的命令和设备进行了解，是初步学习路由交换的很好的工具。根据以上表格，在Cisco Packet Trace模拟器中进行模拟，网络模拟拓扑图如图3-3所示图3-3 网络模拟拓扑图vlan10中的PC0和PC1的连通性测试如图3-4所示图3-4 vlan10中的PC0和PC1的连通性测试vlan20中的PC2和vlan50中的PC6的连通性测试如图3-5所示图3-5 vlan20中的PC2和vlan50中的PC6的连通性测试vlan30中的PC4和vlan10中的PC1的连通性测试如图3-6所示图3-6 vlan30中的PC4和vlan10中的PC1的连通性测试vlan40中的PC5和vlan20中的PC2的连通性测试如图3-7所示图3-7 vlan40中的PC5和vlan20中的PC2的连通性测试从以上的各图说明测试的结果的正确性很高，也证明了通过VLAN的划分可以很好的控制网络内的不同主机的通信，对网络的流量和数据的安全性都有很好的作用。4 分析总结VLAN技术为校园网的建设提供了高度的灵活性和可靠的网络安全管理手段，显示出独特的优点。利用VLAN技术，根据不同需要实施不同策略，统