任务企业网络划分虚拟局域网

任务3：企业网络划分虚拟局域网了解VLAN,企业网中，为了限制广播流量，提高网络的安全性，方便网络的施工和管理，通常会在企业网中划分多个虚拟局域网（VLAN），将业务相关的计算机划分到一个虚拟工作组，每个虚拟工作组就像一个独立的局域网一样。,虚拟局域网(VirtualLocalAreaNetwork，VLAN)是一种将物理局域网根据某种网络特征从逻辑上划分（注意，不是从物理上划分）成多个网段，从而实现虚拟工作组的数据交换技术。,划分后的VLAN具有局域网的所有特征，一个VLAN内部的广播和单播流量不会转发到其他VLAN中，从而可以隔离网络上的广播流量、提高网络的安全性。,VLAN可应用于交换机和路由器中，但目前主流应用还是在交换机之中。不是所有交换机都具有VLAN功能，这一点可以查看相应交换机的说明书。VLAN流量可以跨域交换机，多个VLAN通过一条物理线路时，需要给数据帧打标签，以区分不同的VLAN流量。,任务3：企业网络划分虚拟局域网为什么要划分VLAN？,提高了网络通信效率。由于缩小了广播域，一个VLAN内的单播、广播不会进入另一个VLAN，减小了整个网络的流量。,方便了维护和管理。VLAN是逻辑划分的，不受物理位置的限制，给网络管理带来了方便。,提高网络的安全性。不同VLAN不能直接通信，杜绝了广播信息的不安全性。要求高安全性的部门可以单独使用一个VLAN，可有效防止外界的访问。,没有划分VLAN的传统局域网，处于同一个网段，是一个大的广播域，广播帧占用了大量的带宽，当网络内的计算机数量增加时，广播流量也随之增大，广播流量大到一定程度时，网路效率急剧下降。,VLAN的作用主要有：,任务3：企业网络划分虚拟局域网可以基于哪些网络特征划分VLAN？,（1）基于端口划分VLAN基于端口划分的VLAN属于静态VLAN，是将交换机上的物理端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。,（2）基于MAC地址划分VLAN基于MAC地址的VLAN是动态VLAN，就是将MAC地址分成若干个组，使用同一组MAC地址的用户构成一个虚拟局域网。,（3）基于网络层协议划分VLAN基于网络层协议的VLAN也是动态，可划分为IP、IPX、DECnet、AppleTalk、Banyan等VLAN网络。,通常用以下几种定义方法：,VLAN目前主要是在交换机上划分，可以分为静态VLAN和动态VLAN。静态VLAN就是明确地指定交换机的端口分别属于哪个VLAN，动态VLAN是根据交换机端口上所连接的计算机的情况来决定属于哪个VLAN。普遍使用的是基于端口的静态VLAN。,任务3：企业网络划分虚拟局域网基于端口划分VLAN（1）,新交换机中有VLAN1和VLAN1002、VLAN1003、VLAN1004和VLAN1005这5个默认VLAN。默认情况下交换机所有的端口都属于VLAN1。VLAN1称为本地VLAN(NativeVLAN)，生成树协议（STP，可防止局域网路）的桥接协议数据单元（BPDU）、VLANID(VLAN的编号)的信息等都要通过NativeVLAN来传输。,任务3：企业网络划分虚拟局域网基于端口划分VLAN（2）,基于端口划分VLAN分为两步：第一步创建VLAN,第二步给每个VLAN分配端口成员。,创建VLAN可以在全局配置模式下创建，也可以在VLAN数据库模式下创建。但是，Cisco不推荐在VLAN数据库模式下创建VLAN。,在全局模式下创建和删除VLAN,在VLAN数据库模式下创建和删除VLAN,第一步，创建VLAN,任务3：企业网络划分虚拟局域网基于端口划分VLAN（3）,基于端口划分VLAN就是将交换机的端口分配给不同的VLAN，作为各个VLAN的成员。,第二步，给每个VLAN分配端口成员,完成三个任务：指定端口；设置交换机端口为access模式；将交换机端口分配给某个VLAN。,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（1）,VTP（VLANTrunkProtocol）协议实现了在单个控制点上管理整个网络，实现了VLAN的统一配置和管理，减轻了网络管理员的负担，减少了出错的几率。,在大型企业网络中，交换机的数量非常多，而各个交换机的VLAN配置基本相同，因此，在企业交换网络的配置和管理过程中存在非常多的重复劳动，而且，也会由此产生一些配置错误，使网络出现故障。,VTP协议在某个域内工作，域内的每台交换机必须使用相同的VTP域名，在交换机与交换机之间不能连接其它设备，即交换机必须是相邻的，而且要求在所有交换机中启用Trunk。域内的VTP服务器通过VLAN1向特定的组播地址发送VTP消息，来通告VTP服务器的VLAN配置情况，域内的其他服务器和VTP客户机接收通告统一自己的VLAN信息。,要完成交换机之间的VLAN信息交换，需要完成配置Trunk端口、封装VLAN协议、指定VTP域、指定工作模式以及修剪不必要的VLAN流量等工作。,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（2）,交换机在划分了VLAN后，两台交换机上的相同VLAN之间的通信怎么来解决？,1、配置Trunk端口,如果每对VLAN之间使用一条物理连接，只传输本VLAN的信息，那么有多少个VLAN，每台交换机就需要多少个端口用于交换机之间的连接，这样非常浪费交换机的端口。为了节约端口，就出现了Trunk技术。,Trunk是连接交换机与交换机或交换机与路由器的一条物理链路，用于交换机之间传输多个VLAN的信息，统一VLAN数据库，从而节约了交换机端口。,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（3）,在接口配置模式下配置Trunk的命令语法如下：,在Catalyst3560和2960之间各自通过F0/24端口建立Trunk链路的参考配置如下：,多个VLAN的通信流量在交换机之间传输时，交换机之间的级联链路必须采用Trunk链路，链路两端的交换机端口必须设置为Trunk模式。,Trunk链路承载了多个VLAN的通信流量，为了区分各个流量属于哪个VLAN，就需要对Trunk链路上来自不同VLAN的数据帧做不同的标记（tag），这样，交换机就可以根据这个不同的标记，将来自Trunk的数据帧送给不同的VLAN。,switchportmodetrunk,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（4）,2、在Trunk口封装VLAN协议,IEEE802.1Q协议是国际标准VLAN封装协议，称为VirtualBridgedLocalAreaNetworks协议。,IEEE802.1Q协议对发往Trunk的以太网数据帧打标记时，是在以太网的数据帧中间加入了4个字节的内容，这四个字节的内容包含一个标记协议标识符（TPID，TagProtocolIdentifier）以及VLAN号等内容。,交换机根据这个TPID来确定数据帧中的VLAN标记是哪种VLAN封装协议封装的。如果这个TPID值为16进制数0 x8100，说明是使用的IEEE802.1Q协议。,VLAN号用12为二进制数来表示，最大可表示的VLAN数值为4096。,（1）IEEE802.1Q协议,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（4）,（2）ISL协议（交换链路内协议）,ISL（交换链路内协议）是Cisco私有VLAN封装协议，用于Cisco交换机之间以及和路由器之间的VLAN封装。,ISL协议对发往Trunk的以太网数据帧打标记时，是在以太网数据帧的头部附加26个字节ISL包头、尾部附加4个字节的CRC校验，总共在以太网数据帧上增加了30个字节。,IEEE802.1Q和ISL都是为了不同的VLAN数据打标记，但IEEE802.1Q封装破坏了以太网的数据帧，而ISL封装不破坏以太网数据帧。,IEEE802.1Q和ISL互不兼容。,IEEE802.1Q和ISL互不兼容。如果网络设备全部是Cisco设备，则可以使用ISL协议；如果网络上有Cisco以外的网络设备，则需要使用IEEE802.1Q协议。,它们的区别在于针对NativeVLAN是否打标记。ISL是全部都打标记，有几个VLAN打几个标记；而IEEE802.1Q协议除了VLAN1（也就是NativeVLAN）不打标记之外，其他的VLAN都打标记。,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（5）,在Trunk端口上封装VLAN协议的命令语法如下：,switchporttrunkencapsulationdot1q|ISL,默认情况下，Trunk链路承载所有VLAN的信息，但是，有时候交换机上可能有多条Trunk链路，VLAN信息需要分流，可以通过配置Trunk链路，允许或不允许某个VLAN信息通过。,在Trunk接口模式下只允许某个VLAN通过的命令语法如下：,Switchporttrunkallowedvlanvlan-list,vlan-list是指允许通过的那些VLAN号，多个VLAN号之间用“,”分割。如果设置允许所有的VLAN通过，vlan-list就是all。,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（6）,例如，在Catalyst3560和2960上各自有VLAN1、VLAN10、VLAN20、VLAN30、VLAN40，交换机之间各自通过F0/24端口和对方建立Trunk链路，封装IEEE802.1Q协议，允许VLAN1、VLAN10、VLAN20信息通过，不允许VLAN30和VLAN40信息通过的参考配置如下：,vlan-list是指允许通过的那些VLAN号，多个VLAN号之间用“,”分割。如果设置允许所有的VLAN通过，vlan-list就是all。,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（7）,在Trunk链路上，如果需要在现有允许通过的VLAN中指定不允许通过的VLAN，可以采用以下命令：,Switchporttrunkallowedvlanremovevlan-id,在Trunk链路上，如果需要在现有允许通过的基础上增加允许通过的VLAN，可以采用以下命令：,Switchporttrunkallowedvlanaddvlan-id,例如，在Catalyst3560的F0/24上现有允许通过的VLAN1、VLAN10、VLAN20中不允许VLAN10通过。增加允许VLAN30和VLAN40通过。,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（8）,3、配置VTP管理域（administrativedomain）和VTP工作模式,网络内具有相同VTP域名的交换机组成一个VTP管理域。,Cisco交换机配置VTP管理域可以在两种模式下进行，一种是在全局配置模式下进行，还有一种是在VLAN数据库模式下进行。,两种模式下配置VTP管理域的命令语法是一样的：vtpdomaindomain-name,域名是区分大小写的，域名不会隔离广播域，仅仅用于同步VLAN配置信息。,VTP是VLAN中继协议，是第2层信息传送协议，主要控制网络内具有相同VTP域名的交换机上VLAN的添加、删除和重命名。,一台交换机只能属于一个域，同一个域内的交换机之间才能交换VLAN信息。,（1）配置VTP管理域,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（9）,运行VTP协议的交换机必须设置某一种模式。Cisco交换机默认为VTP的server模式。,服务器模式：控制它所在域中所有VLAN的修改、添加与删除。一个网络最少要有一台Server模式的交换机，可以有多台。Server模式的交换机在配置了VLAN后，会将VLAN信息向网络上的其他交换机进行通告，同时接收网络上其他Server模式的交换机发来的通告，以统一VLAN数据库。,客户端模式：不允许管理员修改、添加与删除VLAN，只接收从服务器发过来的VTP通告，对自己的VLAN数据库进行更新。,透明模式：此模式不参与VTP，它的VLAN数据不会传播到其它交换机上，它只在本地有效。当交换机处于此模式时，如果是采用VTPv1的话则它不转发服务器传来的VTP通告，如果采用VTPv2，则转发来自服务器端的VTP通告。,VTP协议有三种工作模式：服务器模式（Server）、客户机模式（Client）和透明模式（Transparent）。,（2）配置VTP工作模式,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（10）,到目前为止，VTP具有三种版本：VTPv1、VTPv2和VTPv3。其中VTPv2与VTPv1区别不大，主要区别在于：VTPv2支持令牌环VLAN，而VTPv1不支持。VTPv3不能直接处理VLAN事务。,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（11）,一台Catalyst3560和两台Catalyst2960组成如下所示的网络，Catalyst3560设置VTP的server模式，中间一台交换机设置VTP的transparent模式，右边一台设置VTP的client模式。三台交换机都设置VTP域名test，就是说三台交换机位于同一个VTP管理域。在Catalyst3560上创建VLAN10、VLAN20、VLAN30和VLAN50，给VLAN10分配1-10、VLAN20分配11-15、VLAN30分配16-20、VLAN50分配21-23号端口。,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（12）,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（13）,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（14）,4、修剪掉不必要的VLAN流量，节约网络带宽,VTP会产生不必要的网络流量。因为通过Trunk，单播和广播在整个VLAN内进行扩散，使得域内的所有交换机接收到所有广播，即使某个交换机上没有某个VLAN的成员，情况也不例外。,VTPpruning技术正可以消除这个多余流量，pruning技术可以自动修剪掉不需要经过Trunk的那些流量。,修剪功能只需要在VTP服务器上打开，就可以实现整个域内的多余VLAN流量的修剪。,修剪功能只需要在VTP服务器上打开，就可以实现整个域内的多余VLAN流量的修剪。,任务3：企业网络划分虚拟局域网基于VTP协议在交换机之间交换VLAN信息（15）,前面的例子中加上VLAN修剪和VTP密码，右边的2960给VLAN20分配1-22端口。,任务3：企业网络划分虚拟局域网在企业网中划分VLAN（1）,1、企业网的VLAN划分,第一步：规划VLAN及VLAN内的地址,这里为每个部门分配了一个C类地址，如果某个部门比较大，计算机数量比较多，可根据需要分配多个C类地址。地址分配一般使用连续地址，方便汇聚。,任务3：企业网络划分虚拟局域网在企业网中划分VLAN（2）,第二步：在作为VTP服务器的交换机上创建VLAN,在网络中的分布层交换机Distribute1上创建所有VLAN，其他交换机通过配置VTP协议来交换VLAN信息。,任务3：企业网络划分虚拟局域网在企业网中划分VLAN（3）,任务3：企业网络划分虚拟局域网在企业网中划分VLAN（4）,第三步：域内的其他交换机通过VTP协议统一VLAN数据库，接入交换机还要给各个VLAN分配成员接口,以计算机室的接入交换机为例进行配置，其他交换机可参照配置：,任务3：企业网络划分虚拟局域网在企业网中划分VLAN（5）,2、接入层交换机上联分布层交换机,企业在组建局域网时一般会采用核心层、分布层和接入层三层网络结构。,当接入层的所有端口处于同一个VLAN时，接入层交换机的上联端口只需access端口，分布层上交换机的下联接口也是access端口。,当接入层的每台交换机划分多个VLAN时，接入层交换机的上联端口必须是Trunk端口，分布层上交换机的下联接口也必须是Trunk端口。,任务3：企业网络划分虚拟局域网接入层交换机上联分布层交换机（1）,（1）每台接入交换机只有一个VLAN的上联,某企业采用Catalyst3550交换机作为每幢大楼的分布层交换机；每个部门采用一台Catalyst2950交换机作为接入交换机，每个部门为一个VLAN；各个VLAN之间的通信由核心层交换机路由实现。有幢大楼只有研发部和生产部，分布层交换机的快速以太网端口1-10连接研发部交换机，11-24连接生产部交换机，千兆口G0/1上联核心交换机；研发部为VLAN20，生产部为VLAN30，每台接入交换机均采用F0/24口上联分布层交换机。,任务3：企业网络划分虚拟局域网接入层交换机上联分布层交换机（2）,（2）每台接入交换机多个VLAN的上联,某企业采用Catalyst3550交换机作为每幢大楼的分布层交换机，每个楼层或几个楼层采用一台Catalyst2950交换机作为接入交换机；每个部门为一个VLAN，各个VLAN之间的通信由核心层交换机路由实现。有幢楼有20层，只有研发部和生产部，但大多数楼层都有这两个部门的人员工作。分布层用百兆口下联接入交换机，用千兆口G0/1通过单模光纤上联核心交换机；研发部为VLAN20，生产部为VLAN30，每台接入交换机均采用F0/24端口上联分布层交换机，F0/110给研发部，F0/1123给生产部。分析：由于大多数楼层的都有两个部门的人，而且需要共用一台接入交换机，所以，每台接入交换机上就会有两个相同的VLAN，这种重复划分VLAN的工作没必要，可以使用VTP协议来获得。,任务3：企业网络划分虚拟局域网接入层交换机上联分布层交换机（3）,分布层上创建VLAN，通过Trunk链路通告给域内的接入层交换机和核心层交换机。由于有些楼层只有一个部门用户，没有必要接收其他VLAN的内容，所以在分布层上设置VLAN修剪。,任务3：企业网络划分虚拟局域网虚拟终端远程配置交换机实训(1),一、实训名称虚拟终端远程配置交换机二、实验目的1、掌握交换机密码的配置、取消和修改方法；2、掌握交换机的远程登录配置方法；3、熟悉基于端口的VLAN配置指令和配制方法。三、实训内容交换机通过console口配置是新交换机必须的，但是，网络的交换机只要设置了管理地址、网关，以及虚拟终端线路的密码和特权密码，就可以在网络上的任意一台计算机上，通过Telnet远程登录到交换机上对交换机进行配置。本实验是通过Telnet远程登录进行基于端口的VLAN创建指令练习。四、实训环境一台Catalyst2960交换机，1台计算机。计算机通过局域网口用直通双绞线连接交换机的普通端口；再用交换机附带的配置电缆连接交换机的CONSOLE口和计算机的COM1口，该计算机需配置超级终端。,任务3：企业网络划分虚拟局域网虚拟终端远程配置交换机实训(2),五、实验步骤1、在本地配置模式为远程配置做好预配置。将计算机的COM1口通过控制电缆连接连接交换机的console口，打开超级终端，配置好连接参数，做好本地配置准备工作。2、查看FLASH的内容，看看有没有vlan.dat文件，如果有这个文件，说明被配置过VLAN，需要清除所有的VLAN，所以执行第三步。没有这个文件说明像新交换机一样，就跳过第三步。3、在特权模式下执行erasestartup-config命令，清除启动配置文件；执行deleteflash:vlan.dat命令。然后在执行reboot命令，重启交换机。,任务3：企业网络划分虚拟局域网虚拟终端远程配置交换机实训(3),4、配置交换机的管理地址和VTY密码。交换机要能进行远程配置，必须提供管理地址。二层交换机的交换端口是不能设置IP地址的，只能对交换机的VLAN接口设置IP地址。新交换机的所有端口都属于VLAN1，所以，一般就设置VLAN1的接口地址作为管理地址。,我们只设置了管理IP地址供同一网段的用户远程管理，如果处于和VLAN1不同网段的计算机想参与交换机的管理的话，还需要给交换机设置默认网关。SwitchA(config)#ipdefault-gateway192.168.0.254,任务3：企业网络划分虚拟局域网虚拟终端远程配置交换机实训(4),5、用直通网线连接计算机的网卡和交换机的端口。,6、开始远程配置。,7、回到本地配置模式，添加enablepassword密码test。,8、现在可以通过Telnet方式远程配置了,因为现在有了enable密码了。在Telnet方式远程配置模式下，删除enablepassword密码。SwitchA(config)#noenablepassword,任务3：企业网络划分虚拟局域网虚拟终端远程配置交换机实训(5),9、重新设置enablepassword密码为study。SwitchA(config)#enablepasswordstudy,10在全局模式下创建VLAN10，并命名为xxx；在VLAN数据库模式下创建VLAN20，并命名为yyy。并将配置文件保存到启动配置文件。,只要给交换机上的某个VLAN分配一个IP地址，所有通过网络能够访问这个IP地址的计算机都可以远程配置这台交换机，这就给网络管理员带来了很大的方便，网络只要是连通的，网络管理员就可以在网络上的任何位置配置管理这台交换机。,任务3：企业网络划分虚拟局域网单交换机VLAN配置实训(1),一、实训名称单交换机虚拟局域网组建二、实训目的1、掌握基于端口的VLAN划分方法。2、熟悉端口的基本参数应用。3、掌握VLAN成员的添加和删除方法。三、实训内容当网络规模比较大时，需要将网络划分为多个网段，基于端口划分VLAN就是一种很好地实现网络分段的办法。划分为多个VLAN，可以缩小广播范围，提高网络的通信速率，而且可以很好地控制病毒的传播和恶意的网络攻击。当人员移动时，只要修改端口所属VLAN，减少了重新布线的麻烦，减轻了网络管理员的负担。我们的主要任务就是将交换机划分两个虚拟局域网，给每个VLAN添加成员，验证VLAN之间的连通性。同时，为了加速网络的收敛速度，不在交换机端口使用自适应功能。四、实训环境一台CISCO2960交换机，一根配置电缆、4根直通网线、4台计算机，按如下图所示的方式连接。,任务3：企业网络划分虚拟局域网单交换机VLAN配置实训(2),五、实训步骤1、准备一台没有划分VLAN的交换机查看有没有vlan.dat文件，如果有，清除交换机的启动配置文件、删除vlan.dat文件，重启交换机。2、验证计算机之间的通信准备四台计算机，分别连接到交换机的3、4、5、6端口上，组成一个局域网。四台计算机的IP地址分别设置为192.168.1.3，192.168.1.4，192.168.1.5和192.168.1.6，子网掩码均为255.255.255.0。用ping命令验证计算机之间的连通性。,任务3：企业网络划分虚拟局域网单交换机VLAN配置实训(3),3、查看VLAN信息,4、在全局模式下划分VLAN,任务3：企业网络划分虚拟局域网单交换机VLAN配置实训(4),5、向VLAN里添加交换机端口,这时我们再通过showvlan命令，可以看到VLAN2里已经有两个交换机端口，端口3和端口4；VLAN3里有了端口5和端口6。其他的端口还属于VLAN1。,任务3：企业网络划分虚拟局域网单交换机VLAN配置实训(5),6、用ping命令进行通信验证A、B两台计算机可以通信，C、D两台计算机也可以通信。A、B和C、D之间不能通信。,7、删除VLAN端口5和6现在不见了,8、找回看不见的端口我们可以重新将这两个端口加入某个VLAN，通过showvlan命令查看就可以看到