任务3企业网络划分虚拟局域网.ppt

3 了解VLAN 企业网中 为了限制广播流量 提高网络的安全性 方便网络的施工和管理 通常会在企业网中划分多个虚拟局域网 VLAN 将业务相关的计算机划分到一个虚拟工作组 每个虚拟工作组就像一个独立的局域网一样 VirtualLocalAreaNetwork VLAN 是一种将物理局域网根据某种网络特征从逻辑上划分 注意 不是从物理上划分 成多个网段 从而实现虚拟工作组的数据交换技术 划分后的VLANVLAN内部的广播和单播流量不会转发到其他VLAN中 从而可以隔离网络上的广播流量 提高网络的安全性 VLAN可应用于交换机和路由器中 但目前主流应用还是在交换机之中 不是所有交换机都具有VLAN功能 这一点可以查看相应交换机的说明书 VLAN流量可以跨域交换机 多个VLAN通过一条物理线路时 需要给数据帧打标签 以区分不同的VLAN流量 任务3 企业网络划分虚拟局域网 为什么要划分VLAN 提高了网络通信效率 由于缩小了广播域 一个VLAN内的单播 广播不会进入另一个VLAN 减小了整个网络的流量 方便了维护和管理 VLAN是逻辑划分的 不受物理位置的限制 给网络管理带来了方便 提高网络的安全性 不同VLAN不能直接通信 杜绝了广播信息的不安全性 要求高安全性的部门可以单独使用一个VLAN 可有效防止外界的访问 没有划分VLAN的传统局域网 处于同一个网段 是一个大的广播域 广播帧占用了大量的带宽 当网络内的计算机数量增加时 广播流量也随之增大 广播流量大到一定程度时 网路效率急剧下降 VLAN的作用主要有 任务3 企业网络划分虚拟局域网 可以基于哪些网络特征划分VLAN 1 基于端口划分VLAN基于端口划分的VLAN属于静态VLAN 是将交换机上的物理端口分成若干个组 每个组构成一个虚拟网 相当于一个独立的VLAN交换机 2 基于MAC地址划分VLAN基于MAC地址的VLAN是动态VLAN 就是将MAC地址分成若干个组 使用同一组MAC地址的用户构成一个虚拟局域网 3 基于网络层协议划分VLAN基于网络层协议的VLAN也是动态 可划分为IP IPX DECnet AppleTalk Banyan等VLAN网络 通常用以下几种定义方法 VLAN目前主要是在交换机上划分 可以分为静态VLAN和动态VLAN 静态VLAN就是明确地指定交换机的端口分别属于哪个VLAN 动态VLAN是根据交换机端口上所连接的计算机的情况来决定属于哪个VLAN 普遍使用的是基于端口的静态VLAN 任务3 企业网络划分虚拟局域网 基于端口划分VLAN 1 新交换机中有VLAN1和VLAN1002 VLAN1003 VLAN1004和VLAN1005这5个默认VLAN 默认情况下交换机所有的端口都属于VLAN1 VLAN1称为本地VLAN NativeVLAN 生成树协议 STP 可防止局域网路 的桥接协议数据单元 BPDU VLANID VLAN的编号 的信息等都要通过NativeVLAN来传输 任务3 企业网络划分虚拟局域网 基于端口划分VLAN 2 基于端口划分VLAN分为两步 第一步创建VLAN 第二步给每个VLAN分配端口成员 创建VLAN可以在全局配置模式下创建 也可以在VLAN数据库模式下创建 但是 Cisco不推荐在VLAN数据库模式下创建VLAN 在全局模式下创建和删除VLAN 在VLAN数据库模式下创建和删除VLAN 第一步 创建VLAN 任务3 企业网络划分虚拟局域网 基于端口划分VLAN 3 基于端口划分VLAN就是将交换机的端口分配给不同的VLAN 作为各个VLAN的成员 第二步 给每个VLAN分配端口成员 完成三个任务 指定端口 设置交换机端口为access模式 将交换机端口分配给某个VLAN 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 1 VTP VLANTrunkProtocol 协议实现了在单个控制点上管理整个网络 实现了VLAN的统一配置和管理 减轻了网络管理员的负担 减少了出错的几率 在大型企业网络中 交换机的数量非常多 而各个交换机的VLAN配置基本相同 因此 在企业交换网络的配置和管理过程中存在非常多的重复劳动 而且 也会由此产生一些配置错误 使网络出现故障 VTP协议在某个域内工作 域内的每台交换机必须使用相同的VTP域名 在交换机与交换机之间不能连接其它设备 即交换机必须是相邻的 而且要求在所有交换机中启用Trunk 域内的VTP服务器通过VLAN1向特定的组播地址发送VTP消息 来通告VTP服务器的VLAN配置情况 域内的其他服务器和VTP客户机接收通告统一自己的VLAN信息 要完成交换机之间的VLAN信息交换 需要完成配置Trunk端口 封装VLAN协议 指定VTP域 指定工作模式以及修剪不必要的VLAN流量等工作 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 2 交换机在划分了VLAN后 两台交换机上的相同VLAN之间的通信怎么来解决 1 配置Trunk端口 如果每对VLAN之间使用一条物理连接 只传输本VLAN的信息 那么有多少个VLAN 每台交换机就需要多少个端口用于交换机之间的连接 这样非常浪费交换机的端口 为了节约端口 就出现了Trunk技术 Trunk是连接交换机与交换机或交换机与路由器的一条物理链路 用于交换机之间传输多个VLAN的信息 统一VLAN数据库 从而节约了交换机端口 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 3 在接口配置模式下配置Trunk的命令语法如下 在Catalyst3560和2960之间各自通过F0 24端口建立Trunk链路的参考配置如下 多个VLAN的通信流量在交换机之间传输时 交换机之间的级联链路必须采用Trunk链路 链路两端的交换机端口必须设置为Trunk模式 Trunk链路承载了多个VLAN的通信流量 为了区分各个流量属于哪个VLAN 就需要对Trunk链路上来自不同VLAN的数据帧做不同的标记 tag 这样 交换机就可以根据这个不同的标记 将来自Trunk的数据帧送给不同的VLAN switchportmodetrunk 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 4 2 在Trunk口封装VLAN协议 IEEE802 1Q协议是国际标准VLAN封装协议 称为VirtualBridgedLocalAreaNetworks协议 IEEE802 1Q协议对发往Trunk的以太网数据帧打标记时 是在以太网的数据帧中间加入了4个字节的内容 这四个字节的内容包含一个标记协议标识符 TPID TagProtocolIdentifier 以及VLAN号等内容 交换机根据这个TPID来确定数据帧中的VLAN标记是哪种VLAN封装协议封装的 如果这个TPID值为16进制数0 x8100 说明是使用的IEEE802 1Q协议 VLAN号用12为二进制数来表示 最大可表示的VLAN数值为4096 1 IEEE802 1Q协议 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 4 2 ISL协议 交换链路内协议 ISL 交换链路内协议 是Cisco私有VLAN封装协议 用于Cisco交换机之间以及和路由器之间的VLAN封装 ISL协议对发往Trunk的以太网数据帧打标记时 是在以太网数据帧的头部附加26个字节ISL包头 尾部附加4个字节的CRC校验 总共在以太网数据帧上增加了30个字节 IEEE802 1Q和ISL都是为了不同的VLAN数据打标记 但IEEE802 1Q封装破坏了以太网的数据帧 而ISL封装不破坏以太网数据帧 IEEE802 1Q和ISL互不兼容 IEEE802 1Q和ISL互不兼容 如果网络设备全部是Cisco设备 则可以使用ISL协议 如果网络上有Cisco以外的网络设备 则需要使用IEEE802 1Q协议 它们的区别在于针对NativeVLAN是否打标记 ISL是全部都打标记 有几个VLAN打几个标记 而IEEE802 1Q协议除了VLAN1 也就是NativeVLAN 不打标记之外 其他的VLAN都打标记 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 5 在Trunk端口上封装VLAN协议的命令语法如下 switchporttrunkencapsulationdot1q ISL 默认情况下 Trunk链路承载所有VLAN的信息 但是 有时候交换机上可能有多条Trunk链路 VLAN信息需要分流 可以通过配置Trunk链路 允许或不允许某个VLAN信息通过 在Trunk接口模式下只允许某个VLAN通过的命令语法如下 Switchporttrunkallowedvlanvlan list vlan list是指允许通过的那些VLAN号 多个VLAN号之间用 分割 如果设置允许所有的VLAN通过 vlan list就是all 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 6 例如 在Catalyst3560和2960上各自有VLAN1 VLAN10 VLAN20 VLAN30 VLAN40 交换机之间各自通过F0 24端口和对方建立Trunk链路 封装IEEE802 1Q协议 允许VLAN1 VLAN10 VLAN20信息通过 不允许VLAN30和VLAN40信息通过的参考配置如下 vlan list是指允许通过的那些VLAN号 多个VLAN号之间用 分割 如果设置允许所有的VLAN通过 vlan list就是all 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 7 在Trunk链路上 如果需要在现有允许通过的VLAN中指定不允许通过的VLAN 可以采用以下命令 Switchporttrunkallowedvlanremovevlan id 在Trunk链路上 如果需要在现有允许通过的基础上增加允许通过的VLAN 可以采用以下命令 Switchporttrunkallowedvlanaddvlan id 例如 在Catalyst3560的F0 24上现有允许通过的VLAN1 VLAN10 VLAN20中不允许VLAN10通过 增加允许VLAN30和VLAN40通过 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 8 3 配置VTP管理域 administrativedomain 和VTP工作模式 网络内具有相同VTP域名的交换机组成一个VTP管理域 Cisco交换机配置VTP管理域可以在两种模式下进行 一种是在全局配置模式下进行 还有一种是在VLAN数据库模式下进行 两种模式下配置VTP管理域的命令语法是一样的 vtpdomaindomain name 域名是区分大小写的 域名不会隔离广播域 仅仅用于同步VLAN配置信息 VTP是VLAN中继协议 是第2层信息传送协议 主要控制网络内具有相同VTP域名的交换机上VLAN的添加 删除和重命名 一台交换机只能属于一个域 同一个域内的交换机之间才能交换VLAN信息 1 配置VTP管理域 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 9 运行VTP协议的交换机必须设置某一种模式 Cisco交换机默认为VTP的server模式 服务器模式 控制它所在域中所有VLAN的修改 添加与删除 一个网络最少要有一台Server模式的交换机 可以有多台 Server模式的交换机在配置了VLAN后 会将VLAN信息向网络上的其他交换机进行通告 同时接收网络上其他Server模式的交换机发来的通告 以统一VLAN数据库 客户端模式 不允许管理员修改 添加与删除VLAN 只接收从服务器发过来的VTP通告 对自己的VLAN数据库进行更新 透明模式 此模式不参与VTP 它的VLAN数据不会传播到其它交换机上 它只在本地有效 当交换机处于此模式时 如果是采用VTPv1的话则它不转发服务器传来的VTP通告 如果采用VTPv2 则转发来自服务器端的VTP通告 VTP协议有三种工作模式 服务器模式 Server 客户机模式 Client 和透明模式 Transparent 2 配置VTP工作模式 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 10 到目前为止 VTP具有三种版本 VTPv1 VTPv2和VTPv3 其中VTPv2与VTPv1区别不大 主要区别在于 VTPv2支持令牌环VLAN 而VTPv1不支持 VTPv3不能直接处理VLAN事务 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 11 一台Catalyst3560和两台Catalyst2960组成如下所示的网络 Catalyst3560设置VTP的server模式 中间一台交换机设置VTP的transparent模式 右边一台设置VTP的client模式 三台交换机都设置VTP域名test 就是说三台交换机位于同一个VTP管理域 在Catalyst3560上创建VLAN10 VLAN20 VLAN30和VLAN50 给VLAN10分配1 10 VLAN20分配11 15 VLAN30分配16 20 VLAN50分配21 23号端口 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 12 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 13 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 14 4 修剪掉不必要的VLAN流量 节约网络带宽 VTP会产生不必要的网络流量 因为通过Trunk 单播和广播在整个VLAN内进行扩散 使得域内的所有交换机接收到所有广播 即使某个交换机上没有某个VLAN的成员 情况也不例外 VTPpruning技术正可以消除这个多余流量 pruning技术可以自动修剪掉不需要经过Trunk的那些流量 修剪功能只需要在VTP服务器上打开 就可以实现整个域内的多余VLAN流量的修剪 修剪功能只需要在VTP服务器上打开 就可以实现整个域内的多余VLAN流量的修剪 任务3 企业网络划分虚拟局域网 基于VTP协议在交换机之间交换VLAN信息 15 前面的例子中加上VLAN修剪和VTP密码 右边的2960给VLAN20分配1 22端口 任务3 企业网络划分虚拟局域网 在企业网中划分VLAN 1 1 企业网的VLAN划分 第一步 规划VLAN及VLAN内的地址 这里为每个部门分配了一个C类地址 如果某个部门比较大 计算机数量比较多 可根据需要分配多个C类地址 地址分配一般使用连续地址 方便汇聚 任务3 企业网络划分虚拟局域网 在企业网中划分VLAN 2 第二步 在作为VTP服务器的交换机上创建VLAN 在网络中的分布层交换机Distribute1上创建所有VLAN 其他交换机通过配置VTP协议来交换VLAN信息 任务3 企业网络划分虚拟局域网 在企业网中划分VLAN 3 任务3 企业网络划分虚拟局域网 在企业网中划分VLAN 4 第三步 域内的其他交换机通过VTP协议统一VLAN数据库 接入交换机还要给各个VLAN分配成员接口 以计算机室的接入交换机为例进行配置 其他交换机可参照配置 任务3 企业网络划分虚拟局域网 在企业网中划分VLAN 5 2 接入层交换机上联分布层交换机 企业在组建局域网时一般会采用核心层 分布层和接入层三层网络结构 当接入层的所有端口处于同一个VLAN时 接入层交换机的上联端口只需access端口 分布层上交换机的下联接口也是access端口 当接入层的每台交换机划分多个VLAN时 接入层交换机的上联端口必须是Trunk端口 分布层上交换机的下联接口也必须是Trunk端口 任务3 企业网络划分虚拟局域网 接入层交换机上联分布层交换机 1 1 每台接入交换机只有一个VLAN的上联 某企业采用Catalyst3550交换机作为每幢大楼的分布层交换机 每个部门采用一台Catalyst2950交换机作为接入交换机 每个部门为一个VLAN 各个VLAN之间的通信由核心层交换机路由实现 有幢大楼只有研发部和生产部 分布层交换机的快速以太网端口1 10连接研发部交换机 11 24连接生产部交换机 千兆口G0 1上联核心交换机 研发部为VLAN20 生产部为VLAN30 每台接入交换机均采用F0 24口上联分布层交换机 任务3 企业网络划分虚拟局域网 接入层交换机上联分布层交换机 2 2 每台接入交换机多个VLAN的上联 某企业采用Catalyst3550交换机作为每幢大楼的分布层交换机 每个楼层或几个楼层采用一台Catalyst2950交换机作为接入交换机 每个部门为一个VLAN 各个VLAN之间的通信由核心层交换机路由实现 有幢楼有20层 只有研发部和生产部 但大多数楼层都有这两个部门的人员工作 分布层用百兆口下联接入交换机 用千兆口G0 1通过单模光纤上联核心交换机 研发部为VLAN20 生产部为VLAN30 每台接入交换机均采用F0 24端口上联分布层交换机 F0 1 10给研发部 F0 11 23给生产部 分析 由于大多数楼层的都有两个部门的人 而且需要共用一台接入交换机 所以 每台接入交换机上就会有两个相同的VLAN 这种重复划分VLAN的工作没必要 可以使用VTP协议来获得 任务3 企业网络划分虚拟局域网 接入层交换机上联分布层交换机 3 分布层上创建VLAN 通过Trunk链路通告给域内的接入层交换机和核心层交换机 由于有些楼层只有一个部门用户 没有必要接收其他VLAN的内容 所以在分布层上设置VLAN修剪 任务3 企业网络划分虚拟局域网 虚拟终端远程配置交换机实训 1 一 实训名称虚拟终端远程配置交换机二 实验目的1 掌握交换机密码的配置 取消和修改方法 2 掌握交换机的远程登录配置方法 3 熟悉基于端口的VLAN配置指令和配制方法 三 实训内容交换机通过console口配置是新交换机必须的 但是 网络的交换机只要设置了管理地址 网关 以及虚拟终端线路的密码和特权密码 就可以在网络上的任意一台计算机上 通过Telnet远程登录到交换机上对交换机进行配置 本实验是通过Telnet远程登录进行基于端口的VLAN创建指令练习 四 实训环境一台Catalyst2960交换机 1台计算机 计算机通过局域网口用直通双绞线连接交换机的普通端口 再用交换机附带的配置电缆连接交换机的CONSOLE口和计算机的COM1口 该计算机需配置超级终端 任务3 企业网络划分虚拟局域网 虚拟终端远程配置交换机实训 2 五 实验步骤1 在本地配置模式为远程配置做好预配置 将计算机的COM1口通过控制电缆连接连接交换机的console口 打开超级终端 配置好连接参数 做好本地配置准备工作 2 查看FLASH的内容 看看有没有vlan dat文件 如果有这个文件 说明被配置过VLAN 需要清除所有的VLAN 所以执行第三步 没有这个文件说明像新交换机一样 就跳过第三步 3 在特权模式下执行erasestartup config命令 清除启动配置文件 执行deleteflash vlan dat命令 然后在执行reboot命令 重启交换机 任务3 企业网络划分虚拟局域网 虚拟终端远程配置交换机实训 3 4 配置交换机的管理地址和VTY密码 交换机要能进行远程配置 必须提供管理地址 二层交换机的交换端口是不能设置IP地址的 只能对交换机的VLAN接口设置IP地址 新交换机的所有端口都属于VLAN1 所以 一般就设置VLAN1的接口地址作为管理地址 我们只设置了管理IP地址供同一网段的用户远程管理 如果处于和VLAN1不同网段的计算机想参与交换机的管理的话 还需要给交换机设置默认网关 SwitchA config ipdefault gateway192 168 0 254 任务3 企业网络划分虚拟局域网 虚拟终端远程配置交换机实训 4 5 用直通网线连接计算机的网卡和交换机的端口 6 开始远程配置 7 回到本地配置模式 添加enablepassword密码test 8 现在可以通过Telnet方式远程配置了 因为现在有了enable密码了 在Telnet方式远程配置模式下 删除enablepassword密码 SwitchA config noenablepassword 任务3 企业网络划分虚拟局域网 虚拟终端远程配置交换机实训 5 9 重新设置enablepassword密码为study SwitchA config enablepasswordstudy 10在全局模式下创建VLAN10 并命名为xxx 在VLAN数据库模式下创建VLAN20 并命名为yyy 并将配置文件保存到启动配置文件 只要给交换机上的某个VLAN分配一个IP地址 所有通过网络能够访问这个IP地址的计算机都可以远程配置这台交换机 这就给网络管理员带来了很大的方便 网络只要是连通的 网络管理员就可以在网络上的任何位置配置管理这台交换机 任务3 企业网络划分虚拟局域网 单交换机VLAN配置实训 1 一 实训名称单交换机虚拟局域网组建二 实训目的1 掌握基于端口的VLAN划分方法 2 熟悉端口的基本参数应用 3 掌握VLAN成员的添加和删除方法 三 实训内容当网络规模比较大时 需要将网络划分为多个网段 基于端口划分VLAN就是一种很好地实现网络分段的办法 划分为多个VLAN 可以缩小广播范围 提高网络的通信速率 而且可以很好地控制病毒的传播和恶意的网络攻击 当人员移动时 只要修改端口所属VLAN 减少了重新布线的麻烦 减轻了网络管理员的负担 我们的主要任务就是将交换机划分两个虚拟局域网 给每个VLAN添加成员 验证VLAN之间的连通性 同时 为了加速网络的收敛速度 不在交换机端口使用自适应功能 四 实训环境一台CISCO2960交换机 一根配置电缆 4根直通网线 4台计算机 按如下图所示的方式连接 任务3 企业网络划分虚拟局域网 单交换机VLAN配置实训 2 五 实训步骤1 准备一台没有划分VLAN的交换机查看有没有vlan dat文件 如果有 清除交换机的启动配置文件 删除vlan dat文件 重启交换机 2 验证计算机之间的通信准备四台计算机 分别连接到交换机的3 4 5 6端口上 组成一个局域网 四台计算机的IP地址分别设置为192 168 1 3 192 168 1 4 192 168 1 5和192 168 1 6 子网掩码均为255 255 255 0 用ping命令验证计算机之间的连通性 任务3 企业网络划分虚拟局域网 单交换机VLAN配置实训 3 3 查看VLAN信息 4 在全局模式下划分VLAN 任务3 企业网络划分虚拟局域网 单交换机VLAN配置实训 4 5 向VLAN里添加交换机端口 这时我们再通过showvlan命令 可以看到VLAN2里已经有两个交换机端口 端口3和端口4 VLAN3里有了端口5和端口6 其他的端口还属于VLAN1 任务3 企业网络划分虚拟局域网 单交换机VLAN配置实训 5 6 用ping命令进行通信验证A B两台计算机可以通信 C D两台计算机也可以通信 A B和C D之间不能通信 7 删除VLAN端口5和6现在不见了 8 找回看不见的端口我们可以重新将这两个端口加入某个VLAN 通过showvlan命令查看就可以看到了 任务