VLAN技术在企业网络管理中的应用设计

VLAN技术在企业网络管理中的应用设计摘要论文中提出了本人实习企业网络改造方式，分层结构设计，并且从网络性能，可扩充性，用户管理，安全性等方面对网络结构进行了分析。结合实习企业网络的实际情况，论文提出了VLAN在局域网中的具体解决方案：包括VLAN的划分，VLANID的规划，研究了VLAN之间的两种路由策略（集中控制和分布式路由），分析了VLAN之间的访问控制方法。关键词：VLAN；网络设计；第三层交换

AbstractThispaperpresentsmypracticeofenterprisenetworktransformationmethod,hierarchicalstructuredesign,andfromthenetworkperformance,scalability,usermanagement,securityandotheraspectsoftheanalysisofthenetworkstructure.Combinedwithpracticalsituationofreaderspublishinggroupnetwork,thispaperpresentsVLANspecificsolutionsinLAN:VLANclassification,VLANIDplanning,studiestwokindsofroutingstrategiesbetweenVLAN(centralizedcontrolanddistributedrouting),analysisoftheVLANaccesscontrolmethod.Keywords:VLAN;networkdesign;thethirdlayerexchange

目录前言 51.VLAN技术概述 51.1VLAN的划分 61.1.1基于端口划分 61.1.2基于MAC地址划分 61.1.3基于网络层划分 61.1.4基于策略的划分 71.2VLAN的优点 71.2.1控制网络上的广播风暴 71.2.2增强网络的安全性 81.2.3网络管理简单、直观 81.2.4提高网络整体性能 82VLAN在企业内网中的优势及应用 92.1VLAN在企业内网中的优势 92.2VLAN在企业内网中的应用 92.2.1局域网内部的局域网 92.2.2共享访问—访问共同的接入点和服务器 102.2.3交叠虚拟局域网 103基于VLAN的企业网络设计 113.1基于VLAN的网络设计所遵循的原则 113.2企业概况 113.3企业网络规划 123.4企业网络组网的常用命令 133.5企业网络实现 14结语 18参考文献 19致谢 20前言本人实习的企业由于近年来对计算机网络的依赖性越来越突出，计算机网络承受的压力也越来越大。一方面，由于网络内各种网络终端设备数量增多、网络规模扩大、网络流量突增；另一方面，各种企业管理应用系统不断投入使用，如办公自动化系统、出版业务管理信息系统、网络监控系统、财务管理系统。这些系统对网络的带宽、安全性和可靠性提出了更高的要求。局域网在一开始设计时，设计的容量在220台左右，但目前所需使用IP地址的设备已经达到400多台，而且随着新办公楼的竣工，还要增加设备，这已经超出网络IP地址资源范围所能承载的容量，各科室所使用的计算机在现行网络环境中出现IP地址冲突，造成无法访问内网和internet网的情况：另外部门之间对数据信息的任意调用，一定程度上影响了数据的安全。针对该企业局域网存在的问题和VLAN技术特点，本文给出了一种基于VLAN技术的企业局域网改造设计方案。CISC04009以太网交换机支持VLAN、多播过滤、三层交换、广播风暴限制等高级网络功能。在配合网络安全管理系统得情况下有效的避免了广播风暴、黑客入侵、病毒传播，在一定程度上节约了网络带宽，降低了网络内主机负载，提高了办公信息网络的快速高效和安全可靠。1.VLAN技术概述VLAN也就是虚拟局域网，是一种建立在交换技术基础之上的，通过将局域网内的机器设备逻辑的而不是物理的划分成一个个不同的网段，以软件力一式实现逻辑工作组的划分与管理的技术。IEEE于1999年颁布了用以标准化VLAN实现的802。IQ协议标准草案。在交换式局域网中，利用VLAN技术，可将网络设备划分成多个逻辑子网，从而实现虚拟工作组数据交换功能。VLAN技术灵活，它工作在OS工参考模型的数据链路层和网络层上，一个子网形成了一个逻辑广播域，子网之间的通信是通过网络层的路由器或三层交换机来转发的，子网的划分可覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中，虚拟局域网技术使得网络的拓扑结构变得非常灵活机动。1.1VLAN的划分交换式以太网中VLAN的划分主要有四种途径：基于端口的划分、基于MAC地址(网络适配器硬件地址)的划分、基于网络层地址的划分以及基于策略的划分「8」。其中基于端口为静态VLAN划分方法，其余三种皆是动态的，不同的划分方式代表不同的VLAN实现类型。1.1.1基于端口划分指定交换机端口，使之属于特定的VLAN，连接到该端口的设备都属于此VLAN。一个VLAN可以配置在不同交换机上。基于端口划分VLAN网络成员的配置简单方便，只要将交换机全部端口指定一下即可，适用于网络环境相对固定的状况。不足之处是灵活性不好，当一个内网用户从一个端口移动到另外一个新的端口时，如果二者不属于同一个VLAN，网络管理员必须重新配置，否则用户将无法进行网络通信；再有，这种划分方式不支持多个虚拟子网共享一个物理端口，不便于用户管理。1.1.2基于MAC地址划分计算机中的每块网卡都有一个唯一的硬件物理地址，即MAC地址。这种力一法划分VLAN，要求交换机对站点的MAC地址进行跟踪，在新站点人网时。需要把它添加到相应的VLAN中。以后无论这个站点怎么移动。只要MAC地址不变。就无需对它进行重新配置。这种VLAN技术的不足之处是初始化时网络中所有的用户都必须进行配置，在一个拥有大量节点的企业网络中，如果要求管理员将每个用户都一一划分到特定的VLAN中，配置任务将会十分繁重。同时以这种方法划分虚拟子网，每一台交换设备的端口都存在多个VLAN组的成员，导致了交换设备运行速度下降，网络中的广播数据包无法得到有效的限制。1.1.3基于网络层划分基于网络层划分VLAN有两种方法，一种是按照协议类型(如果网络中存在多协议)，另一种是依据每台主机的网络层地址。基于通信协议的划分方法适用于大型网络中，虚拟子网的类型包括工P子网、工PX子网及SPX子网等。使用相同协议通信的主机配置在同一个VLAN中，交换机加电启动后检验以太标题域，查看所用协议类型。如果对应协议的VLAN已存在，则加入源端口；若此类型子网不存在，需创建一个新的VLAN。基于主机网络层地址的划分方法是依据网络中IP子网掩码、IP网络号来进行VLAN分组，网络交换设备启动后查看主机的掩码和网络号，根据接入主机的地址信息自动将其划分到不同的虚拟子网中，用户主机无需进行太多配置。利用网络层划分VLAN的不足之处是：它需要分析各种协议的地址格式并进行相应的转换，还有检查网络数据包的地址需耗费交换设备的处理时间和较多的资源，因此运行速度较慢、效率较低。1.1.4基于策略的划分基于策略的VLAN相对来说是一种较为灵活的划分方法，能实现按交换机物理端口、按MAC地址、按工P地址、按网络层协议类型、按网络的应用等多种策略划分VLAN，网络管理员可以根据自己的管理模式和本企业的实际需求，来决定选择哪种类型的VLAN。管理员通过网管软件来确定划分VLAN的规则，当网络中有用户连接时，可被交换设备检测到，正确地划入相应的VLAN中，而且亦可识别和跟踪物理位置发生变动的主机。1.2VLAN的优点1.2.1控制网络上的广播风暴在没有应用VLAN技术的局域网内的整个网络都是广播域，这样就使得网内的一台设备发出网络广播时，在局域网内的任何一台设备的接口都能接收到广播，因此当网络内的设备越来越多时，网络上的广播也就越来越多，占用的时间和资源也就越来越多，当广播多到一定的数量时，就会影响到正常的信息的传送。这样就能使得信息延迟，严重的可以造成网络的堵塞、瘫痪，严重的影响了正常的网络应用，这就是所谓的广播风暴。在应用了VLAN技术的局域网中，缩小了广播的广播域，在一个VLAN中的广播风暴也不会影响到其他的VLAN，从而有效地减小了广播风暴对局域网网络的影响。1.2.2增强网络的安全性在局域网中应用VLAN技术可以把互相通信比较频繁的用户划分到同一个VLAN中，这样在同一个工作组中的信息传输只在同一个组内广播，从而也减轻了因广播包被截获而引起的信息泄露，增强了网络的安全性。1.2.3网络管理简单、直观对于交换式以太网，如果对某此用户重新进行网段分配，需要网络管理员对网络系统的物理结构重新进行调整，甚至需要追加网络设备，增大网络管理的工作量。而对于采用VLAN技术的网络来说，一个VLAN可以根据部门职能、对象组或者应用将不同地理位置的网络用户划分为一个逻辑网段。在不改动网络物理连接的情况下可以任意地将工作站在工作组或子网之间移动。利用虚拟网络技术，大大减轻了网络管理和维护工作的负担，降低了网络维护费用。1.2.4提高网络整体性能通过路由访问列表和VLAC地址分配等VLAN划分原则，可以控制用户访问权限和逻辑网段大小，将不同用户群划分在不同VLAN，从而提高交换式网络的整体性能。

2VLAN在企业内网中的优势及应用2.1VLAN在企业内网中的优势对采用了VLAS技术的企业网络来说，可以在不改动网络物理连接的情况下任意地将工作站在子网之间移动。相比传统的共享式局域网，用户需要重新进行网段分配，网络系统的物理结构也要进行重新调整，甚至要添加网络设备。无疑，VLAN技术对管理网络更具有灵活性，操作更为便捷、简单。现代企业一般都规模庞大，人员众多，部门繁杂，各部门既相对独立，业务又相互关联，企业局域网的拓扑结构错综复杂。通过VLAN技术可以对企业网按照部门职能、对象组或者应用进行灵活划分，根据需求动态调整，既能满足企业网上的各种应用，使网络中广播包消耗带宽所占比例大大降低，网络性能得到显著提高，又能大大便利企业职能部门的管理，提高工作效率。对于多用户的企业局域网来说，这个特性是非常有利的。通过对企业网的VLAN规划，可以在企业各职能部门之间设定不同的访问权限，防止非法入侵。从而更好地确保了网络的安全性，提高了交换式网络的整体性能。2.2VLAN在企业内网中的应用由于虚拟局域网具有比较明显的优势，在各种企业中都有了很好的应用。下而就根据不同的案例来分析虚拟局域网的应用情况。2.2.1局域网内部的局域网往往很多企业已经具有一个相当规模的局域网，但是现在企业内部因为保密或者其他原因，要求各业务部门或者课题组独立成为一个局域网，同时，各业务部门或者课题组的人员不一定是在同一个办公地点，各网络之间不允许互相访问。根据这种情况，可以有几种解决方法，但是虚拟局域网解决方法可能是最好的为了完成上述任务，我们要做的工作是收集各部门的人员组成、所在位置、与交换机连接的端口等信息。根据部门数量对交换机进行配置，创建虚拟局域网，设置中继，最后，在一个公用的局域网内部划分出来若干个虚拟的局域网，同时减少了局域网内的广播，提高了网络传输性能这样的虚拟局域网可以方便地根据需要增加、改变、删除。2.2.2共享访问—访问共同的接入点和服务器在一些大型写字楼或商业建筑(酒店、展览中心等)，经常存在这样的现象：大楼出租给各个单位，并且大楼内部已经构建好了局域网，提供给入驻企业或客户网络平台，并通过共同的出口访问Internet或者大楼内部的综合信息服务器由于大楼的网络平台是统一的，使用的客户有物业管理人员、有其他不同单位的客户。在这样一个共享的网络环境下，解决不同企业或单位对网络的需求的同时，还要保证各企业间信息的独立。这种情况下，虚拟局域网提供了很好的解决方案。大厦的系统管理员可以为入驻企业创建一个个独立的虚拟局域网，保证企业内部的互相访问和企业间信息的独立，然后利用中继技术，将提供接入服务的代理服务器或者路由器所对应的局域网接口配置成为中继模式，实现共享接入这种配置方式还有一个好处，可以根据需要设置中继的访问许可，灵活地允许或者拒绝某个虚拟局域网的访问。2.2.3交叠虚拟局域网交叠虚拟局域网是在基于端口划分虚拟局域网的基础上提出来的，最早的交换机每一个端口只能同时属于一个虚拟局域网，交叠虚拟局域网允许一个交换机端口同时属于多个虚拟局域网。这种技术可以解决一些突发性的、临时性的虚拟局域网划氖比如在一个科研机构，已经划分了若干个虚拟局域网，但是因为某个科研任务，从各个虚拟局域网里而抽调出来技术人员临时组成课题组，要求课题组内部通信自如，同时各科研人员还要保持和原来的虚拟局域网进行信息交流如果采用路由和访问列表控制技术，成本会较大，同时会降低网络性能交叠技术的出现，为这一问题提供了廉价的解决方法；只需要将要加入课题组的人员所对应的交换机端口设置成为支持多个虚拟局域，然后创建一个新虚拟局域网，将所有人员划分到新虚拟局域，保持各人员原来所属虚拟局域网不变即可。3基于VLAN的企业网络设计3.1基于VLAN的网络设计所遵循的原则实用性与先进性。要求局域网网能够满足管理的实际需要，支持宽带多媒体业务，例如远程会议等。设备选型要技术先进，能适应未来发展，具有灵活方便的业务扩展能力和充分完备的接入能力，设备及其软件具有可持续发展的平滑升级性。开放性与标准化。局域网所采用的网络技术应采用符合国际标准的通信协议、标准化接口及中国电总以太网接入的规范：应满足信息准确、安全、可靠、优良交换传送的需要；并需有良好的维护和管理手段。可靠性与安全性。在局域网的设计中，主要考虑两个层次：一是整个网络的可靠性与安全性，采用高可靠性高安全性的网络体系结构，包括合理设计广域网的访问控制和内部虚拟网的访问控制、对外部网络访问链路的备份等；二是网络设备的安全性和可靠性，主要是采用可带电插拔的模块、配置双电源、端口冗余、设置网络设备的用户表及口令限制等手段。同时，在通信网络、资源配置、系统服务和网络管理上有良好的分层设计，使网络结构清晰，便于使用、管理和维护。经济性与可扩充性。在满足需求的前提下，选用性能价格比高的网络设备和服务器。采用的网络架构和设备，应充分考虑到容易升级换代，随着对校局域网需求的不断发展，能够使系统不断延伸和扩充，充分利用和保护现有的投资利益。3.2企业概况中小型企业在发展和建立之初，组件自己的信息化网络显得比较的重要，本文以物流报关企业为例，组件企业的网络基础平台，在组件网络平时时充分考虑企业的信息安全，资源利用和网络通信效率。A物流公司组织架构由客服部、运营部、财务部、人事部门组成。客服部，提供一站式物流集中服务，为客户提供业务咨询、业务受理、业务查询、投诉等24小时的周到的服务，并适时开展调查和客户回访；同时承担市场开发任务。运营部:下设外包部、配送部、仓储部。外包部，主要承担本公司无法完成运输的物品的外包工作，协调与其他物流公司的配合，构造良好的虚拟运营环境，扩大本公司的业务范围和业务量。仓储部，正确使用仓库有效面积，合理存储、保存货物，确保进出货物准确畅通。配送部，及时、准确、无损地将整车、零担货物及外包货物配载发送至目的地。人事部:根据业务发展状况，提出可行的用工制度建议、管好人才资源，做到合理安排、正确使用，公开招聘或人才市场招聘，择优录用。同时负责员工的培训工作。财务部:负责公司财务制度贯彻执行，加强财务审计、审查，对外结算、对内报销报账、做好成本核算，收集整理统计数据，提出提高经济效益的可行性建议，对各项指标进行综合分析及修正。同时公司拥有自己的DNS域名解析服务器、WEB服务器和OA办公系统。各个部门通过网络服务器软件进行工作协作。3.3企业网络规划各个部门允许一组不限物理位置的用户群共享一个独立的广播域，可以在一个物理网络中划分多个VLAN，使不同的用户群属于不同的广播域。VLAN虚拟局域网指位于一个或多个局域网设备经过配置能够连接到同一个信道中进行通信，而实际上它们分布在不同的局域网段中。VLAN除了没有物理位置的限制，其他属性都和普通局域网相同。采用VLAN技术让网络可以更加灵活的方式对业务目标予以支持，VLAN划分具有有点是：（1）安全。（2）提高网络性能。（3）防范网络风暴。（4）提高IT维护人员工作效率。（5）简化项目管理或应用管理。VLAN划分采用了按照部门划分完成，基于三层交换机的VLAN划分。企业网络拓扑图如下图所示：核心交换机是具备三层路由功能的的交换机组成，其接口可以实现基于三层寻址的分组转发每个三层接口都定义了一个单独的广播域。在为接口配置好IP协议以后，该接口就可以成为连接该接口的同一个广播域内的其他设备和主机的网关。三层交换机是基于IP地址的交换表。企业局域网划分VLAN以后，每个VLAN是一个单独的广播域，所以在默认情况下，不同VLAN中的计算机之间无法通信。允许计算机之间通信的一种方法是VLAN间路由，它是使用三层设备从一个VLAN向另一个VLAN转发网络流量的过程。VLAN与网络中唯一的IP子网相关联，VLAN中每个设备配置一个相同网段的IP地址，不同的VLAN使用不同网段的IP地址，这种子网VLAN关联简化了多VLAN环境中的路由处理。为了使第三层交换机执行路由功能，交换机上的VLAN接口都需要配置合适的IP地址，该IP地址就是该VLAN中主机的网关地址。3.4企业网络组网的常用命令本文网络规划与实现测试采用了CiscoPacketTracer模拟器完成，主要命令均来自与Cisco网络设备。创建VLANVlanvlan-idnamevlan-name设置端口为存取模式Switchportmodeaccess将端口添加到指定的VLANID中去Switchportaccessvlanvlan-id打开交换机级联口中的中继功能Switchportmodetrunk设置交换机当前端口为三层端口NoSwitchport为三层交换机配置IP地址Ipaddressaddressnetmask3.5企业网络实现根据网络规划，设计网络参数表，如下表所示。部门名称IP地址VLAN号VLAN名网关客户部192.168.10.X/2410Customer_szjm192.168.10.254/24运营部192.168.20.X/2420Operation_szjm192.168.20.254/24行政部192.168.30.X/2430Admin_szjm192.168.30.254/24DNS服务器192.168.40.1/2440servers192.168.40.254/24WEB服务器192.168.40.2/2440servers192.168.40.254/24通关服务器192.168.40.3/2440servers192.168.40.254/24VLAN划分为10,20,30,40分别表示不同的部门和不同的区域。配置命令和步骤如下：（1）创建VLAN首先在核心交换机上面配置VTP域Switch3650#conftSwitch3650(config)#vtpdomainszjm然后创建VLANSwitch3650(config)#vlan10Switch3650(config-vlan)#namecustomer_szjmSwitch3650(config)#vlan20Switch3650(config-vlan)#nameoperation_szjmSwitch3650(config)#vlan30Switch3650(config-vlan)#nameadmin_szjmSwitch3650(config)#vlan40Switch3650(config-vlan)#nameservers（2）在接入交换机配置Trunk口3个部门的交换机由于需要级联，所以需要在对应的端口上设置TrunkSwitch1>enaSwitch1#conftSwitch1(config)#intf0/24Switch1(config-if)#switchportmodetrunk同样对需要接入的另外2个部门的交换机也设置Trunk（3）划分VLAN由于核心交换机的VLAN40要接入应用服务器，所以在每个服务器连接的端口设置端口为存取模式。对于接入交换机接入的机器也需要设置相应端口为存取模式。Switch3650(config-if)#intrangef0/22–f0/24Switch3650(config-if-range)#switchportmodeaccessSwitch3650(config-if-range)#switchportaccessvlan40//用于连接应用服务器端口设置在对应的接入交换机上做设置Switch1(config-if)#intrangef0/1–f0/20Switch1(config-if-range)#switchportmodeaccessSwitch1(config-if-range)#switchportaccessvlan10//客户部Switch2(config-if)#intrangef0/1–f0/20Switch2(config-if-range)#switchportmodeaccessSwitch2(config-if-range)#switchportaccessvlan20//运营部Switch3(config-if)#intrangef0/1–f0/20Switch3(config-if-range)#switchportmodeaccessSwitch3(config-if-range)#switchportaccessvlan30//行政部（4）在3650核心交换机上面启用路由功能。Switch3650(config)#iprouting在核心交换上面配置各个VLAN网关，具体参数参考上表Switch3650#conftSwitch3650(config)#interfacevlan10Switch3650(config-if)#ipaddress192.168.10.254255.255.255.0//客户部网关Switch3650(config-if)#interfacevlan20Switch3650(config-if)#ipaddress192.168.20.254255.255.255.0//运营部网关Switch3650(config-if)#interfacevlan30Switch3650(config-if)#ipaddress192.168.30.254255.255.255.0//行政部网关Switch3650(config-if)#interfacevlan40Switch3650(config-if)#ipaddress192.168.40.254255.255.255.0//行政部网关安装DNS，WEB和通关服务器。DNS服务器设置如下：电脑客户端打开网页，运行效果如下所示：运行测试，整个网络拓扑图如下图所示。结语论文中提出了实习企业网络改造方式，分层结构设计，并且从网络性能，可扩充性，用户管理，安全性等方面对网络结构进行了分析。结合读者出版集团网络的实际情况，论文提出了VLAN在局域网中的具体解决方案：包括VLAN的划分，VLANID的规划，研究了VLAN之间的两种路由策略（集中控制和分布式路由），分析了VLAN之间的访问控制方法。

参